Образец дипломной работы
advertisement
Министерство образования и науки Российской Федерации Санкт-Петербургский политехнический университет Петра Великого — Институт информационных технологий и управления Кафедра «Информационная безопасность компьютерных систем» Работа допущена к защите Заведующий кафедрой д.т.н., проф. _______________ П.Д. Зегжда "____"______________ 2015 г. ДИПЛОМНАЯ РАБОТА СПЕЦИАЛИСТА АНАЛИЗ ВОЗМОЖНОСТИ СЕТЕВОЙ АУТЕНТИФИКАЦИИ С ИСПОЛЬЗОВАНИЕМ СИГНАЛЬНЫХ КОСТРОВ по специальности 090105.65 – Комплексное обеспечение информационной безопасности автоматизированных систем Выполнил студент гр. 53508/ 3 И.И. Иванов Научный руководитель доцент, к.т.н. С.С. Сидоров Санкт-Петербург 2015 ФГАОУ ВО «Санкт-Петербургский политехнический университет Петра Великого» Институт информационных технологий и управления Кафедра «Информационная безопасность компьютерных систем» УТВЕРЖДАЮ Зав. кафедрой д.т.н., проф. _________________П.Д. Зегжда «____» _______________ 2015 г. ЗАДАНИЕ на дипломную работу студенту ______________________________________группы 53508/3___ 1. Тема работы_____________________________________________________ __________________________________________________________________ 2. Срок сдачи студентом законченной работы___________________________ 3. Исходные данные к работе_________________________________________ __________________________________________________________________ __________________________________________________________________ __________________________________________________________________ __________________________________________________________________ __________________________________________________________________ __________________________________________________________________ 4. Содержание расчетно-пояснительной записки (перечень подлежащих разработке вопросов) _______________________________________________ __________________________________________________________________ __________________________________________________________________ __________________________________________________________________ __________________________________________________________________ __________________________________________________________________ 5. Дата выдачи задания______________________________________________ Руководитель ________________ (______________________________) (подпись руководителя) (Фамилия и инициалы) Задание принял к исполнению «____» ______________ 2015 г. _____________ (______________________________) (подпись студента) (Фамилия и инициалы) РЕФЕРАТ Работа состоит из: 76 с., 12 рис., 7 табл., 13 источников. АНАЛИЗ УДАЛЕННЫХ АТАК, СЕТЕВАЯ БЕЗОПАСНОСТЬ, ПРОТОКОЛЫ TCP/IP, ОБНАРУЖЕНИЕ АТАК Настоящая дипломная работа содержит результаты анализа удаленных атак и разработку программного обеспечения. Далее приводится краткие сведения о выполненной работе. СОДЕРЖАНИЕ СОДЕРЖАНИЕ ....................................................................................................... 4 ОПРЕДЕЛЕНИЯ, ОБОЗНАЧЕНИЯ И СОКРАЩЕНИЯ ..................................... 5 ВВЕДЕНИЕ .............................................................................................................. 6 1 Проблема удаленных атак ................................................................................... 8 1.1 Недостатки семейства протоколов TCP/IP .................................................. 8 1.2 Удаленные атаки в Internet .......................................................................... 10 2 Средства защиты от удаленных атак ................................................................ 11 2.1 Программно-аппаратные методы защиты ................................................. 11 2.1.1 Межсетевые экраны ............................................................................... 12 2.1.2 Программные методы защиты .............................................................. 13 2.2 Сетевые мониторы безопасности................................................................ 15 3 Систематизация удаленных атак ...................................................................... 17 3.1 Обзор существующих классификаций ....................................................... 17 3.2 Построение классификации удаленных атак............................................. 17 3.3 Разработка метода обнаружения удаленных атак ..................................... 18 ЗАКЛЮЧЕНИЕ ..................................................................................................... 19 СПИСОК ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВ .............................................. 5 ПРИЛОЖЕНИЕ А ................................................................................................... 6 ОПРЕДЕЛЕНИЯ, ОБОЗНАЧЕНИЯ И СОКРАЩЕНИЯ AC Автоматизированная система БД База данных ОС Операционная система ПО Программное обеспечение СВТ Средства вычислительной техники СУБД Система управления базой данных ЭМВОС Эталонная модель взаимодействия открытых систем ACL Access Control List – Список контроля доступа APC Asynchronous Procedure Call – Вызов асинхронной процедуры API Application Programming Interface – Интерфейс прикладного программирования Advanced Security Option – Расширенные опции безопасности ASO CD ROM DAC Compact Disk Read Only Memory – Компакт диск с памятью только для чтения Discretionary Access Control – Дискреционный контроль доступа ВВЕДЕНИЕ Повсеместное распространение сетевых технологий привело к объединению отдельных машин в локальные сети, совместно использующие общие ресурсы, а применение технологии клиент-сервер привело к преобразованию таких сетей в распределенные вычислительные среды, в частности к появлению такого уникального явления, как Internet. Развитие Internet привело к росту числа подключенных к нему людей, организаций, которые используют возможности, предоставляемые этой сетью. Но широкое распространение Internet вызвало рост интереса к проблеме безопасности и заставило частично пересмотреть ее основные положения. Дело в том, что Internet обеспечивает злоумышленнику невообразимые возможности для осуществления несанкционированного доступа и нарушения работоспособности систем по всему миру. Поэтому задача выявления сетевых атак и организация защиты от них является актуальной. Для решения этих задач необходима разработка архитектуры системы выявления удаленных атак. Под удаленной атакой понимается удаленное информационное воздействие, программно осуществляемое по каналам связи и характерное для любой распределенной вычислительной системы. В работе под удаленной атакой будем понимать удаленное информационное воздействие, программно осуществляемое по каналам связи сети Internet посредством передачи некоторого числа Internet пакетов (рисунок 1). Основной проблемой в вопросе обеспечения сетевой безопасности является защита от удаленных атак, которая включает и их обнаружение. Удаленная атака Атакующий хост 1 Internet Хост 3 Хост 1 Удаленная атака Хост 2 Атакующий хост 2 Рисунок 1 — Удаленные атаки через Internet Рынок средств обнаружения удаленных воздействий в настоящее время достаточно развит и на нем представлено много продуктов от разных фирм [1,2], однако механизмы обнаружения атак разрабатываются только осуществления, что является большим недостатком данных продуктов. после их 1 Проблема удаленных атак Разработка метода обнаружения удаленных сетевых атак является очень важным аспектом в деле обеспечения безопасности компьютеров в глобальных и локальных сетях, использующих для передачи данных стек TCP/IP протоколов. По причине незащищенности использующихся IP протоколов возможно огромное количество атак, которые приводят к отказу системы в обслуживании, нарушению целостности, несанкционированному доступу к данным и, даже, к потере данных. В настоящее время значительная часть методов обнаружения базируется на анализе данных аудита после совершения атаки. Такой подход к проблеме удаленных атак имеет свои достоинства и свои недостатки. К достоинствам можно отнести возможность детального изучения атаки и выявления условий, при которых она возникает и достигает своего результата. К недостаткам можно отнести тот факт, что, по крайней мере, одна атака будет успешно осуществлена. Для дальнейшего рассмотрения введем понятие сигнатуры для удаленной атаки. Под сигнатурой будем понимать последовательность действий, которая приводит к реализации данной атаки, и набор условий, при которых атака произойдет. 1.1 Недостатки семейства протоколов TCP/IP Протоколами называют распределенные алгоритмы, определяющие, каким образом осуществляется обмен данными между физическими устройствами или логическими объектами (процессами). Под семейством протоколов TCP/IP обычно понимают весь набор реализаций, описанных в RFC (Requests For Comments), а именно: Internet Protocol (IP); Address Resolution Protocol (ARP); Internet Control Message Protocol (ICMP); User Datagram Protocol (UDP); Transport Control Protocol (TCP). Domain Name System (DNS) и другие. Общим и основополагающим элементом этого семейства является IP протокол. Все протоколы сети Internet являются открытыми и доступными. Все спецификации протоколов доступны из RFC. Одной из причин популярности TCP/IP является тщательная проработка протоколов семейства TCP/IP, их функциональность и открытость, а также возможность наращивания функциональных возможностей. Хотя к настоящему времени достаточно очевидно, что они имеют и множество недостатков, особенно тех, которые связаны с безопасностью, например, нет встроенных средств аутентификации, что и делает возможным осуществление атак, основанных на подмене клиента. Схема уровневой модели семейства протоколов TCP/IP приведена на рисунке 2. Рисунок 2 — Схема уровневой модели семейства протоколов TCP/IP Каждый уровень модели использует определенный формат сообщений. При переходе с высшего уровня на низший уровень сообщение форматируется по правилам низшего уровня и снабжается заголовком. На низших уровнях выполняются следующие действия: на физическом уровне осуществляется физическое соединение между компьютерной системой и физической средой передачи; на канальном уровне осуществляется пакетирование данных при передаче и раскрытие пакетов при приеме. Единица данных на этом уровне называется фреймом; на сетевом уровне осуществляется маршрутизация данных в сети. Единицей данных этого уровня является датаграмма. 1.2 Удаленные атаки в Internet С середины 90-х годов значительно увеличилось число удаленных атак в сети Internet, а также возрос ущерб, причиняемый этими атаками. Статистика организации CERT [3], посвященная зарегистрированным сетевым атакам, произошедшим с 1995 по 1999 год приведена в таблице 1. Таблица 1 Статистика сетевых атак по данным компании CERT Год Число зарегистрированных нарушений 1995 2412 1996 2573 1997 2134 1998 3734 1999 6844 2000 25 000 Данные, приведенные в таблице 1, показывают возрастающую степень угрозы для пользователей Internet, тем самым подчеркивая необходимость изучения механизмов удаленных атак и разработки средств защиты от них. 2 Средства защиты от удаленных атак В настоящий момент среди средств предотвращения удаленных атак наиболее широкое распространение получили такие системы как межсетевые экраны (МЭ) и сетевые мониторы безопасности. Межсетевой экран предназначен для фильтрации сетевого трафика. Сетевой монитор безопасности – это средство, предназначенное для обнаружения сетевых атак. Лидером в производстве МЭ является компания CISCO, сетевых мониторов безопасности – фирма ISS (Internet Security Systems). Сетевые мониторы безопасности предназначены для отслеживания сетевого трафика и выдачи предупреждений при подозрении на осуществлении удаленной атаки или предотвращении удаленной атаки. Наиболее известным сетевым монитором является RealSecure (фирма ISS). Для обнаружения атак используются сигнатуры. В базе данных RealSecure есть следующие виды сигнатур удаленных атак: отказ в обслуживании; попытки несанкционированного доступа; подготовка к атакам; подозрительная активность; подозрительные команды на уровне протоколов. 2.1 Программно-аппаратные методы защиты К программно-аппаратным средствам обеспечения информационной безопасности в вычислительных сетях можно отнести: аппаратные шифраторы сетевого трафика; МЭ, реализуемый на базе программно-аппаратных средств; криптопротоколы; программно-аппаратные анализаторы сетевого трафика; защищенные сетевые ОС. Существует огромное количество литературы [5-7], посвященной этим средствам защиты, предназначенным для использования в Internet. Кратко рассмотрим особенности данных средств защиты, применяемых в Internet. 2.1.1 Межсетевые экраны В общем случае МЭ реализует следующие основные три функции: 1. Многоуровневая фильтрация сетевого трафика. Фильтрация обычно осуществляется на трех уровнях: сетевом (IP); транспортном (TCP, UDP); прикладном (FTP, TELNET, HTTP, SMTP и т. д.). Фильтрация сетевого трафика является основной функцией систем МЭ и позволяет администратору безопасности сети централизованно осуществлять необходимую сетевую политику безопасности в выделенном сегменте IP-сети, то есть, настроив соответствующим образом МЭ, можно разрешить или запретить пользователям как доступ из внешней сети к соответствующим службам хостов или к хостам, находящихся в защищаемом сегменте, так и доступ пользователей из внутренней сети к соответствующим ресурсам внешней сети. 2. Proxy-схема с дополнительной идентификацией и аутентификацией пользователей на МЭ-хосте. Proxy-схема позволяет, во-первых, при доступе к защищенному МЭ сегменту сети осуществить на нем дополнительную идентификацию и аутентификацию удаленного пользователя и, во-вторых, является основой для создания приватных сетей с виртуальными IP-адресами. Смысл proxy-схемы состоит в создании соединения с конечным адресатом через промежуточный proxy-сервер (proxy от англ. полномочный) на хосте МЭ. На этом proxy-сервере и может осуществляться дополнительная идентификация абонента. 3. Создание приватных "виртуальными" IP-адресами. сетей (Virtual Private Network - VPN) с В том случае, если администратор безопасности сети считает целесообразным скрыть истинную топологию своей внутренней IP-сети, то ему можно порекомендовать использовать системы МЭ для создания приватной сети (VPN-сеть). Хостам в VPN-сети назначаются любые "виртуальные" IP-адреса. Для адресации во внешнюю сеть (через МЭ) необходимо либо использование на хосте МЭ описанных выше proxy-серверов, либо применение специальных систем роутинга (маршрутизации), только через которые и возможна внешняя адресация. Это происходит из-за того, что используемый во внутренней VPN-сети виртуальный IP-адрес не пригоден для внешней адресации (внешняя адресация - это адресация к абонентам, находящимся за пределами VPN-сети). Поэтому proxy-сервер или средство роутинга должно осуществлять связь с абонентами из внешней сети со своего настоящего IP-адреса. Кстати, эта схема удобна в том случае, если вам для создания IP-сети выделили недостаточное количество IP-адресов (в стандарте IPv4 это случается сплошь и рядом, поэтому для создания полноценной IP-сети с использованием proxy-схемы достаточно только одного выделенного IP-адреса для proxy-сервера). 2.1.2 Программные методы защиты К программным методам защиты в сети Internet можно отнести прежде всего криптопротоколы, с использованием которых появляется возможность защиты соединения. Другим классом программных методов защиты от удаленных атак являются программы, основная цель которых - анализ сетевого трафика на предмет наличия одного из известных активных удаленных воздействий и противодействие обнаруженным воздействиям. Одна из основных причин успеха удаленных атак на распределенные ВС кроется в использовании сетевых протоколов обмена, которые не могут надежно идентифицировать удаленные объекты, защитить соединение и передаваемые по нему данные. Поэтому совершенно естественно, что в процессе функционирования Internet были созданы различные защищенные сетевые протоколы, использующие криптографию как с закрытым, так и с открытым ключом. Классическая криптография с симметричными криптоалгоритмами предполагает наличие у передающей и принимающей стороны симметричных (одинаковых) ключей для шифрования и дешифрирования сообщений. 2.1.2.1 Протокол SKIP Протокол SKIP (Secure Key Internet Protocol) – определяет стандарт инкапсуляции IP-пакетов, позволяющий в существующем стандарте IPv4 на сетевом уровне обеспечить защиту соединения и передаваемых по нему данных. Это достигается следующим образом: SKIP-пакет представляет собой обычный IP-пакет, поле данных которого представляет из себя SKIP-заголовок определенного спецификацией формата и криптограмму (зашифрованные данные). Такая структура SKIP-пакета позволяет беспрепятственно направлять его любому хосту в сети Internet (межсетевая адресация происходит по обычному IP-заголовку в SKIPпакете). Конечный получатель SKIP-пакета по заранее определенному разработчиками алгоритму расшифровывает криптограмму и формирует обычный TCP- или UDP-пакет, который и передает соответствующему обычному модулю (TCP или UDP) ядра операционной системы. В принципе, ничто не мешает разработчику формировать по данной схеме свой оригинальный заголовок, отличный от SKIP-заголовка. 2.1.2.2 Протокол S-HTTP Протокол S-HTTP (Secure HTTP) – это разработанный компанией Enterprise Integration Technologies (EIT) специально для Web защищенный HTTP-протокол. Протокол S-HTTP позволяет обеспечить надежную криптозащиту только HTTPдокументов Web-севера и функционирует на прикладном уровне модели OSI. Эта особенность протокола S-HTTP делает его абсолютно специализированным средством защиты соединения, и, как следствие, невозможное его применение для защиты всех остальных прикладных протоколов (FTP, TELNET, SMTP и др.). 2.1.2.3 Протокол SSL Протокол SSL (Secure Socket Layer) - разработка компании Netscape универсальный протокол защиты соединения, функционирующий на сеансовом уровне OSI. Этот протокол, использующий криптографию с открытым ключом является универсальным средством, позволяющим динамически защитить любое соединение с использованием любого прикладного протокола (DNS, FTP, TELNET, SMTP и т. д.). Это связано с тем, что SSL, в отличие от S-HTTP, функционирует на промежуточном сеансовом уровне OSI (между транспортным - TCP, UDP, - и прикладным - FTP, TELNET и т. д.). При этом процесс создания виртуального SSLсоединения происходит по схеме Диффи и Хеллмана, которая позволяет выработать криптостойкий сеансовый ключ, используемый в дальнейшем абонентами SSLсоединения для шифрования передаваемых сообщений. Протокол SSL сегодня уже практически оформился в качестве официального стандарта защиты для HTTPсоединений, то есть для защиты Web-серверов. Конечно, для установления SSLсоединения с Web-сервером еще необходимо и наличие Web-сервера, поддерживающего SSL. Такие версии Web-серверов уже существуют (SSL-Apachе, например). 2.2 Сетевые мониторы безопасности Сетевой монитор безопасности осуществляет анализ сетевого трафика на предмет выявления известных сетевых атак. Такие средства получили распространение сравнительно недавно, и законодателем мод в этом направлении по праву считается компания ISS (Internet Security Systems). В частности один из ее продуктов, RealSecure, как раз и является таким монитором безопасности. Этот продукт служит для контроля некоторого IP сегмента сети и оповещает администратора, если имеет место нарушение сетевой безопасности. Эта система обнаруживает многие известные атаки, например, такие, которые связаны с фрагментацией IP пакетов и др. 3 Систематизация удаленных атак Для того чтобы разработать общий подход к обнаружению удаленных воздействий, необходимо систематизировать причины успеха удаленных атак. Как уже отмечалось, использующийся в настоящее время подход заключается в определении сигнатур атак после того, как они были осуществлены. Предлагаемый подход заключается в анализе причин успеха удаленных атак, систематизации этих причин на основе этой информации и обнаружение удаленных воздействий на основании приведенной систематизации. 3.1 Обзор существующих классификаций Основная цель любой классификации состоит в том, чтобы предложить такие классификационные признаки, используя которые можно наиболее точно описать классифицируемые явления или объекты. Поскольку между локальными и удаленными воздействиями на ВС существует большая разница, то применение уже известных обобщенных классификаций для описания удаленных воздействий не позволяет достаточно точно описать именно удаленные воздействия. Это связано с тем, что такие воздействия характеризуются сугубо специфичными признаками для распределенных вычислительных систем. Основной особенностью распределенной системы является то, что ее компоненты рассредоточены в пространстве и связь между ними физически осуществляется при помощи сетевых соединений, а программно – при помощи механизма сообщений. пересылаемые между При этом все управляющие сообщения и данные, объектами распределенной вычислительной системы, передаются по сетевым соединениям в виде пакетов обмена [3]. 3.2 Построение классификации удаленных атак На основе проведенного анализа предлагается систематизировать атаки с точки зрения причин, благодаря которым атака была успешно осуществлена. Систематизация по причинам успеха удаленных атак включает в себя следующие основные признаки: неправильное использование протокола, нарушение ресурсных ограничений, ошибки в реализации политики безопасности. 3.3 Разработка метода обнаружения удаленных атак На основе приведенной систематизации можно построить метод обнаружения удаленных атак. Метод будет построен только для протоколов сетевого и транспортного уровня. Для того чтобы предотвратить отдельные атаки, необходимо определить список тех Internet пакетов, которые не могут быть пропущены в систему, условно назовем его списком запрещенных пакетов. Это необходимо для предотвращения тех атак, которые используют определенного типа пакеты. Например, можно сделать так, чтобы инициатором соединения мог выступать только защищаемый хост, а извне к нему доступ запретить, не пропуская пакеты TCP SYN – запросы на установку TCP соединения. Блок-схема описанного алгоритма представлена в Приложении А. Необходимо отметить тот факт, что настоящий метод предлагается для обнаружения атак для протоколов по уровню не выше транспортного, поэтому в рассмотрение не попадают такие протоколы как DNS, FTP, Telnet и другие протоколы прикладного уровня. ЗАКЛЮЧЕНИЕ Бурный количественный предоставляемых рост пользователям пользователей возможностей Internet и сдерживается увеличение опасностью удаленных атак. Атаки осуществляются как на отдельных пользователей, так и на организации, нанося при этом громадный моральный и материальный ущерб. Это обуславливает необходимость разработки средств защиты, которые обнаруживали бы атаки и препятствовали бы их осуществлению. В настоящее время механизмы обнаружения удаленных атак разрабатываются только после анализа осуществленных атак. Основное достоинство этого подхода – выявление всех тонкостей атаки, а недостаток – атака, хотя бы раз, будет реализована. В настоящей работе предложен иной подход решения проблемы обнаружения удаленных атак, в основе которого лежит систематизация причин успеха удаленных атак. Предложенная систематизация показывает, что причины успеха удаленных атак сводятся к трем основным причинам. Необходимо отметить, что предложенная систематизация не является полной, поскольку не рассматривает, например, атаки, направленные на соединения между хостами. Несмотря на этот недостаток, данная систематизация позволяет разработать метод обнаружения удаленных воздействий, который применим к атакам, осуществляемым на сетевом и транспортном уровнях модели протоколов. В качестве примера практического использования метода реализован алгоритм обнаружения удаленной атаки TCP flooding. В соответствии с предложенным методом были выявлены причины успеха этой атаки, набор параметров, которые необходимо контролировать, и разработан алгоритм обнаружения атаки TCP flooding. Таким образом, в настоящей работе построена систематизация удаленных атак, на основании которой был разработан метод обнаружения удаленных атак и практически реализован алгоритм обнаружения одной из удаленных атак. В дальнейшем необходимо дополнить систематизацию успеха удаленных атак и распространить разработанный метод на атаки, которые осуществляются на прикладном уровне модели протоколов сети Internet. СПИСОК ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВ 1 Медведовский И.Д., Семьянов П.В., Платонов В.В. Атака через Internet. НПО «Мир и семья-95», 1997. 2 Howard J.D. An Analysis Of Security Incidents On The Internet - 1989 – 1995. Engineering and Public Policy dissertation, Carnegie-Mellon University, April 7, 1997. 3 Cohen Fred. Simulating Cyber Attacks, Defenses, and Consequences. Fred Cohen & Associates, March, 1999. 4 RealSecure User’s Guide and Reference Manual. Internet Security Systems, 1996. Доступно http://iss.net/RealSecure. 5 RFC 790, RFC791 – формат IP протокола. 6 RFC 793 – формат TCP протокола. с 6 ПРИЛОЖЕНИЕ А СХЕМА АЛГОРИТМА ОБНАРУЖЕНИЯ АТАКИ Схемы алгоритма обнаружения представлены на рисунке 1 и рисунке 2. Входящий пакет Выделение заголовков сетевого и транспортного уровней. Составление иерархии. Отказ Проверка данных в полях заголовка Успешно Нет Находится в последовательности для текущего заголовка? Да Проверка последовательности Проверка на ограничения ресурсов для заголовка Успешно Отказ Отказ Пакет не прошел проверку и отбрасывается 1 Рисунок 1 — Блок схема 2 атак 7 1 Пакет в ходит в список запрещенных? Да Нет Пакет не прошел пров ерку и от брасыв ается Текущий заголов ок яв ляет ся последним в иерархии? Нет Да Пакет прошел в се пров ерки и допущен к дальнейшей обработ ке В качест в е т екущего заголов ка в ыбирает ся следующий по иерархии заголов ок 2 Рисунок 2 — Блок схема