Разработка методов и средств анализа информационной безопасности и обнаружения воздействий в распределенных вычислительных системах тема диссертации и автореферата по ВАК РФ 05.13.16, кандидат технических наук Медведовский, Илья Давидович

• Медведовский, Илья Давидович
• кандидат технических наук
• 1998

Оглавление диссертации кандидат технических наук Медведовский, Илья Давидович

Введение

Глава 1. Проблема анализа безопасности распределенных вычислительных систем и постановка задачи работы

1.1. Нарушения безопасности вычислительных сетей

1.2. Исследование существующих подходов по систематизации угроз информационной безопасности распределенным ВС и предложение собственного подхода к систематизации угроз и анализу безопасности РВС

1.2.1. Анализ существующих подходов по систематизации угроз информационной безопасности распределенным,ВС

1.2.2. Предложение собственного подхода к систематизации угроз и анализу безопасности РВС

1.3. Постановка задачи работы

Глава 2. Систематизация угроз безопасности РВС и метод анализа безопасности РВС на основе модели типовых угроз безопасности

2.1. Анализ причин успеха воздействий из множества BIP

2.2. Классификация угроз безопасности, направленных на инфраструктуру и протоколы РВС

2.3. Моделирование механизмов реализации типовых угроз безопасности РВС

2.3.1. Графовая модель взаимодействия объектов РВС в проекции на физический, канальный и сетевой уровни эталонной модели OSI

2.3.2. Моделирование механизмов реализации типовых угроз (из множества BIP) безопасности РВС на основе разработанной модели взаимодействия объектов РВС

2.3.2.1. Анализ сетевого трафика

2.3.2.2. Подмена доверенного объекта или субъекта распределенной ВС

2.3.2.3. Ложный объект распределенной ВС

2.3.2.4. Отказ в обслуживании

Глава 3. Метод анализа безопасности РВС и его апробация на примере

сетевой ОС Novell NetWare и сети Internet

3.1. Метод анализа безопасности РВС

3.2. Применение метода анализа безопасности на примере сетевой ОС Novell NetWare 3.12

3.2.1. Исследование сетевого трафика сети Novell NetWare 3.12

3.2.2. Ложный сервер сети Novell NetWare 3.12

3.2.3. Подмена рабочей станции в сети Novell NetWare 3.12

3.3. Применение метода анализа безопасности на примере сети Internet

3.3.1. Анализ сетевого трафика сети Internet

3.3.2. Ложный ARP - сервер в сети Internet

3.3.3. Ложный DNS - сервер в сети Internet

3.3.4. Навязывание хосту ложного маршрута с использованием протокола ICMP с целью создания в сети Internet ложного маршрутизатора

3.3.5. Подмена одного из субъектов TCP - соединения в сети Internet

3.3.6. Нарушение работоспособности хоста в сети Internet, используя направленный "шторм" или "мини-шторм" ложных TCP - запросов на

создание соединения

Глава 4. Разработка автоматизированных средств анализа безопасности

и обнаружения атак в TCP/IP сетях

4.1. Автоматизированное средство анализа безопасности сети Internet

4.2. Автоматизированное средство обнаружения атак в сети Internet

Заключение

Литература

Приложение 1 . Акт об использовании результатов диссертационной

работы

Введение диссертации (часть автореферата) на тему «Разработка методов и средств анализа информационной безопасности и обнаружения воздействий в распределенных вычислительных системах»

Введение.

На сегодняшний день не будет преувеличением сказать, что компьютерные или вычислительные сети занимают одно из важнейших мест в современном технократическом обществе. Вычислительные сети, как объединение компьютеров (хостов), зародились на заре эры компьютеров. Компьютерные сети использовались, в основном, как телекоммуникационные среды, позволяющие устанавливать связь друг с другом любым хостам в сети. Первоначально речь шла о небольших (локальных) сетях, объединяющих десятки хостов. Однако с течением времени технический прогресс не стоял на месте и общая тенденция в развитии сетевой инфраструктуры состояла в объединении и укрупнении сетей. По сути в семидесятых годах правительством США был взят общий курс на создание единой мировой глобальной сети. Параллельно с этим развивались различные сетевые архитектуры и протоколы. В 1967 году на симпозиуме ACM (Assotiation for Computer Machinery) был представлен план создания национальной сети с передачей пакетов. Вскоре после симпозиума Роберте (Lawrence G. Roberts) опубликовал план построения такой сети - ARPANET (Advanced Research Projects Agency NETwork) и уже в 1969 году министерство обороны утвердило ARPANET в качестве ведущей организации для исследований в области компьютерных сетей. Первым узлом новой сети стал UCLA - Центр испытаний сети, а вскоре к нему присоединились Станфордский исследовательский институт (SRI), UCSB - Culler-Fried Interactive Mathematics (университет Санта-Барбары) и университет Юта. С течением времени сеть ARPANET стремительно развивалась и в 1982 году DCA и ARPA установили в качестве основы построения сети Internet Protocol (IP) и Transmission Control

Protocol (TCP). Министерство обороны США 1 января 1983 года объявило TCP/IP своим стандартом. Было объявлено, что ARPANET закончила исследовательскую стадию, но продолжает оставаться под руководством DARPA и DCA. В 1984 году введена система DNS (Domain Name System). Общее число хостов в сети превысило 1 ООО. Работы по созданию сети CSNET усилились в 1986 году, когда началась программа создания центров суперкомпьютеров. В результате этого была создана сеть NSFNET с магистральной скоростью передачи данных - 56 Кбит/с. Сеть основывалась на 5 суперкомпьютерных центрах в Принстоне, Питсбурге, UCSD, NCSA и Корнельском университете. В 1990 году собственно ARPANET прекратила свое существование, ее функции продолжала NSFNET, которая постепенно переросла в Internet. Общее число хостов в сети превысило 100 ООО. В итоге к 1 января 1996 года сеть объединяла 9 472 ООО хостов.

В данной диссертационной работе рассмотрен системный подход к задаче анализа и контроля безопасности РВС, предложены методы ее решения и разработаны практические средства автоматизированного контроля и анализа безопасности РВС.

Вполне естественно, что при развитии сетей наряду с проблемами их функциональности на первый план стали выходить проблемы безопасности, которыми разработчики сетей принебрегли изначально. Сегодня, когда с использованием распределенных ВС (РВС) решаются всевозможные научные, технические и военные задачи, весь комплекс проблем безопасности глобальных вычислительных сетей выходят на первый план. Особое значение при этом придается задачам анализа безопасности и обнаружения воздействий в РВС и созданию автоматизированных средств обнаружения и анализа безопасности. Этим проблемам в последнее время посвящается все

больше научных работ таких ученых как М. Ранум, Ф. Кохен, Д. Ховард. Данная работа развивает результаты этих исследований применительно к задаче обнаружения уязвимостей сетевой инфраструктуры и протоколов РВС, представляющей из себя одно из направлений общей проблемы обеспечения информационной безопасности распределенных ВС. Исходя из всего вышесказанного, разработка и автоматизация методов анализа безопасности и обнаружения воздействий в РВС, составляют актуальную проблему, решение которой повышает защищенность РВС, а, следовательно, решение данной проблемы имеет большое научное и практическое значение.

Целью работы является повышение защищенности распределенных вычислительных систем путем разработки методов и средств автоматизированного анализа безопасности и обнаружения атак.

Для достижения поставленной цели в работе необходимо решить следующие задачи:

1. Анализ объектов нападения и причин успеха множества известных воздействий на различные РВС с целью определения объекта исследования путем выделения в отдельное множество угроз, направленных на инфраструктуру и протоколы РВС, и систематизации основных причин успеха воздействий из данного множества.

2. Создание классификации угроз, направленных на инфраструктуру и протоколы РВС, позволяющей описать специфичные признаки, свойственные угрозам из данного множества.

3. Систематизация угроз безопасности РВС, основанная на обобщении основных причин успеха воздействий из выделенного множества

4. Создание математической модели механизмов взаимодействия объектов РВС на различных уровнях эталонной модели OSI для использования ее при моделировании механизмов реализации угроз РВС.

5. Формализация задачи анализа безопасности РВС путем моделирования механизмов реализации типовых угроз безопасности РВС.

6. Разработка комплексной модели типовых угроз безопасности РВС, включающую в себя предложенную систематизацию типовых угроз безопасности РВС в совокупности с графовыми моделями механизмов их реализации.

7. Разработка метода анализа безопасности РВС, основанного на комплексной модели типовых угроз безопасности РВС.

8. Апробация предлагаемого метода анализа безопасности РВС на примере ОС Novell NetWare и TCP/IP сетей.

9. Разработка автоматизированных средств анализа безопасности и обнаружения воздействий для TCP/IP сетей.

Работа состоит из четырех глав. В первой главе рассматривается проблема анализа безопасности распределенных вычислительных систем, анализируются существующие подходы по систематизации угроз информационной безопасности распределенным ВС и предлагается собственный подход к систематизации угроз и анализу безопасности РВС, формулируется постановка задачи работы. В данной работе предлагается следующий подход к систематизации угроз безопасности распределенных ВС, когда из всего множества угроз РВС выделяется и впоследствии рассматривается и классифицируется только множество угроз, направленных на инфраструктуру и протоколы распределенной ВС, что позволяет обобщить

все угрозы из данного множества и ввести понятие типовой угрозы, присущей любой РВС. Предлагаемый подход к анализу и контролю безопасности РВС предполагает разработку математической модели взаимодействия объектов РВС и применение ее для моделирования механизмов реализации типовых угроз из рассматриваемого множества, что позволит систематизировать и, впоследствии, автоматизировать процесс анализа и контроля безопасности реальных РВС.

Во второй главе проанализированы причины успеха воздействий из множества BIP, предложена классификация угроз безопасности РВС из множества BIP. Также предложена математическая модель взаимодействия объектов РВС и с использованием данной модели будет осуществлено моделирование механизмов реализации типовых угроз безопасности РВС и построена модель типовых угроз безопасности РВС из множества BIP. Построенная модель позволила разработать метод анализа безопасности РВС и формализовать задачу анализа безопасности РВС.

В третьей главе предлагается метод анализа безопасности РВС и будет рассматривается его применение для анализа двух различных распределенных ВС. Подробное исследование механизмов реализации угроз в сети Internet является основой создания средств автоматизированного обнаружения атак и анализа безопасности Internet, принципы построения которых будут рассмотрены в 4 главе. Разработанный метод анализа безопасности РВС позволил выявить, описать и обобщить угрозы безопасности исследуемых сетевых систем.

В четвертой главе рассматриваются разработанные автором в автоматизированные средства анализа безопасности и обнаружения атак в сети Internet, созданные на языках программирования С и Assembler. Средство

анализа безопасности РВС предназначен для автоматизации процесса-испытаний сетевых систем, использующих семейство протоколов TCP/IP. Средство обнаружения атак предназначено для ведения в режиме реального времени постоянного динамического контроля безопасности сетевого сегмента, подключенного к сети Internet.

Основные положения, выносимые на защиту:

1 .Типовые объекты атаки и причины успеха удаленных воздействий на

РВС

2. Классификация угроз безопасности распределенных ВС

3. Систематизация типовых угроз безопасности распределенных ВС

4. Графовая модель механизмов взаимодействия объектов РВС на различных уровнях эталонной модели OSI.

5. Графовая модель механизмов реализации типовых угроз безопасности РВС на различных уровнях эталонной модели OSI.

6. Комплексная модель типовых угроз безопасности РВС

7. Метод анализа безопасности РВС.

8. Применение метода анализа безопасности РВС на примере ОС Novell NetWare и TCP/IP сетей.

9. Автоматизированные средства анализа безопасности и обнаружения воздействий в сетях TCP/IP.

Научная новизна диссертационной работы состоит в следующем:

1. Впервые выделены в отдельное множество угрозы, направленные на инфраструктуру и протоколы РВС, и разработана систематизация основных причин успеха воздействий из данного множества.

2. Впервые предложена классификация угроз, направленных на инфраструктуру и протоколы РВС, позволяющая описать специфичные признаки, свойственные угрозам из данного множества

3. Впервые разработана систематизация угроз безопасности распределенных ВС, основанная на обобщении основных причин успеха воздействий из выделенного множества

4. Разработана математическая модель, описывающая механизмы взаимодействия объектов РВС на различных уровнях эталонной модели OSI.

5. Впервые разработана математическая модель механизмов реализации типовых угроз безопасности РВС на различных уровнях эталонной модели OSI.

6. Впервые разработана комплексная модель типовых угроз безопасности РВС, позволяющая формализовать задачу анализа безопасности РВС.

7. Впервые предложен метод анализа безопасности РВС, основанный на разработанной комплексной модели типовых угроз безопасности РВС.

Практическая ценность работы определяется возможностью использования предложенных в ней методов и полученных результатов для осуществления анализа и контроля безопасности РВС. К таким результатам относятся:

1. Применение разработанного метода анализа безопасности РВС на примере сетевой ОС Novell NetWare и сетей TCP/IP.

2. Применение разработанного метода анализа безопасности РВС для оценки безопасности сетей Санкт-Петербургского филиала Центробанка и провайдервского узла спецсвязи с Internet.

3. Разработка и программная реализация автоматизированного средства анализа безопасности ТСРЯР сетей.

4. Разработка и программная реализация автоматизированного средства обнаружения воздействий в сетях TCP/IP.

5. Дополнения к стандарту «Требования к устройствам типа межсетевые экраны» Федерального Агентства Правительственной Связи и Информации при Президенте РФ.

6. Разработка и реализация двух комплексов лабораторных работ для курсов по специальности 22.06.00 - "Организация и технология защиты информации".

Основные результаты диссертационной работы использованы при выполнении научно-исследовательских работ, проводимых в Центре защиты информации и на кафедре "Информационной безопасности компьютерных систем" СПбГТУ.

Содержащиеся в работе методические материалы, а также разработанные программные средства используются в учебном процессе на кафедре "Информационная безопасность компьютерных систем" Санкт-Петербургского государственного технического университета в лекциях и практических занятиях по ряду дисциплин для студентов специальности 22.06.00 — "Организация и технология защиты информации", а также в курсовых и дипломных работах.

Заключение диссертации по теме «Применение вычислительной техники, математического моделирования и математических методов в научных исследованиях (по отраслям наук)», Медведовский, Илья Давидович

Заключение

Для достижения основной цели работы - повышения защищенности распределенных вычислительных систем путем разработки методов и средств автоматизированного анализа безопасности и обнаружения атак в работе были получены следующие результаты:

1. Выделены в отдельное множество угрозы, направленные на инфраструктуру и протоколы РВС, и разработана систематизация основных причин успеха воздействий из данного множества.

2. Предложена классификация угроз, направленных на инфраструктуру и протоколы РВС, позволяющая описать специфичные признаки, свойственные угрозам из данного множества

3. Разработана систематизация угроз безопасности распределенных ВС, основанная на обобщении типовых причин успеха воздействий из выделенного множества

4. Разработана математическая модель, описывающая механизмы взаимодействия объектов РВС на различных уровнях эталонной модели OSI и позволяющая смоделировать механизмы реализации угроз безопасности РВС.

5. Разработана математическая модель механизмов реализации типовых угроз безопасности РВС на различных уровнях эталонной модели OSI.

6. Разработана комплексная модель типовых угроз безопасности РВС, позволяющая формализовать задачу анализа безопасности РВС.

7. Предложен метод анализа безопасности РВС, основанный на разработанной систематизации основных причин успеха воздействий из множества BIP

8. Разработанный метод анализа безопасности РВС применен на примере сетевой ОС Novell NetWare и сетей TCP/IP.

9. Разработанный метод анализа безопасности РВС применен для оценки безопасности сетей Санкт-Петербургского филиала Центробанка и провайдервского узла спецсвязи с Internet.

10.Разработано и программно реализовано автоматизированное средство анализа безопасности TCP/IP сетей.

11.Разработано и программно реализовано автоматизированное средство обнаружения воздействий в сетях TCP/IP.

Список литературы диссертационного исследования кандидат технических наук Медведовский, Илья Давидович, 1998 год

Литература

1. Morris R.T. A Weakness in the 4.2 BSD UNIX TCP/IP Software. Computing Science Technical Report No 117.

2. Dan Farmer. Shal We Dust Moscow? 18 December 1996

3. Гайкович В., Першин А. Безопасность электронных банковский систем. Изд. "Единая Европа", 1994.

4. John D. Howard. An Analysis Of Security Incidents On The Internet. Pittsburgh, Pennsylvania 15213 USA, 1997

5. Markus J. Ranum. A Taxonomy of Internet Attacks, 1997, http://www.clark.net/pub/mjr/pubs/attck/index.shtml

6. F. Cohen. Attack Cross Reference, 1997. http://All.net/CID/Attack/Attack.xref

7. Зегжда П.Д., Зегжда Д.П., Медведовский И.Д. и др. "Теория и практика обеспечения информационной безопасности", . Изд. "Яхтсмен", 1996

8. Office of Technology Assessment "Information security and privacy in network environments"

9. Медведовский И.Д, Семьянов П.В., Платонов B.B., "Атака через Internet", Изд. "Мир и Семья-95", 1997

10.Bell Labs Computer Science Technical Reports #117, February 25, 1985.

11. Зегжда П.Д., Зегжда Д.П., Медведовский И.Д. и др. Теория и практика обеспечения информационной безопасности., Изд. "Яхтсмен", 1996

12. Медведовский И. Д., DNS под прицелом, журнал LAN N6, 1997

13. Медведовский И.Д., Федоров А.В., Семьянов П.В., Средства контроля и исследования безопасности сети Novell Netware. // V Санкт-Петербургская Международная конференции "РЕГИОНАЛЬНАЯ ИНФОРМАТИКА - 96 (96)"

14. Зегжда П.Д., Медведовский И.Д., Классификация типовых удаленных атак на распределенные ВС. // Московская международная конференция "Безопасность информации", 1997

15. Медведовский И.Д., A.B. Федоров, П.В. Семьянов, А.М.Ивашко. Исследование безопасности операционной системы Novell NetWare 3.12. // Российская научно-техническая конференция "Методы и технические средства обеспечения безопасности информации", СПбГТУ 1995г., тезисы докладов.

16. Медведовский И.Д., A.M. Ивашко. Классификация удаленных атак на сетевые операционные системы // Российская научно-техническая конференция "Методы и технические средства обеспечения безопасности информации", СПбГТУ 1996г., тезисы докладов.

17. Медведовский И.Д., П.В. Семьянов. Анализ способов нарушения безопасности сети Internet // Российская научно-техническая конференция "Методы и технические средства обеспечения безопасности информации", СПбГТУ 1996г., тезисы докладов.

18. Медведовский И.Д., Сетевой монитор безопасности IP Alert // Российская научно-техническая конференция "Методы и технические средства обеспечения безопасности информации", СПбГТУ 1997г., тезисы докладов.

19. Зегжда П.Д., Медведовский И.Д., Системы Firewall - панацея от всех угроз? // Российская научно-техническая конференция "Методы и технические средства обеспечения безопасности информации", СПбГТУ 1997г., тезисы докладов.

20.Robert H'obbes' Zakon. Hobbes' Internet Timeline v2.5

21 .Barry Leiner. A Brief History of the Internet.

22. Gregory R. Gromov. The Roads and Crossroads of Internet's History, 1996.

23.Henry Edward Hardy. The History of the Net. Master's Thesis School of Communications Grand Valley State University Allendale, MI, 1993.

24. Vinton G. Cerf. The Internet Phenomenon.

25. S. Bellovin. "Security Problems in the TCP/IP Protocol Suite"

26.Larry Lange. 'Hack' punches hole in Microsoft NT security. //EE Times, 31.03.97.

27.Dan Farmer, Wietse Venema. Improving the Security of Your Site by Breaking Into it.

28.Клиффорд Столл. Яйцо кукушки.

29.Mark W. Eichin, Jon A. Rochils. With Microscope and Tweezers: An Analysis of the Internet Virus of November 1988.

30.Eugene H. Spafford. The Internet Worm Program: An Analysis.

31 .CIAC information bulletin H-07: Sendmail SIGHUP-smtpd Vulnerability.

32.CIAC information bulletin H-23: Sendmail MIME Conversion Buffer Overrun Vulnerability.

33.CIAC information bulletin H-34: Vulnerability in innd.

34.Carl E. Landwehr, Alan R. Bull, John P. McDermott, and William S.Choi. A Taxonomy of Computer Security Flaws, with Examples. //Information Technology Division, Code 5542, Naval Research Laboratory, Washington, D.C. 20375-5337.

35.Barton P.Miller и др. Fuzz Revisited: A Re-examination of the Reability of UNIX Utiilities and Services.

36.Christopher Klaus. A Guide to Internet Security: Becoming an Uebercracker and Becoming an UeberAdmin to stop Uebercrackers.

37.CIAC information bulletin E-17: FTP Daemon Vulnerabilities.

38.Паркер Т. Освой самостоятельно ТСР/ЕР. М., издательство "Бином", 1997

39.Шатт Ст. Мир компьютерных сетей. Киев, издательство BHV, 1996

40.PC/TCP Packet Driver Specification. FTP Software, 1990.

41 .RFC 768. User Datagram Protocol. Postel J.B., 1980

42.RFC 791. Internet Protocol. Postel J.B., 1981

43.RFC 792. Internet Control Message Protocol. Postel J.B., 1981

44.RFC 793. Transmission Control Protocol. Postel J.B., 1981

45.RFC 1035. Domain Names - Implementation and Specification. Mockapetris P.V., 1987

46.RFC 1034. Domain Names - Concepts and Facilities. Mockapetris P.V., 1987

47.RFC 1101. DNS Encoding of Network Names and Other Types. Mockapetris P. V., 1989

48.RFC 1310. The Internet Standards Process. ChapinL., 1992.

49. SAFEsuite оценивает защищенность сети, Дмитрий Тимофеев, Сети № 2 1997

50. Защитные средства Intranet, Владимир Галатенко, LAN № 8 1996

51. Информационная безопасность в Intranet, Владимир Галатенко, LAN № 7 1996

52. Internet и проблема информационной безопасности, С.В. Закурдаев, Сети № 8 1996

53. Безопасность или доступность? Бет Шульц, Сети № 8 1996

54. Скрытая опасность, Бет Шульц, Сети № 6 1996

55. Ключ от квартиры, Джулия Борт, Сети № 7 1996

56. Вам нужна сеть, защищенная от взлома, Джеймс Кобиелус, Сети № 7 1996

57. Здравый смысл брандмауэров, Александр Колбасов, Сети № 6 1996

58. Информационная безопасность, Владимир Галатенко, Открытые Системы № 4 1996

59. Задраить люки! Ли Че, LAN № 4 1996

60. Информационная безопасность - обзор основных положений, Владимир Галатенко, Открытые Системы № 3 1996

61. Система информационной безопасности на основе ОС Solaris, Илья Трифаленков, Открытые Системы № 3 1996

62. Информационная безопасность, В. Галатенко, Открытые Системы № 2 1996

63. Систематический подход к защите интрасети, Джеймс Кобьелус, Сети № 10 1997

УТВЕРЖДАЮ

Вице-ярезндент

ко научно! >те СП6ГТУ

it л

АЛ.Башкарев

1998 г.

УТВЕРЖДАЮ Главный конструктор НДС^лИмнульс»

JibiieTYXOB

199В г.

АКТ

нтилыавшяя результате» як сеертадио»к ой работы &с1шртзнтз СШГТУ Медведева? ore Ж.Д.

Мм, нижеподписавшиеся, представитель СШГТУ, заместитель директора. Специализированного центра, защиты информации (СЦЗИ) ироф. В, В, Платоне® с одной сто-роньц и я|>едставнт£дь НПО «Имщ-уьс», 1 Зам.Главного конструктора, С.А-Пвтргнко , составили настоящие акт о том., что разработанный сотрудником СЦЗИМедведоаеиш ИД метод анализа безопясности распределенных вычислит ельныл систем» используется в НПО «Импульс» для анализа безопасности различных распределенных. свтаИ,

Представленные материалы включают:

- метод анализа безопасности распределениыа вычислительный систем;

- метод создания базы воздействий и базы метасш натур воздействий;

- орогр&ыиа аиалюа безопасности TCP/IP сет¿8:

- программа обнаружения воздействий в ТСВДР сетях,

Сздздцагашй зконозакчеезеий эффект -а счет омянванн процесса анализа безо-аасносга н обнаружения tiras. яхожег составит*. до ООО т'блей g год

Заместитель директора СДЖ

Ï ЗйльГлакнош конструктора НПО «Имптаьс*

Ù

■•ч в.В. Плагоног