1.2 Анализ защищенности ОС
Для анализа защищенности ОС разрабатываются специализированные средства. Средства данного класса позволяют производить ревизию перечисленных выше механизмов защиты ОС: подсистемы разграничения доступа, механизмов идентификации и аутентификации, средств мониторинга, аудита и других компонент с точки зрения соответствия их конфигурации требуемому уровню защищенности системы. Кроме этого, производится контроль целостности ПО (включая неизменность программного кода и системных установок с момента предыдущего анализа) и проверка наличия уязвимостей системных и прикладных служб. Такая проверка производится с использованием базы данных об уязвимостях сервисных служб или определенных версий программного обеспечения, которая входит в состав средств анализа.
Кратко рассмотрены в некоторые средства анализа защищенности ОС.
ASET (Automated Security Tool) — это программное средство администратора ОС Solaris, обеспечивающее автоматизированное выполнение задач мониторинга и контроля уровня безопасности указанной ОС.
ASET поддерживает три уровня безопасности, накладывающие определенные требования к защищенности системы в целом: низкий, средний и высокий. Низкий уровень после последовательных проверок гарантирует, что атрибуты всех системных файлов соответствуют стандартным установкам. ASET выдает отчет о потенциальных уязвимостях системы, но на данном уровне не производит каких-либо действий по устранению обнаруженных уязвимостей. Средний уровень обеспечивает контроль большинства объектов системного окружения. ASET модифицирует некоторые атрибуты системных файлов и переменных окружения, а также ограничивает доступ в систему, уменьшая таким образом возможность успешного проведения атак. ASET выдает отчет об обнаруженных уязвимостях, о произведенных изменениях атрибутов файлов и об введенных ограничениях доступа в систему. Изменения сервисных служб на данном уровне не производятся. При высоком уровне гарантируется высокая защищенность системы и модифицируются атрибуты всех системных файлов и переменных окружения. Большинство системных приложений и команд продолжает функционировать в обычном режим, но задачи обеспечения безопасности обладают наивысшим приоритетом над системными и пользовательскими задачами.
ASET выполняет семь основных задач по мониторингу и управлению уровнем безопасности системы. Для каждой из задач производятся свои специфические проверки и модификации, а также генерируются отчеты по обнаруженным уязвимостям и выполненным изменениям в системных файлах. Проверке подвергаются:
• атрибуты доступа и использования системных файлов;
• соответствие системных файлов их описаниям в шаблонах безопасности:
• бюджеты пользователей и групп;
• файлы конфигурации системы;
• переменные окружения;
• уровень защиты низкоуровневой конфигурации eeprom;
• уровень защищенности при использовании системы в качестве МЭ.
ASET можно использовать как в интерактивном режиме с вызовом из командной строки, так и в автоматическом режиме с определенной периодичностью.
Пакет программ COPS (Computer Oracle and Password System) Д. Фармера — свободно распространяемое средство администратора безопасности Unix-систем для обнаружения уязвимостей в подсистеме безопасности ОС SunOS, FreeBSD, IRIX, AIX, 4.3BSD, Ultrix, HP-Unix, NeXT и некоторых других. Ядро системы - это собрание приблизительно десятка программ, каждая из которых находит различные проблемы в Unix-безопасности. Эти программы проверяют:
• файлы, директории и устройства по разрешенному доступу;
• надёжность паролей методом перебора с использованием словаря;
• содержание, формат и безопасность паролей и групп паролей;
• файлы с атрибутом смены идентификатора пользователя;
• программы и файлы, запускаемые в /etc/rc/*;
• наличие root - SUID файлов, возможность их записи, и являются ли они подлинными;
• контрольные суммы ключевых файлов, чтобы выявлять любые изменения;
• целостность исполнимого кода системных программ;
• возможность записи файлов пользователей и файлов запуска (.profile, cshrc и т.д.);
• анонимную установку ftp;
• неограниченный ftp, вымышленное имя в sendmail;
• конфигурации протокола NFS;
• проводит различные проверки root;
• наличие отношений доверия с удаленными системами;
• права доступа к домашним каталогам и стартовым файлам пользователей;
• конфигурации почтовой службы;
• наличие сервисных служб;
• даты ознакомления с материалами CERT по безопасности;
• содержит набор правил и попыток для определения того, как может быть скомпрометирована система.
Результатом работы COPS является отчет, который может быть представлен в виде текстового файла либо автоматически отправлен заданному адресату по электронной почте. Устранения обнаруженных уязвимостей данным продуктом не производятся. Вместо этого по результатам сканирования создается командный файл, содержащий последовательность команд по ликвидации выявленных уязвимостей.
COPS может быть запущено от лица пользователя, не обладающего привилегированными правами, однако в данном случае тестирование системы будет неполным.
Среди недостатков можно отметить следующее. Работа COPS приводит к уменьшению производительности системы. При проведении оценки стойкости паролей значительно увеличиваются вычислительные и временные затраты, поэтому запуск COPS рекомендуется производить в часы наименьшей загрузки системы.
Система System Security Scanner (SSS) фирмы Internet Security Systems Inc. — средство разового или регулярного анализа степени безопасности ОС Solaris 2.x, SunOS 4.1.x, Linux 1.2/1.3, AIX 3.2.5, HP-UX 9.05, 10.Х (beta) и управления защищенностью этих систем в соответствии с политикой безопасности организации. SSS осуществляет контроль прав доступа к файлам, проверку владельцев файлов, анализ конфигурации сетевых служб, настройку пользовательских и системных бюджетов. Кроме этого, исследуется возможность наличия закладок и других следов проникновения злоумышленников. Отчеты о результатах анализа содержат детализированное описание найденных уязвимостей и последовательностей действий администратора по их устранению. SSS не производит запуск корректирующего сценария самостоятельно, а только предлагает возможность его применения. Хранение результатов тестирования производится в специальной базе данных, содержащей информацию об известных уязвимостей (их более 250) и способах их устранения.
Система SSS позволят производить распределенное сканирование нескольких удаленных систем с одной управляющей рабочей станции. При этом, конфигурация механизмов сканирования удаленных систем и обработка результатов производится на управляющем ПК, а на удаленных системах запускается только сканирующий агент. Результаты сканирования удаленных систем передаются по протоколу TCP в закодированном виде.
Возможности тестирования системы определяются выбранными для сканирования уязвимостями. SSS позволяет производить сканирование системы с различными специально созданными конфигурациями сканирования, что позволяет заранее настраивать через несколько файлов конфигурации разноуровневое сканирование для периодического тестирования системы. Все обнаруженные уязвимости рассортированы по типам, соответствующим областям системы, и выделены определенным цветом, обозначающим уровень важности.
Пакет программ Internet Scanner SAFEsuite (ISS) предназначен для проведения комплексной оценки эффективности политики безопасности на уровне сетевых сервисов. Он предоставляет возможности для идентификации и коррекции более 140 известных слабых мест и постоянного наблюдения за состоянием безопасности для широкого диапазона сетевых устройств - от Web-узлов и брандмауэров до серверов и рабочих станций, работающих в средах UNIX, Windows 95, Windows NT, и всех других устройств, работающих с протоколом TCP/IP.
Пакет ISS состоит из трех программ: Web Security Scanner, Firewall Scanner, Intranet Scanner. Отметим некоторые общие характеристики пакета ISS.
1. Автоматизированное и конфигурируемое сканирование:
автоматическая идентификация и создание отчетов по слабым местам;
плановое периодическое сканирование или сканирование после определенных событий;
конфигурация сканирования по адресам IP, типам слабых мест, рискам и другим устанавливаемым пользователями критериям;
автоматическая коррекция ключевых слабых мест;
надежность и повторяемость.
2. Обеспечение безопасности:
возможность управления рисками;
инвентаризация всех сетевых устройств и идентификация существующих базовых слабых мест;
распределение приоритетов по степеням риска (высокий, средний, низкий);
анализ и сравнение базовых отчетов для использования в будущих оценках;
создание цепи обратной связи при реализации политики безопасности.
3. Простота пользования:
графические интерфейсы пользователя Windows NT и Motif UNIX;
создание отчетов в формате HTML с упорядочением по типам слабых мест, классам рисков, host-именам и адресам IP;
двухмерная сетевая карта, облегчающая поиск слабых мест;
централизация процедур сканирования, управления и мониторинга.
Программа Web Secure Scanner предназначена для поиска слабых мест безопасности на Web-серверах. Обеспечивает аудит ОС, под управлением которой работает Web-сервер, программ приложений, установленных на Web-сервере, и сценариев CSI в Web-приложениях. Проводит тестирование конфигурации Web-сервера, оценивает уровень безопасности основной файловой системы и просматривает сценарии CSI на наличие слабых мест. По итогам тестирования создается отчет с описанием обнаруженных слабых мест и рекомендациями по корректирующим действиям.
Программа Firewall Scanner обеспечивает поиск слабых мест в брандмауэрах, прежде всего в их конфигурации, и предоставляет рекомендации по их коррекции. Проводит тестирование реакции брандмауэров на различные типы попыток нарушения безопасности. Выполняет сканирование сервисов – идентификацию всех сетевых сервисов, доступ к которым осуществляется через брандмауэр. Программу Firewall Scanner рекомендуется сделать частью установки брандмауэра и составной частью программы обеспечения безопасности.
Программа Intranet Scanner предназначена для автоматического обнаружения потенциальных слабых мест внутри сетей с использованием различных тестов для проверки реакции на несанкционированные проникновения. Обеспечивает проверку различных сетевых устройств, включая UNIX-компьютеры, системы, работающие под управлением ОС Windows NT/95 фирмы Microsoft, маршрутизаторы, Web-серверs и X-терминалы.
|
