Исследование причин нарушений безопасности

Проведение анализа успешно реализовавшихся угроз безопасности (атак) с целью их обобщения, классификации и выявления причин и закономерностей их появления и существования позволяет при разработке и создании защищенных систем сконцентрировать основные усилия именно на устранении этих причин путем исправления выявленных в механизмах защиты недостатков, что позволяет эффективно противостоять угрозам безопасности.

Уязвимость защиты (УЗ) — совокупность причин, условий и обстоятельств, наличие которых в конечном итоге может привести к нарушению нормального функционирования ВС и нарушению безопасности (НСД, ознакомление, уничтожение или искажение данных).

В 70-х гг. XX в. были предприняты попытки формального описания и систематизации информации об УЗ. Исследования проводились по проектам RISOS (Исследование безопасности защищенных операционных систем) и РА (Анализ защиты).

Предлагаемые методики поиска ошибок безопасности в ОС достаточно ограничены в практическом применении. Это можно объяснить предпринятой попыткой обеспечить универсальность методик, что отрицательно сказалось на возможности их развития и адаптации для новых ОС. Усилия исследователей слишком рано были перенаправлены от изучения УЗ в сторону разработки универсальной технологии создания защищенных ОС, свободных от подобных ошибок.

С точки зрения технологии создания защищенных систем наибольшее значение имеют следующие вопросы, на которые должна дать ответ таксономия УЗ.

1. Каким образом ошибки, приводящие к появлению УЗ, вносятся в систему защиты?

2. Когда, на каком этапе они вносятся?

3. Где, в каких компонентах системы защиты (или ВС в целом) они возникают и проявляются?

Ошибки в системах защиты, служащие источником появления УЗ, могут быть следующими.

I. Преднамеренные.

1. С наличием деструктивных функций (активные):

а) разрушающие программные средства (РПС) (несамовоспроизводящиеся РПС («троянские кони»), самовоспроизводящиеся РПС (вирусы));

б) черные ходы, люки, скрытые возможности проникновения в систему.

2. Без деструктивных функций (пассивные),

а) скрытые каналы утечки информации:

с использованием памяти (для кодирования передаваемой информации в этом случае используется либо область памяти, не имеющая важного значения (например, установление характеристик признаков в имени и атрибутах файла), либо вообще неиспользуемая область (например, зарезервированные поля в заголовке сетевого пакета));
с использованием времени (в этом случае информация кодируется определенной последовательностью и длительностью событий, происходящих в системе (например, с помощью модуляции интервалов обращения к устройствам, введения задержек между приемом и посылкой сетевых пакетов и т.д.));

б) другие (к их появлению обычно приводят расхождения между требованиями безопасности и требованиями к функциональным возможностям ВС).

II. Непреднамеренные.

1. Ошибки контроля допустимых значений параметров.

2. Ошибки определения областей (доменов).

3. Ошибки последовательностей действий и использования нескольких имен для одного объекта.

4. Ошибки идентификации/аутентификации.

5. Ошибки проверки границ объектов.

6. Другие ошибки в логике функционирования.

Этап внедрения ошибки и возникновения УЗ может происходить:

на стадии разработки (ошибки при проектировании; ошибки при написании программ);
стадии настройки систем;
стадии сопровождения;
стадии эксплуатации.

Классификация УЗ по размещению в системе:

1. Программное обеспечение:

а) операционная система:

инициализация (загрузка);
управление выделением памяти;

управление процессами;
управление устройствами;
управление файловой системой;
средства идентификации и аутентификации;
другие;

б) сервисные программы и утилиты:

привилегированные утилиты;
непривилегированные утилиты;

в) прикладные программы.

2. Аппаратное размещение.

Таксономия причин возникновения УЗ должна дать ответ на имеющий ключевое значение с практической точки зрения вопрос: что явилось причиной успешного осуществления нарушения безопасности в том или ином случае?

Для ответа на этот вопрос необходимо выявить те свойства и особенности архитектуры ВС, которые привели к возможности успешного осуществления соответствующих атак. Только знание природы этих причин позволит оценить способность системы противостоять атакам на ее безопасность, а также понять природу недостатков, присущих существующим средствам обеспечения безопасности, которые привели к соответствующим нарушениям, и построить защищенную систему, лишенную этих недостатков. К причинам нарушения безопасности ВС относятся:

1) предопределенный на стадии разработки требований выбор модели безопасности, не соответствующей назначению или архитектуре ВС;

2) причины, обусловленные принципами организации системы обеспечения безопасности:

неправильное внедрение модели безопасности;
отсутствие идентификации и/или аутентификации субъектов и объектов;
отсутствие контроля целостности средств обеспечения безопасности;

3) причины, обусловленные реализацией:

ошибки, допущенные в ходе программной реализации средств обеспечения безопасности;
наличие средств отладки и тестирования в конечных продуктах;

4) ошибки администрирования.

Предложенный подход к классификации причин нарушения безопасности в отличие от существующих подходов позволяет определить полное множество независимых первопричин нарушений безопасности, образующих ортогональное пространство факторов, определяющих реальную степень безопасности системы.

Сопоставление таксономии причин нарушений безопасности и классификации источников появления УЗ демонстрирует тот факт, что источником появления наибольшего количества категорий УЗ является неправильное внедрение модели безопасности и ошибки в ходе программной реализации. Это означает, что эти причины являются более значимыми и должны быть устранены в первую очередь.

Сопоставление между причинами нарушений безопасности и классификацией УЗ по этапу внесения показывает, что появление основных причин нарушения безопасности закладывается на этапе разработки, причем в основном на стадии задания спецификаций. Это вполне ожидаемый результат, так как именно этап составления спецификаций является одним из самых трудоемких, а последствия ошибок в спецификациях сказываются на всех последующих этапах разработки и распространяются на все взаимосвязанные компоненты системы.

Перекрестный анализ таксономии причин нарушений безопасности и классификация УЗ по источнику появления и этапу внесения показывают, что наиболее значимые причины (неправильное внедрение модели безопасности и ошибки программной реализации) действуют в ходе процесса разработки и реализации.

Следовательно, именно на этих этапах должны быть сосредоточены основные усилия при создании защищенных систем.

Статьи к прочтению:

Презентация результатов социологического исследования общественного мнения киевлян о нарушении ПДД

Похожие статьи: