Антиплагиат Самойлов Д.С. 24Б (Разработка методических рекомендаций проведения анализа защищенности информации аттестованной информационной системы), страница 4

Сам же ущерб возникает из-заатаки на информацию, которая принадлежит организации и приводит к ееуничтожению, повреждению, недоступности, несанкционированномураскрытию, потери или модификации. Любые атаки нарушителейреализуются путём активизации той или иной уязвимости, котораяприсутствует в системе. Это в свою очередь создаёт условия для успешнойреализации информационных атак на ИС.Примерами уязвимостей могут являться некорректным образомсоставленная политика безопасности, отсутствие определённых средствзащиты или ошибки в используемом 65 ПО.–Ошибки в программном обеспечении системы–Неправильная конфигурация средств защиты16–Атаки, направленные на несанкционированнуювставку команд в SQL-запросы–Атаки, направленные на переполнение буфера–Нарушение работоспособности ИСРисунок 1.2 – Потенциальные последствия уязвимостей ИС1.4 Методы поиска уязвимостей в ПОДля того чтобы оператор безопасности информации ИС смог обеспечитьзащищенность ИС, как говорилось ранее, проводится анализ защищенностиИС.

Во время этого анализа защищенности определяются угрозы иуязвимости ИС, а для их определения используются различные методыпоиска.1.4.1 Ручной поискПри данном методе основное исследование опирается на опыт ужепредыдущих лет работы. При этом в том самом опыте немало важно знатьшаблонные уязвимости, уметь читать дизассемблированный код, писать коддля проверки предположений ( 33 например, о наличии в пользовательскихсборках).Существуют ключевые места, где вероятность присутствия уязвимости вданном участке кода является высокой (например, вызов небезопасных17функций работы со строками (рисунок 1.3)). Если исследование этого местапоказало, что оно подвержено уязвимости, то необходимо выяснить, какаяинформация ведет к ее возникновению, и этот диапазон информациинеобходимо брать приближенным к максимуму.Следующим шагом является отдаление от места уязвимости и попыткавнедрения уязвимой информации в исследуемом месте при помощисодержимого памяти или регистров.

Все это покажет, существует ливозможность распространения информации из текущего места к уязвимому.Рисунок 1.3 – Перемещение вредоносных данных по разделам программы1.4.2 2 Поиск по шаблонамПоиск уязвимости по шаблону является автоматизированным методом,который основан на сравнении некоторых характеристик исследуемого ПО сзаранее подготовленными описаниями (сигнатурами) уязвимых мест. Данныйметод 94 наиболее эффективен в случаях, когда идет поиск немаскируемыхзакладок и несложных уязвимостей (например, переполнение буфера,парольные константы).Поиск уязвимостей по шаблонам проводится статически.

При статическом 218анализе исследуется код программы 2 не требующий запуска. Код сравниваетсяс сигнатурами из базы методом побайтового сравнения или по болеесложному алгоритму. 2 Когда сходства обнаруживаются, то сообщаетсянайденная уязвимость.Современные сканеры кода позволяют хорошо 2 справляются савтоматизацией шаблонного поиска следующих типов уязвимостей:– 2 ошибки входных и выходных значений;– 2 внедрение произвольных команд;– 2 XSS-запросы (межсайтовый скриптинг);– 2 SQL-инъекции;– уязвимости переполнения буфера.

2Существует немало разработок, которые посвящены поиску шаблоновуязвимого кода: RATS, FlawFinder, Parasoft, PREfast, lint, Coverity, ITS4, атакже продукты российского производства АИСТ-С, и АК-ВС. Все ониподдерживают поиск ошибок в модулях исходного кода, написанных наодном из поддерживаемых языков.1.4.3 2 Фаззинг (Fuzzing)Одним из методов тестирования, который приобретает значительнуюпопулярность, является фаззинг (fuzzing).Наиболее близким к этому термину является «анализ граничныхзначений», определяющий доступные диапазоны входных значенийпрограммы и 2 тестирующий значения, которые выходят за этот диапазон, либонаходятся на границе.

Фаззинг 2 же отличается тем, что 2 на граничныхзначениях не сужает свое внимание. Также занимается подготовкой входныхданных специального вида.Для проведения фаззинга создано множество коммерческих и свободнораспространяемых программных продуктов: PROTOS SNMP, Protos TestSuites, SPIKEfile, SPIKE, Codenomican, AxMan.19Подход к фаззингу разделяют на два класса, зависимость которых идет отметода генерации данных:– мутация данных. Новые данные получаются за счет незначительныхизменений существующих данных;– генерирование 33 данных. Данные подготавливаются «с нуля» на основепротоколов или в соответствие с заданными правилами.Следующие типы фаззинга, так или иначе, относятся к одному извышеперечисленных классов:– использование 2 случайных данных.

Это наименее эффективный извозможных подходов. Целевой программе передается большое количествослучайных данных, 2 из-за чего при возникновении сбоя очень трудно найтинастоящую причину;– использование заранее подготовленных тестовых данных. Используетсядля тестирования реализаций протоколов. Вместе с формальным 2 описаниемпротокола разработчик может подготовить ряд тестовых данных, которыедолжны соответствующим образом обрабатываться программой,реализующей протокол;– 2 ручное изменение данных протокола. Исследователю известен протоколи он пытается добиться аномального поведения исследуемого ПО за счетвнесения ошибочных данных. За счет отсутствия автоматизации 2 малоэффективен;– полный перебор мутаций данных, подготовленных в соответствие спротоколом.

Подход уменьшает объем тестов за счет использования знаний опротоколе. Однако в данные вносятся все возможные мутации и за счет этогообъем данных велик.Осознанное внесение изменение в данные подготовленные в соответствиес протоколом. Для проведения данного вида тестирования должны бытьпроведены дополнительные исследования с целью определения, какие частиданных должны оставаться константными, а какие изменяться.

Подходявляется наиболее интеллектуальным, однако увеличивается затрата времени 220исследователя.По типу воздействия фазеры можно разделить на несколько классов:локальные, удаленные, в памяти и универсальные.Локальные фаззеры:– 2 фаззеры командной строки. Используются для выявления ошибок,связанных с разбором входных параметров программ;– фаззеры переменных окружения. Используются для выявления ошибок,связанных с обработкой данных, получаемых через переменные окружения;– фаззеры файлов.

Используются для тестирования программногообеспечения, принимающего файлы в качестве входных данных.Удаленные фаззеры:– 2 фаззеры сетевых 33 протоколов. В зависимости от сложности протоколаприменяются фазеры соответствующей сложности;– фазеры web-приложений. Получили особую актуальность с развитиемWeb 2.0;– фазеры web-браузеров.

Тестируется правильность разбора, как HTMLтэгов, так и других поддерживаемых расширений. Особо стоит выделитьфазеры 2 com- объектов поддерживаемых браузерами.Фаззинг в памяти напрямую воздействует на точки ввода данных в код,минуя средства доставки данных. 2 Методика требует более детального разбораи по этой причине описана в отдельном пункте.Под универсальными фаззерами здесь понимается инструментарий длябыстрой разработки инструментов фаззинга (fuzzing framework). Такойинструментарий должен содержать в себе примитивы для генерации входныхданных, а 2 так же для их внедрения.

На их основе может быть разработанфаззер необходимой конфигурации.1.5 2 Методы тестирования систем защитыВ анализе защищенности помимо использования методов поиска21уязвимостей в ПО необходимо еще использовать методы тестирования системзащиты, так как любой программный продукт, используемый для защиты ИС,может иметь уязвимости.Для проверки надежности и качества механизмов защиты, ихустойчивости по отношению к различным атакам, а также для цели поискауязвимостей проводится тестирование системы защиты ИС.

Тестироватьможно соблюдение любых требований, соответствие которым выявляется вовремя работы ПО. 91 Выделяют виды тестирования, связанные с 93 проверкойопределенных характеристик и атрибутов качества — тестированиефункциональности, надежности, удобства использования, переносимости ипроизводительности, а также тестирование 93 отдельных атрибутов —защищенности, функциональной пригодности и пр.Традиционно используются два основных метода 19 тестирования:– по методу «черного ящика»;– по методу «белого 81 ящика». 13Данные методы направлены на выявление трех основных видов ошибок:– функциональности, 13 которая поддерживается программным продуктом;– производимых вычислений;– допустимого диапазона, 13 обрабатываемые программным продуктом.Если тестирование на основе стратегии «белого ящика» исследуетвнутреннюю работу программы, то методы тестирования «черного ящика»сравнивают поведение приложения с соответствующими требованиями.1.5.1 13 Метод «черного ящика»На основе этой стратегии тестирование может быть лишь при наличииустановленных открытых интерфейсов, а именно программный интерфейсприложения или интерфейс пользователя.Стратегия «черного ящика» включает в себя следующие методы 7822формирования тестовых наборов:– эквивалентное разбиение;– анализ граничных значений;– 78 предположение об ошибке;– анализ причинно-следственных связей.Группа тестирования изучает входные и выходные данные программногопродукта.

13 При тестировании методами черного ящика важно участиепользователей, поскольку именно они лучше всего знают, каких результатовследует ожидать от 13 деятельности. Ключом к успешному завершениюсистемного тестирования является корректность данных. Поэтому на фазесоздания данных для тестирования крайне важно, чтобы конечныепользователи предоставили как можно больше входных данных.Тестирование при помощи методов черного ящика направлено наполучение 13 множества 30 входных данных, которые наиболее полно проверяютвсе функциональные требования системы.