Презентация на тему "Безопасность уровня операционных систем"

Содержание

• 
  Слайд 1
  

  Безопасность уровня операционных систем (узлов) Раздел 3

• 
  Слайд 2
  

  Рассматриваемые темы Тема 16. Проблемы обеспечения безопасности сетевых ОС Тема 17. Анализ защищённости на уровне ОС

• 
  Слайд 3
  

  Проблемы обеспечения безопасности сетевых операционных систем Раздел 3 – Тема 16

• 
  Слайд 4
  

  DMZ-2 DMZ-1 Корпоративная сеть Внутренние серверы Рабочие места Филиал Мобильные сотрудники Ресурсы Internet Пользователи Internet МЭ

• 
  Слайд 5
  

  Уровень ОС ПРИЛОЖЕНИЯ СУБД ОС СЕТЕВЫЕ СЛУЖБЫ ПОЛЬЗОВАТЕЛИ

• 
  Слайд 6
  

  Причины возникновения уязвимостей ОС ошибки проектирования (компонент ядра, подсистем) ошибки реализации (кода) ошибки эксплуатации(неправильная настройка, неиспользуемые компоненты,слабые пароли)

• 
  Слайд 7
  

  Ошибки проектирования Ошибки, допущенные при проектировании алгоритмов и принципов работы компонент ядра, подсистем: отсутствие ограничений на количество создаваемых объектов особенности шифрования (хэширования) и хранение паролей …

• 
  Слайд 8

  Ошибки реализации

  int i, offset=OFFSET; if (argv[1] != NULL) offset = atoi(argv[1]); buff = malloc(BSIZE); egg = malloc(EGGSIZE); addr = get_sp() - offset; printf("Using address: 0x%x\n", addr); ptr = buff; addr_ptr = (long *) ptr; for (i = 0; i

• 
  Слайд 9
  

  Переполнение буфера – наиболее распространённая техника использования ошибок реализации Переполнение буфера – манипуляции с данными без проверок соответствия их размера выделенному дляних буферу Если буфер расположен в стеке, возможна перезаписьадреса возврата из функции

• 
  Слайд 10
  

  Исправление ошибок реализации Проблема аутентификации обновлений Производитель ПО Клиент

• 
  Слайд 11
  

  Исправление ошибок реализации Проблема аутентификации обновлений Цифровая подпись не используется вообще Нет прямого пути, чтобы проверить, что используемый ключ действительно принадлежит производителю ПО Цифровая подпись, используемая в оповещении о выходе обновлений, не аутентифицирует само обновление

• 
  Слайд 12
  

  Аутентификация обновлений Использование отозванных сертификатов Sun Microsystems (CERT® Advisory CA-2000-19) Троянский конь в одной из версий «TCP Wrappers» (CERT® Advisory CA-1999-01) Троянский конь в пакете «util-linux-2.9g» (securityfocus) Примеры инцидентов

• 
  Слайд 13
  

  Исправление ошибок реализации Способы получения обновлений PGP (GnuPG) HTTPS SSH

• 
  Слайд 14

  Ошибки обслуживания

  Ошибки использования встроенных в ОС механизмов защиты

• 
  Слайд 15
  

  Защитные механизмы идентификация и аутентификация разграничение доступа (и авторизация) регистрация событий (аудит) контроль целостности затирание остаточной информации криптографические механизмы …встроенные в большинствосетевых ОС

• 
  Слайд 16

  Субъекты и объекты

• 
  Слайд 17
  

  Объект доступа -пассивная сущность операционной системы (файл, каталог, блок памяти) Субъект доступа -активная сущность операционной системы (процесс, программа)

• 
  Слайд 18

  Пример субъекта доступа

  Субъект доступа = Маркер безопасного доступа + Процесс (поток) Субъект доступа в ОС Windows NT Пользователь Master …

• 
  Слайд 19

  Субъект доступа в Linux

  Субъект доступа Процесс В роли субъектов доступа в Linux выступают процессы Процессы : Получают доступ к файлам Управляют другими процессами файл процесс Пример субъекта доступа

• 
  Слайд 20

  Идентификация и аутентификация

  Идентификация (субъекта или объекта): 1)именование(присвоение имен-идентификаторов);2)опознавание (выделение конкретного из множества). Аутентификация (субъекта или объекта) -подтверждение подлинности(доказательство того, что он именно тот, кем представился).

• 
  Слайд 21

  Сетевая аутентификация

  Передача пароля в открытом виде Передача хэша пароля Механизм «запрос/отклик» Клиент Сервер Запрос пароля Установление связи

• 
  Слайд 22
  

  Клиент Сервер Механизм «запрос/отклик» Запрос пароля Зашифрованный запрос Установление связи Аналогичная операция и сравнение

• 
  Слайд 23

  Уязвимости аутентификации(по паролю)

  Возможность перехвата и повторного использования пароля (получение доступа к файлам с паролями) «Троянские кони» в процедуре входа в систему Социальная инженерия Повторяющийся запрос при сетевой аутентификации

• 
  Слайд 24

  Сетевая аутентификация

  Предсказуемый запрос f(t)=k*t+c Сервер Запрос на аутентификацию «Случайный» запрос пароля …

• 
  Слайд 25
  

  Предсказуемый запрос f(t)=k*t+c Запрос пароля от имени сервера Отклик Сервер Клиент Имя – user1

• 
  Слайд 26
  

  Предсказуемый запрос f(t)=k*t+c Сервер Запрос на аутентификацию «Случайный» запрос пароля Совпал с предсказанным Полученный ранее от клиента отклик

• 
  Слайд 27

  Разграничение доступа

• 
  Слайд 28
  

  избирательное управление доступом полномочное управление доступом

• 
  Слайд 29
  

  Диспетчер доступа Субъект доступа Объект доступа Правила разграничения доступа Журнал регистрации

• 
  Слайд 30
  

  Диспетчер доступа (Security reference monitor) Режим ядра Режим пользователя Процесс пользователя

• 
  Слайд 31

  Матрица избирательного управления доступом

  объекты субъекты 1 2 J N 1 I 2 ... ... ... ... K RW RW - RWX R J+1 - R Права доступа i-го субъектак j-му объекту

• 
  Слайд 32

  Списки управления доступом в Windows NT (NTFS)

  - R-Х R- RWХ C:\Program Files Реализация матрицы доступа «по столбцам» Access Control List (ACL) Audit User 1 Buchg Administrator

• 
  Слайд 33

  Списки управления доступом в UNIX

  RWX R-Х --- /home/www Владелец Группа Остальные other webgroup alex Права доступа хранятся в служебной информации файла

• 
  Слайд 34

  Полномочное управление доступом

  Иерархия меток (грифов) конфиденциальности:«Особой важности»«Совершенно секретно»«Секретно»«Строго конфиденциально»«Конфиденциально» Неиерархическая система меток конфиденциальности:«Геология»«Математика»«Физика»«Строительство»и др. Уровень допуска:«Совершенно секретно» Уровни допуска:«Геология» «Физика»

• 
  Слайд 35

  Механизм регистрациии аудита событий

  Диспетчер доступа Субъект доступа Объект доступа Журнал регистрации

• 
  Слайд 36

  Механизм регистрациии аудита событий (Windows NT)

  Локальный администратор безопасности (LSA) Журнал аудита Монитор безопасности (SRM) Режим ядра Режим пользователя

• 
  Слайд 37

  Система регистрации событий в UNIX

  login telnetd rlogin syslogd /var/log/logins /var/log/notice syslog.conf

• 
  Слайд 38

  Контроль целостности

  Механизм контроля целостностипредназначен для своевременного обнаружения фактов модификации (искажения, подмены) ресурсов системы (данных, программ и т.п).

• 
  Слайд 39
  

  Контролируемые ресурсы: - файлы и каталоги - элементы реестра - сектора дисков Контролируемые параметры: - содержимое ресурса - списки управления доступом - атрибуты файлов Алгоритмы контроля: - сравнение с эталоном - вычисление контрольных сумм (сигнатур) - формирование ЭЦП и имитовставок Время контроля: - до загрузки ОС - при наступлении событий - по расписанию

• 
  Слайд 40

  Контроль целостности(Windows 2000)

  Подсистема Windows File Protection Повреждённый системный файл заменяется копией из каталога %systemroot%\system32\dllcache sfc [/scannow] [/scanonce] [/scanboot] [/cancel] [/quiet] [/enable] [/purgecache] [/cachesize=x] Настройка – при помощи утилитыSystem File Checker (sfc.exe)

• 
  Слайд 41

  Затирание остаточной информации

  Удаление информации с диска Очистка области памяти

• 
  Слайд 42
  

  Очистка файла подкачки Hive: HKEY_LOCAL_MACHINE Key: System\CurrentControlSet\Control\\Session Manager\Memory Management Name: ClearPageFileAtShutdown Type: REG_DWORD Value: 1

• 
  Слайд 43

  Этапы настройки

  Отслеживание уязвимостей реализации и установка исправлений; Настройка параметров субъектов (например, назначение привилегий пользователям); Разграничение доступа к объектам (например, папкам, файлам, ключам реестра); Настройка параметров системы, влияющих на безопасность (например, установка ключей реестра). Настройка системной политики (длина паролей, их сложность, параметры блокировки и т. д.).

• 
  Слайд 44

  Политика безопасности и ОС

  Политика безопасности Другие ОС UNIX Windows NT Общие стандарты Руководства по настройке

• 
  Слайд 45
  

  Политика безопасности Другие ОС UNIX Windows NT Общие стандарты Руководства по настройке Общие рекомендации по различным областям Связующее звено между политикой безопасности и процедурой настройки системы Пример: British Standard BS7799

• 
  Слайд 46

  Структура стандарта BS7799

  Политика в области безопасности Организация системы безопасности Классификация ресурсов и управление Безопасность и персонал Физическая и внешняя безопасность Менеджмент компьютеров и сетей Управление доступом к системе Разработка и обслуживание системы Обеспечение непрерывности работы 109 элементов

• 
  Слайд 47

  Политика безопасности и ОС

  Политика безопасности Другие ОС UNIX Windows NT Общие стандарты Руководства по настройке Детальные рекомендации по настройке различных ОС Пошаговые руководства типа «Step-by-step» Пример: Руководство Стива Саттона по настройке Windows NT

• 
  Слайд 48

  NT Security Guidelines

  Структура документа Level 1 Level 2 Level 1 – незначительная модификация установок по умолчанию Level 2 – для узлов с повышенными требованиями к безопасности

• 
  Слайд 49

  Утилиты для настройки

  Анализ текущего состояния системы Автоматизация процесса настройки системы

• 
  Слайд 50
  

  C2 Config - Windows NT Resource Kit Security Configuration Manager (SCM) Security Configuration Tool Set Windows NT (2000)

• 
  Слайд 51

  Дополнительные средства

  Средства анализа защищённости Средства обнаружения и блокировки вторжений Дополнительные средства защиты

• 
  Слайд 52
  

  Дополнительные средства защиты Средства, расширяющие возможности встроенных механизмов защиты Средства, реализующие дополнительные механизмы защиты

• 
  Слайд 53
  

  Усиление процедуры аутентификации Дополнительные требования к паролям Фильтр passfilt.dll для Windows NT Модули PAM для Linux

• 
  Слайд 54

  Фильтр для паролей

  Passfilt.dll Длина пароля не менее 6 знаков Обязательные символы (верхний/нижний регистр, числа, спецсимволы) Пароль не должен содержать имя пользователя

• 
  Слайд 55

  Дополнительные средства

  Утилита Passprop Включение режима усложнения пароля Управление блокировкой учётной записи «Administrator»

• 
  Слайд 56

  Анализ защищенностина уровне операционной системы

  ПРИЛОЖЕНИЯ СУБД ОС СЕТЕВЫЕ СЛУЖБЫ ПОЛЬЗОВАТЕЛИ Агенты для различных ОС

• 
  Слайд 57

  Дополнительные средства

  Средства обнаружения и блокировки вторжений Системы обнаружения атак на базе узла Персональные МЭ

• 
  Слайд 58
  

  Системы обнаружения атак на базе узла Источники данных: Журналы аудита Действия пользователей Необязательно: Сетевые пакеты (фреймы), направленные к узлу и от узла