�ݺ�ߣ

Editor's Notes

• #3: Долгое время в концепция обеспечения безопасности информации главенствовала концепция «безопасного периметра» или «демилитаризованной зоны». Однако, развитие ИТ не стоит на месте и с ними должно было бы развиваться и понятие защищённой корпоративной информационной системы. Есть ли сейчас безопасный периметр? Как его определять? Можем ли мы его «взять и посчитать» по такой простой формуле? Что мы как безопасники должны сделать, чтобы хотя бы приблизиться к ощущению безопасности? Давайте попробуем разобраться и выяснить ответы на эти вопросы.
• #4: Традиционный подход — существует единственная точка сопряжения с внешними сетями.
• #5: В современных сетях традиционный подход уже встречается редко и периметр размывается. Возникает несколько точек взаимодействия с внешними сетями. Возникает желание работать из дома или за пределами офиса, и тогда периметр возникает и на границе этих устройств. Тем не менее, где есть границы, их нужно защищать. А там, где нет строгих границ (как на мобильных устройствах), нужно применять специализированные средства защиты.
• #6: Рабочий вариант — промежуточные периметры между сегментами. Корпоративная сеть должна быть разделена на сегменты. Должны быть определены границы каждой информационной системы, определены границы групп пользователей. Отсутствие регламентированных правил доступа приводит к доступу "всех ко всем". При этом нужно соблюсти баланс — можно возвести 1000 границ и работать станет невозможно. Отсюда вывод: чем точнее мы сможем описать бизнес-процессы, тем точнее и менее заметными мы сможем сделать границы между сегментами корпоративной сети.
• #7: Самое важное при защите периметра, как на пограничном посту - знать кому и куда можно проходить, кому нельзя. Как вы думаете, в скольких случаях мы сталкиваемся с тем, что правила доступа не задокументированы полностью?
• #8: В 99% случаев! Чтобы определить это - нужна знать информационные потоки. Как показывает практика, обслуживающий персонал знает не более половины информационных потоков, которые прописаны на межсетевых экранах! открывается доступ для устаревших ИС, после замены доступ остается; срочно нужно сделать временный доступ для клиент-банка бухгалтерии, в последствии никто его и не убирает; во время аварии у провайдера, нужен был доступ в интернет, проковыряли доступ через модем - так обходной путь и остался; политика предусматривала ограничение доступа, но сисадмину/секретарю/начальнику нужен был доступ в обход ограничений.; спешка - почти в одно время запускалось несколько систем и изменения шли потоком..., в итоге осталось временных правил... причем часто правила остаются двухсторонние; на время настройки системы ХХХ нужен был технологический доступ, его сделали, а убрать забыли; создавали доступ для одной системы, сделали опечатку в правиле, доступ появился не к одной, а к нескольким системам   Все эти сценарии встречаются почти на каждом объекте, где приходится делать обследование пограничного сегмента.
• #9: Люди меняются, документация не ведется и существуют лазейки. Как правило, прочитать каждое правило и понять для чего оно используется — это тяжелая кропотливая работа, которой занимаются только во время ревизий. При попытке отключить како-либо правило может перестать работать какая-либо ИС. Работает золотое админское правило «Не сломалось — не чини!». Единственный способ ЗНАТЬ — это строго следовать принятым политикам безопасности, и все изменения документировать. Причем не только как просто запись, а со всеми данными по информационным потокам и взаимодействиям, для нужд кого лично или какой информационной системы правило сделано.
• #10: Если мы ЗНАЕМ откуда куда должен быть доступ, то мы ЗНАЕМ откуда куда его НЕ ДОЛЖНО быть!!!! Как ни парадоксально почти на всех объектах встречается правило доступа: permit any any (разрешено отовсюду везде). На самом деле должно быть наоборот запрещено отовсюду везде, и только то, что мы определили как разрешенное, должно быть разрешено на МЭ.
• #12: WebApplication Firewall Наиболее уязвимым для атак является WebServer. Помимо угроз, связанных с ошибками в ПО сервера, возникают ошибки с некорректными запросами, которые могут приводить к дополнительным уязвимостям. WAF анализирует поступающие запросы и определяет запросы, содержащие потенциальные угрозы. Угрозы могут определяться как на основании известных уязвимостей (с помощью сигнатур), так и на основании нетиповых запросов, повышения частоты запросов от какого-либо узла.
• #13: Поскольку в сети несколько границ, то и правила должны применяться на каждой границе между каждым из сегментов. Естественно ручками вводить правила на каждом устройстве утомительно, и это будут забывать делать, значит надо пользоваться централизованными средствами управления средствами безопасности (яркие примеры Cisco Security Manager и CheckPoint Security Management Server). Подобные централизованные средства управления безопасности позволяют создать информационные объекты, указать, что доступ разрешен, а уже трансляция политики в соответствующий МЭ будет осуществляться автоматически.
• #14: Следующий компонент, обеспечивающий безопасность корпоративной сети - Система обнаружения вторжений. Как мы уже говорили, абсолютной защиты не существует, а значит, любая из информационных систем подвержена определенным атакам. Информация о возможных угрозах и атаках анализируется и систематизируется, выявляются определенные характерные действия. Поскольку эти действия известны, их целесообразно отслеживать. Для этого и служат системы обнаружения вторжений. Такие системы могут как диагностировать, так и прерывать подобные действия. В чем же сложность использования таких систем? Ресурсоемкость подобных систем и как следствие недостаточная производительность. Для примера: падение производительности МЭ при включение функции IPS составляет от 2 до 10 раз (в зависимости от профилей анализа).
• #15: Вот такая шутка про Windows XP. И Microsoft, и ФСТЭК России рекомендуют переходить на что-то более современное. Но вернёмся к IPS. IPS замечательное решение, но как уже говорилось, есть угрозы, которые ему недоступны. IPS производит анализ по разработанным заранее сигнатурам, то есть с момента когда стало известно об уязвимости и до того, как IPS сможет распознавать вторжение пройдет некоторое время, а значит угрозы "нулевого дня" остаются. Кроме того обновление сигнатур IPS, не везде проводится своевременно. Многие IPS позволяют писать собственный анализ уязвимостей, но этим редко кто пользуется (тут требуется и хорошая квалификация обслуживающих инженеров, и знание угроз от которых планируется защититься, и время для написания, отладки и проверки, что собственный анализ сработает как надо). Итог: IPS это хорошее средство анализа ИЗВЕСТНЫХ угроз для ИЗВЕСТНЫХ приложений. Но не надо от него ждать чудес.
• #16: Honeypot (англ. — горшочек с медом) — специализированный ресурс, представляющий собой приманку для злоумышленников. Это вспомогательное средство для того, чтобы понять, что в сети действует злоумышленник. Задача такого «горшочка» — привлечь злоумышленника, подвергнуться атаке или несанкционированному исследованию. Это позволяет зафиксировать факт действий злоумышленника (данный факт уже представляет собой ценную информацию), а также позволяет проанализировать тактику действий злоумышленника и принять необходимые меры противодействия.
• #17: Картинка с ipviking. Можно включать в полноэкранном режиме и медитировать. Обязательно попробуйте посмотреть эти два ресурса. Бывает очень занятно отслеживать направления атак. Да, речь идёт о DDoS. DDoS-атака (от англ. Distributed Denial of Service) - распределённая атака типа «отказ в обслуживании», целью которой является создание условий, при которых пользователи не смогут получить доступ к сайту или веб-сервису из-за его перегрузки. К сожалению, в силу ряда причин организация DDoS-атак становится все доступнее. Минимальная стоимость 1 дня атаки составляет 3–5 тысяч рублей. Это способствует тому, что DDoS становится распространенным оружием конкурентной борьбы. Распространенные локальные средства защиты, увы, не способны в полной мере противодействовать DDoS-атакам: межсетевые экраны и системы IDS/IPS: находятся непосредственно перед защищаемым ресурсом и бессильны против переполнения канала связи; можно использовать например методы “Black hole” фильтрации, которые отправляет злонамеренный трафик к воображаемому интерфейсу, известному как Null0. Так как Null0 - не существующий интерфейс, трафик, направленный к Null0, по существу удаляется. Но это не самый лучший способ защиты от DDoS нападений. Однако таким образом блокируются и легальные запросы, то есть злоумышленники достигают своей цели — ресурс становится недоступным для пользователей; оптимизация настроек ресурса помогает только от маломощных атак; многократное резервирование ресурсов — крайне дорогой, а значит, недоступный для большинства организаций способ. Защита от DDoS одна из самых труднорешаемых проблем и, как правило, требует совместных действий с провайдером услуг. У некоторых провайдеров для защиты сайта от DDos-атак применяется серия фильтров, подключенных к интернет-каналу с достаточно большой пропускной способностью. Фильтры последовательно анализируют проходящий трафик, выявляя аномалии и нестандартную сетевую активность. Как правило, в число анализируемых шаблонов нестандартного трафика входят все известные на сегодняшний день методы атак, в том числе реализуемые при помощи распределенных бот-сетей.
• #18: VPN Для удаленных пользователей или удаленных офисов требуется обеспечивать защиту канала связи. Защищенный доступ часто попадает под действие российских регуляторов, как следствие требуется ГОСТ = ЗАСТАВА. Если не требуется ГОСТ, можем использовать функциональности МЭ, которые обеспечивают VPN соединение, с использованием собственных клиентов. Собственные клиенты, могут обеспечивать контроль выполнения корпоративных политик безопасности. В случае если мы не можем проконтролировать соответствие корпоративным политикам безопасности, а доступ необходимо предоставить, применяется ограничение сегмента доступа, с помощью МЭ минимальным набором требуемых функций, а также усиленным контролем. Также возможен вариант web-публикации приложений, это когда клиенту отображается веб форма запрошенного ресурса, с ограниченным набором действий.
• #19: Virtual Desktop Infrastructure (инфраструктура виртуальных рабочих мест/рабочих столов) как средство удаленного доступа. Один из способов уменьшения угроз — отсутствие прямого доступа снаружи к внутренней сети. Изоляция обеспечивается инфраструктурой виртуальных рабочих мест. Извне получается доступ только к серверу VDI, причем пользователь получает только изображение рабочего стола, а передает в систему свои действия. В этом случае отсутствует прямое воздействие извне на элементы ИС. Собственно, само виртуальное рабочее место может быть сконфигурировано в соответствии с требованиями и политиками по безопасности организации. Дополнительный запрет на передачу файлов на виртуальное рабочее место или передачу через подсистемы углубленного анализа, уменьшает вероятность возникающих угроз. Кроме того, так как данный сегмент является потенциально небезопасным, к нему будут предъявляться более высокие требования по доступу и ограничению угроз.
• #20: Для анализа наиболее востребованного типа трафика, а именно почтового и web трафика, разработаны специализированные устройства. Назначением данных продуктов/групп является проверка и фильтрация контента сайтов и сообщений электронной почты, ограничение или блокирование доступа к определённым сайтам или услугам сети Интернет. Принципы работы основаны на следующих технологиях: • анализ на основе регулярных выражений; • использование репутационных баз URL; • распознавание изображений; • динамический анализ веб-трафика. Продукты фильтрации интернет трафика обеспечивают • сканирование входящего и исходящего трафика по всем доступным веб-протоколам с минимальными задержками; • обнаружение и устранение угроз, исходящих от вирусов, троянов, программ-шпионов и иного вредоносного ПО; • управление полосой пропускания; • оптимизация сетевого трафика. Продукты фильтрация почтового трафика обеспечивают • идентификации и блокирование нежелательных входящих почтовых сообщений; • обнаружение и устранение угроз, исходящих от вирусов, троянов, программ-шпионов и иного вредоносного ПО; • контроль исходящих почтовых сообщений; • шифрование электронной почты.
• #21: Как мы говорили, в самом начале, одним из важнейших шагов - определить периметр сети. Как показывает практика, периметр сети может быть нарушен и изнутри. Из практики обследований: • подключение вместо сетевого принтера позволяет получить привилегированный доступ в сети • пользователи в большом офисном помещении устанавливали свою точку доступа, подключенную к корпоративной сети • злоумышленник оставил точку доступа Wi-Fi в подсобном помещении уборщицы, после чего был получен привилегированный доступ извне здания. Это самые яркие примеры нарушения периметра. Для предотвращения подобных ситуаций, в корпоративной сети должна существовать система идентификации пользователей, учитывающая не только логин и пароль (при том что более 70% паролей являются "слабыми"), а еще учитывать характеристики подключаемых устройств (производитель аппаратной платформы, ОС, установленные программные средства, антивирусные средства и результаты их сканирований, установка обновлений и т.п). Внедрение подобной системы снижает до минимума возможность нарушения периметра изнутри. Наиболее известные Cisco ISE и ForeScout CounterACT
• #22: Песочница Контроль файлов, поступающих извне. Для файла требуется создать благоприятную среду, чтобы увидеть подозрительную активность. В песочнице создается жестко контролируемая виртуальная среда, в которой запускается подозрительный файл и анализируется его активность. На основании этих данных принимается решение о степени доверия данному файлу. В связи с чем появились "песочницы"? большое количество вредоносных программ, использований технологий полиморфизма -> как следствие традиционные сигнатурные сканеры не могут эффективно справляться с новыми угрозами. Часто песочницы интегрируются с облачными сервисами определения доверия файлов.
• #23: К сожалению, весь перечисленный комплекс мер не позволяет обезопасить на 100% корпоративную сеть. Однако когда развернуто такое значительно числе средств безопасности, возникает чувство, что в сети все хорошо. А в это время в сети... Как же мы можем увидеть, что в сети происходит нечто, чего быть не должно? Сбор статистических данных со всех узлов сети и их анализ позволяет увидеть трафик, который не предсказан на этапе проектирования ИС. Это могут оказаться как ошибки проектирования, так и недокументированные возможности, ну и собственно реализованные угрозы. Причем для анализа достаточно не копии трафика, а статистики о прохождении трафика (Netflow и тому подобные протоколы) Из практики: демо установка систмы анализа аномалий трафика показала, что в DNS запросах и ответах к китайскому серверу идет трафик, характерный для bot-net сети. Трафик шел с АРМ оператора системы, Нарушений антивирусной защиты выявлено не было, компьютер соответствовал всем требованиям безопасности. Что же произошло? Один из сотрудников обслуживающего персонала бросил курить. перешел на электронные сигареты... Он заряжал электронную сигарету через usb-порт компьютера. К сожалению продукция Китайских товарищей использовала USB не только для зарядки устройства, но и для распространения bot-net. Мораль: если нельзя на 100% предотвратить угрозы и заражения, нужно их как можно раньше выявить и заблокировать!!!! Наиболее яркие представители: NetFlow, и Lancope StealthWatch