Анализ операционной системы МСВС на предмет наличия уязвимостей

На сегодняшний день, одной из сторон научно — технической революции является быстрое развитие компьютерных технологий. Это привело к значительному росту информационных потребностей человечества и качественным изменениям в информационных технологиях в целом.

В современном обществе информация приобретает всё большую ценность, начинает иметь коммерческую стоимость и представляет собой объект права собственности.

Так же наметился ряд тенденций в развитии классических информационных систем (ИС). К этим тенденциям можно отнести следующие:

усложнение структуры информационных элементов;

резкое увеличение объемов обрабатываемой документальной информации и ее динамическое изменение;

слияние различных информационных систем в гетерогенные сети.

Все это приводит к необходимости решения многих проблем, во вновь проектируемых и модернизируемых ИС. Нужно отметить, что такая ИС должна быть открытой, легко масштабируемой, переносимой, тесно интегрированной с мировыми сетями и поддерживать множество стандартов, как в части форматов хранимых данных, так и в части доступа к этим данным.

На сегодняшний день, деятельность любой организации или учреждения включает в себя получение информации, ее обработку, принятие решений на основе анализа данной информации и передачу принятых решений по каналам связи. Чаще всего для этого применяют автоматизированные системы обработки информации (АСОИ).

АСОИ прочно укрепились в обслуживании различных сфер деятельности, в системах управления хозяйственными и техническими объектами, в научных исследованиях, в процессе автоматизации проектирования производства и других областях.

Анализ структуры информационных потоков выявляет множество потенциальных угроз информации, обрабатываемой или хранимой данными системами, что в свою очередь, поставило перед потребителями информационных технологий новую проблему, — проблему информационной безопасности.

Главная цель защиты информации — контроль доступа к ней, защита от нарушения целостности, конфиденциальности информации и защита от нарушения работоспособности системы в целом.

Сегодня не нужно оспаривать необходимость решения задач защиты информационных ресурсов комплексно, с использованием сочетания мер законодательного, организационного и программно-технического характера.

Законодательный уровень обеспечивается законами и иными нормативными документами, описывающими условия защиты информационных ресурсов и правила построения такой защиты в целом или ее отдельных компонент.

В качестве механизмов, связывающих законодательные меры с организационными или программно-техническими используются механизмы лицензирования деятельности и сертифицирования автоматизированных систем и используемых в них средств защиты.

Успешность применения описанных механизмов обуславливается наличием развитой нормативной базы, ее знанием и применением теми, кто осуществляет проектирование и построение систем защиты информации, а также наличием решений, сертифицированных в соответствии с действующей нормативной базой.

Сертифицируются защищенные технические, программно-технические, программные средства, системы, сети вычислительной техники и связи, средства защиты и средства контроля эффективности защиты.

Одним из отечественных сертифицированных средств является операционная система (ОС) МСВС. Она представляет собой UNIX-подобную, многозадачную, многопользовательскую, 32-разрядную, сетевую ОС.

Данная операционная система прекрасно подходит для решения офисных, инженерных и узко специализированных задач вроде сетевого управления.

ОС МСВС содержит также средства защиты информации, включающие в себя поддержку многопользовательского режима, детальное разграничение прав доступа к файлам и другим объектам системы, аудит действий пользователей и системных событий, а также восстановление системы после сбоев.

Подобно любому другому сложному программному продукту, эта ОС может содержать ошибки, недоработки и всевозможные «черные ходы», ставящие под угрозу, как ее собственную безопасность, так и безопасность информации, обрабатываемой под ее управлением.

Данная дипломная работа посвящена анализу операционной системы МСВС на предмет наличия уязвимостей, способствующих реализации угроз безопасности обрабатываемой в системе информации и разработке технических решений по устранению выявленных уязвимостей.

1. Постановка задачи и технико-экономическое обоснование темы

1.1 Основные понятия и определения

Введём и определим основные понятия информационной безопасности компьютерных систем:

Под безопасностью АС понимают её защищённость от случайного или преднамеренного вмешательства в нормальный процесс её функционирования, а также попыток хищения, изменения или разрушения её компонентов.

Безопасность (Security) АС достигается принятием мер по обеспечению конфиденциальности и целостности обрабатываемой ею информации, а также доступности и целостности компонентов и ресурсов системы.

Безопасность информации (Information security) — состояние защищенности информации, обрабатываемой средствами вычислительной техники или автоматизированной системы от внутренних или внешних угроз.

Под доступом к информации (Access to information) понимается ознакомление с информацией, её обработка, в частности копирование, модификация или уничтожение информации.

Различают санкционированный и несанкционированный доступ.

Санкционированный доступ к информации (Authorized access to information) — это доступ к информации, не нарушающий установленные правила разграничения доступа.

Правила разграничения доступа служат для регламентации права доступа субъектов доступа к объектам доступа.

Несанкционированный доступ к информации (Unauthorized access to information) — это доступ к информации, нарушающий правила разграничения доступа с использованием штатных средств, предоставляемых средствами вычислительной техники или автоматизированными системами.(под штатными средствами понимается совокупность программного, микропрограммного и технического обеспечения средств вычислительной техники или автоматизированных систем) Защита от несанкционированного доступа (Protection from unauthorized access) — предотвращение или существенное затруднение несанкционированного доступа.

Средство защиты от несанкционированного доступа (Protection facility) — программное, техническое или программно-техническое средство, направленное на предотвращение или существенное затруднение несанкционированного доступа.

Конфиденциальность данных (Sensitive information) — это статус, предоставленный данным и определяющий требуемую им степень защиты.

Субъект доступа (Access subject) — это лицо или процесс, действия которых регламентируются правилами разграничения доступа.

Объект доступа (Access object) — это единица информационного ресурса автоматизированной системы, доступ к которой регламентируется правилами разграничения доступа.

Аутентификация (Authentication) — проверка принадлежности субъекту доступа предъявленного им идентификатора, подтверждение подлинности.

Целостность информации (Information integrity) — это способность средства вычислительной техники или автоматизированной системы обеспечивать неизменность информации в условиях случайного и (или) преднамеренного искажения (разрушения) Целостность компонента или ресурса системы — это свойство компонента или ресурса быть неизменными в семантическом смысле при функционировании системы в условиях случайных или преднамеренных искажений или разрушающих воздействий.

Доступность компонента или ресурса системы — это свойство компонента или ресурса быть доступными для авторизированных пользователей.

Угроза (Treat) — совокупность условий и факторов, которые могут стать причиной нарушения целостности, доступности, конфиденциальности информации.

Уязвимость (Vulnerability) — слабость в системе защиты, которая делает возможным реализацию угрозы.

Атака на компьютерную систему — это действие, предпринимаемое злоумышленником, которое заключается в поиске и использовании той или иной уязвимости системы.

Безопасная или защищённая система — это система со средствами защиты, которые успешно противостоят угрозам безопасности.

Комплекс средств защиты (Trusted computing base) — совокупность программных и технических средств, создаваемая и поддерживаемая для обеспечения защиты средств вычислительной техники или автоматизированных систем от несанкционированного доступа к информации.

1.2 Проблема защиты информации

В связи с бурным развитием информационных технологий в настоящее время жизнь многих людей все больше зависит от работы компьютерных информационных систем и систем автоматизированного управления различными объектами. Для нормального функционирования подобные системы должны быть защищены от разного рода внешних и внутренних воздействий, которые могли бы привести к потере или искажению обрабатываемой и управляющей информации, а также к модификации самих систем. Одним из важнейших направлений в обеспечении надежной и безопасной работы является разработка методов и средств защиты программного обеспечения и данных от различных угроз.

Проблема защиты информации в АСОИ, с момента формулирования в середине 70-х годов до современного состояния прошла длительный и во многом противоречивый путь. Первоначально существовали два направления решения задачи поддержания конфиденциальности: использование криптографических методов защиты информации в средах передачи и хранения данных и программно-техническое разграничение доступа к данным и ресурсам вычислительных систем.

Позднее с появлением тенденции к распределенной обработке информации классический подход к организации разделения ресурсов и классические криптографические протоколы начинают постепенно исчерпывать себя и эволюционировать. На первое место выходят проблемы аутентификации взаимодействующих элементов АСОИ, а также способы управления криптографическими механизмами в распределенных системах. При этом начинается разделения проблематики собственно средств защиты (включая криптографические средства, средства контроля доступа и др.) и средств обеспечения их корректной работы.

Затем возникает ряд моделей защиты, основанных на декомпозиции автоматизированной системы обработки информации на субъекты и объекты, модели Белла — Лападула (Bell-LaPadula), модель Take-Grant и т. д. В данных моделях ставятся и исследуются вопросы взаимодействия элементов системы с заданными свойствами. Целью анализа и последующей реализации модели является именно достижение таких свойств системы, как конфиденциальность и доступность.

Как правило, та или иная модель безопасности исходит из априорной технологии работы с объектами (полномочное управление моделирует структуру секретного делопроизводства), которая может быть формализована и обоснована. При практической реализации данных моделей в конкретных АСОИ встал вопрос о гарантиях выполнения их свойств (фактически это выполнение условий тех или иных утверждений, обосновывающих свойства формализованной модели). В связи с этим в литературе формулируется понятие доверенной (достоверной) вычислительной базы (англ. Trusted Computing Base), гарантирующей свойства системы.

Проблематика защиты информации разделяется на несколько направлений: формулирование и изучение свойств теоретических моделей безопасности АСОИ, анализ моделей безопасного взаимодействия, рассматривающих различные аспекты криптографической защиты, теория создания качественных программных продуктов.

На сегодняшний день такое положение продолжает сохраняться, «лавинообразное» появление новых программных продуктов порождает определенный кризис в решении практических вопросов при проектировании систем защиты.

Необходимо также упомянуть о том, что существующая методология проектирования защищенной системы представляет собой итеративный процесс устранения найденных слабостей, некорректностей и неисправностей. Причем зачастую ряд злоумышленных действий не блокируется принципиально — противодействие данным угрозам выводится в область организационно-технических мер, что означает отказ от рассмотрения как конкретных угроз, так и целых их классов.

1.3 Защита информации от НСД в ОС

Довольно часто нанесение ущерба безопасности рассматривают в контексте осуществления несанкционированного доступа (НСД) к системе.

Понятие НСД является одним из центральных в круге проблем, связанных с построением методов и систем защиты программ и данных. Необходимо отметить многообразие направлений, в которых преднамеренная или непреднамеренная деятельность человека, неисправности технических средств, ошибки программного обеспечения или стихийные бедствия могут привести к утечке, модификации или уничтожению информации.

Прежде чем начинать разговор об организации защиты информации в операционных системах, нужно определить круг угроз, от которых необходимо защищаться. Угрозы безопасности операционной системы существенно зависят от условий эксплуатации системы, от того, какая информация хранится и обрабатывается в системе и т. д.

Например, если операционная система используется глав-ным образом для организации электронного документооборота, наиболее опасными являются угрозы, связанные с несанкционированным доступом к файлам. Если же операционная система используется как платформа для Internet-услуг, наиболее опасны атаки на сетевое программное обеспечение операционной системы. Организация эффективной и надежной защиты операционной системы невозможна без предварительного анализа возможных угроз ее безопасности.

Единой и общепринятой классификации угроз безопасности операционных систем пока не существует. Однако можно классифицировать эти угрозы по различным аспектам их реализации. Ниже перечисляется несколько таких классификаций.

По цели реализации угрозы:

несанкционированное чтение информации;

несанкционированное изменение информации;

несанкционированное уничтожение информации;

полное или частичное разрушение операционной системы.

Под разрушением операционной системы понимается целый комплекс разрушающих воздействий от кратковременного вывода из строя «завешивания» отдельных программных модулей системы до физического стирания с диска системных файлов.

По принципу воздействия на операционную систему:

используя известные, легальные каналы получения информации (угроза несанкционированного чтения файла, доступ пользователей к которому определен некорректно — разрешен доступ пользователю, которому, согласно адекватной политике безопасности, доступ должен быть запрещен).

используя скрытые каналы получения информации (угроза использования злоумышленником недокументированных возможностей операционной системы).

создавая новые каналы получения информации с помощью программных закладок.

По характеру воздействия на операционную систему:

активное воздействие — несанкционированные действия злоумышленника и системе;

пассивное воздействие — несанкционированное наблюдение злоумышленника за процессами, происходящими в системе.

По типу используемой слабости защиты:

используя неадекватную политику безопасности, в том числе ошибки администратора системы;

используя ошибки и недокументированные возможности программного обеспечения операционной системы, в том числе и так называемые люки случайно или преднамеренно встроенные в систему «служебные входы», позволяющие обходить систему защиты;

используя ранее внедренную программную закладку.

По способу воздействия на объект атаки:

непосредственное воздействие;

превышение пользователем своих полномочий;

работа от имени другого пользователя;

использование результатов работы другого пользователя (например, несанкционированный перехват информационных потоков, инициированных другим пользователем).

По способу действий злоумышленника:

в интерактивном режиме (вручную);

в пакетном режиме (с помощью специально написанной программы, которая выполняет негативные воздействия на операционную систему без непосредственного участия пользователя — злоумышленника).

По объекту атаки:

операционная система в целом;

объекты операционной системы (файлы, устройства и т. д.);

субъекты операционной системы (пользователи, системные процессы и т. д.);

каналы передачи данных.

По используемым средствам атаки:

внутренними средствами операционной системы без использования дополнительного программного обеспечения;

программным обеспечением третьих фирм, специально разработанным программным обеспечением.

По состоянию атакуемого объекта операционной системы на момент атаки:

хранение;

передача;

обработка.

1.4 Общие принципы построения безопасных информационных систем

В настоящее время практически во всех предприятиях и учреждениях существует необходимость защиты информации и разграничения доступа к компьютеру и его ресурсам. Такие задачи решаются защищёнными операционными системами. Определим понятие защищенной операционной системы.

Мы будем называть операционную систему защищенной, если она предусматривает средства защиты от основных классов угроз безопасности. Защищенная операционная система обязательно должна содержать средства разграничения доступа пользователей к своим ресурсам, а также средства проверки подлинности пользователя, начинающею работу с операционной системой. Кроме того, защищенная операционная система должна содержать средства противодействия случайному или преднамеренному выводу операционной системы из строя.

Если операционная система предусматривает защиту не от всех основных классов угроз, а только от некоторых, такую операционную систему мы будем называть частично защищенной.

Современная информационная система представляет собой сложную структуру из пользовательских приложений, работающих во взаимодействии с различными ОС, установленными на компьютерах, объединённых в локальную сеть, часто связанную, тем или иным образом с сегментом глобальной сети. Обеспечение безопасности такой системы требует проведения целого комплекса мероприятий в соответствии с разработанной политикой безопасности. Говоря о безопасности ИС необходимо учитывать следующие требования.

Никакая ИС не будет удовлетворительно защищена без продуманного плана построения такой защиты и продуманной политики безопасности. При этом программно-технические средства защиты должны рассматриваться как один из компонентов, наряду с правовыми, административными, физическими мерами. Каким-либо одним из перечисленных компонентов защитить систему невозможно.

При проектировании защиты ИС необходим анализ рисков, существующих для данной ИС.

Система информационной безопасности должна строится по принципу разумной достаточности, так — как мероприятия по обеспечению безопасности в определённой степени осложняют жизнь пользователям ИС, уменьшают эффективность работы людей и компьютеров.

Хотя встроенные средства обеспечения безопасности ОС могут и должны применяться для защиты ИС в целом, в силу своей специфики их необходимо дополнить в соответствии с требованиями конкретной конфигурации.

Необходимо отдавать себе отчёт в том, что в хорошей системе риск информационных потерь минимизирован, но не исключён.

При обеспечении информационной безопасности должна учитываться не только вероятность нарушения какого-либо из аспектов безопасности, но и вероятность выхода из строя каких либо узлов ИС.

Невозможно анализировать безопасность ИС без рассмотрения её структуры.

Рис. 1.1 — Структура ИС Внешний уровень определяет взаимодействие ИС с глобальными ресурсами и системами. Функционально этот уровень характеризуется главным образом сетевыми средствами. На этом уровне должны отсекаться как попытки внешних, так и внутренних пользователей соответственно по несанкционированному доступу и выдаче информации.

Сетевой уровень связан с доступом к информационным ресурсам внутри локальной сети. Безопасность информации на этом уровне обеспечивается средствами проверки подлинности пользователей и разграничение доступа к ресурсам локальной сети (аутентификация и авторизация).

Системный уровень связан с управлением доступа к ресурсам ОС. Защите системных ресурсов должно уделяться особое внимание, поскольку несанкционированный доступ к ним может сделать бессмысленным прочие меры безопасности.

1.5 Стандарты защищенности и адекватная политика безопасности

Если операционная система сертифицирована по некоторому классу защищенности; некоторой системы стандартов, это вовсе не означает, что информация, хранящаяся и обрабатывающаяся в этой системе, защищена согласно соответствующему классу. Защищенность операционной системы определяется не только ее архитектурой, но и текущей политикой безопасности.

Как правило, сертификация операционной системы по некоторому классу защиты сопровождается составлением требований к адекватной политике безопасности, при неукоснительном выполнении которой защищенность конкретного экземпляра операционной системы будет соответствовать требованиям соответствующего класса защиты.

1.6 Компьютерные преступления

История компьютерных преступлений досталась России в наследство от Советского Союза. Рубеж 80−90х годов показал, что компьютерные преступления перестали быть столь далёкими и эфемерными. На сегодняшний день в стране наблюдается постоянный рост числа компьютерных преступлений и мошенничества с применением новейших информационных технологий. С 1999 года появилась устойчивая тенденция ежегодного увеличения числа таких преступлений на 25−30%. Поражает широта и разнообразие применения компьютерной техники при осуществлении этих преступлениях.

По оценке Комитета ООН по борьбе с преступностью, компьютерные правонарушения вышли на первое место в списке международных проблем.

Компьютерные преступления обычно происходят специфически тихо, без шумихи и выстрелов. Так, например, даже за рубежом, где накоплена достаточно большая и достоверная статистика, до суда доходят меньше 1% нарушений. Это объясняется технической сложностью раскрытия компьютерных преступлений и нежеланием организаций «выносить сор из избы». При этом следует помнить, что, по утверждению специалистов, ревизия в состоянии выявить не более 10% электронных хищений.

Все эти факты указывают на комплексность и многогранность проблемы защиты информации. Угроза защищаемым данным может исходить как от многоопытного профессионала в области компьютерных технологий, так и от человека, весьма далекого от понимания сути процессов, происходящих в вычислительных системах, который случайно обнаружил «лазейку» в системе безопасности и пользуется ею.

Современное общество, уже предпринимает серьёзные попытки защитить свою финансовую и информационную собственность. Ведётся грамотная внутригосударственная политика по решению существующих проблем в компьютерной безопасности и предотвращению будущих. С поддержкой государства, создаются современные инфраструктуры и разрабатываются комплексы мер по обеспечению безопасности и защиты информации.

Даже в наши дни во многих случаях компании начинают принимать меры по обеспечению защиты важной информации только тогда, когда убытки, нанесенные компьютерными преступлениями, становятся ощутимыми. При этом обычно перед спешно созданной службой информационной безопасности ставится практически невыполнимая задача — обеспечить максимальную безопасность информации при условии сохранения прежнего режима функционирования имеющихся программных и аппаратных средств, и все это в предельно сжатые сроки.

Другой, более правильный подход к построению системы защиты информации состоит в том, что информационная система изначально проектируется как защищенная, с учетом важности обрабатываемых в ней данных и возможных угроз безопасности. В таком случае, в отличие от предыдущего варианта, средства защиты информации используются на всех уровнях функционирования системы, начиная с самого нижнего (вплоть до аппаратного) и заканчивая самым верхним уровнем. Реализация данного подхода гораздо сложнее, чем предыдущего, требует комплексного анализа и детальной проработки, но зато она обеспечивает наибольшую степень безопасности защищаемой информационной системы.

1.7 Экономический эффект

Сегодня уже ни у кого не вызывает сомнений сам факт необходимости защиты информации. При этом автоматически возникает вопрос о количестве ассигнований, выделяемых для обеспечения эффективной защиты, и соизмеримости эффекта от сделанных вложений. В силу особенностей самой проблем обеспечения безопасности, а тем более защиты информации, точно ответить на этот вопрос практически невозможно.

Главная особенность состоит в том, что производится защита от потенциальных угроз, которые могут реализоваться, а могут и не реализоваться. Выделять же финансовые средства на обеспечение защиты приходится постоянно, независимо от того, потребовалось ли в данном периоде времени отражать атаки злоумышленников или нет. В общих чертах это напоминает ситуацию с выделением средств на страхование имущества.

Если современное общество чему-нибудь и научилось за последние несколько лет, так это тому, что ошибки в компьютерной безопасности нельзя устранить до конца. Утопией является само существование абсолютно безопасной и защищенной системы. Можно лишь снизить риск возможной реализации угроз до приемлемого уровня. Поэтому для определения объема средств, выделяемых на обеспечение защиты информации, в большинстве случаев приходится руководствоваться не принципом достижения максимальной защищенности, а выбирать оптимальное соотношение финансовых затрат и риска реализации угроз, которое определяется сугубо индивидуально для каждого предприятия.

Безопасность — это процесс, а не продукт. Продукты обеспечивают некоторую защиту, но для любой организации единственным способом заниматься своей деятельностью в данном мире, полном опасностей, является организация своей защиты с учетом того, что в продуктах всегда имеются ошибки безопасности. Главная идея заключается в том, чтобы уменьшить риск независимо от, того какими продуктами вы пользуетесь, и какие исправления в них установлены.

Многие пессимистически относятся к будущему компьютерной безопасности. Компьютеры всё усложняются, а сложность — это проклятие для безопасности. Если вы не можете полностью, на 100%, защититься от угроз, то вы обязаны максимально уменьшать риск.

Чтобы перейти от абстрактных понятий к реальным цифрам, обычно используют метод сопоставления затрат на создание и поддержание системы защиты информации и потерь от возможных действий злоумышленников.

Летом 1999 года было совершено проникновение в электронную систему Пермского отделения Сбербанка России. Было похищено 1,5 млрд. рублей. Данное преступление было совершено старшим инженером, исполняющим функции администратора безопасности системы расчётов по пластиковым картам Сбербанка России. Преступление было совершено с помощью программного средства, позволяющего делать безадресное зачисление средств. При подключении через модем по телефонной сети, программа автоматически, без участия оператора, при помощи средств идентификации вносила изменения в таблицу остатков на счетах с известными номерами. После отражения денежных изменений на пластиковые карты через банкомат программа приводила таблицу в первоначальный вид.

В начале этого года в городе Зеленограде Московской области преступниками было совершено покушение на хищение 2 млрд. рублей путём несанкционированного доступа в банковскую систему передачи платёжных документов. Членам организованной преступной группы удалось перехватить электронное платёжное поручение, направленное из отделения Сбербанка России в его Центральное операционное управление, о перечислении через «Автобанк» некоторой суммы для АО «Стройинвест». Эта сумма была увеличена преступниками на 2 млрд. рублей, после чего уже фиктивное платёжное поручение было повторно передано с неустановленного следствием места по линии «Инфотел». При попытке снятия денег преступление было пресечено.

Таким образом, убытки, понесённые от компьютерных правонарушений, делают исследования в сфере защиты информации экономически обоснованными, особенно в тех областях, где идет работа с государственной тайной и возможные потери настолько огромны, что с трудом поддаются количественной оценке.

1.8 Защищённая операционная система МСВС

ОС МСВС представляет собой многозадачную, многопользовательскую, полностью 32-разрядную, сетевую ОС, способную работать на различных аппаратных платформах, включая многопроцессорные.

ОС МСВС построена на концепции UNIX — систем, соответственно это влечёт за собой все присущие системам данного типа достоинства и недостатки. Данная операционная система содержит также средства защиты информации, включающие в себя:

Разделение памяти на области системных и пользовательских компонент (системные компоненты находятся в отдельной области памяти, доступ к которой из пользовательской области невозможен).

Изоляция пользовательских программ друг от друга. Каждая программа пользователя выполняется в отдельной области памяти, закрытой для доступа из других программ.

Подсистема управления доступом. Данная система включает в себя подсистемы идентификации, проверки подлинности и контроль доступа субъектов и управления потоками информации.

Подсистема регистрации и учета. Данная система включает в себя подсистемы регистрации и учета входа/выхода субъектов доступа в/из системы (узла сети); запуска/завершения программ и процессов (заданий, задач); доступа программ субъектов доступа к защищаемым файлам, включая их создание и удаление, передачу по линиям и каналам связи; доступа программ субъектов доступа к терминалам, ЭВМ, узлам сети ЭВМ, каналам связи, внешним устройствам ЭВМ, программам, томам, каталогам, файлам, записям, полям записей; изменения полномочий субъектов доступа, создаваемых защищаемых объектов доступа. Учет носителей информации. Очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти ЭВМ и внешних накопителей. Сигнализация попыток нарушения защиты.

Подсистема обеспечения целостности Обеспечение целостности программных средств и обрабатываемой информации. Наличие средств восстановления СЗИ НСД.

Наличие возможности быстрого восстановления системы после сбоев.

При более детальном рассмотрении, выявляются некоторые факты, которые заставляют задуматься об общей безопасности системы:

ОС МСВС содержит обширный набор средств обеспечения безопасности, но далеко не все из них задействованы сразу после установки системы. Поэтому требуется детальное изучение, активизация и конфигурирование данных средств.

Практически любой сложный программный продукт содержит ошибки, и нет оснований, считать, что ОС МСВС является исключением из этого правила.

Нельзя исключать возможность наличия в операционной системе программных закладок и «черных ходов», через которые возможен несанкционированный доступ к защищаемой информации.

Функционирование средств защиты в нормальном режиме может не вызывать нареканий, но неизвестно как поведёт себя ОС в случае возникновения нештатных ситуаций, например, при экстренной перегрузке системы, сбое или нарушении условий нормального функционирования.

Приведенные выше факты требуют детального изучения и исследования. Только после проведения такого исследования можно сделать вывод о степени защищенности ОС МСВС и принять меры, направленные на повышение безопасности системы.

Целью данной дипломной работы является анализ уязвимостей защищаемой информации в автоматизированных системах, функционирующих под управлением ОС МСВС и разработка технических решений по их устранению.

1.9 Технико-экономическое обоснование

Техническое обоснование проведения исследования по данной теме можно показать на следующих фактах:

Анализ структуры, конфигурации и функционирования ОС МСВС уменьшают время на проектирование и построение безопасных систем на базе ОС МСВС;

Анализ механизмов, программных продуктов и их принципов организации защиты информации в ОС МСВС, позволяет сделать выводы по защищённости данной ОС;

Разработанные решения по устранению уязвимостей ОС МСВС, позволяют уменьшить риск НСД к защищаемой информации;

Предложенные варианты построения VPN на базе отечественных сертифицированных продуктов позволяют снизить риск НСД к информации при работе в гетерогенных сетях;

Проведённый анализ уязвимостей даёт возможность построения системы защиты информации на базе ОС МСВС.

Также разработка данной темы приносит и экономическую выгоду, заключающую в следующем:

Уменьшение финансовых затрат на разработку системы защиты информации, построенной на базе ОС МСВС;

Уменьшение финансовых затрат, связанных с настройкой и конфирурированием систем защиты информации, построенной на базе ОС МСВС;

Уменьшение финансовых потерь при организации надлежащей защиты и безопасности коммерческих данных и информации.

2. Определение перечня встроенных механизмов защиты информации в ОС МСВС

2.1 Структура ОС МСВС

ОС МСВС представляет собой UNIX-подобную, многозадачную, многопользовательскую, 32-разрядную, клиент — серверную ОС, способную работать на различных аппаратных платформах, включая многопроцессорные. Рассмотрим состав, структуру и основные принципы функционирования операционной системы МСВС.

Структурно ОС МСВС может быть представлена в виде двух частей: пользовательской части, и ядра.

Операционная система взаимодействует с аппаратурой непосредственно, обеспечивая обслуживание программ и их независимость от деталей аппаратной конфигурации. Если представить систему состоящей из пластов, в ней можно выделить системное ядро, изолированное от пользовательских программ.

Рис. 2.1 — Структура ОС МСВС Поскольку программы не зависят от аппаратуры, их легко переносить из одной системы в другую, функционирующую на другом комплексе технических средств, если только в этих программах не подразумевается работа с конкретным оборудованием.

Общая организация ядра ОС МСВС

Ядро любой операционной системы выполняется в привилегированном режиме и рассматривается как априорно надёжная база для вычислений (Trusted Computing Base), гарантирующая её свойства. Любая ошибка, допущенная на каком-либо из этапов, начиная от проектирования и заканчивая написанием исходного кода, приводит к серьёзным последствиям при использовании данной операционной системы.

Ядро МСВС является модульным. В таком ядре поддержка некоторых устройств реализована непосредственно в составе ядра, а некоторых в виде загружаемых модулей. Модульная структура позволяет задействовать минимальный объем оперативной памяти. Обратной стороной медали являются накладные расходы на первоначальную загрузку модулей.

Вся операционная система связана иерархией уровней, каждый из которых может взаимодействовать только с непосредственно примыкающим к нему уровнем.

В результате продуманного разделения машинно-зависимых и машинно-независимых компонентов ядра удалось добиться того, что основная часть ядра не зависит от архитектурных особенностей целевой платформы, написана полностью на языке Си и для переноса на новую платформу нуждается только в перекомпиляции.

Введение

в архитектуру ядра ОС МСВС

На рис. 2.2 представлена блок-схема ядра системы, отражающая состав модулей, из которых состоит ядро, и их взаимосвязи друг с другом.

В частности, на схеме слева изображена файловая подсистема, а справа подсистема управления процессами, две главные компоненты ядра.

Рис. 2.2 — Архитектура ядра ОС МСВС Рисунок 2.2 имеет три уровня: уровень пользователя, уровень ядра и уровень аппаратуры. Обращения к операционной системе и библиотеки составляют границу между пользовательскими программами и ядром. Программы часто обращаются к библиотекам, таким как библиотека стандартных подпрограмм ввода-вывода, достигая тем самым более полного использования системных услуг.

Файловая подсистема управляет файлами, размещает записи файлов, управляет свободным пространством, доступом к файлам и поиском данных для пользователей. Процессы взаимодействуют с подсистемой управления файлами, используя при этом совокупность специальных обращений к операционной системе. Подсистема управления файлами обращается к данным, которые хранятся в файле, используя буферный механизм, управляющий потоком данных между ядром и устройствами внешней памяти. Буферный механизм, взаимодействуя с драйверами устройств ввода-вывода блоками, инициирует передачу данных к ядру и обратно.

Совокупность обращений к операционной системе разделена на обращения, которые взаимодействуют с подсистемой управления файлами, и те, которые взаимодействуют с подсистемой управления процессами.

Драйверы устройств являются такими модулями в составе ядра, которые управляют работой периферийных устройств. Устройства блочного ввода-вывода относятся типу запоминающих устройств с произвольной выборкой. К устройствам символьного ввода-вывода, относятся устройства, отличные от устройств ввода-вывода блоками. Подсистема управления файлами также непосредственно взаимодействует с драйверами устройств символьного ввода-вывода, без вмешательства буферного механизма.

Подсистема управления процессами отвечает за синхронизацию процессов, взаимодействие процессов, распределение памяти и планирование выполнения процессов. Подсистема управления файлами и подсистема управления процессами взаимодействуют между собой, когда файл загружается в память на выполнение: подсистема управления процессами читает в память исполняемые файлы перед тем, как их выполнить. Модуль распределения памяти контролирует выделение памяти процессам. Если в какой-то момент система испытывает недостаток в физической памяти для запуска всех процессов, ядро пересылает процессы между основной и внешней памятью с тем, чтобы все процессы имели возможность выполняться. Существуют два способа управления распределением памяти: выгрузка (подкачка) и замещение страниц. Программу подкачки иногда называют планировщиком, т.к. она «планирует» выделение памяти процессам и оказывает влияние на работу планировщика центрального процессора. Модуль «планировщик» распределяет между процессами время центрального процессора. Он планирует очередность выполнения процессов до тех пор, пока они добровольно не освободят центральный процессор, дождавшись выделения какого-либо ресурса, или до тех пор, пока ядро системы не выгрузит их после того, как их время выполнения превысит заранее определенный квант времени. Планировщик выбирает на выполнение готовый к запуску процесс с наивысшим приоритетом; выполнение предыдущего процесса (приостановленного) будет продолжено тогда, когда его приоритет будет наивысшим среди приоритетов всех готовых к запуску процессов. Существует несколько форм взаимодействия процессов между собой, от асинхронного обмена сигналами о событиях до синхронного обмена сообщениями.

Наконец, аппаратный контроль (уровень аппаратных абстракций) отвечает за обработку прерываний и за связь с машиной. Такие устройства, как диски и терминалы, могут прерывать работу центрального процессора во время выполнения процесса. При этом ядро системы после обработки прерывания может возобновить выполнение прерванного процесса. Прерывания обрабатываются не самими процессами, а специальными функциями ядра системы, перечисленными в контексте выполняемого процесса.

Функции ядра ОС МСВС

К основным функциям ядра ОС МСВС принято относить следующие:

Инициализация системы.

Управление процессами и нитями — функция создания, завершения и отслеживания существующих процессов и нитей («процессов», выполняемых на общей виртуальной памяти).

Поскольку ОС UNIX является мультипроцессорной операционной системой, ядро обеспечивает разделение между запущенными процессами времени процессора (или процессоров в мультипроцессорных системах) и других ресурсов компьютера.

Управление памятью — функция отображения виртуальной памяти процессов в физическую оперативную память компьютера, которая имеет ограниченные размеры. Соответствующий компонент ядра обеспечивает разделяемое использование одних и тех же областей оперативной памяти несколькими процессами с использованием внешней памяти.

Управление файлами — функция, реализующая абстракцию файловой системы.

Коммуникационные средства — функция, обеспечивающая возможности обмена данными между процессами, выполняющимися внутри одного компьютера IPC (Inter-Process Communications), между процессами, выполняющимися в разных узлах локальной или глобальной сети передачи данных, а также между процессами и драйверами внешних устройств.

Программный интерфейс — функция, обеспечивающая доступ к возможностям ядра со стороны пользовательских процессов на основе механизма системных вызовов, оформленных в виде библиотеки функций.

Подгружаемые модули ядра В ОС МСВС по требованию к ядру подгружаются некоторые модули (по требованию, т. е. не раньше, чем они действительно потребуются), что сокращает время начальной загрузки и экономит оперативная память.

Процессы и потоки управления ОС МСВС — многопользовательская система, и программы, запускаемые разными пользователями, должны быть надежно изолированы друг от друга, чтобы случайно не исказить «чужие» данные. Эта изоляция обеспечена тем, что программа пользователя исполняется в рамках некоторого процесса, развивающегося в собственном виртуальном адресном пространстве.

Unix — подобные ОС базируется на двух основных понятиях: процесс и файл. Процессы являют собой динамическую сторону системы, это субьекты; а файлы — статическую, это обьекты действия процессов. Почти весь интерфейс взаимодействия процессов с ядром и друг с другом выглядит как запись/чтение файлов.

Процессы нельзя путать с программами — одна программа, как правило с различными данными, может выполняться в разных процессах. Процессы можно весьма условно разделить на два типа — задачи и демоны. Задача — это процесс, который выполняет свою работу, и по окончании её выполнения завершиться. Демон ждет событий, которые он должен обработать, обрабатывает произошедшие события и снова ждет; завершается он как правило по приказу другого процесса.

Что находится в оперативной памяти Ядро операционной системы.

Процессы.

Буферный кэш.

Часть оперативной памяти резервируется под кэширование чтения и записи на диск. Любая операция чтения с диска приводит к тому, что прочитанные с блоки помещаются в буферный кэш, а из него уже передаются запросившим данные программам. Если блок попал в кэш, то все последующие обращения к нему будут получать образ блока из кэша, причем не зависимо, от того — та же самая программа, обращается к блоку, или какая-либо другая. Кэшируется так же и запись на диск, опять же, разделяемая между всеми выполняемыми программами.

ОС МСВС поддерживает возможность параллельного или квазипараллельного, в случае наличия только одного аппаратного процессора, выполнения нескольких пользовательских программ. Каждому такому выполнению соответствует процесс операционной системы. Каждый процесс выполняется в собственной виртуальной памяти, и, тем самым, процессы защищены один от другого, т. е. один процесс не в состоянии неконтролируемым образом прочитать что-либо из памяти другого процесса или записать в нее. Однако контролируемые взаимодействия процессов допускаются системой, в том числе за счет возможности разделения одного сегмента памяти между виртуальной памятью нескольких процессов.

Конечно, существенно более важно защищать саму операционную систему от возможности ее повреждения, каким бы то ни было, пользовательским процессом. В ОС МСВС это достигается за счет того, что ядро системы работает в собственном «ядерном» виртуальном пространстве, к которому не может иметь доступа ни один пользовательский процесс.

Понятие нити

В ядре ОС МСВС существует механизм легковесных процессов light-weight processes, или нитей (потоков) управления threads. Нить — это процесс, выполняющийся в виртуальной памяти, используемой совместно с другими нитями того же «тяжеловесного» (т.е. обладающего отдельной виртуальной памятью) процесса.

В ОС МСВС понятие процесса жестко связано с понятием отдельной и недоступной для других процессов виртуальной памяти. Каждый процесс был защищен ядром операционной системы от неконтролируемого вмешательства других процессов.

Связывание процесса с виртуальной памятью порождает некоторые проблемы. Если с каждым процессом связана отдельная виртуальная память, то смена контекста процессора, т. е. его переключение с выполнения одного процесса на выполнение другого процесса является относительно дорогостоящей операцией.

Что же понимается под нитью? Это независимый поток управления, выполняемый в контексте некоторого процесса. Фактически, понятие контекста процесса, изменяется следующим образом. Все, что не относится к потоку управления: виртуальная память, дескрипторы открытых файлов и т. д., остается в общем контексте процесса. Вещи, которые характерны для потока управления: регистровый контекст, стеки разного уровня и т. д., переходят из контекста процесса в контекст нити. Общая картина показана на рисунке Рис. 2.3 — Соотношение контекста процесса и контекстов нитей Как видно из рисунка, все нити процесса выполняются в его контексте, но каждая нить имеет свой собственный контекст. Контекст нити, как и контекст процесса, состоит из пользовательской и ядерной составляющих. Пользовательская составляющая контекста нити включает индивидуальный стек нити. Поскольку нити одного процесса выполняются в общей виртуальной памяти, все нити процесса имеют равные права доступа к любым частям виртуальной памяти процесса. Стек (сегмент стека) любой нити процесса в принципе не защищен от произвольного (например, по причине ошибки) доступа со стороны других нитей.

Виртуальная память

Основным идеей распределения виртуальной памяти в ОС МСВС является обеспечение защиты пользовательских программ друг от друга и предоставление операционной системе возможности динамически гибко перераспределять основную память между одновременно поддерживаемыми пользовательскими процессами.

Каждый процесс функционирует в своем собственном виртуальном адресном пространстве, не пересекающемся с другими. Адресное пространство процесса может быть большим, чем физическая оперативная память.

Идея механизма виртуальной памяти ОС МСВС состоит в том, что адрес памяти, вырабатываемый командой, интерпретируется аппаратурой не как реальный адрес некоторого элемента основной памяти, а как некоторая структура, разные поля которой обрабатываются разным образом.

Виртуальная память (виртуальная память каждого процесса) и физическая основная память представляются состоящими из наборов блоков или страниц одинакового размера. Для удобства реализации размер страницы всегда выбирается равным числу, являющемуся степенью 2. Тогда, если общая длина виртуального адреса есть N (это всегда степень 2 — 16, 32, 64), а размер страницы есть 2M), то виртуальный адрес рассматривается как структура, состоящая из двух полей: первое поле задает номер страницы виртуальной памяти, второе поле задает смещение внутри страницы до адресуемого элемента памяти (в большинстве случаев — байта).

Область памяти, занятая программой разделена на три части: text (выполняемые коды программы), data (статические данные программы), stack (динамические данные). Когда ОС освобождает место в памяти за счет text’а, то она не занимается сбросом его на диск. Она сразу помечает его как свободный. Действительно, когда потребуется загрузить text обратно в память, его можно будет взять из самого выполняемого файла с программой. Такая экономия имеет побочные эффекты. Первый это потеря быстродействия. Второй состоит в том, что файл программы, которая в данный момент выполняется, невозможно уничтожить. Операционная система сообщит в этом случае: «text file busy», и откажется выполнять удаление.

Виртуальная память поддерживается с помощью paging’а — разрешения виртуальных адресов в физические, с подкачкой отсутствующих страниц памяти со swap-области на жестком диске. Swaping’а как такового в ОС МСВС нет, вместо него применяется гораздо более гибкий paging. Swaping — по определению, это полная выгрузка программы на swap-область с целью освобождения места в оперативной памяти.

Введение

подобной модели организации виртуальной памяти и тщательное продумывание связи аппаратно-независимой и аппаратно-зависимой частей подсистемы управления виртуальной памятью позволило добиться того, что обращения к памяти, не требующие вмешательства операционной системы, производятся, как и полагается, напрямую с использованием конкретных аппаратных средств. Вместе с тем, все наиболее ответственные действия операционной системы, связанные с управлением виртуальной памятью, выполняются в аппаратно-независимой части с необходимыми взаимодействиями с аппаратно-зависимой частью.

Принципы организации многопользовательского режима

Основной проблемой организации многопользовательского, правильнее было бы сказать, мультипрограммного режима, в любой операционной системе является организация планирования параллельного выполнения нескольких процессов. Операционная система должна обладать четкими критериями для определения того, какому готовому к выполнению процессу и когда предоставить ресурс процессора.

При переключении задач, которое производится по сигналам системного таймера, состояние текущей выполняющейся задачи сохраняется в специальной области памяти, затем из очереди готовых к выполнению задач по специальному алгоритму выбирается имеющая наиболее высокий приоритет, восстанавливается ее состояние и задача запускается на выполнение. Все эти действия выполняются за определенное время, поэтому частое переключение задач негативно сказывается на общем быстродействии системы.

2.2 Основные принципы защиты ОС МСВС

Поскольку ОС МСВС является многопользовательской операционной системой, в ней всегда будет актуальна проблема авторизации доступа различных пользователей к файлам файловой системы. Под авторизацией доступа мы понимаем действия системы, которые допускают или не допускают доступ данного пользователя к данному файлу в зависимости от прав доступа пользователя и ограничений доступа, установленных для файла.

Идентификаторы пользователя и группы пользователей

С каждым выполняемым процессом в ОС МСВС связываются реальный идентификатор пользователя (real user ID), действующий идентификатор пользователя (effective user ID) и сохраненный идентификатор пользователя (saved user ID). Все эти идентификаторы устанавливаются с помощью системного вызова setuid, который можно выполнять только в режиме суперпользователя. Аналогично, с каждым процессом связываются три идентификатора группы пользователей — real group ID, effective group ID и saved group ID. Эти идентификаторы устанавливаются привилегированным системным вызовом setgid.