28 декабря 2005
Л.Фисенко. Системы защиты: фокус на комплексные решения.
Л.Фисенко
Экспресс Электроника, № 6 (126), 2005
Сегодня средства информатизации и связи – один из главных факторов прогресса, без которого невозможно представить поступательное развитие многих сфер человеческой деятельности. Информационные технологии прочно вошли в бизнес, образование, производство, открыв человеку небывалые возможности по скорости получения и обработке информации, а также по автоматизации производственных, управленческих и иных процессов. Глобальное проникновение информационных технологий во все сферы нашей жизни, а также постепенный переход к электронным способам ведения бизнеса ставит перед участниками рынка новые задачи по обеспечению информационной безопасности. Всеобщая информатизация, естественно, сопровождается ростом числа компьютерных преступлений и связанных с ними материальных потерь. Согласно отчетам МВД России, за последние три года количество правонарушений в области информационных технологий выросло более чем в 63 раза, а число инцидентов, связанных с несанкционированным доступом к компьютерной информации, увеличилось в 30 раз. Вот почему информационная безопасность стала обязательным условием ведения современного бизнеса.
В нашей стране к вопросам информационной защиты наиболее серьезно подходят компании, имеющие отношение к информационным технологиям, операциям с ценными бумагами, к банковскому сектору и сотовой связи. Что касается других организаций, то, согласно результатам различных исследований, руководители многих из них знают об основных видах угроз, но не уделяют должного внимания данным вопросам, считая, что обеспечение информационной безопасности не имеет смысла, если отсутствует видимая угроза. Поэтому основная проблема в сфере информационной защиты – недостаточное внимание к ней руководства компаний и, как следствие, дефицит ее финансирования.
Постепенно руководители российских компаний изменяют свой взгляд на информационную безопасность, начинают относиться к ней как к одному из способов повышения конкурентоспособности компании. Сначала, как правило, они осознают необходимость защиты от внешних атак, а позже, по мере изучения проблемы, от атак внутренних.
Сегодня вендоры объединяют коммутационное оборудование со средствами информационной безопасности
Внешними угрозами являются, в частности, вирусные атаки, атаки типа "отказ в обслуживании", в том числе распределенные, несанкционированный доступ на серверы компании, нарушение конфиденциальности передаваемой информации. Их проявление обусловлено взаимодействием предприятия с внешними информационными системами. Но замыкаться на внешних угрозах, недооценивая серьезность внутренних угроз, было бы ошибкой, т.к. значительно больший ущерб компании может нанести некорректное поведение сотрудников, нарушающих корпоративную политику безопасности. Внутренние атаки не относятся к общим типам атак. В отличие от внешних злоумышленников, внутренний нарушитель – это авторизованный пользователь, имеющий официальный доступ к ресурсам интрасети, в том числе к тем, в которых циркулирует конфиденциальная информация. Общая практика состоит в использовании служб информационной безопасности для защиты периметра интрасети, при этом защите от внутренних угроз уделяется гораздо меньше внимания. В действительности же представление о том, что безопасность можно обеспечить, защитив периметр сети только от внешних компьютерных атак, уже давно изжило себя. Необходимо вырабатывать комплексную стратегию, обеспечивающую безопасность на всех уровнях — на уровне шлюза, сервера и клиента.
Системы обнаружения компьютерных атак – не панацея
В настоящее время львиную долю отечественного рынка информационной безопасности составляют межсетевые экраны, системы обнаружения компьютерных атак (IDS – Intrusion Detection Systems) и антивирусные системы. Однако эти средства перестают удовлетворять современным требованиям, предъявляемым к защитным системам. В этом нет ничего удивительного: интервалы времени между появлением сообщения об очередной новой уязвимости в программном обеспечении, выпуском “заплатки” и созданием программы, использующей эту уязвимость, сокращаются сегодня очень быстро. IDS всего лишь обнаруживают компьютерные атаки. Можно также провести параллель между такой системой и термометром: он только определяет температуру тела больного и показывает, какова она. В результате мы получаем, что система обнаружения компьютерных атак имеет лишь диагностическое предназначение.
Существуют две технологии обнаружения атак: технология сигнатурного анализа и так называемая технология выявления аномальной деятельности. IDS, основанные на первой технологии, обнаруживают далеко не все атаки, а только те, которые уже описаны в сигнатурах (образец IP-пакета данных, характерного для какой-либо определенной атаки). Иными словами, они реагируют только на известные атаки и беззащитны перед новыми, неизвестными. Такие IDS работают по тому же принципу, что и антивирусные программы: известные вирусы ловятся, неизвестные – нет.
Появление очередной новой сигнатуры всегда обусловлено анализом механизма уже произошедшей компьютерной атаки. Соответствующая сигнатура вырабатывается постфактум злоумышленного воздействия атаки на какую-либо информационную систему. Хорошо, если это были действия, направленные на конкретные информационные ресурсы. А если это была, допустим, какая-нибудь новая разновидность червя? Тогда пользователь защитной системы, использующей данную технологию IDS, абсолютно не застрахован от возможности тоже стать жертвой компьютерной атаки. Принцип работы «пронесет, не пронесет» может подойти тем пользователем, для которых не критична потеря информации, но не тем, чья деятельность основана на использовании информационных ресурсов.
Возникает резонный вопрос, а как же быть с неизвестными атаками? Имевшие место в последнее время компьютерные атаки, такие как Slammer или NIMDA, ускользают от внимания программных средств, основанных на распознавании сигнатур, и практически мгновенно распространяются через серверы и настольные компьютеры, задолго до того, как становится возможным какое-либо обновление систем защиты. Система, ориентированная на выявление новых типов атак, – система выявления «аномального» поведения, которая отслеживает в сетевом трафике, в работе приложений и в других процессах все отклонения от нормы, контролирует частоту событий и обнаруживает статистические аномалии.
Такая система, основанная на анализе поведения, может остановить как известные, так и ранее не встречавшиеся виды несанкционированной деятельности. Однако у нее есть существенный недостаток – трудность с формулировкой эффективных критериев того, что считать аномальным поведением, а что не считать.
Объединяя два эти технологии и, таким образом, устраняя их взаимные недостатки, мы можем получить средство обнаружения известных и неизвестных атак.
Необходимо не только обнаружение, но и блокирование вредоносных воздействий – переход к проактивной защите.
Обнаружение вторжений без противодействия им нельзя считать эффективным средством защиты. Приобретая систему информационной безопасности, пользователь преследует цель гарантированно защитить свои информационные ресурсы от злонамеренных действий. Поэтому на очередном витке развития информационных технологий, сталкиваясь с постоянной эволюцией угроз и следуя пожеланиям пользователей, разработчики средств информационной защиты предложили на смену IDS системы предотвращения компьютерных атак (IPS – Intrusion Prevention Systems).
Основой функционирования IPS является интеграция IDS с межсетевыми экранами. Кроме того, обязательным условием эффективной работы IPS является установка системы "в разрыв" сети. Это связано с тем, что в таких продуктах разработчики реализуют противодействие распространению атак посредством активного реагирования на атаку. Система IPS не только определяет, но и пытается остановить атаку, а также может провести ответное нападение на атакующего. Наиболее распространенные типы реагирования – прерывание сессии и переконфигурирование межсетевого экрана.
Программно-аппаратный комплекс Symantec централизованно блокирует шпионское ПО и бот-сети
На сегодняшний день IPS является превалирующей технологией, реализованной в продуктах практически всех известных производителей средств информационной защиты. Некоторые вендоры идут дальше и пытаются дополнить системы предотвращения атак своими уникальными разработками. Интересна в плане обнаружения и предотвращения неизвестных атак технология Virtual Patch™, разработанная специалистами компании Internet Security System. Она предназначена для блокирования атаки, эксплуатирующей уязвимость в определенной системе, до официального выпуска заплатки производителем этой системы. Скорость выхода обновления для модуля Virtual Patch составляет несколько часов с момента обнаружения первой информации об уязвимости, после чего происходит рассылка обновлений и автоматическая реконфигурация сенсоров системы обнаружения атак.
Интеграция = снижение стоимости + увеличение защищенности
Принцип эшелонированной защиты в настоящее время доминирует в подходах ведущих производителей средств информационной безопасности. Вместо отдельных межсетевых экранов, устройств организации виртуальных частных сетей (VPN), антивирусных систем, систем обнаружения и предотвращения вторжений на рынок поставляются комплексные решения, в том числе и на программно-аппаратной основе (security appliance), интегрируемые в инфраструктуру компании для обеспечения информационной защиты на всех уровнях. Переход к объединению в одном продукте основных средств информационной защиты дает возможность не только упростить сетевую инфраструктуру, но и обеспечивает многоуровневую защиту с более эффективным управлением.
Информационная безопасность ранее была уделом только крупных компаний, которые могли себе позволить эту, надо сказать, не маленькую, статью расходов. Теперь она стала доступна компаниям среднего и малого бизнеса. Высокий уровень безопасности был им не по карману из-за высокой стоимости и сложности разрозненных решений до тех пор, пока эти решения не стали объединять в многофункциональные аппаратные и программно-аппаратные комплексы.
Подобная интеграция позволила значительно снизить общую стоимость владения средствами защиты информации, упростить процесс установки и администрирования и в тоже время повысить уровень безопасности защищаемых информационных ресурсов. Физическое объединение влияет, в первую очередь, на стоимость системы, поскольку одна платформа обходится дешевле нескольких, а технические ресурсы в такой консолидированной системе используются эффективнее. К тому же эти решения легко интегрируются в корпоративную среду. Практически все основные производители средств защиты предлагают свои решения в этом сегменте, но лидирующие позиции здесь занимают такие компании, как ISS с продуктовой линейкой Proventia, Symantec c устройствами Symantec Gateway Security, Cisco Systems с многофункциональными устройствами Cisco ASA 5500. В то же время, стремление некоторых вендоров объединить коммутационное оборудование со средствами информационной безопасности может повлечь за собой образование узких мест в производительности подобных устройств или же снижение эффективности функционирования средств защиты.
Надежность и качество
Одна из ключевых тенденций в развитии информационной безопасности — повышение требовательности клиентов к качеству и надежности продуктов. Оба этих свойства объединяются в программно-аппаратных средствах защиты.
Качество и надежность подразумевают действительно бесперебойную работу, отказоустойчивость и одновременно абсолютную прозрачность для сетевого трафика. Прежде всего, бесперебойная работа самих по себе продуктов безопасности связана с наличием надежно работающего оборудования и резервированием критичных к отказу блоков питания и запоминающих устройств. Для последних оптимально применение дисковых массивов горячей замены. Качество и надежность работы достигается оптимизацией программного обеспечения. Операционная система устройств обычно «усекается» под выполнение только задач защиты. За счет этого добиваются минимизации вероятности компьютерных атак на само средство защиты.
В устройствах Proventia серии G реализована технология аппаратного шунтирования, обеспечивающая беспрепятственный проход сетевого трафика через устройство в случае нарушений в его работе
Некоторые модели программно-аппаратных средств защиты могут быть установлены в разрыв сети. В этом случае требования к надежности и отказоустойчивости возрастают «в разы», так как выход из строя устройства повлечет за собой нарушение функционирования сети. Дабы этого избежать, разработчики предусматривают механизмы так называемого аппаратного шунтирования, обеспечивающего беспрепятственный проход сетевого трафика через устройство в случае нарушения в его работе. К примеру, данная технология реализована в устройствах Proventia серии G американской компании Internet Security System. Одним из действенных способов увеличения надежности является также объединение устройств в кластерные решения – чтобы избежать появления единой точки отказа.
Формула безопасности
Прислушиваясь к общим тенденциям на рынке информационной безопасности, разработчики объединяют в одно устройство различные средства защиты. Это делает подобные устройства более гибкими при внедрении в информационные системы потребителей. Такое объединение намного упрощает процесс установки и эксплуатации, в частности, за счет технической поддержки одним вендором. Тенденция замены программных решений программно-аппаратными комплексами сохранится и далее. Можно предположить, что продолжится рост популярности программно-аппаратных решений с единым центром управления — как среди производителей, так и среди потребителей. По прогнозам западных аналитиков, к 2007 году 80% всех решений по безопасности будет поставляться в виде многофункциональных комплексов, готовых к эксплуатации сразу после приобретения.
Оценив уровень развития технологий информационной безопасности на сегодняшний день, можно вывести формулу эффективной защиты: интеграция аппаратной платформы, межсетевого экрана, системы обнаружения и предотвращения вторжений, использующей сигнатурный и поведенческий анализ.
Источник: Infosec.Ru
