Алгоритм Безапосности: издание для профессионалов
Санкт-Петербург:
тел./факс: (812) 331-12-60 office@algoritm.org
Москва:
тел./факс: (499) 641-05-26moscow@algoritm.org

Главная
Новости
О журнале
Архив
Свежий номер
Реклама
Подписка
Контакты
Сотрудничество
 

Если вы хотите стать распространителем нашего журнала

 
 
 
 
 

"Алгоритм Безопасности" № 2, 2017 год.

Содержание

Использование сети Интернет для передачи данных между объектовым и пультовым оборудованием СПИ пунктов централизованной охраны
А.В. Голубев, Ю.В. Иванова, К.В. Колесов


ИСПОЛЬЗОВАНИЕ СЕТИ ИНТЕРНЕТ ДЛЯ ПЕРЕДАЧИ ДАННЫХ МЕЖДУ ОБЪЕКТОВЫМ И ПУЛЬТОВЫМ ОБОРУДОВАНИЕМ СПИ ПУНКТОВ ЦЕНТРАЛИЗОВАННОЙ ОХРАНЫ

Голубев Андрей Вячеславович, Иванова Юлия Валерьевна, Колесов Константин Викторович

ФКУ «НИЦ «Охрана» Росгвардии

В статье рассматривается один из аспектов сетевых угроз, а именно, уязвимости протоколов сетевого взаимодействия при использовании глобальной сети Интернет для передачи данных между объектовым и пультовым оборудованием систем передачи извещений пунктов централизованной охраны и некоторые решения возникающих проблем.

После подключения хотя бы одного канала Интернет для передачи извещений от устройства оконечного объектового (УОО) на пункт централизованной охраны (ПЦО) возникают различные угрозы безопасности локальной вычислительной сети (ЛВС) ПЦО. Эти угрозы обусловлены преднамеренными или непреднамеренными действиями физических лиц, а также криминальных группировок, создающих условия (предпосылки) для нарушения функционирования систем централизованного наблюдения и для нарушения безопасности служебной информации, которые могут привести к ущербу при охране имущества.

Уязвимости протоколов сетевого взаимодействия связаны с особенностями их программной реализации и обусловлены ограничениями на размеры применяемого буфера, недостатками процедуры аутентификации, отсутствием проверок правильности служебной информации и др. Краткая характеристика этих уязвимостей применительно к протоколам приведена в таблице 1.

Для систематизации описания множества уязвимостей используется единая база данных уязвимостей CVE (Common Vulnerabilities and Exposures), в разработке которой принимали участие специалисты многих известных компаний и организаций, таких как MITRE, ISS, Cisco, BindView, Axent, NFR, L-3, CyberSafe, CERT,

Carnegie Mellon University, институт SANS и т. д. Эта база данных постоянно пополняется и используется при формировании баз данных многочисленных программных средств анализа защищенности и, прежде всего, сетевых сканеров.

ОБЩАЯ ХАРАКТЕРИСТИКА УГРОЗ БЕЗОПАСНОСТИ ЛВС ПЦО, РЕАЛИЗУЕМЫХ С ИСПОЛЬЗОВАНИЕМ ПРОТОКОЛОВ МЕЖСЕТЕВОГО ВЗАИМОДЕЙСТВИЯ

Если программный комплекс автоматизированного рабочего места (АРМ) реализован на базе локальной или распределенной информационной системы, подключенной к сетям общего пользования и/или сетям международного информационного обмена, то в ней могут быть реализованы угрозы безопасности информации путем использования протоколов межсетевого взаимодействия. При этом может обеспечиваться несанкционированный доступ к служебной информации или реализовываться угроза отказа в обслуживания.

Можно выделить семь наиболее часто реализуемых в настоящее время угроз.

1. Анализ сетевого трафика (рис. 1).

Эта угроза реализуется с помощью специальной программы-анализатора пакетов (sniffer), перехватывающей все пакеты, передаваемые по сегменту сети, и выделяющей среди них те, в которых передаются телеграммы от УОО к АРМ и от АРМ к УОО. В ходе реализации угрозы нарушитель изучает логику работы системы передачи извещений (СПИ) - то есть стремится получить однозначное соответствие событий, происходящих в СПИ, и команд, пересылаемых при этом хостами, в момент появления данных событий. Под хостами в данном случае понимается компьютер или сервер, а также УОО, подключенный к локальной или глобальной сети. В дальнейшем это позволяет злоумышленнику на основе задания соответствующих команд, например, перехватить поток передаваемых данных, которыми обмениваются компоненты СПИ, для подмены информации или модификации.

Рис. 1. Схема реализации угрозы «Анализ сетевого трафика»

2. Сканирование сети.

Сущность процесса реализации угрозы заключается в передаче запросов сетевым службам хостов ЛВС ПЦО и анализе ответов от них. Цель - выявление используемых протоколов, доступных портов сетевых служб, законов формирования идентификаторов соединений, определение активных сетевых сервисов.

3. Угроза выявления пароля.

Цель реализации угрозы состоит в получении несанкционированного доступа путем преодоления парольной защиты. Злоумышленник может реализовывать угрозу с помощью целого ряда методов, таких как простой перебор, перебор с использованием специальных словарей, установка вредоносной программы для перехвата пароля, подмена доверенного объекта сети (IP-spoofing) и перехват пакетов (sniffing). В основном для реализации угрозы используются специальные программы, которые пытаются получить доступ к хосту путем последовательного подбора паролей. В случае успеха, злоумышленник может создать для себя «проход» для будущего доступа, который будет действовать, даже если на хосте изменить пароль доступа.

Табл. 1. Уязвимости отдельных протоколов стека протоколов TCP/IP, на базе которого функционируют глобальные сети общего пользования

НАИМЕНОВАНИЕ ПРОТОКОЛА

УРОВЕНЬ СТЕКАПРОТОКОЛОВ

НАИМЕНОВАНИЕ (ХАРАКТЕРИСТИКА) УЯЗВИМОСТИ

СОДЕРЖАНИЕ НАРУШЕНИЯ БЕЗОПАСНОСТИ ИНФОРМАЦИИ

FTP (File Transfer Protocol) -протокол передачи файлов по сети

Прикладной, представительный, сеансовый

1. Аутентификация на базе открытого текста (пароли пересылаются в незашифрованном виде).

2. Доступ по умолчанию.

3. Наличие двух открытых портов

Возможность перехвата данных учетной записи (имен зарегистрированных пользователей, паролей). Получение удаленного доступа к хостам

Telnet-протокол управления удаленным терминалом

Прикладной, представительный, сеансовый

Аутентификация на базе открытого текста (пароли пересылаются в незашифрованном виде)

Возможность перехвата данных учетной записи пользователя. Получение удаленного доступа к хостам

UDP-протокол передачи данных без установления соединения

Транспортный

Отсутствие механизма предотвращения перегрузок буфера

Возможность реализации UDP-шторма. В результате обмена пакетами происходит существенное снижение производительности сервера

ARP-протокол

преобразования

IP-адреса

Сетевой

Аутентификация на базе открытого текста (информация пересылается в незашифрованном виде)

Возможность перехвата трафика пользователя злоумышленником

RIP-протокол маршрутной информации

Транспортный

Отсутствие аутентификации управляющих сообщений об изменении маршрута

Возможность перехвата трафика через хост злоумышленника

TCP-протокол

управления

передачей

Транспортный

Отсутствие механизма проверки корректности заполнения служебных заголовков пакета

Существенное снижение скорости обмена и даже полный разрыв произвольных соединений по протоколу TCP

DNS-протокол установления соответствия мнемонических имен и сетевых адресов

Прикладной, представительный, сеансовый

Отсутствие средств проверки аутентификации, полученных данных от источника

Фальсификация ответа DNS-сервера

IGMP-протокол передачи сообщений о маршрутизации

Сетевой

Отсутствие аутентификации сообщений об изменении параметров маршрута

Зависание систем Win 9x, Win 200х и др.

SMTP-протокол обеспечения сервиса доставки сообщений по электронной почте

Прикладной, представительный, сеансовый

Отсутствие поддержки аутентификации заголовков сообщений

Возможность подделывания сообщений электронной почты, а также адреса отправителя сообщения

SNMP-протокол управлениямаршрутизаторами в сетях

Прикладной, представительный, сеансовый

Отсутствие поддержки аутентификации заголовков сообщений

Возможность переполнения пропускной способности сети

4. Подмена доверенного объекта сети (УОО) и передача по каналам связи сообщений от его имени.

Фазы реализации угрозы «Подмена доверенного объекта сети (УОО)»:

а) хост нарушителя X ведет наблюдение за хостами А и В (УОО и компьютер АРМ) и определяет нумерацию пакетов сообщений, идущую от хоста В;

б) хост X посылает на хост А серию TCP-запросов на создание соединения (SYN, ISSx), заполняя тем самым очередь запросов с целью вывести из строя на некоторое время хост А (SYN - бит синхронизации номера последовательности, ISSx - номер последовательности хоста Х);

в) хост А выводится из строя. Хост Х посылает на хост В TCP-запрос на открытие соединения от имени хоста А (SYN, ISSx), при этом передается произвольный номер последовательности ISSx;

г) хост В отвечает на запрос (SYN, АСК, ISSb, ACK (ISSx+1));

д) хост Х посылает на хост В пакет ACK (ISSb+1), в котором указывает подобранный номер ISSb+1. Отсутствует сообщение о разрыве TCP-соединения от выведенного из строя УО (пакет с заполненным служебным заголовком RST).

Такая угроза эффективно реализуется в системах, где применяются нестойкие алгоритмы идентификации и аутентификации хостов, пользователей и т. д. Под доверенным объектом понимается УОО - устройство оконечное объектовое, легально подключенное к серверу.

Могут быть выделены две разновидности процесса реализации указанной угрозы: с установлением и без установления виртуального соединения.

Процесс реализации с установлением виртуального соединения состоит в присвоении прав УОО, что позволяет нарушителю вести сеанс работы с АРМ от имени УОО.

Реализация угрозы данного типа требует преодоления системы идентификации и аутентификации сообщений (например, атака rsh-службы UNIX-хоста).

Процесс реализации угрозы без установления виртуального соединения может иметь место в сетях, осуществляющих идентификацию передаваемых сообщений только по сетевому адресу отправителя. Сущность заключается в передаче служебных сообщений от имени сетевых управляющих устройств (например, от имени маршрутизаторов) об изменении маршрутно-адресных данных.

В результате реализации угрозы нарушитель получает права доступа, установленные для УОО, к техническому средству ЛВС ПЦО - цели угроз.

Рис. 2. Схема реализации угрозы «Внедрение ложного ARP-сервера»

Рис. 3. Схема реализации угрозы «Внедрение ложного DNS-сервера» путем перехвата DNS-запроса

5. Навязывание ложного маршрута сети.

Фазы реализации угрозы «Навязывание ложного маршрута» (внутрисегментное) с использованием протокола ICMP с целью нарушения связи:

а) передача нарушителем на хост 1 (АРМ) ложного сообщения по протоколу ICMP Redirect об изменении таблицы маршрутизации;

б) пакеты на УОО направляются на несуществующий маршрутизатор (хост 2), а следовательно, связь с УОО нарушается. Фазы реализации угрозы «Навязывание ложного маршрута» (межсегментное) с с целью перехвата трафика:

а) передача нарушителем ложного сообщения по протоколу ICMP Redirect от имени маршрутизатора на хост 1 (АРМ);

б) хост 1 передает пакеты, предназначенные УОО, на хост атакующего. Атакующий от имени хоста 1 передает пакеты на УОО.

Данная угроза реализуется одним из двух способов: путем внутрисегментного или межсегментного навязывания. Возможность навязывания ложного маршрута обусловлена недостатками, присущими алгоритмам маршрутизации (в частности, из-за проблемы идентификации сетевых управляющих устройств), в результате чего можно попасть, например, на хост или в сеть, где можно войти в операционную среду технического средства в составе СПИ. Реализация угрозы основывается на несанкционированном использовании протоколов маршрутизации (RIP, OSPF, LSP) и управления сетью (ICMP, SNMP) для внесения изменений в маршрутно-адресные таблицы. При этом нарушителю необходимо послать от имени сетевого управляющего устройства (например, маршрутизатора) управляющее сообщение.

6. Внедрение ложного объекта сети.

Эта угроза основана на использовании недостатков алгоритмов удаленного поиска. В случае если объекты сети изначально не имеют адресной информации друг о друге, используются различные протоколы удаленного поиска (например, ARP, DNS, WINS в сетях со стеком протоколов TCP/IP), заключающиеся в передаче по сети специальных запросов и получении на них ответов с искомой информацией. При этом существует возможность перехвата нарушителем поискового запроса и выдачи на него ложного ответа, использование которого приведет к требуемому изменению маршрутно-адресных данных. В дальнейшем весь поток информации, ассоциированный с объектом-жертвой, будет проходить через ложный объект сети (рис. 2-5).

Рис. 4. Схема реализации угрозы «Внедрение ложного DNS-сервера» путем шторма DNS-ответов на компьютер сети

7. Отказ в обслуживании.

Эти угрозы основаны на недостатках сетевого программного обеспечения, его уязвимостях, позволяющих нарушителю создавать условия, когда операционная система оказывается не в состоянии обрабатывать поступающие пакеты.

Могут быть выделены несколько разновидностей таких угроз:

а) скрытый отказ в обслуживании, вызванный привлечением части ресурсов АРМ на обработку пакетов, передаваемых злоумышленником со снижением пропускной способности каналов связи, производительности сетевых устройств, нарушением требований ко времени обработки запросов.
Примерами реализации угроз подобного рода могут служить: направленный шторм эхо-запросов по протоколу ICMP (Ping flooding), шторм запросов на установление TCP-соединений (SYN-flooding);

б) явный отказ в обслуживании, вызванный исчерпанием ресурсов АРМ при обработке пакетов, передаваемых злоумышленником (занятие всей полосы пропускания каналов связи, переполнение очередей запросов на обслуживание), при котором легальные запросы не могут быть переданы через сеть из-за недоступности среды передачи либо получают отказ в обслуживании ввиду переполнения очередей запросов, дискового пространства памяти и т. д. Примерами угроз данного типа могут служить шторм широковещательных ICMP-эхо-запросов (Smurf), направленный шторм (SYN-flooding);

в) явный отказ в обслуживании, вызванный нарушением логической связности между техническими средствами СПИ при передаче нарушителем управляющих сообщений от имени сетевых устройств, приводящих к изменению маршрутно-адресных данных (например, ICMP Redirect Host, DNS-flooding) или идентификационной и аутентификационной информации;

г) явный отказ в обслуживании, вызванный передачей злоумышленником пакетов с нестандартными атрибутами (угрозы типа «Land», «TearDrop», «Bonk», «Nuke», «UDP-bomb») или имеющих длину, превышающую максимально допустимый размер (угроза типа «Ping Death»), что может привести к сбою сетевых устройств, участвующих в обработке запросов, при условии наличия ошибок в программах, реализующих протоколы сетевого обмена.

Результатом реализации данной угрозы может стать нарушение передачи сообщений от УОО к АРМ, передача такого количества запросов на подключение к АРМ, какое максимально может «вместить» трафик (направленный «шторм запросов»), что влечет за собой переполнение очереди запросов и отказ одной из сетевых служб или полную остановку компьютера АРМ из-за невозможности заниматься ничем другим, кроме обработки запросов.

Рис. 5. Схема реализации угрозы «Внедрение ложного DNS-сервера» путем шторма DNS-ответов на DNS-сервер

ЗАЩИТА ОТ УГРОЗ

Производители технических средств охраны, чаще всего, рекомендуют обычную для небольших компьютерных сетей защиту при подключении ЛВС ПЦО к сети Интернет. Из особенных требований можно выделить:

■ использование межсетевых экранов;

■ применение трансляции сетевых адресов (NAT);

■ организация резервного канала для подключения в случае выхода из строя основного канала;

■ организация третьего - аварийного канала для подключения ЛВС ПЦО к Интернету в случае выхода из строя основного и резервного каналов.

Межсетевые экраны являются необходимым средством обеспечения информационной безопасности. Они обеспечивают первую линию обороны. При выборе и приобретении межсетевых экранов необходимо тщательно все продумать и проанализировать. Выбрать нужную архитектуру и компоненты межсетевого экрана. Правильно настроить программное обеспечение и тестировать конфигурацию межсетевого экрана.

Известно, что наличие открытых портов для таких протоколов, как Telnet, http и других, может помочь администрировать сеть. Тем не менее, рекомендуется их отключать, пусть и в ущерб удобству. Сам факт наличия открытого порта дает возможность нагрузить трафик сети бесконечными запросами, даже если по этому порту не поднята никакая управляющая программа. Таким образом, необходимо запретить все (!!!) протоколы типа Telnet, http и другие, кроме необходимых для работы.

Работа без установленного антивируса либо (что еще хуже) с антивирусом, но по законченной лицензии приводит к тому, что компьютер начинает «захлебываться» вирусами. Существует риск полной потери данных только из-за вирусов. В локальной сети такой компьютер может быть источником огромного Ethernet-трафика. Все это может отвлекать и мешать работе. Таким образом, необходимо на всех работающих станциях устанавливать свежий антивирус и обновлять антивирусные базы не реже чем один раз в месяц. При этом важно иметь действующую лицензию. На сегодня рекомендуется любой хорошо показавший себя антивирус, из числа получивших подтверждение соответствия в Федеральной службе по техническому и экспортному контролю. Если данный ресурс платный, необходимо ежегодно приобретать лицензию на его использование.

Несмотря на то, что пульт подключается к Интернету для целей охраны, а именно один порт на одном сервере, для всех остальных компьютеров сети необходимо этот выход запретить, не оставляя возможности запуска никаких сервисов современного общения, включая е-mail, Skype и различные социальные сети. Это существенно сократит необходимость борьбы с вирусами и другими неприятностями.

Необходимо ежемесячно анализировать детализацию от Интернет-провайдера по всем подключениям относительно: размера входного/выходного трафика; адресов обращений. В случае обнаружения подозрительной активности рекомендуется через провайдера блокировать доступ по указанному адресу. Это даст возможность превентивной блокировки потенциально опасных ресурсов.

Необходимо физически выключать или блокировать доступ приборов от клиентов, расторгнувших договор на охрану. По факту расторжения договора на охрану при использовании VPN-сети необходимо принять меры для отключения этого абонента не только от услуг охраны, но и от возможности входа в саму среду передачи данных. Самое правильное - запретить в явном виде доступ для этого абонента к невостребованному ресурсу.

ЛИТЕРАТУРА

1. Воробьев П. Некоторые вопросы защищенности цифровых сетей ОВО // Специализированный информационно-аналитический журнал о проблемах безопасности. 2014. № 4.

2. Защита информации в компьютерных сетях/практический курс: учебное пособие/А. Н. Андрончик, В. В. Богданов, Н. А. Домуховский, А. С. Коллеров, Н. И. Синадский, Д. А. Хорьков, М. Ю. Щербаков/Под ред. Н. И. Синадского. Екатеринбург: УГТУ-УПИ, 2008.

скачать
скачать

 

Rambler's Top100 Интернет портал. Каталог фирм. бжд. Охрана. Обеспечение безопасности. Безопасность предприятия. Оборудование. Видеонаблюдение.