- •Н.М. Радько, и.О. Скобелев
- •Учебное пособие Воронеж 2008
- •Воронеж 2008
- •1 Иткс как объект атак удаленного и непосредственного доступа к ее элементам
- •1.1 Основные механизмы взаимодействия элементов иткс
- •1.2 Понятие угрозы информационной безопасности иткс
- •1.3 Уязвимости иткс в отношении угроз иб
- •1.3.1 Уязвимости иткс в отношении угроз непосредственного доступа
- •1.3.2 Уязвимости иткс в отношении удаленных угроз удаленного доступа
- •1.4 Классификация и описание процессов реализации угроз непосредственного и удаленного доступа к элементам иткс
- •1.4.1 Классификация
- •1.4.1.1 Классификация угроз непосредственного доступа в операционную среду компьютера
- •1.4.1.2 Классификация угроз удаленного доступа к элементам иткс
- •1.4.2 Описание процессов реализации угроз
- •1.4.2.1 Описание процессов реализации непосредственного доступа в ос компьютера
- •1.4.2.2 Описание процессов реализации удаленных атак
- •1.5 Меры и средства защиты элементов иткс от непосредственного и удаленного доступа к ним
- •1.5.1 Меры и средства защиты от непосредственного доступа в операционную среду компьютера
- •1.5.2 Меры противодействия удаленным атакам
- •1.6 Постановка задач исследования
- •2 Аналитическое моделирование процессов реализации атак, связанных с непосредственным и удаленным доступом к элементам иткс, при помощи аппарата теории сетей петри-маркова
- •2.1 Моделирование процессов реализации сетевого анализа
- •2.1.1 Сниффинг пакетов в сети без коммутаторов
- •2.1.2 Сканирование сети
- •2.2 Моделирование процесса реализации атаки «Отказ в обслуживании» (syn-flood)
- •2.3 Моделирование процессов реализации внедрения в сеть ложного объекта
- •2.3.1 Внедрение в сеть ложного объекта на основе недостатков алгоритмов удаленного поиска (arp-спуфинг)
- •2.3.2 Внедрение в сеть ложного объекта путем навязывания ложного маршрута
- •2.4 Моделирование процессов реализации подмены доверенного объекта сети
- •2.4.1 Подмена доверенного объекта сети (ip-spoofing)
- •2.4.2 Подмена доверенного объекта сети. Перехват tcp-сессии (ip-hijacking)
- •2.5 Моделирование процессов реализации угроз непосредственного доступа в операционную среду компьютера
- •2.5.1 Моделирование процесса реализации непосредственного доступа в операционную среду компьютера при помощи подбора паролей
- •2.5.2 Моделирование реализации непосредственного доступа в операционную среду компьютера при помощи сброса паролей
- •Выводы по второй главе
- •3 Расчет эффективности применения мер и средств противодействия угрозам определенного типа
- •3.1 Понятие эффективности защиты информации
- •3.2 Алгоритм оценки эффективности мер и средств защиты
- •3.2.1 Определение коэффициента опасности
- •3.2.2 Определение вероятности успешной реализации атаки
- •3.2.3 Определение вероятности реализации деструктивного действия
- •3.2.4 Определение вероятности успешной реализации атак при условии применения мер и средств защиты информации
- •3.2.5 Определение показателя защищенности
- •3.3 Расчёт эффективности мер и средств защиты информации по данному алгоритму
- •3.3.1 Эффективность применения парольной защиты на вход в настройки bios
- •3.3.2 Эффективность применения парольной защиты на вход в настройки bios, при атаке путем сброса паролей
- •3.3.3 Эффективность применения пароля, состоящего из 6 символов, алфавит состоит из цифр, спецсимволов и английского алфавита (a-z) при условии, что его длина неизвестна злоумышленнику
- •3.3.4 Эффективность применения средств биометрической идентификации при входе в операционную среду
- •3.3.5 Эффективность постановки на компьютер ос Windows Server 2003 для защиты от атаки «syn-flood»
- •3.3.6 Эффективность мер и средств защиты от атаки «отказ в обслуживании» при реализации подмены доверенного объекта
- •3.3.7 Эффективность криптографических средств защиты информации
- •3.4 Расчет величины риска при применении мер и средств защиты
- •4 Методика анализа рисков при реализации комплекса угроз непосредственного и удаленного доступа к элементам иткс и ее применение при управлении рисками
- •4.1 Выбор параметров для осуществления количественного анализа рисков иткс
- •4.1.1 Определение видов ущерба иткс при реализации угроз непосредственного и удаленного доступа к ее элементам
- •4.1.2 Определение взаимосвязей между атаками и их отношения к видам наносимого ущерба
- •4.2 Определение вероятностей реализации атак
- •4.2.1 Выбор закона Пуассона в качестве закона распределения вероятностей возникновения атак
- •4.2.2 Расчет интенсивности возникновения атак
- •4.2.3 Расчет вероятности реализации атак
- •4.3 Расчет рисков реализации угроз непосредственного и удаленного доступа к элементам иткс
- •4.4 Применение методики анализа рисков при управлении рисками иткс
- •4.4.1 Задача управления рисками систем
- •4.4.2 Введение функции защищенности системы
- •4.4.3 Расчет рисков иткс при использовании мер противодействия угрозам непосредственного и удаленного доступа
- •Выводы по четвертой главе
- •394026 Воронеж, Московский просп., 14
2.4 Моделирование процессов реализации подмены доверенного объекта сети
2.4.1 Подмена доверенного объекта сети (ip-spoofing)
Для реализации данной атаки злоумышленник должен иметь возможность формировать пакеты с произвольными обратными IP-адресами. Злоумышленник отправляет в сеть пакеты с ложным обратным адресом. С помощью этой атаки он может переключать на свой компьютер соединения, установленные между другими компьютерами. При этом права доступа становятся равными правам того пользователя, чье соединение с сервером было переключено на компьютер хакера.
Каждый пакет имеет в заголовке два поля-счетчика для идентификации сообщения. Данные числа увеличиваются при обмене данными и позволяют контролировать корректность передачи. Злоумышленник может предсказать, какое значение будет иметь счетчик в высланном сервером пакете. Это возможно сделать на основе знаний о конкретной реализации TCP/IP [2, 33, 40]. Таким образом, послав один пакет серверу, злоумышленник получит ответ и сможет (возможно, с нескольких попыток и с поправкой на скорость соединения) предсказать значение счетчиков для следующего соединения. Если реализация TCP/IP использует специальный алгоритм для определения этих значений, то он может быть выяснен с помощью посылки нескольких десятков пакетов серверу и анализа его ответов.
Предположим, что система A доверяет системе B, так, что пользователь системы B может авторизоваться, не вводя пароля. Злоумышленник расположен на системе C. Система A выступает в роли сервера, системы B и C — в роли клиентов. Первая задача злоумышленника — ввести систему B в состояние, когда она не сможет отвечать на сетевые запросы. Это может быть сделано несколькими способами, в простейшем случае нужно просто дождаться перезагрузки системы B. Далее злоумышленник может притвориться системой B, для того, что бы получить доступ к системе A (хотя бы кратковременный). Злоумышленник пытается подобрать значение счетчика, высылая корректные запросы на установление соединения. Затем он инициирует соединение от имени B, используя подобранное значение счетчика. Если оно оказывается подходящим, соединение считается установленным. Теперь злоумышленник может выслать очередной фальшивый IP-пакет, который уже будет содержать данные. И в случае, если B является доверенным хостом для A, сервер будет выполнять команды злоумышленника без всякой аутентификации [3, 30].
Этапы реализации данной атаки и типы пересылаемых пакетов приведены на рисунке 2.13.
Рисунок 2.13 — Этапы реализации подмены доверенного объекта (IP-spoofing)
Смоделируем данную атаку с помощью сети Петри-Маркова. Обозначения элементов этой сети приведены ниже, si — позиции, tj — переходы.
s1 — B готов,
s2 — C готов к проведению атаки SYN-flood и ожидает перезагрузки B,
t1 — перезагрузка B в результате атаки SYN-flood или самопроизвольная,
s3 — B недоступен,
t2 — отправка C-SYN,
s4 — C-SYN обработан A,
t3 — прием S-SYN,
s5 — S-SYN принят C,
t4 — отправка C-SYN2 от имени B,
s6 — C-SYN2 обработан A,
s7 — C готов к подбору S-ACK2,
t5 — подбор S-ACK2,
s8 — S-ACK2 подобран,
t6 — отправка подходящего S-ACK2,
s9 — S-ACK2 принят, соединение с правами B установлено,
t7 — отправка данных,
s 10 — результат — выполнение сервером команды злоумышленника
Вид данной сети представлен на рисунке 2.14.
Рисунок 2.14 — Вид сети Петри-Маркова для атаки «подмена доверенного объекта сети»
В этой сети позиции не имеют инцидентных дуг, поэтому вероятности перемещения из них в переходы равны единице.
Элементы матрицы, определяющие логические функции срабатывания сети, могут быть записаны (без учета направленности дуг графа) следующим образом:
|
|
t1 |
t2 |
t3 |
t4 |
t5 |
t6 |
t7 |
s1 |
1 |
0 |
0 |
0 |
0 |
0 |
0 |
|
s2 |
1 |
0 |
0 |
0 |
0 |
0 |
0 |
|
s3 |
s1t1Us2t1 |
1 |
0 |
0 |
0 |
0 |
0 |
|
s4 |
0 |
1 |
1 |
0 |
0 |
0 |
0 |
|
s5 |
0 |
0 |
1 |
1 |
0 |
0 |
0 |
|
s6 |
0 |
0 |
0 |
1 |
0 |
1 |
0 |
|
s7 |
0 |
0 |
0 |
0 |
1 |
0 |
0 |
|
s8 |
0 |
0 |
0 |
0 |
1 |
1 |
0 |
|
s9 |
0 |
0 |
0 |
0 |
0 |
s6t8∩s8t80 |
1 |
|
s10 |
0 |
0 |
0 |
0 |
0 |
0 |
1 |
Для данной сети Петри-Маркова имеет место следующая система интегро-дифференциальных уравнений [60, 62]:
(2.19)
Полагаем, что плотности распределения вероятностей являются экспоненциальными зависимостями и имеют вид:
где λij=1/τij, где τij (i = 1..10, j = 1..7) — средние времена вышеперечисленных действий соответственно.
Применяя пуассоновское приближение, получаем среднее время перемещения по сети Петри-Маркова из начальной позиции до конечного перехода и вероятность этого перемещения:
,
,
,
,
, (2.20)
.
Описание временных характеристик реализации атаки SYN-flood в зависимости от конфигурации системы и сети рассматривается в п. 2.2.1. Для клиентской машины примем τ21 = 11,5 с.
Среднее время ожидания самопроизвольной перезагрузки ОС атакуемого хоста зависит от его предназначения. Положим τ11 = 3 ч. Среднее время срабатывания перехода t1 рассчитывается, исходя из того, что он срабатывает по логической функции «ИЛИ».
Средние времена пересылки и обработки пакетов SYN и ACK τ32 = τ43 = τ54 = τ66 = 0,1 c.
Чем ближе в сети находятся исследователь и тестируемая ОС, тем выше точность получения аппроксимирующей функции, так как в противном случае, время за которое запрос дойдет до системы и будет выработан идентификатор, может существенно отличаться из-за задержек в канале связи от времени передачи ответа обратно. При этом погрешность исходных данных будет увеличиваться, а точность экстраполяции — падать [6, 40].
Заметим, что атакующему вовсе не обязательно проводить подобные исследования с интересующим его удаленным хостом. Достаточно только узнать тип операционной системы на предполагаемой цели атаки и получить в свое распоряжение подобную систему для определения формулы изменения идентификатора в данной ОС.
Обычно даже при неизвестной ОС выявление закона изменения идентификатора сообщения происходит не более чем за τ86 = 5 с.
В случае отсутствия дополнительных процедур аутентификации при обработке сервером данных, приходящих с атакованного хоста, злоумышленнику достаточно отправить несколько TCP-пакетов с командами и дождаться их выполнения. τ97 = 0,5 с.
Таким образом, среднее время перехода по всей сети τ = 13,6 с. Зависимость вероятности реализации атаки от времени представлена на рисунке 2.15.
. (2.21)
Рисунок 2.15 — зависимость вероятности реализации атаки «подмена доверенного объекта сети» от времени
1) Защита от SYN-flood
В случае использования эффективных мер защиты атакуемого хоста от атаки SYN-flood вероятность реализации SYN-flood как начального этапа рассматриваемой атаки π21 стремится к нулю. Поэтому злоумышленник будет вынужден дождаться самопроизвольной перезагрузки атакуемой машины.
Среднее время перехода по всей сети τ = 10800 с, и зависимость вероятности реализации атаки от времени приобретает вид, представленный на рисунке 2.16.
Рисунок 2.16 — Зависимость вероятности реализации атаки «подмена доверенного объекта» при использовании мер защиты от SYN-flood
2) Фильтрация адресов
Существует возможность настроить межсетевой экран таким образом, чтобы он не пропускал во внутреннюю сеть пакеты, приходящие извне, но имеющие внутренний для этой сети обратный IP-адрес. В этом случае если сервер находится в одной подсети с атакуемым хостом, ложные сообщения не смогут дойти до сервера и не будут им обрабатываться. π46 → 0.
3) Совершенствование алгоритма вычисления идентификатора сообщения
При использовании достаточно эффективного криптографического алгоритма вычисления идентификаторов сообщения злоумышленник не сможет за приемлемое время определить закон изменения значения счетчика, и он будет вынужден подбирать его наугад. Учитывая тот факт, что длина счетчиков равна 32 бита, даже при заранее известном C-ACK, для подбора соответствующего ему S-ACK потребуется 232 = 4294967296 попыток. При интенсивности 10 запросов в секунду для подбора потребуется промежуток времени около 13 лет. τ88 → ∞, что, естественно, делает реализацию атаки невозможной.
4) Дополнительные процедуры аутентификации
При использовании сервером дополнительной аутентификации пользователя при посылке команд злоумышленнику будет необходимо ввести пароль пользователя хоста B.
5) Криптозащита (шифрование пакетов)
В случае шифрования трафика злоумышленнику не удастся за приемлемое время проанализировать содержимое перехваченных пакетов или надлежащим образом модифицировать их. Для данной сети шифрование пакетов влечет стремление среднего времени перехода d76 τ76, а следовательно, и времени прохождения по всей сети к бесконечности.