Презентация "Безопасность уровня операционных систем (узлов)" - скачать презентации по Информатике

Рассматриваемые темы

Тема 16. Проблемы обеспечения безопасности сетевых ОС
Тема 17. Анализ защищённости

Проблемы обеспечения безопасности сетевых
операционных систем

Раздел 3 – Тема 16

Корпоративная сеть

Внутренние серверы

Рабочие места

МЭ

Уровень ОС

ПРИЛОЖЕНИЯ

СУБД

ОС

СЕТЕВЫЕ СЛУЖБЫ

ПОЛЬЗОВАТЕЛИ

Причины возникновения уязвимостей ОС

ошибки проектирования (компонент ядра, подсистем)
ошибки реализации (кода)
ошибки

Ошибки проектирования

Ошибки, допущенные при
проектировании алгоритмов и принципов
работы компонент ядра,

Ошибки реализации

int i, offset=OFFSET;
if (argv[1] != NULL)
offset = atoi(argv[1]);
buff = malloc(BSIZE);
egg

Ошибки реализации

Переполнение буфера – наиболее распространённая техника использования ошибок реализации

Переполнение буфера

Исправление ошибок реализации

Проблема аутентификации обновлений

Производитель ПО

Клиент

Исправление ошибок реализации

Проблема аутентификации обновлений

Цифровая подпись не используется вообще
Нет

Аутентификация обновлений

Использование отозванных сертификатов Sun Microsystems (CERT® Advisory CA-2000-19)

Исправление ошибок реализации

Способы получения обновлений

PGP (GnuPG)
HTTPS
SSH

Ошибки обслуживания

Ошибки использования встроенных в ОС
механизмов защиты

Защитные механизмы

идентификация и аутентификация
разграничение доступа (и авторизация)
регистрация событий

Субъекты и объекты

Субъекты и объекты

Объект доступа - пассивная сущность операционной системы (файл, каталог,

Пример субъекта доступа

Субъект доступа = Маркер безопасного доступа + Процесс (поток)

Субъект

Субъект доступа

Процесс

Субъект доступа в Linux

В роли субъектов доступа в Linux выступают

Идентификация и аутентификация

Идентификация (субъекта или объекта): 1) именование (присвоение имен-идентификаторов); 2) опознавание

Сетевая аутентификация

Передача пароля в открытом виде
Передача хэша пароля
Механизм

Сетевая аутентификация

Клиент

Сервер

Механизм «запрос/отклик»

Запрос пароля

Зашифрованный запрос

Установление связи

Аналогичная операция и сравнение

Уязвимости аутентификации (по паролю)

Возможность перехвата и повторного использования пароля (получение доступа к

Сетевая аутентификация

Предсказуемый запрос

f(t)=k*t+c

Сервер

Запрос на аутентификацию

«Случайный» запрос пароля

…

Сетевая аутентификация

Предсказуемый запрос

f(t)=k*t+c

Запрос пароля от
имени сервера

Отклик

Сервер

Клиент

Имя – user1

Сетевая аутентификация

Предсказуемый запрос

f(t)=k*t+c

Сервер

Запрос на аутентификацию

«Случайный» запрос пароля

Совпал
с предсказанным

Полученный ранее от

Разграничение доступа

Разграничение доступа

избирательное управление доступом
полномочное управление доступом

Разграничение доступа

Диспетчер доступа

Субъект доступа

Объект доступа

Правила разграничения доступа

Журнал регистрации

Разграничение доступа

Диспетчер доступа
(Security reference monitor)

Режим ядра

Режим пользователя

Процесс
пользователя

Матрица избирательного управления доступом

объекты

субъекты

1

2

J

N

1

I

2

...

...

...

...

K

RW

RW

-

RWX

R

J+1

-

R

Права доступа
i-го субъекта к j-му объекту

Списки управления доступом в Windows NT (NTFS)

-

R-Х

R-

RWХ

C:\Program Files

Реализация матрицы доступа «по

Списки управления доступом в UNIX

RWX

R-Х

---

/home/www

Владелец Группа Остальные

other

webgroup

alex

Права доступа хранятся в служебной

Полномочное управление доступом

Иерархия меток (грифов) конфиденциальности: «Особой важности» «Совершенно секретно» «Секретно» «Строго конфиденциально» «Конфиденциально»

Неиерархическая система

Механизм регистрации и аудита событий

Диспетчер доступа

Субъект доступа

Объект доступа

Журнал регистрации

Механизм регистрации и аудита событий (Windows NT)

Локальный
администратор
безопасности (LSA)

Журнал
аудита

Монитор безопасности

Система регистрации событий в UNIX

login

telnetd

rlogin

syslogd

/var/log/logins

/var/log/notice

syslog.conf

Контроль целостности

Механизм контроля целостности предназначен для своевременного обнаружения фактов модификации (искажения,

Контроль целостности

Контролируемые ресурсы:
- файлы и каталоги
- элементы реестра
- сектора дисков
Контролируемые параметры:
-

Контроль целостности (Windows 2000)

Подсистема Windows File Protection

Повреждённый системный файл заменяется копией
из

Затирание остаточной информации

Удаление информации с диска
Очистка области памяти

Затирание остаточной информации

Очистка файла подкачки

Hive: HKEY_LOCAL_MACHINE
Key: System\CurrentControlSet\Control\ \Session Manager\Memory Management
Name: ClearPageFileAtShutdown
Type:

Этапы настройки

Отслеживание уязвимостей реализации и установка исправлений;
Настройка параметров субъектов (например, назначение

Политика безопасности и ОС

Политика
безопасности

Другие ОС

UNIX

Windows NT

Общие стандарты

Руководства по настройке

Политика безопасности и ОС

Политика
безопасности

Другие ОС

UNIX

Windows NT

Общие стандарты

Руководства по настройке

Общие рекомендации
по

Структура стандарта BS7799

Политика в области безопасности
Организация системы безопасности

Политика безопасности и ОС

Политика
безопасности

Другие ОС

UNIX

Windows NT

Общие стандарты

Руководства по настройке

Детальные рекомендации
по

NT Security Guidelines

Структура документа
Level 1
Level 2
Level 1 – незначительная модификация установок

Утилиты для настройки

Анализ текущего состояния системы

Автоматизация процесса настройки системы

Утилиты для настройки

C2 Config - Windows NT Resource Kit
Security Configuration Manager

Дополнительные средства

Средства анализа
защищённости

Средства обнаружения и
блокировки вторжений

Дополнительные средства защиты

Дополнительные средства

Дополнительные средства защиты

Средства, расширяющие возможности
встроенных механизмов защиты

Средства, реализующие дополнительные
механизмы

Дополнительные средства

Усиление процедуры аутентификации

Дополнительные требования к паролям
Фильтр passfilt.dll для Windows

Фильтр для паролей

Passfilt.dll

Длина пароля не менее 6 знаков
Обязательные символы

Дополнительные средства

Утилита Passprop

Включение режима усложнения пароля
Управление блокировкой учётной записи

Агенты для различных ОС

Анализ защищенности на уровне операционной системы

Дополнительные средства

Средства обнаружения и
блокировки вторжений

Системы обнаружения атак на базе