Контролируемый доступ нарушителя в системе защиты вычислительной сети

Актуальность темы

диссертации.

При проектировании и эксплуатации вычислительных систем различного назначения проблемы обеспечения безопасности играют ключевую роль. Это касается не только систем специального применения, но и систем общего назначения.

По данным министерства юстиции США каждые 4 секунды в мире происходит компьютерное преступление (из них свыше 40% носят умышленный характер, свыше 70% связаны с несанкционированным доступом к данным). По данным ЦБ РФ можно сделать выводы и о масштабе атак на вычислительные ситемы, обслуживающие кредитно-финансовую сферу — масштаб потерь из-за незащищенности данных в региональных сетях оценен в 20 млрд. рублей в год (из них свыше 30% потери в системах безналичного оборота с пластиковыми карточками). За рубежом масштаб такого рода потерь (в частности, для Европы) на порядок выше.

Несомненно, в силу приведенных причин защите информации при разработке вычислительных систем уделяется самое серьезное внимание. Однако очень часто нарушители преодолевают установленные в компании или банке защитные средства (системы аутентификации, межсетевые экраны и т. д.), установленные для разграничения доступа к ресурсам корпоративной сети. Одним из способов защиты информации является предоставление нарушителю ложного ресурса, в которой располагается ложная информация адекватная истинной. Использование ложного ресурса позволяет исследовать действия нарушителя и противостоять им. Такой способ обмана нарушителя позволяет увеличить время пребывания в системе и повышает вероятность его обнаружения. Кроме того, этот способ дает возможность собрать данные о противоправных действиях нарушителя для использования их в судебном порядке.

Методологическая и теоретическая база систем обмана нарушителя отражена в научных трудах Фреда Коэна, Джима Даннигана, Альберта Ноуфи,.

Дейва Ламберта, Чарльза Престона, Нины Беррай, Корбина Стюарта, Эрика Томаса, Алексея Лукацкого. Диссертационная работа опирается па результаты этих исследований и развивает один из видов обмана, который заключается в предоставлении нарушителю ложного ресурса с последующим контролем его действий.

Целью работы является разработка и исследование системы защиты вычислительной сети предприятия с использованием ложных ресурсов.

Основные задачи исследования заключаются в разработке:

— технологии системы защиты информации и организации контролируемого доступа нарушителя, основанной на предоставлении ложного ресурса нарушителю;

— аналитической модели расчета вероятности взлома системы.

Методы исследования. При выполнении работы использовался математический аппарат теории массового обслуживания, теории вероятностей и математической статистики, а также имитационное моделирование на персональном компьютере.

Предметом исследования в данной работе являются системы обмана нарушителя.

Научная новизна. В работе получены следующие новые научные результаты:

— Предложена структура системы контролируемого доступа нарушителя.

— Произведен анализ типовой многоуровневой системы защиты и предложена интеграция в нее системы контролируемого доступа нарушителя.

— Произведен анализ типовой модели нарушителя и ее взаимодействие с системой контролируемого доступа нарушителя.

— Предложена аналитическая и имитационная модели описания системы контролируемого доступа нарушителя.

Практическая ценность результатов работы заключается в следующем:

— система контролируемого доступа нарушителя обеспечивает защиту системы и перенаправление нарушителя на ложный ресурс.

— система контролируемого доступа нарушителя фиксирует противоправные действия и увеличивает время нахождения нарушителя в системе.

— Разработанные модели позволяют описать систему контролируемого доступа нарушителя и использовать найденные зависимости и соотношения между параметрами системы для оценки безопасности предприятия.

— Разработанный пакет имитационных программ позволяет оценить вероятность взлома системы защиты предприятия при заданных параметрах.

Реализация и внедрение.

Основные теоретические и практические результаты диссертационной работы использованы в ходе выполнения работ по разработке и внедрению повой системы защиты сервера государственных закупок НИОКР ФГУП «ВИМИ», что подтверждается соответствующим актом.

Апробация работы. Результаты и положения диссертационной работы обсуждались на научно-технических конференциях и семинарах:

1. Доклад на 5-й Московской международной телекоммуникационной конференции студентов и молодых ученых «Молодежь и наука» Москва.

2002 // Информатика. Компьютерные системы и технологии.

2. Доклад на 2-ой международной конференции Авиация и космонавтика.

2003 // Компьютерные и информационные технологии.

Публикации. По основным результатам исследований опубликовано 4 печатные работы.

Структура и объем работы. Диссертация состоит из введения, четырех глав, заключения и 6 приложений. Работа изложена на 137 страницах (без учета приложений) и содержит 31 рисунок и 8 таблиц.

Список литературы

содержит 57 наименований.

4.4. Выводы.

1. Разработана методика оценки вероятности достижения 1-ого уровня системы защиты, в том числе, и ш-ого заключительного уровня, который является целью злоумышленника.

2. Показано, что защищенность системы увеличивается в несколько раз при введении СКДН.

3. Разработаны программы моделирования взлома системы. Произведено сравнение результатов аналитического и имитационного моделирования взлома системы. Полученные результаты позволяют говорить об адекватности вероятностной и имитационной моделей.

4. Результаты проведенных экспериментов согласуются с выводами, сделанными при качественном анализе.

Заключение

.

В диссертационной работе предложена система контролируемого доступа нарушителя к ложному ресурсу.

В ходе выполнения работы были получены следующие основные теоретические и практические результаты:

1. Приведен обзор основных причин существования угроз безопасности и, как следствие указанных причин, рассмотрены проблемы раскрытия компьютерных преступлений. Поскольку существующие методы решения проблем безопасности базируются на запрете доступа к ресурсу в случае злоумышленной активности, предлагается предоставить нарушителю ложный ресурс и контролировать его доступ к нему.

2. Разработана базовая архитектура СКДН, состоящая из модуля перенаправления, модуля обнаружения вторжения, модуля протоколирования и ложного ресурса. Такая архитектура позволяет перенаправлять нарушителя для каждого вида объекта (файл, каталог, приложение, служба, центральный процессор, оперативная память и т. д.), не зависеть от того, где размещается источник атаки (непосредственно на вычислительной машине, в подсети, в локальной сети предприятия или вне предприятия), предотвратить использование ложного ресурса, как плацдарма для атак на внешние системы, обеспечить сбор данных о нарушителе и т. д.

3. Рассмотрено функционирование и реализация каждого из модулей. Модуль перенаправления обеспечивает связь с истинным ресурсом, если соединение организовано легальным пользователем, или обеспечивает связь с ложным ресурсом, если пользователь уже совершил противоправные действия или есть подозрение, что совершит. Анализ средств защиты показал, что модуль перенаправления можно реализовать на основе фильтрующего маршрутизатора или шлюза. Модуль обнаружения вторжения выявляет нарушителя. За обнаружением следует изменение настроек модуля перенаправления. Данный модуль может быть реализован как системы обнаружения атак и аутентификации. Ложный ресурс представляет собой систему, подобную истинному ресурсу, т. е. у них совпадает топология, размещение каталогов и файлов, а также на узлах запущены аналогичные приложения пользователя, инструменты защиты, службы и сервисы.

4. Предложена методика размещения СКДН в типовую многоуровневую систему защиты, которая состоит из внешнего уровня защиты, межсегментного уровня защиты, уровня защиты сегмента и уровня защиты узла. Показано, что наиболее предпочтительным местом для размещения ЛР является сегмент межсегментной защиты. При этом модули обнаружения вторжения и модули перенаправления необходимо установить на серверы безопасности во всех сегментах сети и на серверы, требующие повышенную защищенность — сервер баз данных, сервер приложений, файловый сервер и т. д.

5. Проанализированы схемы взаимодействия нарушителя и СКДН. Для описания поведения нарушителя используется типовая модель атаки, представляющая собой последовательность этапов: исследование, взлом системы, расширение привилегий, сокрытие «следов» и обеспечение повторного доступа. Для каждой атаки указаны особенности реализации и метод перенаправления.

6. Разработана методика оценки вероятности достижения ¡—ого уровня системы защиты, в том числе, и т-ого заключительного уровня, который является целью нарушителя. Для этого определены возможные состояния системы и переходы между состояниями, определяемые происходящими в ней событиями. Установлено, что защищенность системы увеличивается в несколько раз при введении СКДН.

7. Разработаны программы моделирования взлома системы. Произведено сравнение результатов аналитического и имитационного моделирования взлома системы. Полученные результаты позволяют говорить об адекватности вероятностной и имитационной моделей.