30 декабря 2013

«Неизвестный» Microsoft Base Security Analyzer (MBSA) и другие

Введение

Небезызвестная компания Microsoft выпускает и предоставляет для скачивания с собственного сайта большое количество программ и утилит, ориентированных на повышение удобства работы и уровня безопасности информационных систем. Как показывает практика, далеко не все специалисты по информационной безопасности знают о существовании подобных программ и ещё меньше ими пользуется, лишая себя достаточно качественных инструментов.

Рассмотрим в статье некоторые из программ подробнее.

Windows Sysinternals

Системные администраторы и просто интересующиеся вопросами ИТ давно оценили приложения Windows Sysinternals [1,2], значительно улучшающие возможности по диагностике и мониторингу. Наибольшей популярностью, совершенно заслуженно, пользуются следующие утилиты:

AutoRuns для Windows [3], которая предназначена для проверки различных источников автоматической загрузки приложений, служб и расширений. Отдельно следует отметить возможность проверки параметров автоматической загрузки для различных пользователей системы, а также исследование автозагрузки на offline системе.
Process Monitor [4], которая предназначена для отслеживания обращений к объектам файловой системы и реестра Windows, мониторинга работы с сетью, жизненного цикла процессов и потоков.
Process Explorer [5], которая отображает подробную информацию о процессах, загруженных ими библиотеках, открытых файлах.
RootkitRevealer [6], которая осуществляет поиск и отображение несоответствий результатов работы, полученных через API интерфейсы файловой системы и системного реестра, реальным данным. Используется для выявления программ, обладающих rootkit функционалом для сокрытия своего присутствия в системе.
SDelete [7], которая предназначена для удаления существующих файлов и очистке свободных участков жесткого диска от данных, хранившихся в ранее удаленных файлах.

Все утилиты из пакета Windows Sysinternals хорошо документированы, в том числе на русском языке, что позволяет быстро их освоить.

Некоторые утилиты из пакета Windows Sysinternals поддерживают работу в командной строке. Это позволяет использовать их для автоматизации процесса сбора и накопления информации для последующего анализа файлов-отчетов. Анализ может проводиться по различным направлениям: выявление нерегламентированных изменений, подтверждение корректной работы политик и других программ, локализация источников специфического трафика.

Microsoft Base Security Analyzer (MBSA)

Microsoft Baseline Security Analyzer [8] — программный продукт, предназначенный для проверки и сравнения настроек безопасности компьютеров с рекомендациями корпорации Microsoft. Основные задачи, которые могут быть решены с его помощью:

выявление настроек и параметров, которые потенциально могут повлиять на безопасность компьютеров под управлением ОС семейства Windows;
аудит наличия обновлений безопасности на различные продукты компании Microsoft, в т.ч. в системах, не имеющих подключения к сети Интернет или локального сервера обновлений WSUS [9];
планирование мероприятий для повышения уровня защищенности системы на основе рекомендаций от MBSA.

Данный программный продукт заметно менее известен в среде специалистов по информационным технологиям, чем рассмотренные выше приложения Windows Sysinternals. Наиболее вероятными объяснениями сложившейся ситуации могут быть некоторая запутанность документации и отсутствие механизмов добавления собственных проверок.

В частности, на момент написания статьи актуальной является версия MBSA 2.3, однако даже на сайте Microsoft и в материалах, поставляемых вместе с программой, встречаются упоминания более старых версий [8], список поддерживаемых ОС Windows, которые может проверять MBSA, то включает Windows 2000, то нет. (Практически проверить поддержку Windows 2000 в MBSA не было возможности, в связи с низкой актуальностью и отсутствием дистрибутивов в лаборатории кафедры КБиММУ указанной ОС.)

Основное окно MBSA имеет простой минималистический интерфейс. Русский язык не поддерживается, однако для работы достаточно базовых знаний английского языка, поэтому отсутствие локализации интерфейса, также как и у утилит Windows Sysinternals, не должно препятствовать освоению MBSA.

После выбора задания по сканированию рабочие окна для работы с одним или несколькими компьютерами схожи. Различие лишь в способе задания объектов сканирования: по имени компьютера, IP-адресу или диапазону адресов, по имени домена.

Остановимся на доступных настройках, они одинаковы при сканировании как одного, так и нескольких компьютеров. Настройки объединены в крупные блоки. Полный перечень действий, относящийся к конкретному блоку проверок, к сожалению, просмотреть невозможно, но в отчете, если проверка что-то выявит, будет приведено описание выявленной проблемы и перечень действий, необходимый для её устранения.

В документации приведено общее описание блоков проверок:

Check for Windows administrative vulnerabilities. Проверка базовых параметров, таких как состояние гостевых и административных учетных записей, типы используемых файловых систем.
Check for weak passwords. Проверка использования слабых и пустых паролей. Словарь или алгоритм выбора слабых паролей для проверки не раскрывается, вероятно, он сильно ориентирован на англоязычные страны, поэтому не стоит на него сильно полагаться.
Check for Internet Information Services (IIS) administrative vulnerabilities. Очевидно, что набор проверок ориентирован на IIS.
Check for SQL administrative vulnerabilities. Проверяются все экземпляры SQL Server и Microsoft Data Engine (MSDE).
Check for security updates (missing updates). Проверка наличия установленных обновлений безопасности. Важно, что в качестве эталонного перечня обновлений может выступать как сайт Microsoft Update или локальный сервис WSUS, так и специальная локальная база.

Использование локальной базы удобно, если проверяемая система не имеет доступа к сети Интернет или есть сомнения в корректности работы локальной службы распространения обновлений. Скачать локальную базу (wsusscn2.cab) можно по адресу http://go.microsoft.com/fwlink/?LinkId=76054, далее следует сохранить полученный файл в C:\Documents and Settings\<username>\Local Settings\Application Data\Microsoft\MBSA\Cache\ и распаковать его.

MBSA полноценно функционирует в качестве утилиты командной строки, а значит может быть использован как компонент системы автоматизированного сбора и накопления информации. Примеры скриптов и подробное описание использования MBSA из командной строки можно скачать с сайта Microsoft [10]. В прилагаемой к скриптам документации есть несколько более развернутое описание проверок. Отметим, что в качестве параметра проверки может быть указан набор в виде ID проверок (трёхзначное число) или ID бюллетеней безопасности (MS04-004).

Заключение

В статье описаны утилиты и программы, которые могут быть полезны специалистам по информационной безопасности в повседневной профилактической работе, а также при проведении анализа предпосылок и последствий выявленных инцидентов.

Список литературы

Windows Sysinternals // Электронный ресурс. Режим доступа: http://technet.microsoft.com/ru-ru/sysinternals (дата обращения 10.11.2013).
Sysinternals // Электронный ресурс. Режим доступа: http://ru.wikipedia.org/wiki/Sysinternals (дата обращения 10.11.2013).
Программа AutoRuns для Windows // Электронный ресурс. Режим доступа: http://technet.microsoft.com/ru-ru/sysinternals/bb963902 (дата обращения 10.11.2013).
Программа Process Monitor // Электронный ресурс. Режим доступа: http://technet.microsoft.com/ru-ru/sysinternals/bb896645 (дата обращения 10.11.2013).
Программа Process Explorer для Windows // Электронный ресурс. Режим доступа: http://technet.microsoft.com/ru-ru/sysinternals/bb896653 (дата обращения 10.11.2013).
Программа RootkitRevealer // Электронный ресурс. Режим доступа: http://technet.microsoft.com/ru-ru/sysinternals/bb897445 (дата обращения 10.11.2013).
Программа SDelete // Электронный ресурс. Режим доступа: http://technet.microsoft.com/ru-ru/sysinternals/bb897443 (дата обращения 10.11.2013).
Анализатор Microsoft Baseline Security Analyzer (MBSA) // Электронный ресурс. Режим доступа: http://technet.microsoft.com/ru-ru/security/cc184924 (дата обращения 10.11.2013).
Службы обновления Windows Server // Электронный ресурс. Режим доступа: http://technet.microsoft.com/ru-ru/windowsserver/bb332157.aspx (дата обращения 10.11.2013).
MBSA 2.0 Scripting Samples // Электронный ресурс. Режим доступа: http://www.microsoft.com/en-us/download/details.aspx?id=10750 (дата обращения 10.11.2013).

Просмотров: 2110

Мнения экспертов

Левицкий О.И.
ОАО НПО «Наука»
Ведущий специалист по информационной безопасности

Весьма полезная информация для молодых специалистов, изучающих основы сетевого администрирования в аспекте информационной безопасности. Точнее – подсказка, на что стоит обратить внимание при формировании арсенала служебных программ. У меня, признаться, не было впечатления о малоизвестности MBSA, а про WinSysinternals написаны и книжки, и множество статей. Но это вопрос окружения и сложно быть объективным. Тем не менее, хотя я и нахожу статью полезной, на сегодняшний день хотелось бы видеть более развёрнутый перечень инструментария безопасника, позволяющий оценить его возможности на уровне современных информационных технологий. Это было бы интересно даже с точки зрения аналитики ситуации в области IT-Sec, уж не говоря о прикладном аспекте этого вопроса.

Панасенко С.П.
АНКАД
Зам. директора по науке и системной интеграции

Статья кратко описывает набор бесплатных инструментов от компании Microsoft: семейство утилит Sysinternals и программу Microsoft Baseline Security Analyzer. Утилиты Sysinternals (в статье перечислена лишь их часть) пользуются заслуженной популярностью у разработчиков программного обеспечения под Windows, поскольку представляют собой набор бесплатных инструментов, значительно упрощающих процесс разработки и отладки. Можно согласиться и с тем, что вместе с MBSA данные утилиты представляют собой неплохой инструмент начального уровня для администратора по безопасности, способный обнаружить некоторые потенциальные проблемы в защите.

Тележко А.Л.
ООО "ПС Яндекс.Деньги"
Начальник отдела

Ситуацию, с которой рано или поздно сталкивается сотрудник отдела информационной безопасности любой организации — это обеспечение и поддержание настроек безопасности в масштабах корпоративной сети. При этом, для сотрудника отдела информационной безопасности должны быть актуальны настроки пользовательских компьютеров при каждом перезапуске. Для этого можно воспользоваться программой Microsoft Baseline Security Analyzer (MBSA), адаптировав некоторые из примеров сценариев, предоставленных разработчиками Microsoft. В данном вопросе нельзя полагаться только на MBSA — этот продукт не выполняет всеобъемлющую проверку, однако может предоставить весьма полезную информацию для работы. К сожалению в своей статье автор не проводит полноценного анализа по использованию и «боевому» использованию приводимых программных продуктов. Всю детальную информацию, например, можно вполне прочесть и на сайте компании Microsoft. С моей точки зрения, статьи данного плана будут иметь смысл в том случае, если будет проводиться анализ сценариев использования указанных программных продуктов.