Файл: Защита внутренней сети и сотрудников компании от атак ( ООО «Пожсервис-01»).pdf

Методы защиты: брандмауэр должен проводить отслеживание эмуляции различных операций со своими окнами и прочими GUI-элементами. В простейших случаях должен определяться факт отправки сообщений окнам брандмауэра со стороны других приложений.

Тестирование: приложение-тестер эмулирует работу пользователя с окнами брандмауэра, например, посредством отправки им сообщений. Брандмауэр должен проводить регистрацию подобных операций, их блокировку и вывод предупреждений о том, что приложение-тестер пытается осуществлять управление брандмауэром.

Изменение ключей реестра и файлов, принадлежащих брандмауэру.

Как известно, драйверы и службы брандмауэра зарегистрированы в реестре. Ряд вредоносных программ проводят анализ реестра и уничтожение ключей реестра, принадлежащих брандмауэру. Для уничтожения ключей реестра, как правило, достаточно базы данных с именами драйверов и исполняемых файлов. По данным автора, троянские программы могут содержать внушительные базы данных, насчитывающие сотни записей (причем не только для борьбы с брандмауэрами — там присутствует весь спектр программ, предназначенных для защиты компьютера). Аналогичным образом дело обстоит и с файлами: можно легко вычислить принадлежащие брандмауэру файлы (прежде всего драйверы) и повредить их. К сожалению, многие хорошие брандмауэры совершенно беззащитны против такой атаки, чем активно пользуются разработчики вредоносного ПО. В классификации «лаборатории Касперского» для них даже выделена специальная категория — Trojan.KillAV.

Методика защиты: брандмауэр должен защищать свои ключи реестра и файлы. Методика защиты может быть любой — от проактивной защиты, контролирующей модификацию реестра в реальном масштабе времени, до периодического контроля за ключами реестра и восстановления обнаруженных повреждений. Защита файлов от удаления и модификации может производиться при помощи элементов проактивной защиты.

Методика тестирования: на рабочем компьютере подобные тесты производить не следует — это можно делать только на виртуальном ПК или на компьютере, специально выделенном для тестирования. Проверка сводится к попыткам удаления или повреждения принадлежащих брандмауэру файлов, удаления и модификации ключей реестра.

Модификация базы данных брандмауэра

Брандмауэры содержат базу данных, в которой описываются правила его функционирования и настройки. При недостаточном уровне защищенности эта база данных может быть повреждена, изменена или модифицирована. Наиболее часто таким в качестве объекта атаки выступает брандмауэр, встроенный в ОС Windows, — Windows Firewall. Причина этого связана с хранением базы его настроек в реестре (параметр EnableFirewall позволяет включить/выключить брандмауэр, а параметр FirewallPolicy\StandardProfile\ AuthorizedApplications\List хранит список доверенных приложений), что позволяет вредоносному ПО проводить создание собственных правил.

Методика защиты: разработчики брандмауэра должны хранить базу с настройками в зашифрованном виде и обеспечивать несколько степеней защиты базы — создание ее резервных копий, защиту базы контрольными суммами и т.п. При выборе брандмауэра следует обратить внимание на формат базы и меры по ее защите, предусмотренные разработчиками.

Методика тестирования: необходимо найти базу данных брандмауэра и убедиться, что она не хранится в открытом виде. Далее на тестовом компьютере проверяется реакция брандмауэра на удаление и повреждение его базы.

Обход драйверов, установленных брандмауэром

Обход драйвера является довольно сложной операцией, поскольку создатели большинства современных брандмауэров применяют многоуровневый контроль сетевой активности. Кроме того, реализация подобных методик требует проведения разработки достаточно сложного программного кода. Тем не менее, реализации существуют и сводятся к установке собственного NDIS.

Методика защиты: наиболее эффективной защитой является многоуровневая проверка, например TDI- и NDIS-фильтры.

Методика тестирования: использование специализированных утилит, в которых реализована подобная методика по обходу брандмауэра.

Заключение

В рамках данной работы рассмотрены анализа системы защиты информации от сетевых атак в условиях информационной системы ООО «Пожсервис-01».

В ходе работы над проектом был проведен анализ архитектуры системы информационной безопасности предприятия. Показано, что комплексная система защиты информации включает в себя организационных и технологические решения. Пренебрежение каким-либо из компонент комплексной системы защиты информации повышает уязвимость информационной системы в целом.

В качестве мер совершенствования системы антивирусной защиты были предложены:

- регулирование доступа к ресурсам Интернета средствами Kaspersky Security Center;

- ограничение использования внешних носителей информации, ограничение использования USB-портов;

- установка рабочей станции для проверки внешних носителей информации и копирования необходимых файлов с них на выделенный ресурс;

- анализ технологий защиты от атак на брандмауэры.

Статистические данные о вирусной активности после внедрения указанных мер совершенствования системы АВЗ показали, что случаи обнаружения вредоносного ПО стали единичными.