ИБ, 02 лекция (от 11 октября)

Материал из eSyr's wiki.

• Презентация: Media:Infosec-intro2010-1.pdf
• Аудиозапись: http://esyr.org/lections/audio/security_2010_winter/security_10_10_11.ogg
• Видеозапись: http://esyr.org/video/security/security_10_10_11.raw.ogv

... при этом сам протокол SMTP не предоставляет никаких механизмов удостоверения подлинности. То есть, кто угодно может затерминировать на себя ваш трафик, изменить нужные поля в сообщении и послать дальше. Для этого, чтобы электронная почта была надёжна, были придуманы механизмы ЭЦП.

Ещё одно свойство, присущее безопасности информации. Свойство доступности означает, что если есть легитимные пользователи информации, то они могут получить доступ к информации, зачастую за гарантированное время. Частым примером нарушения свойства доступности являются атаки вида DoS. Для файлов на диске тоже можно привести пример атаки на доступность, который также изменяет целостность — удаление файла.

На информационном уровне задача обеспечения безопасности сводится к решению этих проблем: как обеспечить безопасность, целостность, доступность.

ещё немножко неформальных определений.

Уязвимость — некоторая имманентная в течение некоторого времени характеристика системы, которая делает систему подверженной угрозе. Соответственно, те действия, которые эксплуатируют уязвимость, считаются атакой.

По типам свойств можно различить типы атак: атаки на конфиденциальность, целостность, доступность.

[править] Задачи информационной безопасности

Тут уже возникают тонкости. Если мы говорим только о данных, то обеспечение конфиденциальности это секретность. Этой задаче уже много лет, которая сводится к ограничению доступа к данным только ограниченного круга лиц и пресечению доступа и изменения данных остальными, здесь решается и целостность и конфиденциальность.

Идентификация подлинности пользователя, она ортогональна задачи секретности. Системы, организации идентификации пользователей, работают с некоторыми сущностями, соответствующими пользователям. Идентификация — процесс сопоставления электронной подписи подписавшему документ.

Надёжность управления. Здесь решаются как задачи обеспечения безопасности, так и доступности.

[править] Политика безопасности

В любой реальной ситуации, когда мы сталкиваемся с процессом обеспечения информационной безопасности всплывает такое понятие как политика безопасности.

Это просто свод правил, который говорит, что в данной системе является ресурсом, какие для них можно определить угрозы, что мы считаем для данного ресурса нарушением ... . Соответственно, определяемые субъекты, кто находится в рамках рассмотрения как субъект, возможности каждого субъекта и важная составляющая — модель угроз, которая говорит, какие мы рассматриваем потенциальные пути нарушения безопасности.

политика безопасности, по сути, помогает нам сузить мир, огромную необъятную область безопасности всевозможных ресурсов только кругом тех ресурсов, которые нас интересуют.

служебное понятие — модель безопасности — выражает политику безопасности.

Видов моделей существует довольно много. Одна из глав курса будет посвящена моделям безопасности ОС. Это то, где они наиболее развиты и используются.

При составлении политик безопасности вокруг угроз ведётся деятельность по их оценке. Мы должны для каждого ресурса продумать, насколько он является ценным, насколько опасной является вероятная реализация угрозы в зависимости от полученных нами значений мы выстраиваем конкретные правила, как мы будем строить политику безопасности.

Важным элементом оценки угроз является оценка ценности ресурсов, на которые возможны атаки.

[править] Роли нарушителей

Можно рассматривать несколько классов ролей.

[править] Методы решения

мное Для задач ИБ существуют различные методы их решения. Условно их можно разделить на организационные и технические, в курсе будут рассматриваться технические.

Спектр технических методов решения очень широк. Это как формальные методы безопасности, формальные протоколы (kerberos, сюда же протоколы аутентификации и распределённые базы пользователей), есть деятельность, например на обеспечение безопасности, но в основе представляет собой поиск уязвимостей — пентестинг/аудит, это большая область в современном рынке безопасности. Здесь формализма минимум, есть максимум методики проведения аудита/пентестинга, в большой степени они направлены на проверку стандартам.

Система контроля доступа. Если взять теорию защиты информации в виде пласта книг, статей, курсов, и взять промышленных людей, которые занимаются ИБ, то можно заметить сильный дисбаланс: очень много посвящено формальным вещам, огромное количество литературы, при этом баланс места криптографии в реальной проверке, например, PIC/GSS, оно намного меньше, гораздо больше вещи уделяется эвристическим вещам, например, обнаружению атак.

[править] Криптография

Как лектор уже говорил, про криптографию будет цикл лекций, который начнётся в следующий раз. Есть два больших вида задач: шифрование, например, на обеспечение конфиденциальности, и ЭЦП, как метод решения задачи контроля целостности.

Современное состояние: есть несколько классов методов, которые называются симметричными и асимметричными, соответствующие алгоритмы симметричного/асимметричного шифрования, и алгоритмы хэширования.

Основная прикладная сложность со всей криптографией — очень тяжело построить глобальную инфраструктуру ключей. Это требуется в алгоритмах с открытыми ключами, если забегать далеко вперёд, то суть в следующем: существует пара ключей, которая друг друга взаимно дополняет, каждому из ключей соответствует какой-то алгоритм преобразования, и свойства алгоритма асимметричного шифрования в том, что если мы используем сначала один ключ, потом другой, и свойство в том, что нельзя по одному ключу восстановить другой. Структура ключей — обычно древовидная. При этом есть открытые ключи

[править] Формальные модели безопасности

В unix-based системах используется дискретная (?) модель безопасности.

...

[править] Пример - стандарт на управление безопасностью

Стандарты представляют собой довольно грамотные эмпирические правила, о чём нужно подумать, что нужно написать на бумаге и отобразить в процессы, когда нужно определить безопасность в системе.

Ключевые меры: обеспечение конфиденциальности, защита прав на интеллектуальную собственность.

В этом стандарте определяются следующие аспекты: организация, управление активами, управление персоналом, далее, главы, посвящены конкретным вещам: физическая защита (куда не следует ставит сервер), управление передачей данных и операциями (как организовать передачу информации, важной для безопасности, например, пароли), разработка ()

на этом иллюстративный пример закончен.

теперь переходим ближе к тому, чем будем заниматься ближайшие несколько месяцев  % работа с программами и дырками.

Одним из больших пластов причин угроз безопасности являются программные уязвимости. Программных уязвимостей существует несколько классов, можно почитать некоторые исследования, которые критически подходят к безопасности. Есть уязвимости, известные с 90х, которые до сих пор используются: если я выучу несколько видов уязвимостей, то я разовью свой профессиональный уровень. Принципиальных способов эксплуатировать конкретную уязвимость — счётное количество: можно уткнуться в какой-то вид уязвимости и только им заниматься: сегодня я научился эксплуатировать в winxp, а завтра в нокиевской прошивке и win7. Вообще критикуется подход, когда эксперты учатся эксплуатировать уязвимости, нужно учиться проектировать безопасные системы, и курс должен нацелен именно на это.

Видов уязвимостей выделяют три:

• Уязвимости проектирования. Принципиально слабые протоколы. Например, протокол IP, который слаб в части аутентификации источников трафика. во многом благодаря этому реализуются атаки вида DoS. Неприличные значения по-умолчанию (например, разрешить всё по умолчанию в фаерволах)

[править] Ошибки переполнения

Современные ОС имеют относительно эффективных средства защиты стека, но проблема переполнения heap остаётся до сих пор нерешённой.

Куча и стек растут в разных направлениях, при этом данные туда помещаются ...

Атаки, эксплуатирующие уязвимости стека ...

Как организуются области использования определённой программы, можно легко посмотреть, это первое задание.

[править] Инструментарий

Linux — DVL, дистрибутив, реализованный в виде загружаемого ISO. В нём собраны уязвимые сервисы и в нём собраны инструменты по эксплуатации этих уязвимостей, и первые задания связаны и с инструментами, описанными далее: gdb, binutils, strace