Файл: «Оценка и сравнение программных сканеров информационной безопасности для windows».pdf
Добавлен: 20.05.2023
Просмотров: 737
Скачиваний: 11
Содержание
Глава 1. Аналитическая часть 4
1.1. Область применения 4
1.2. Что такое сканеры безопасности? 4
1.3. Классификация сканеров безопасности 5
1.4. Обзор сканеров безопасности и критерии их качества 7
1.5. Описание сканеров безопасности и их функционал 8
1.5.4 Retina Network Security Scanner 20
1.5.5 Shadow Security Scanner 26
Глава 2. Практическая часть 29
2.1. Разработка общей структуры 29
2.2. Внедрение программного и аппаратного обеспечения 33
2.3. Контрольный пример реализации 36
Введение.
Защита компьютерных сетей является неотъемлемой частью любой IT-инфраструктуры и в силу увеличения значимости информации важность этого направления будет только увеличиваться. Между тем решение этой задачи требует комплексного подхода, включающего разработку политики безопасности предприятия, использование всевозможных программно-аппаратных средств, обучение персонала и т. д. Кроме того, после выполнения этих мер необходимо контролировать и поддерживать состояние защищенности компьютерной сети. Одним из инструментов, позволяющих следить за уровнем защищенности сети являются так называемые системы анализа защищенности или сканеры безопасности.
Цель работы — определение основных характеристик сканеров безопасности, а также сравнение наиболее часто используемых из них в России для операционной системы Windows. По сравнению с другими средствами защиты сетей, сканеры безопасности имеют несколько отличительных особенностей.
Во-первых, они могут быть использованы в двух противоположных назначениях, т.е. быть как инструментом контроля и обеспечения безопасности, так и средством сбора информации злоумышленником для последующего нападения.
Во-вторых, сканеры безопасности могут оказывать нежелательное воздействие на сканируемый объект. Например, во время работы сканер может генерировать большой объем трафика в сети. В случае проведения проверок на некоторые виды уязвимостей (например, подверженность DOS-атакам) может происходить выход из строя некоторых служб или всей операционной системы. И наконец, в отличие от других средств, сканер безопасности не является средством противодействия атакам в реальном времени, как, например, брандмауэр или система обнаружения атак (СОА), а лишь определяет уязвимые места для потенциально возможных атак.
Глава 1. Аналитическая часть
Область применения.
В настоящее время деятельность многих организаций зависит от состояния их информационных систем. При этом инфраструктура информационных систем часто содержит узлы и системы, нарушение безопасности которых может привести к нанесению значительного ущерба для ведения бизнеса в организации. Для предотвращения таких случаев, как правило, после соответствующего анализа формируется перечень актуальных угроз и разрабатывается комплекс мер по их нейтрализации. В конечном итоге строится система управления информационной безопасностью, которая включает в себя различные средства защиты, реализующие необходимые защитные механизмы. В состав данной системы может входить подсистема управления уязвимостями, представляющая собой комплекс организационно-технических мероприятий, направленных на предотвращение использования известных уязвимостей, потенциально существующих в защищаемой системе или в сети. В частности, в рамках управления уязвимостями проводятся такие мероприятия, как периодический мониторинг защищенности информационных систем и устранение обнаруженных уязвимостей. В последнее время большое внимание уделяется новому направлению в области защиты информации — адаптивной безопасности компьютерной сети. Это направление включает в себя две основные технологии: анализ защищенности (Security Assessment) и обнаружение атак (Intrusion Detection).
Что такое сканеры безопасности?
Сканеры безопасности — это программные или аппаратные средства, служащие для осуществления диагностики и мониторинга сетевых компьютеров, позволяющие сканировать сети, компьютеры и приложения на предмет обнаружения возможных проблем в системе безопасности, оценивать и устранять уязвимости.
Такие сканеры позволяют проверить различные приложения в системе на предмет наличия «дыр», которыми могут воспользоваться злоумышленники. Также могут быть использованы низкоуровневые средства, такие как сканер портов, для выявления и анализа возможных приложений и протоколов, выполняющихся в системе.
Таким образом, сканеры направлены на решение следующих задач:
- идентификация и анализ уязвимостей;
- инвентаризация ресурсов, таких как операционная система, программное обеспечение и устройства сети;
- формирование отчетов, содержащих описание уязвимостей и варианты их устранения.
Классификация сканеров безопасности
С точки зрения расположения по отношению к объекту сканирования системы анализа защищенности можно разделить на 2 группы:
— локальные (host-based);
— дистанционные (network-based).
Сканеры «host-based» устанавливаются непосредственно на сканируемом узле, работают от имени учетной записи с максимальными привилегиями и выполняют проверки исключительно по косвенным признакам. Сканеры такого типа еще называют системными. Сканеры второго типа выполняют проверки дистанционно, т. е. по сети. Обычно такой сканер устанавливается на отдельный узел, одной из основной функции которого является периодическое сканирование. Такие сканеры называют сетевыми. Поскольку сетевые сканеры выполняют проверки по сети, то это существенно влияет на скорость сканирования и на достоверность результатов. Кроме того, между сканирующим и сканируемым узлами могут находиться устройства, осуществляющие фильтрацию трафика, что также сказывается на достоверности результатов.
Еще один вариант классификации сканеров — по их назначению: сканеры общего характера и специализированные сканеры.
Объясняется это следующим образом. Проверки, выполняемые сетевыми сканерами безопасности, направлены, прежде всего, на сетевые службы. Конечно, при этом осуществляется поиск уязвимостей не только сетевых служб, но и операционных систем, а также некоторых приложений, установленных на сканируемом узле. Однако проверки, встроенные в сетевые сканеры, носят общий характер, а если и направлены в отношении приложений, то это наиболее распространенные приложения и наиболее известные уязвимости. Та же ситуация и со сканерами уровня узла. Их проверки, могут быть, чуть более направлены на операционную систему узла, где установлен агент, а так же могут быть направлены и на конкретные приложения, но предпочтение не отдается какому-то одному. Необходимость специализированных сканеров безопасности продиктована тем обстоятельством, что для детальной проверки используемого в корпоративной сети приложения возможностей обычных сетевых сканеров может не хватить. Здесь на помощь приходят специализированные сканеры, учитывающие специфику конкретного приложения и имеющие гораздо более полную информацию об уязвимостях.
Перед специалистами по информационной безопасности стоит множество задач, и один из комплексов проблем, обязательных для решения, — аудит информационной безопасности и контроль уровня защищенности серверов, рабочих станций и сетевых устройств. Каждый день становятся известными новые уязвимости или рекомендации вендоров по безопасной настройке приложений и операционных систем, и вручную отслеживать обновления баз общеизвестных векторов атак просто невозможно. Проблема часто усугубляется использованием в одной организации различных операционных систем и устройств разных производителей. Еще одна задача, которая периодически встает перед специалистами по информационной безопасности, — это аудит информационной системы на соответствие требованиям регуляторов и выполнение этих требований. Это отнимает много времени и сил у специалистов, так как аудит обычно выполняется вручную.
Обзор сканеров безопасности и критерии их качества.
В данной работе рассматривались сканеры, имеющие бесплатную триал-версию, позволяющую использовать программное обеспечение для ознакомления с ограниченным списком его возможностей и оценкой степени простоты интерфейса. В качестве предметов обзора выбраны следующие популярные сканеры уязвимостей для операционной системы Windows, они отображены в Таблице 1.
Выбор данных сканеров обусловлен их лидирующим положением по объему продаж и декларируемому количеству обнаруживаемых уязвимостей. Из стоимостных соображений в список был включен широко известный и доступный на некоммерческой основе сканер Nessus и Shadow Security Scanner. Кроме того, был добавлен достаточно распространенный сканер Retina. Все сканеры функционируют в среде Windows и имеют нераспределенную архитектуру.
Главный критерий качества работы сканера безопасности - это, конечно, количество обнаруживаемых им уязвимостей. Но не то количество, которое заявлено производителем, а то, какое реально сканер может найти. Например, немаловажным является умение идентифицировать сервисы, установленные на нестандартных портах, поскольку в противном случае известные сканеру уязвимости не будут реально обнаружены.
Второй критерий - это количество ложных срабатываний. Несомненно, всегда лучше перестраховаться, но когда количество ложных срабатываний высоко, то специалист по безопасности или системный администратор начинает тратить огромное количество времени, чтобы все это проверить и отсеять ненужное.
Третий критерий - это удобство пользования сканером. Хотя им и можно пренебречь на фоне предыдущих характеристик, в конечном счете удобство также обеспечивает экономию времени и усилий, минимизацию возможных оплошностей.
Таблица 1. Сетевые сканеры безопасности, использованные в ходе сравнения.
|
Название |
Распространение |
Сайт |
|
Nessus |
Free/Shareware |
www.nessus.org/plugins/index.php |
|
XSpider 7 |
Shareware |
www.ptsecurity.ru/xs7download.asp |
|
GFI LANguard |
Free/Shareware |
www.gfi.com/lannetscan |
|
Retina Network Security Scanner |
Shareware |
www.eeye.com |
|
Shadow Security Scanner |
Shareware |
http://www.safety-lab.com/en/products/securityscanner.htm |
Описание сканеров безопасности и их функционала.
1.5.1 Nessus Professional
Nessus от Tenable Network Security является одним из самых популярных коммерческих сканеров уязвимостей. Тесты на уязвимости написаны с использованием NASL (языка сценариев атак Nessus), и доступны подписки на «каналы» проверок уязвимостей. «HomeFeed» доступен для некоммерческого домашнего и образовательного использования, в то время как «ProfessionalFeed» получает обновления раньше и может использоваться в коммерческих настройках.
Когда Nessus завершит обновление, вас встретит вот такой экран, как показано рисунке 1. Для того, что бы начать сканирование нажимаем кнопку "New Scan".
Рисунок 1. Основное рабочее меню программы Nessus
Перед началом сканирования, необходимо настроить политику сканирования. Пример окна настройки отображен на рисунке 2. После настройки необходимо будет нажать на кнопку “Launch” как на рисунке 3 и запустить сканирование. В данной работе будем выполнять и рассматривать базовое сетевое сканирование.
Рисунок 2. Выбор типа сканирования
Рисунок 3. Начало скнирования
По результатам сканирования мы получаем список с IP адресами и связанные с ними риски, пример такого отображения на рисунке 4.
Рисунок 4. Результаты сканирования
Нажатием "Vulnerabilities" в верхнем меню, мы можем отобразить все уязвимости, обнаруженные в сети. Пример использования данной функции на рисунке 5.
Рисунок 5. Подробное отображений уязвимостей
Если выбрать конкретную уязвимость, то мы получим более детальную информацию по ней. Важно отметить, что помимо описания уязвимости, в отчете присутствует также и способ ее исправления и закрытия, посмотреть это можно на рисунке 6 в разделе “Solution”.
Рисунок 6. Подробная информация по уязвимости и способы ее исправления.
1.5.2 XSpider 7
После установки и запуска XSpider на экран будет выведено главное окно программы, которое показано на рисунке 7.
Рисунок 7. Главное окно программы “XSpider 7”
В список сканируемых хостов нужно добавить адреса для сканирования или добавить сразу диапазон адресов. После этого, нужно выбрать профиль проверки из существующих, или создать новый профиль исходя из собственных предпочтений, пример настройки профиля на рисунке 8.
Рисунок 8. Настройка профиля
Каждое выполненное задание программы сохраняется в файле tsk, и может быть открыт в любое время при помощи XSpider. В файле сохраняется результат не только последней проверки хоста или хостов, а вся история проверок. Таким образом, можно контролировать изменения уровня безопасности после ликвидации обнаруженных ранее уязвимостей и обновления операционных систем и сервисов, как на на рисунке 9.