Разработка требований к сетевым ОС

 

Исходя из анализа руководящих документов, а также различных методов НСД к информации в ЛВС, для построения защищенной компьютерной сети объединения и предотвращения НСД к информации в ЛВС необходимо чтобы ОС соответствовали следующим требованиям:

Сертификация для использования в определенных условиях (например, в военных учреждениях);

Возможность идентификации, аутентификации и авторизации пользователя при входе в систему (при регистрации);

Возможность создания учетных записей пользователей, рабочих групп с разными правами доступа и наделения конкретных пользователей определенными привилегиями;

Криптографическое закрытие данных, хранимых на локальных машинах и передаваемых по каналам передачи данных;

Защита от несанкционированных воздействий разного ПО и драйверов устройств, установленных на локальных компьютерах и других компьютерах сети, а так же возможность контроля целостности программного и информационного обеспечения (создание баз данных с первоначальной информацией о создаваемых, изменяемых файлах, установленном ПО и т.д.);

Защита от злоумышленных действий пользователей;

Возможность учета, регистрации, отображения и документирования фактов атак;

Возможность блокирования процесса, устройства, пользователя, совершающего НСД;

Возможность стирания остаточной информации из оперативной памяти и жесткого диска;

Возможность ограничения числа попыток входа в систему;

Одновременная реализация мандатной и дискреционной моделей доступа к информации;

Выполнение эргономических требований.

Требования с 1 по 8 являются основными, выполнение которых является обязательным при выборе защищенной ОС, а с 9 по 12 дополнительными (вспомогательными), выполнение которых желательно, но не обязательно.

Таким образом анализ ОС необходимо проводить исходя из вышеперечисленных требований.

Анализ сетевых ОС

 

Windows

ОБЯЗАТЕЛЬНЫЕ ТРЕБОВАНИЯ:

Требование-1. Данная ОС не сертифицирована для использования в военных организациях, но довольно часто используется при построении ЛВС (а именно используется Windows NT);

Требование-2. Операционные системы этого семейства имеют богатый набор средств защиты, основными из этих средств и методов обеспечения безопасности являются физическая защита и администрирование учетных записей. ОС поддерживают идентификацию, аутентификацию и авторизацию пользователя, разграничение прав доступа к ресурсам, в основе которого лежит реализация дискреционной модели доступа (отдельно к объектам файловой системы, к устройствам, к реестру ОС, к принтерам и др.). Однако для лучшей защиты компьютера необходимо использовать встроенные в BIOS возможности идентификации пользователя;

Требование-3. ОС семейства Windows обладают широкими возможностями по созданию и изменению учетных записей пользователей и групп с разными правами. Значительную роль в обеспечении безопасности информации играет поддержка файловой системы NTFS, которая обеспечивает защиту файлов и каталогов при локальном доступе. При использовании NTFS управление доступом к файлам и каталогам возлагается не на администратора, а на владельца ресурса и контролируется системой безопасности. Однако ряд объектов доступа (в частности, устройства, реестр ОС и т.д.) не являются объектами файловой системы и к ним нельзя применить возможности файловой системы NTFS [15].

Требование-4,5. ОС семейства Windows обладает развитыми средствами шифрования данных с открытым ключом. Кроме того, в Windows широко применяется шифрование при использовании цифровой подписи и сертификатов, которые позволяют пользователю убедиться в подлинности программного обеспечения и драйверов. Однако ОС семейства Windows не обладают в полном объеме возможностью контроля целостности файловой системы. Встроенные механизмы системы позволяют контролировать только собственные системные файлы, не обеспечивая контроль целостности файлов пользователя. Они не решают важнейшую задачу - контроль целостности программ (приложений) перед их запуском, контроль файлов данных пользователя и др.

В ОС семейства Windows так же невозможно в общем случае обеспечить замкнутость (или целостность) программной среды (т.е. реализацию механизма, обеспечивающего возможность пользователям запускать только санкционированные программы). Причиной является невозможность задания списка разрешенных к запуску процессов с предоставлением возможности пользователям запускать процессы только из этого списка и невозможность разрешения запуска пользователями программ только из заданных каталогов при невозможности модернизации этих каталогов. Некорректность данного подхода связана с отсутствием возможности установки атрибута "исполнение" на устройства ввода (дисковод или CD-ROM). Что может привести к НСД.

Есть возможность шифрования передаваемых по сети данных и установления обмена только зашифрованными данными. Так же следует заметить, что пароли не хранятся в текстовом виде. Они защищены процедурой хеширования. Но это не значит, что, не зная пароля в текстовом виде, невозможно проникнуть в систему. При сетевом подключении не обязательно знать текст пароля, достаточно хешированного пароля. Поэтому достаточно получить копию базы данных SAM, где хранятся пароли и извлечь из нее хешированный пароль;

Требование-6. Средства защиты от злоумышленных действий пользователей существуют только в современных версиях Windows XP. Они обладают встроенными межсетевыми экранами, которые позволяют закрыть на компьютере слабые места и производят фильтрацию входной и выходной информации;

Требование-7. Еще одним средством ОБИ в Windows является аудит. С его помощью можно отслеживать действия пользователей и ряд системных событий в сети.

Фиксируются следующие параметры, касающиеся действий, совершаемых пользователями: выполненное действие; имя пользователя, выполнившего действие; дата и время выполнения. Эта информация помогает выявить нарушителя и пресечь в дальнейшем противоправные действия. Регистрация выдачи документов на "твердую копию", а также некоторые другие требования к регистрации событий и механизм управления доступом к гостам в полном объеме в ОС семейства Windows (NT/2000/XP) не обеспечивается;

Требование-8. Возможность блокировки процесса или пользователя совершающего НСД не реализована.

ДОПОЛНИТЕЛЬНЫЕ ТРЕБОВАНИЯ:

Требование-9. Встроенные средства стирания остаточной информации отсутствуют. Информация из оперативной памяти стирается только при перезагрузке, а с жесткого диска вообще не стирается, что создает предпосылки для использования злоумышленником этой информации в своих целях. То есть невозможно встроенными средствами гарантированно удалять остаточную информацию;

Требование-10. У администратора есть возможность ограничения числа попыток входа в систему и ряда других показателей с целью пресечь возможность подбора пароля;

Требование-11. В ОС семейства Windows одновременно не реализованы мандатная и дискреционная модели доступа к информации. Не возможна в общем случае реализация централизованной схемы администрирования механизмов защиты или соответствующих формализованных требований; не в полном объеме реализуется дискреционная модель доступа (в частности, не могут разграничиваться права доступа для пользователя "Система");

Требование-12. Возможности операционных систем по эргономическим требованиям очень высоки, т.к ОС семейства Windows обладают удобным и информативным пользовательским интерфейсом;

Таким образом основными механизмами защиты, как уже был сказано, являются: идентификация, аутентификация, разграничение прав доступа и аудит. Явно выделяется возможность разграничений прав доступа к файловым объектам (для NTFS) - расширенные атрибуты доступа, устанавливаемые на различные иерархические объекты файловой системы (логические диски, каталоги, файлы). В полном объеме управлять доступом к разделяемым ресурсам возможно только при установленной на всей компьютерах ЛВС файловой системы NTFS. Иначе невозможно запретить запуск несанкционированной программы с удаленного компьютера, т.е. обеспечить замкнутость программной среды в этой части.

Существуют принципиальные недостатки защиты ОС семейства Windows, напрямую связанные с возможностью НСД к информации. В ОС Windows невозможна в общем случае реализация централизованной схемы администрирования механизмов защиты, т.к принята иная концепция реализации разграничительной политики доступа к ресурсам (для NTFS). В рамках этой концепции разграничения для файла приоритетнее, чем для каталога, а в общем случае - разграничения для включаемого файлового объекта приоритетнее, чем для включающего. Это приводит к тому, что пользователь (которому назначил права доступа "владелец") может обратиться к файлу вне зависимости от установленных администратором атрибутов доступа на каталог, в котором пользователь (владелец) создал файл. Данная проблема непосредственно связана с реализуемой в ОС Windows концепцией защиты информации. Можно отметить еще один недостаток - это невозможность разграничить доступ к устройствам ввода "на исполнение", что позволяет пользователю запускать любые программы с внешних носителей.

Что касается разделяемых сетевых ресурсов, то фильтрации подвергается только входящий доступ к разделяемому ресурсу, а запрос доступа на компьютере, с которого он осуществляется, фильтрации не подлежит. Это принципиально, т.к не могут подлежать фильтрации приложения, которыми пользователь осуществляет доступ к разделяемым ресурсам. Благодаря этому, очень распространенными являются атаки на протокол NETBIOS.

 

UNIX - подобные ОС

ОС UNIX

Прежде всего, стоит отметить, что UNIX-подобные ОС значительно отличаются от ОС семейства Windows. Они распространяются свободно, имеют открытый код, что позволяет дорабатывать систему под себя. ОС позволяет разделять ресурсы компьютера с другими пользователями без уменьшения производительности благодаря использованию метода разделением времени.

В UNIX используется многозадачное окружение, которое позволяет выполнять более одного задания в одно и тоже время. Весь процесс работы с файлами, программами и системой в целом представляет собой работу в командной строке, для чего необходимо знать огромное количество команд и хорошо в них ориентироваться. Это большой минус для пользователей, привыкших к работе в Windows.

Причин уязвимости UNIX-система достаточно много и поэтому есть целесообразность рассмотреть основные из них, на которые приходится до 90% всех случаев вскрытия UNIX-хостов:

Наличие демонов;

Механизм SUID/SGID-процессов. (эти механизмы, являющиеся неотъемлемой частью идеологии UNIX, были и будут лакомым кусочком для хакеров, т.к в этом случае пользователь всегда взаимодействует с процессом, имеющим большие привилегии, чем у него самого, и поэтому любая ошибка или недоработка в нем автоматически ведет к возможности использования этих привилегий);

Излишнее доверие (в UNIX достаточно много служб, использующих доверие, и они могут быть обмануты тем или иным способом);

Человеческий фактор (наличия прав, никому не подконтрольного. Выходом является распределение прав суперпользователя среди несколькими администраторами).

Существует несколько причин, по которым оказываются уязвимы демоны и SUID/SGID-процессы:

возможность возникновения непредусмотренных ситуаций, связанных с ошибками или недоработками в программировании;

наличие скрытых путей взаимодействия с программой, называемых "люками" (оставленная разработчиком недокументированная возможность взаимодействия с системой либо возникшая вследствие ошибки или остатков отладочного кода);

возможность подмены субъектов и объектов различным образом.

ОБЯЗАТЕЛЬНЫЕ ТРЕБОВАНИЯ.

Требование-1. Данная ОС не сертифицирована для использования в военных организациях, но все больше приобретает популярность при построении ЛВС;

Требование-2,3. Поскольку ОС UNIX с самого своего зарождения задумывалась как многопользовательская операционная система, в ней всегда была актуальна проблема идентификации, аутентификации и авторизации доступа различных пользователей к файлам файловой системы, т.е. проверка подлинности пользователя, наделение его правами доступа и привилегиями. Поэтому данные требования в UNIX выполняются в полном объеме. Схема авторизации доступа, примененная в ОС UNIX очень проста, удобна и одновременно мощна.

Существует условная иерархия пользователей (уровни привилегий):

Суперпользователь - неограниченные права.

Обычный пользователь - права, ограниченные ему суперпользователем.

Специальный пользователь - права, ограниченные ему суперпользователем для работы с конкретным приложением.

Псевдопользователь - нет никаких прав, он вообще не идентифицируется системой.

Все пользователи по отношению к файлу делятся на три категории: владелец, член группы владельца и все остальные. Определены также три вида доступа к файлу: чтение, запись и выполнение. Привилегии доступа к каждому файлу определяются для каждой из трех категорий пользователей и для каждой из трех операций доступа. Каждый файл содержит код защиты, который присваивается файлу при его создании. Код защиты располагается в индексном дескрипторе файла и содержит десять символов, причем первый символ определяет тип файла, а последующие девять - право на доступ к нему. Три вида операций и три категории доступа дают в совокупности девять возможных вариантов разрешений или запретов на доступ к файлу. Первые три символа определяют возможности чтения, записи и выполнения на уровне владельца, следующие три - на уровне группы, в которую входит владелец, и последние три - на уровне остальных пользователей [16, 17].

Начальные значения прав доступа к файлу устанавливаются при его создании операционной системой и могут изменяться его владельцем или суперпользователем. Суперпользователь имеет неограниченные права (UID и GID у него равны специальному значению 0). Процесс, с которым связан нулевой идентификатор пользователя, считается привилегированным. Независимо от кода защиты файла привилегированный процесс имеет право доступа к файлу для чтения и записи. Если в коде защиты хотя бы одной категории пользователей (процессов) есть разрешение на выполнение файла, привилегированный процесс тоже имеет право выполнять этот файл.

Обычный пользователь, имеет права на доступ в рамках своего идентификатора (UID) и членства в группе (GID) (в UNIX каждый пользователь в текущий момент может быть членом только одной группы, он имеет только один UID и один GID).

Специальные пользователи обычно имеют зарезервированные имена (например, guest, bin, uucp, anonymous, и. т.д.) и номера UID и GID (например, они всегда меньшие 100). Специальный пользователь имеет еще меньшие права, чем обычный, им обычно нельзя зайти в систему нормальным образом.

Условно к категории пользователей можно отнести человека, удаленно подключившегося к машине и взаимодействующего с одной из программ сервера. Они обычно стартуют при загрузке машины, чаще всего от имени суперпользователя и всегда активны как процессы. Это позволяет пользователю в любой момент времени удаленно подключаться к ним, но при этом он не имеет никаких прав на чтение/запись информации на компьютере, он вообще не идентифицируется системой UNIX. Однако может исполнять некоторые команды-запросы к тому домену, к которому он подключен.

Последний тип пользователя является, чуть ли не самым важным для рассмотрения, т.к, не обладая никакими правами (от него не требуется аутентификация), он взаимодействует с программами, которые практически всегда имеют полномочия суперпользователя. Почти любой пользователь интернета всегда имеет привилегии уровня 3 на любом компьютере, а также, если поддерживается соответствующий сервис, привилегии уровня 2.

UNIX обладает собственной файловой системой, которая поддерживает логическую организацию файла в виде последовательности байтов. По функциональному назначению различаются обычные файлы, каталоги и специальные файлы, содержащие соответственно системную и пользовательскую информацию, служебную информацию файловой системы, и специальную информацию. В каталог могут входить обычные, специальные файлы и каталоги более низкого уровня, специальный файл используется для унификации механизма доступа к файлам и внешним устройствам.

В UNIX для файла существует три типа имени: краткое, полное и относительное. Файловая система имеет иерархическую структуру, в которой уровни создаются за счет каталогов, содержащих информацию о файлах более низкого уровня. Каталог самого верхнего уровня называется корневым, имеет имя root и располагается на системном диске, остальные файлы могут содержаться на разных дисках, но все они иерархически связаны. Иерархическая структура удобна для безопасной многопользовательской работы: каждый пользователь локализуется в своем каталоге или поддереве каталогов, и вместе с тем все файлы в системе логически связаны. Элементами файловой системы являются также все устройства, подключаемые к защищаемому компьютеру (монтируемые к файловой системе). Поэтому разграничение доступа к ним осуществляется через файловою систему.

Вся необходимая операционной системе информация о файле, кроме его символьного имени, хранится в специальной системной таблице, называемой индексным дескриптором файла. Она содержит данные о типе файла, расположении на диске, размере в байтах, дате создания, последней модификации, обращению к файлу, привилегиях доступа и некоторую другую информацию. Индексные дескрипторы пронумерованы, хранятся в специальной области файловой системы и их номера является уникальными именами файлов.

А все дисковое пространство файловой системы UNIX делится на четыре области: (рис.3)

загрузочный блок, в котором хранится загрузчик операционной системы;

суперблок - содержит самую общую информацию о файловой системе: размер файловой системы, размер области индексных дескрипторов, число индексных дескрипторов, список свободных блоков и список свободных индексных дескрипторов, и другую административную информацию;

область индексных дескрипторов, порядок расположения индексных дескрипторов в которой соответствует их номерам;

область данных, в которой расположены обычные файлы и файлы-каталоги

 

Рис.3. Расположение файловой системы на диске

 

Доступ к файлу осуществляется путем последовательного просмотра всей цепочки каталогов, входящих в полное имя файла, и соответствующих им индексных дескрипторов. Отсюда и значительный минус файловой системы. Получив права на доступ к одному файлу, злоумышленник автоматически получает права прочитать все по пути всей цепочки каталогов. Однако доступ к любому файлу производится через его дескриптор (положительное целое число).

В UNIX для каждого процесса существует таблица всех портов, к которым он имеет доступ. Эта таблица хранится в ядре и пользователь не может получить к ней доступ. Процесс ссылается на порты, указывая номер их позиции в этой таблице, например, 1, 2 и так далее. Входы же таблицы содержат указатели на порты, определяют разрешенные над ними действия, и называются мандатами. Каждый процесс имеет только один список прав доступа. Права определяются по отношению к трем возможным операциям: получить, послать и послать один раз.

Право получить дает возможность прочитать сообщение из порта. В любой момент только один процесс может иметь право получить порт. Таким образом, для каждого порта имеется только один потенциальный получатель.

Мандат с правом послать позволяет отсылать сообщения определенному порту. Таким правом могут обладать многие процессы.

Право послать один раз также позволяет отослать сообщение, но только однократно. Этот механизм используется для протоколов типа запрос-ответ.

Имена прав доступа имеют действие только внутри процесса. Два процесса могут иметь доступ к одному и тому же порту, но использовать для этого разные имена. Список прав доступа привязан к определенному процессу. Когда этот процесс завершается или уничтожается, его список удаляется;

Требование-4. Криптографическая защита применяется во всех современных ОС В UNIX информация о пароле пользователей храниться в файле passwd в зашифрованном виде. При первоначальном задании или изменении пользовательского пароля операционная система UNIX генерирует два случайных байта, к которым добавляются байты пароля. Полученная в результате байтовая строка шифруется при помощи специальной криптографической процедуры Crypt2 (в качестве ключа которой используется пароль пользователя) и в зашифрованном виде вместе с двумя случайными байтами записывается в файл /etc/passwd. Однако это не гарантирует полной защиты пароля. Если злоумышленник имеет доступ к парольному файлу операционной системы, то он может скопировать этот файл на свой компьютер и затем воспользоваться одной из программ для взлома парольной защиты UNIX. Для защиты хранимых данных в составе ОС Unix имеется специальная утилита crypt, которая читает данные со стандартного ввода, шифрует их и направляет на стандартный вывод. Шифрование применяется при необходимости предоставления абсолютного права владения файлом. Зашифрованный файл можно прочитать лишь по предъявлении пароля;

Требование-5. Примечательно, что в ОС семейства UNIX, вследствие реализуемой ею концепции администрирования (не централизованной), невозможно обеспечить замкнутость (или целостность) программной среды, т.к невозможно установить атрибут "исполнение" на каталог (для каталога данный атрибут ограничивает возможность "обзора" содержимого). Поэтому при разграничении администратором доступа пользователей к каталогам, "владелец" создаваемого файла, может занести в свой каталог исполняемый файл и, как его "владелец", установить на файл атрибут "исполнение". Эта проблема непосредственно связана с реализуемой в ОС концепцией защиты информации.

Необходимо также отметить, что большинство ОС данного семейства не обладают возможностью контроля целостности файловой системы, то есть не содержат соответствующих встроенных средств. В лучшем случае дополнительными утилитами может быть реализован контроль конфигурационных файлов ОС по расписанию, в то время, как важнейшей возможностью данного механизма надо считать контроль целостности программ (приложений) перед их запуском, контроль файлов данных пользователя и др.;

Требование-6. Защита ОС семейства UNIX в общем случае базируется на трех основных механизмах: идентификации и аутентификация пользователя при входе в систему, разграничении прав доступа кфайловой системе, регистрации событий (т.е. аудит). Поддерживается единообразный механизм контроля доступа к файлам и справочникам файловой системы. Любой процесс может получить доступ к некоторому файлу только в том случае, если права доступа, описанные при файле, соответствуют возможностям данного процесса. Защита файлов от несанкционированного доступа в ОС UNIX основывается на трех фактах.

Во-первых, с любым процессом, создающим файл, ассоциирован некоторый уникальный в системе идентификатор пользователя (UID), который является идентификатором владельца вновь созданного файла.

Во-вторых, с каждым процессом, пытающимся получить некоторый доступ к файлу, связана пара идентификаторов - текущие идентификаторы пользователя и его группы.

В-третьих, каждому файлу однозначно соответствует его описатель - i-узел. Примечательно, что имена файлов и файлы как таковые - это не одно и то же. При наличии нескольких жестких связей с одним файлом несколько имен файла реально представляют один и тот же файл и ассоциированы с одним и тем же i-узлом. Любому используемому в файловой системе i-узлу всегда однозначно соответствует только один файл.

I-узел содержит достаточно много разнообразной информации позволяющей файловой системе оценить правомочность доступа данного процесса к данному файлу в требуемом режиме. Информация i-узла включает UID и GID текущего владельца файла. Кроме того, в i-узле файла хранится шкала, в которой отмечено, что может делать с файлом его владелец, пользователи, входящие в ту же группу, что и владелец, и что могут делать с файлом остальные пользователи.

Для пользователей можно устанавливать различные ограничения, такие как максимальный размер файла, максимальное число сегментов разделяемой памяти, максимально допустимое пространство на диске и т.д. Общие принципы защиты одинаковы для всех существующих вариантов системы;

Требование-7. Возможность учета, регистрации, отображения и документирования фактов атак реализована посредствам аудита. Но не обеспечивается регистрация выдачи документов на "твердую копию", а также некоторые другие требования к регистрации событий;

Требование-8. Возможность блокировки процесса, устройства или пользователя совершающего НСД так же не реализована.

ДОПОЛНИТЕЛЬНЫЕ ТРЕБОВАНИЯ:

Требование-9. В ОС семейства UNIX невозможно встроенными средствами гарантированно удалять остаточную информацию. Для этого в системе абсолютно отсутствуют соответствующие механизмы;

Требование-10. Возможность ограничения числа попыток входа в систему отсутствует.

Требование-11. В ОС UNIX реализована только дискреционная модель доступа, на основе которой производится разграничение прав доступа к информации. Однако реализуется она не в полном объёме, в частности не могут разграничиваться права доступа для суперпользователя (UID=0).Т. е. данный субъект доступа исключается из схемы управления доступом к ресурсам. Соответственно все запускаемые им процессы имеют неограниченный доступ к защищаемым ресурсам. Поэтому с этим недостатком системы защиты связано множество атак (большинство из которых основано на несанкционированном получение прав суперпользователя, запуске от его имени исполняемого файла);

Требование-12. По эргономическим требованиям О.С. UNIX отстаёт от Windows. Основная причина в кардинальном отличии пользовательского интерфейса в UNIX, который основан на командной строке. Все действия производятся в командной строке, поэтому надо знать много команд, их параметров и хорошо в них ориентироваться, что проблемно для привыкших к Windows пользователей.