Азбука сетевой безопасности

Кевин И. Сонг (Kevin X. Song), доктор философии

В условиях взрывного роста онлайновых приложений, таких как электронная коммерция, электронное правительство и удаленный доступ, компании получили возможность добиваться высочайшей эффективности при упрощенной обработке и снижении текущих расходов. Сегодня сети передачи данных состоят из множества различных типов аппаратного и программного обеспечения и протоколов, являющихся взаимосвязанными и интегрированными. Профессионал по сетевой безопасности должен иметь возможность получить более глубокое и полного понимание того, где могут возникать уязвимости сетей, чтобы предотвратить возможность злонамеренного проникновения.

Требующие безотказного функционирования сети разрешают работу большего количества приложений и доступны широкому кругу пользователей, что делает их, как никогда ранее, уязвимыми для широкого диапазона угроз безопасности. Сети уязвимы со стороны неправомочных, деструктивных вторжений: от вирусов до атак отказа в обслуживании (denial-of-service attack). Чтобы обеспечить защиту от неправомочного доступа и порчи или воровства информации, при разработке и управлении сложными сетями, специалистам по работе с сетями приходится испытывать все возрастающую нагрузку. Источники угроз могут быть очень разными. Вопросы обеспечения безопасности претерпели эволюцию от непризнаваемого излишества до полностью осознанной необходимости. Существует огромное число онлайновых ресурсов, посвященных документированию нарушений сетевой безопасности.

Цель сетевой безопасности

Как правило, целью обеспечения информационной безопасности является предоставление авторизованным пользователям доступа к нужной информации и обеспечение уверенности в том, что эта информация правильна и что система доступна. Эти аспекты приводят нас r понятиям конфиденциальности, целостности и доступности (CIA, confidentiality, integrity and availability). Как критически важная часть информационной безопасности, сетевая безопасность - это защита сетей передачи данных от неправомочного доступа. Ограничение доступа к сетевым службам, управление сетевым трафиком и полосой пропускания, а также шифрование данных являются основными методами обеспечения сетевой безопасности.

Прежде всего, давайте рассмотрим архитектуру типичной сети. Затем мы обсудим потенциальные уязвимости, а также технологии и практические приемы, используемые для защиты от этих потенциальных угроз.

Обзор архитектуры современных компьютерных сетей

Критически важно ясно представлять себе архитектуру современных компьютерных сетей. Мы должны рассмотреть перемещение данных "в" и "из" сети и то, как сетевые устройства, программное обеспечение и оборудование взаимодействуют друг с другом для достижения определенных экономических или операционных целей.

Модель OSI

Стандартной моделью для сетевых протоколов и распределенных приложений является модель Open System Interconnect (OSI) организации International Standard Organization (ISO). Понимание модели OSI является полезным для понимания того, каким образом различные сетевые протоколы включены в мозаику компьютерных сетей. Как мы увидим далее, основная часть сетевых атак может быть отнесена к одному (или более) из семи уровней модели OSI.

Уровень 1: физический (Physical) уровень: Этот уровень определяет электрические, механические, процедурные и функциональные технические условия для активации и поддержки физической связи между взаимодействующими сетевыми системами. Технические условия физического уровня определяют такие характеристики, как уровни питания, физические скорости передачи данных и физические соединители.
Уровень 2: канальный (Data Link) уровень: Этот уровень обеспечивает синхронизацию, контроль ошибок и управление потоками данных по физическим каналам, включая физические и логические соединители с местами доставки пакетов, как правило, с помощью сетевых адаптеров (NIC, network interface card). Этот уровень разделен на два подуровня: уровень управления логической связью (MAC, Media Access Control) и уровень управления доступа к устройствам (LLC, Logical Link Control). На этом уровне работают такие протоколы, как Point-to-Point Protocol (PPP), Layer 2 Tunneling Protocol (L2TP) и Fiber Distributed Data Interface (FDDI).
Уровень 3: уровень сети (Network): Этот сети определяет сетевой адрес и обеспечивает маршрутизацию и перенаправление (forwarding) данных. На этом уровне работают такие протоколы, как Internet Protocol (IP), Internet Control Message Protocol (ICMP) и Routing Information Protocol (RIP).
Уровень 4: уровень транспорта (Transport): Этот уровень обеспечивает сквозное (end-to-end) управление, включая проверку на наличие ошибок и управление потоками. Он получает данные с уровня сеанса (см. уровень 5) и разбивает данных для транспортировки по сети. На уровне транспорта работают протоколы Transmission Control Protocol (TCP) и User Datagram Protocol (UDP). TCP отслеживает состояние соединения, например, порядок доставки пакетов и то, какие пакеты должны передаваться следующими. UDP, напротив, является протоколом, который не устанавливает соединения и не проверяет, дошел ли пакет до адресата.
Уровень 5: уровень сеанса (Session): Этот уровень устанавливает, поддерживает и прекращает сеансы связи. Сеансы связи состоят из запросов служб и их ответов, происходящих между приложениями, расположенными на различных сетевых устройствах. Эти запросы и ответы согласовываются с помощью протоколов, реализованных на уровне сеанса. На этом уровне работают протоколы Secure Socket Layer (SSL), Remote Procedure Call (RPC) и AppleTalk Protocol.
Уровень 6: уровень представления данных (Presentation): Этот уровень форматирует данные, представляемые уровнем приложения. Он может рассматриваться в качестве переводчика для сети (упорядочение битов данных). Этот уровень может переводить данные из формата, используемого уровнем приложения в общий для посылающей и принимающей стороны формат. На этом уровне работают такие хорошо известные графические форматы, как Graphics Interchange Format (GIF) и Joint Photographic Experts Group (JPEG). Этот уровень также выполняет сжатие и шифрование данных.
Уровень 7: уровень приложения (Application): Этот уровень обычно обеспечивает идентификацию партнеров по взаимодействию, определяет доступность ресурсов и синхронизует взаимодействие. Этот уровень не включает самих приложений, но только протоколы, поддерживающие их. На уровне приложения работают такие протоколы, как Simple Mail Transfer Protocol (SMTP), Hypertext Transfer Protocol (HTTP) Telnet и FTP.

Информация, передаваемая из программного приложения на одной компьютерной системе программному приложению на другой, должна пройти через все уровни модели OSI. Приложение на передающем узле будет пересылать информацию на уровень приложения и вниз по модели, до тех пор, пока она не достигнет физического уровня. На физическом уровне эта информация помещается в физическую среду и пересылается по ней на принимающий узел. Физический уровень принимающего узла получает эту информацию из физической среды, а затем пересылает ее вверх по уровням модели, пока она не достигнет уровня приложения для обработки.

Классификация уязвимостей по уровням модели OSI

Получив базовое представление о том, как структурированы сети и как происходит обмен данными, давайте теперь посмотрим на некоторые конкретные уязвимости сетей и возможные виды атак. Существует множество способов классификации уязвимостей систем безопасности и атак. Будет полезным сделать их небольшой обзор с точки зрения уровней OSI. Мы рассмотрим уязвимости с другой точки зрения в следующем разделе статьи.

Львиная доля уязвимостей приходится на уровень приложения, расположенный в непосредственной близости к самому пользовательскому приложению. Яркими примерами этого являются такие протоколы как Telnet и FTP. Эти приложения пересылаю пользовательские пароли таким образом, что любой, кто может "прослушивать" сетевой трафик, получит пользовательское регистрационное имя и пароль, а следовательно неправомочный доступ. На уровне представления данных существует множество способов атак против шифрованных данных. На уровне сеанса в Remote Procedure Call (RPC) существует одна из самых серьезных уязвимостей компьютерных систем по версии института SANS. На уровне транспорта выполняются атаки с помощью SYN flood или подмены одного из участниковTCP-соединения (ТСР-hijacking). Сканирование портов является распространенной техникой, используемой хакерами для выявления уязвимых систем. Подмена IP-адреса - обычная атака для уровня сети. Частое прослушивание трафика и перехват сообщений - атаки, осуществляемые на Уровне 1 и 2. Появление беспроводных сетей открыло новые возможности для хакеров.

Сетевые уязвимости и угрозы

Поскольку фактически все сетевые уровни содержат уязвимости, злонамеренные хакеры имеют изобилие возможностей для осуществления различных атак. Без создания надлежащей защиты любая часть любой сети может оказаться уязвимой для атак или другой несанкционированной деятельности. Угроза может исходить из широкого круга источников, включая профессиональных хакеров, конкурентов или даже собственных работников. Для определения наилучшего способа нейтрализации этих угроз и защиты сетей от осуществляемых атак, ИТ-менеджеры должны знать множество типов возможных атак и тот вред, который эти атаки могут нанести сетевой инфраструктуре вашей организации.

Вирусы и черви составляют подавляющее большинство хорошо известных атак. Вирус - это небольшой кусочек программного кода, присоединенный к легальной программе. Например, вирус может присоединить себя к таким программам, как программы табличных вычислений. Вирусы Melissa и "ILOVEYOU" попали в заголовки международных новостей вследствие того ущерба, который они вызвали. Червь - это небольшой кусочек программного кода, использующий "дыры" в безопасности для своего тиражирования. Копия червя сканирует сеть в поисках другого компьютера, имеющего определенную "дыру" в системе безопасности. Он копирует себя на новую машину через эту уязвимость, а затем начинает распространяться так же и с нее. W32/Blaster и W32/Slammer - вот только два примера из получивших известность в последнее время червей.

Атака отказа в обслуживании (DoS, denial-of-service) генерирует фальшивые сетевые запросы с целью загрузки сетевых ресурсов и лишения других пользователей возможности их использования. DoS-атаки могут осуществляться на уровне сети с помощью посылки искусно подделанных пакетов, приводящих к отказу в работе сетевых соединений. Они могут также быть выполнены на уровне приложения, когда искусно подделанные команды приложения передаются программе, что приводит к ее чрезмерной загрузке или остановке работы. Атака может исходить из единственного источника (DoS) или быть распределенной между многими машинами (DdoS, distributed denial of service), предварительно подготовленными к этому. Эти неосведомленные компьютеры-соучастники, проводящие DoS-атаки, известны под именем "зомби". За работу "зомби" могут привлечь к судебной ответственности, даже если ваша организация не являлась инициатором атаки. Smurf, Trinoo, tribe flood network (TFN) и Slammer являются примерами DdoS-атак.

Исторически, атаки на пароль, в которых злоумышленник получает несанкционированный доступ к сети, являются наиболее распространенным типом атаки. Когда хакер "ломает" пароль законного пользователя, он получает доступ к его сетевым ресурсам. Хакер может легко получить пароль, потому что пользователи обычно выбирают простые слова или числа в качестве паролей, давая возможность хакеру использовать специальные программы для их методического перебора и угадывания. "Подслушивание" - другой способ получения пароля "жертвы", если сеть использует незащищенные удаленные соединения. Тщательно разработанные программы для "подслушивания" могут извлекать имя пользователя и его пароль в ходе сеанса входа в систему. Для получения доступа к паролям хакеры также используют технологии социального инжиниринга.

Переполнение буфера (buffer overflow) происходит в том случае, если программа или процесс пытаются использовать большее количество данных, чем объем буфера (область временного хранения данных), предназначенный для их хранения. В атаках переполнения буфера избыточные данные могут запускать код по желанию атакующего, например, получение прав пользователя root, позволяющих атакующему установить полный контроль над системой.

Скрипт-киддеры (script kiddy) используют широко распространенные программы или сценарии для случайного поиска уязвимостей через Интернет. Зачастую они слабо подготовлены в техническом отношении, но, к сожалению, представляют не меньшую угрозу, чем опытные хакеры.

Другая, часто остающаяся неразглашаемой угроза, исходит от своих сотрудников. Одно из исследований CSI говорит о том, что 45 процентов опрошенных респондентов регистрировали несанкционированный доступ со стороны собственных сотрудников. Эти злоумышленники обладают детальным знанием сети и вторгаются в нее со слабо-защищенной внутренней стороны (где брандмауэры теряют большую часть своей силы, а шифрование почти совсем не используется). Поэтому, внутренние злоупотребления остаются незамеченными и от них труднее всего защищаться.

Основные элементы обеспечения безопасности сети

Существует множество практических приемов и технологий для ослабления уязвимостей и угроз, описанных выше. Как профессионалы в области безопасности, мы должны понимать, что не существует единственной "панацеи" в этом чрезвычайно сложном и динамичном сетевом мире. Лучшей реализацией обычно является высоко специализированное решение, подходящее к особым нуждам именно вашей организации.

Практические приемы обеспечения безопасности

В каждодневной практике, администраторы по сетевой безопасности, намеренно или ненамеренно, идут на компромисс между уровнем защищенности, стоимостью и удобством для пользователей. Однако, при аккуратном планировании, безопасность может быть обеспечена технически и не является помехой.

Политика безопасности в масштабах предприятия - это руководящий принцип обеспечения безопасности в организации. Она диктует, как сеть должна быть спроектирована и какие технологии должны быть выбраны. Обычно, политики безопасности адресована к двум основным проблемам: требованиям по безопасности, управляемым запросами бизнеса организации и реализацией руководящих принципов, относящихся к доступной технологии обеспечения безопасности. Например, политика безопасности обычно включает в себя политику аутентификации, определяющую уровни паролей и прав, требуемых для различных типов пользователей. Она также включает политику шифрования сетевого трафика и данных. Политика безопасности должна обновляться регулярно для того, чтобы отражать изменения требований бизнеса и развитие технологий обеспечения безопасности.

Когда организации разрабатывают свою архитектуру сетевой безопасности, соответствующую требованиям, определенным в политиках безопасности, они должны принимать во внимание целый ряд факторов. Не все сети и связанные с ними приложения имеют одинаковую степень риска быть подверженными атакам или возможную стоимость восстановления ущерба, нанесенного подобными атаками. Не существует абсолютной безопасности. Следовательно, организации должны осуществлять анализ затрат и результатов для оценки потенциальной отдачи от инвестирования в различные технологии и компоненты обеспечения сетевой безопасности по сравнению со скрытыми издержками, к которым приведет неиспользование этих элементов.

Довольно регулярно архитектура безопасности организации должна модифицироваться в зависимости от ИТ-служб, предлагаемых в сетевой инфраструктуре. Архитектура безопасности определяет, какие общие службы безопасности должны быть реализованы для этой сети. Зачастую для ограничения ущерба от нарушения системы безопасности применяется уровневый подход (или "защита в глубину"), что сказывается на благополучии всей сети. В подобном подходе, требования безопасности подразделяются на модули или уровни с определенными явно уровнями прав. Каждый уровень может рассматриваться отдельно и относиться к различным моделям безопасности. Целью является обеспечение уровней безопасности, которые ограничат возможности "успешного" взломщика небольшой частью сети, определяемой только этим уровнем.

Технологии обеспечения безопасности

Выбор технологии обеспечения безопасности напрямую определяется политикой безопасности и архитектурой и, наряду с ними, такими факторами, как стоимость, простота интеграции и т.д. Технологический ландшафт должен быть быстроизменяющимся полем битвы с тем, чтобы сдерживать постоянно растущий арсенал инструментов хакеров и вновь открываемые уязвимости в аппаратных и программных продуктах. Можно утверждать, что сетевая безопасность - это соревнование между специалистами по безопасности и хакерами.

Периметр защиты контролирует доступ к критически важным сетевым приложениям, данным и службам, поэтому только легальные пользователи и информация должны иметь возможность перемещаться по сети. Брандмауэры обеспечивают барьер для пересечения трафиком "периметра" сети и разрешают прохождение только санкционированного трафика в соответствии с предварительно установленной политикой безопасности. Дополнительные инструменты, включая такие, как сканеры вирусов и фильтры содержания, также помогают контролировать периметр сети для отражения вирусов, червей и других вторжений. Должным образом сконфигурированные брандмауэры могут также препятствовать потенциальным DDoS-атакам, включая попытки "зомбирования" компьютеров вашей организации. Следовательно, брандмауэры и сканеры вирусов являются одними из первых продуктов безопасности, которые организации развертывают для улучшения безопасности своих сетей. С помощью реализации виртуальных частных сетей (VPN, virtual private network) организации могут организовать защищенное взаимодействие через публичные сети, например, через Интернет. Технологии шифрования помогают обеспечить конфиденциальность и целостность сообщений, передаваемых по VPN.

Чтобы нейтрализовать связанные с паролями нарушения, реализуются механизмы идентификации, позволяющие убедиться в том, что только полномочные пользователи получают доступ к необходимым им сетевым ресурсам, в то время как неправомочным пользователям доступ запрещен. Решения по идентификации обычно включают в себя аутентификацию, авторизацию и учет. Среди прочего, они определяют правильную идентификацию сетевых пользователей, узлов, служб и ресурсов. Эта технология может обращаться к инфраструктуре открытого ключа (PKI, public key infrastructure), шифрованию и другим, связанным с обеспечением безопасности службам. Некоторые смарт-карты могут генерировать одноразовый динамический пароль для противодействия различным атакам на пароли.

Системы обнаружения вторжений (IDS, Intrusion detection system) обеспечивают дополнительный уровень сетевой безопасности. В то время как традиционные брандмауэры разрешают или запрещают трафик, исходя из оценки источника, цели, порта или других критериев, они обычно не могут анализировать трафик на наличие атаки или исследовать сеть на присутствие в ней уязвимостей. Дополнительный уровень анализа наличия шаблонов в трафике, обеспечиваемый IDS, необходим для обнаружения более завуалированных атак. Аудит безопасности позволяет убедиться, что подозрительное поведение контролируется как извне, так и изнутри сети за брандмауэром.

Важно помнить, что технологии, обсуждаемые здесь, являются самыми базовыми и, хотя они чрезвычайно важны для инфраструктуры сетевой безопасности, но не являются всесторонними. Эволюция требований по безопасности управляет большинством технологических нововведений в области сетевой безопасности.

Сертификационные программы по сетевой безопасности

Сложность проблем сетевой безопасности нуждается в специалистах по безопасности различных уровней и специализаций.

Среди специальных сертификационных программ конкретных производителей широкое признание и уважение в индустрии получил статус Sun Certified Security Administrator для операционной системы Solaris OS, предлагающий его обладателю широкий круг преимуществ. Для его получения требуется глубокие знания вопросов безопасности, включая основные концепции безопасности, управления устройствами обнаружения, атак на системы безопасности, защиты файлов и системных ресурсов, предохранения узлов и сетей и сетевых соединений, аутентификации и шифрования. Этот экзамен включает знания по безопасности в сетевых средах, а не только на изолированных системах и доступен на английском, японском и немецком языках. Он предназначен для продвинутых сетевых администраторов, сетевых администраторов и специалистов по безопасности, ответственных за управление безопасностью на одном или более компьютерах, работающих под управлением ОС Solaris. Эта сертификация подтверждает навыки, необходимые для обеспечения конфиденциальности, усиления идентифицируемости и уменьшения суммарного риска появления уязвимостей в системе безопасности.

Сертификационная программа Cisco Certified Security Professional (CCSP) сфокусирована на вопросах идентификации, брандмауэрах, VPN, системах защиты от вторжений и управлении безопасностью. Она оценивает понимание основных сетевых протоколов и процедур и то, как устройства защиты интегрируются с сетями. Специалисты, обладающие статусом CCSP, подготовлены для построения безопасных сетей, что защищает инвестиции организаций в ИТ-области. Компания Cisco также предлагает другой статус - Cisco Certified Internetwork Expert - Security (CCIE), предназначенный для сертификации специалистов по различным продуктам для обеспечения безопасности компании, например, брандмауэров, VPN и IDS.

Компании Check Point, Symantec, RSA Security, IBM и ряд других также предлагают ценные сертификационные программы в таких технологических областях, как брандмауэры, сканирование вирусов, PKI и управлении вопросами безопасности.

Различные индустриальные ассоциации и консорциумы предлагают сертификационные программы, не зависящие от конкретного производителя. Сертификационная программа CompTIA Security+ является такой программой начального уровня, включающей в себя такие темы, как безопасность сетевых соединений, контроль доступа, аутентификацию, внешние атаки, операционную и организационную безопасность. Сертификационные программы (ISC)2 Certified Information Systems Security Professional (CISSP) и Systems Security Certified Practitioner (SSCP) были разработаны для оценки владения интернациональными стандартами информационной безопасности и понимания Общепринятого Объема Знаний (CBK, common body of knowledge) в диапазоне от сетевой безопасности до безопасности операций и шифрования. Программа Global Information Assurance Certifications (GIAC) института SANS посвящена широкому диапазону навыков, включающих в себя широкий круг вопросов по безопасности начального уровня, а также более продвинутые области знаний, например, аудит, законодательство и технологии, применяемые хакерами.

Обладание этими сертификационными статусами помогает специалистам подтвердить технические навыки по общим проблемам сетевой безопасности и служит хорошим основанием для карьеры в этой многообещающей и динамично развивающейся области.

Кевин Сонг, доктор философии, CISSP, Sun Certified Security Administrator, является инженером по сетевой безопасности компании Sun Microsystems Inc. Его электронный адрес: kevin.x.song@sun.com.

Англоязычные ресурсы по данной теме:

Cert Coordination Center www.cert.org
Computer Security Institute www.cert.org
Insecure.org www.insecure.org
International Organization for Standardization www.iso.ch
SANS Institute www.sans.org
Security Focus www.securityfocus.com

Сертификационные программы:

Ascendant Learning (www.securitycertified.net)