Тестирование межсетевых экранов

Поскольку МЭ находится на границе двух сетей и является узловой точкой доступа, то на него возлагается важнейшая задача защиты информации. Организации, использующие МЭ, хотят убедится в правильности и возможности функционирования. Особенно это важно в условиях динамических изменений организации. Эта проблема решается при помощи тестирования МЭ.

Для тестирования МЭ используются два основных подхода: тестирование, ориентированное на разработку, и операционное тестирование, называемое тестированием на проникновение.

Цель автономного тестирования состоит в исчерпывающей проверке выполнения МЭ своих функций. Для этого осуществляются проверки выполнения МЭ заданной политики безопасности:

• 1) Проверка выполнения требований безопасности:
• 1) Выполнение функций контроля доступа;
• 2) Контроль соответствия записей пользователя в журнал регистрации;
• 3) Контроль подсистемы генерации сигналов тревоги;
• 4) Контроль доступности;
• 2) Проверка требуемой функциональности:
• 1) Проверка входящих служб (во внешний мир);
• 2) Проверка входящих служб (в защищенную систему);
• 3) Проверка служб, необходимых для взаимодействия с Интернетом.

Кроме того, проверяется конфигурирование МЭ и возможности администрирования самого МЭ. Особенности важна проверка производительности МЭ, так как он находится на основной линии обмена данными с внешним миром.

Тестирование выполнения МЭ установленной политики безопасности реализуется запись регистрационных данных перед МЭ и после него. Для этого могут использоваться следующие атаки и исследования: проделка адресов, перехват сеанса, фрагментация пакетов, маршрутизация источников, DNS — атаки, перенаправление RIP /ICMP, ARP — атаки, сканирование портов, посылка пакетов с нарушениями P F С, насыщение трафика.

При проведении тестирования, ориентирования на оценку разработки, проводятся следующие действия: сравнение реальной конфигурации МЭ с существующей ПБ, ручное исследование конфигурации через интерфейсы МЭ, операционное тестирование — пробы самого МЭ для поиска открытых служб, проверка правильности контроля разрешенных служб.

При тестировании производительности определяется скорость выполнения информации межсетевым экраном, не допускается ли МЭ при этом запрещенного трафика. Измеряются и оцениваются задержки, вводимые МЭ при обработке насыщенного трафика.

При тестировании управления проверяются удобство, полнота и эффективность процедур конфигурирования и управления межсетевым экранов.

Анализ многочисленных случаев проникновения в защищаемые межсетевыми экранами сети показал, что автономного тестирования МЭ недостаточно для того, чтобы убедится в направленности их функционирования. Одним из важнейших свойств МЭ должна быть его устойчивости к атакам, направленным на сам МЭ. Это обусловлено тем, что атакующие сначала направляют свои усилия на «обезвреживании» МЭ или его обход. При освоении атаки на МЭ возможны следующие четыре случая:

• 1) МЭ выдерживает атаку и продолжает функционированность;
• 2) Атака приводит к краху МЭ, который осуществляет перезапуск и продолжает функционированность;
• 3) Атака приводит к краху МЭ, который запрещает прохождении любого трафика;
• 4) Атака приводит к краху МЭ, который разрешает прохождении любого трафика.

Каждый из случаев должен быть исследован, поскольку оказывает существенное влияние на защищенность сети.

До настоящего момента нет общепринятой методологии тестирования на проникновение.

Это вызвано как сложность задачи, так и тем, что специалисты, выполняющие тестирование, чрезвычайно неохотно делятся своими знаниями. Одной из опубликованных мелодиях тестирования на проникновение является методологией, разработанная Мойнерм.

Методология исходит из предпосылки, что попытки атак на МЭ не дают полного предоставления о защищенности. Тестирование должна проверятся вся инфраструктура, защищаемая МЭ. Поэтому предложенная методология включает в себя четыре основных группы действий:

• 1) Внешние атаки;
• 2) Внутренние атаки;
• 3) Совместные атаки;
• 4) Анализ разработки поддерживающих структур на наличие потенциальных уязвимостей.

Внешние атаки — группа действий, включающая в себя сбор информации, пробы, атаки, нарушение функционирования служб самого МЭ в случае успеха атак.

Внутренние атаки выполняются, исходя из того, что атакующий уже имеет доступ к компьютеру внутренней сети, защищаемой МЭ. При этом могут последовательно использоваться разные уровни имеющегося доступа: пользователя, разработчика ПО или администратора.

В случае совместных атак считается, что внешний атакующий находится в сговоре с пользователем организации, чтобы обмануть систему защиты или передать данные через МЭ. Это становится возможным, если успешными оказались попытки предыдущих групп действий. Обычно на данном этапе используется построение или внедрение системы туннелирвоания через допускаемый МЭ протокол.

Целью анализа разработки и поддерживающих процедур состоит в поиске методов и способах проникновения, процедурных при выполнении предыдущих действий. Для этого анализируется сама разработка МЭ, способы его применения, анализируются административные процедуры и данные, регистрируемые МЭ.

Для проведения тестирования на проникновение используется:

• 1) Ручные пробы;
• 2) Сканеры безопасности различных видов;
• 3) Хакерские средства, многие из которых являются общедоступными.

Ручные пробы и интерактивные действия тесно связаны друг с другом и во многих случаях не могут быть разделены. Сканеры безопасности и хакерские средства, как правило, содержание определенную степень автоматизации.

Контрольные вопросы.

• 1) Каково основное назначение межсетевых экранов;
• 2) Могут ли быть приведены списки контроля доступа для входящего и исходящего трафиков на одном интерфейсе маршрутизатора?
• 3) Укажите уровни сетевой модели, на которых применяется фильтрация пакетов.
• 4) Каковы основные отличия статической и динамической трансляции адресов?
• 5) Какое значение функции трансляции адресов с точки зрения обеспечения информационной безопасности.
• 6) Почему порядок правил в списке контроля доступом имеет важное, значение?
• 7) Какой принцип предпочтительнее для фильтрации пакетов: «то, что не запрещено, разрешено» или «то, что не разрешено, запрещено». Почему?
• 8) Перечислите основные параметры, которые обычно включают в таблицу состояний.
• 9) В чем состоят особенности применения службы proxy?
• 10) Почему существует необходимость применения динамической фильтрации?
• 11) Сформулируйте понятие виртуального сеанса.
• 12) Назовите возможные атаки при применении динамического списка контроля доступа.
• 13) Укажите назначение промежутка времени существования динамического спска контроля доступа.
• 14) Какие уровни сетевого стека TCP/IP используются при инспекции состояний?
• 15) Назовите состав основных параметров, которые должны содержатся в таблице состояний.
• 16) Какое правило «по умолчанию» присутствует при расширенном списке доступа и соответствует в рефлексивном.
• 17) Назовите основные отличия между рефлексивными списками контроля доступа и СВАС.
• 18) Какие технологии фильтрации межсетевых экранов могут быть применены на уровне ядра?
• 19) Почему основные правила фильтрации персональных межсетевых экранов задаются «по умолчанию».
• 20) Назовите основные принципы использования firewalling.
• 21) Может ли один и тот же протокол быть протоколом — пассажиром и несущем протоколом?
• 22) Каковы соответствия между классом межсетевого экрана и классом защищаемой им автоматизированной системы?
• 23) Укажите основные цели тестирования на проникновение.