Расследование компьютерных инцидентов и преступлений. Расследование инцидентов безопасности компьютерных систем. Отчет о событии информационной безопасности
В случае успешного взлома сервер может быть использован для рассылки спама,
распространения вареза, организации атак на другие хосты, кроме того, могут быть
украдены или уничтожены важные корпоративные данные. Конечно, своевременный
бэкап позволит восстановить все в первоначальное состояние, но не факт, что
через некоторое время инцидент не повторится вновь. Поэтому важно научиться
проводить компьютерные расследования и определять, что же в действительности
произошло.
Компьютерные расследования
Немедленное восстановление системы из резервных архивов для продолжения
нормальной работы сервера - это самая распространенная ошибка. Даже если
начальник грозно нависает над головой, а телефон ломится от звонков возмущенных
клиентов, следует на некоторое время остановить сервер, сохранить его состояние
на другой носитель, чтобы затем можно было спокойно произвести расследование
всех обстоятельств.
Зачем это нужно? Во-первых, чтобы ситуация не повторилась, ведь обновление
ПО, антивирусных баз и т.д. отнюдь не гарантирует того, что хакер не использует
свой способ для повторного проникновения. Во-вторых, нельзя четко сказать, когда
произошел взлом, поэтому, казалось бы, "нормальная" архивная копия уже может
содержать "черный ход". И, наконец, собранная инфа поможет узнать, был ли это
взлом вообще: может, это системная или человеческая ошибка, а может, происки
инсайдера.
Процесс расследования (digital/computer forensics
) хорошо описан в книге
Уоррена Круза (Warren G. Kruse II) и Джея Хэйзера (Jay G. Heiser) "Computer
Forensics: Incident Response Essentials", которая является своего рода библией
для тех, кто занимается подобными исследованиями. К сожалению, в русском
переводе ее нет, в интернете можно найти отдельные главы и выдержки из
оригинала. Само исследование состоит из 5 этапов - подготовка (исследователя),
оценка ситуации, сбор данных, анализ и отчет. Стандартные инструменты, входящие
в состав ОС, в большинстве случаев могут быть использованы лишь как
вспомогательные. Злоумышленник в первую очередь сделает все возможное, чтобы
скрыть от них свои следы (например, время последнего обращения к файлу очень
просто изменить, в итоге это может помешать исследованию, а полученный результат
нельзя будет использовать как доказательство). Первое время поиск следов
проводился на "выключенном компьютере", т.е. создавался образ и, используя
инструментарий, о котором пойдет речь далее, исследователь пытался найти следы
взлома. Такой метод получил название "Dead analysis
".
Сегодня ситуация несколько другая. Известно, что некоторые современные вирусы
не оставляют следов на жестком диске, яркий пример - червь "SQL slammer",
который работает только в ОЗУ, и засечь его можно лишь по сетевой активности
(порт 1434, UDP пакет ~400 байт). Еще один момент: в настоящее время повсеместно
внедряются криптографические средства защиты (например в Windows - BitLocker,
EFS), и без ключей, хранящихся в ОЗУ, получить доступ к защищенной информации
нет никакой возможности. Поэтому сегодня чаще используется анализ на рабочей
системе - "Live analysis
", когда собирается полная инфа о сетевой активности,
приложениях и процессах. Как ты понимаешь, единой процедуры, подходящей для всех
случаев, не существует, в каждой конкретной ситуации подход сугубо
индивидуальный.
- утилиты, позволяющие сохранить посекторную копию разделов диска;
- утилиты создания контрольных сумм и цифровых подписей файлов;
- перехватчики сетевых пакетов, утилиты анализа сетевой активности и сетевых
настроек системы; - средства анализа состояния системы (процессы, библиотеки и т.п.)
В зависимости от ситуации состав приложений может меняться и подбирается
индивидуально. Нужно отметить, что в настоящее время существует совсем немного
специализированных программ проведения расследований. Из коммерческих продуктов
популярны ProDiscover от Technology Pathways ,
EnCase Forensic от Guidance Software
и The Forensic Toolkit .
Некоторые проекты предлагают демки ограниченных версий. Например, ProDiscover
Basic Edition Freeware, которая доступна для закачки на сайте Technology
Pathways, не имеет сетевых функций. Но, тем не менее, есть ряд продуктов,
распространяемых под Freeware-лицензией, возможностей которых вполне достаточно
для проведения полного анализа. Более того, существуют специализированные
дистрибутивы Linux, где все нужные утилиты уже собраны и настроены. Например,
DEFT Linux ,
FCCU GNU/Linux Forensic Boot CD ,
Helix3 и
другие.
Кстати, коммерческий вариант
Helix3
в своем роде уникальный дистрибутив, так как содержит утилиты для Linux, Windows
и Mac OS X.
Набор Sleuth Kit
Самой первой и поэтому известной утилитой, написанной для Unixсистем,
является TCT (The Coroner"s Toolkit). TCT разработан двумя авторами SATAN -
Dan Farmer и Wietse Venema - и представляет собой набор утилит, при помощи
которых можно произвести как Dead, так и Live анализ Unixсистемы. Некоторое
время проект практически не развивался, поэтому в специализированных
дистрибутивах его заменил
The Sleuth Kit
.
TSK разработан экспертом по безопасности Brian Carrier и основан на исходном
коде проектов TCT и TCTUtils. Сырцы серьезно переписаны, что позволяет собрать и
использовать утилиты в Linux, Mac OS X, Cygwin, FreeBSD, OpenBSD и Solaris. При
помощи TSK можно проанализировать данные, находящиеся на разделах NTFS, FAT,
Ext2, Ext3, UFS1 и UFS2, а также в образах, созданных командами dd и dd_rescue.
В состав включены 24 утилиты, большинство из них для удобства пользователя
разбиты на группы, и имя начинается с определенной буквы:
- File System Layer (начинаются с f*) - работа с файловой системой;
- Meta Data Layer (i*) - описывает файл или каталог, т.е. все, что можно
извлечь из inode; - Data Unit Layer (blk*) - фактическое содержание блоков, кластеров,
фрагментов; - File System Journal (j*) - журналы файловой системы;
- Volume System (mm*) - анализ разделов, дисковые утилиты (disk_*).
Попробуем найти удаленный файл. Для начала запустим утилиту fls, чтобы
получить имена файлов и каталогов, в том числе и удаленных. Утилита имеет
несколько дополнительных параметров, из них стоит отметить:
A - вывод имен файлов, начинающихся с точки (. и..), их очень любят
использовать взломщики для маскировки;
-d - вывод только удаленных файлов;
-u - вывод только не удаленных файлов;
-l - вывод подробной информации о файле;
-r - рекурсивный обход каталогов.
# fls -rd /dev/sda1
Первая буква показывает тип файла, т.е. r-egular, d-irectory, l-ink, s-ocket
или не определен (?). Знак "*" на второй позиции показывает, что файл не
распределен (удален). Теперь запросим больше информации о конкретном inode:
# ffind -a /dev/sda1 111
/windows/system32/cmd.exe
# istat /dev/sda1 111
inode: 111
Not Allocated
uid / gid: 0 / 0
mode: rwxr-xr-x
size: 0
num of links: 0
# fsstat /dev/sda1
Чтобы просмотреть данные, соответствующие inode, используем icat:
# icat /dev/sda1 1234 | less
Аналогично за вывод данных в конкретном блоке отвечает утилита blkcat. Для
примера просмотрим один блок и сохраним несколько блоков, принадлежащих файлу:
# blkcat -h /dev/sda1 111 | less
# blkcat 111-120 > output.blk
В сформированном образе адрес блока будет отличаться от исходного, поэтому
вручную найти его непросто. Но это и не требуется, чтобы упросить поиск, можно
воспользоваться специальным калькулятором - blkcalc. Еще одна полезная команда
"blkls /dev/sda1" позволит просмотреть содержимое блоков выбранного раздела
диска в удобочитаемом виде. По умолчанию выводятся только нераспределенные блоки
данных (соответствует ключу "-A"). Сохранив вывод blkls в файл, затем можно
использовать утилиты strings и grep для поиска нужных фрагментов.
# blkls sda1.dd > sda1.blkls
# strings -t d sda1.blkls > sda1.str
Теперь в sda1.str находятся все текстовые строки из образа/раздела вместе с
данными, указывающими на смещение относительно начала блока.
В Sleuth Kit v1.63 появилась утилита mmls. Примечательна она тем, что выводит
таблицу разделов и показывает, какие сектора не используются. Таким образом
можно увидеть "спрятанные" данные:
# mmls -t dos /dev/sda
Описание утилит можно продолжать долго, лучше один раз запустить и увидеть
результат. Но все, о чем говорилось, позволяет лишь собрать данные, а их анализ
целиком возлагается на плечи исследователя. Для того чтобы найти в нескольких
гигабайтах информации инструменты взломщика, потребуется немало времени и опыта.
Здесь на помощь приходит утилита hfind из комплекта TSK, которая умеет
рассчитывать хеш-функции файлов и сравнивать результат с заранее созданной
базой. База может формироваться как самостоятельно при помощи md5sum, так и на
основе библиотеки NSRL (National Software Reference Library )
. Проект NSRL
поддерживается рядом солидных организаций, среди которых - Национальный Институт
Американского Министерства юстиции (NIJ), Национальный Институт Стандартов и
Технологии (NIST) и так далее. В NSRL собраны в справочный информационный набор
RDS (Reference Data Set, полный комплект занимает 4 CD по 300 Мб каждый) профили
различного ПО - хеш-функции (MD5 и SHA-1), данные о файле (происхождение, имя,
размер и т.п.), что позволяет однозначно идентифицировать файл, даже если он был
переименован. Кстати, одной из основных задач этой библиотеки является поиск
программ при расследовании преступлений, направленных против интеллектуальной
собственности.
Утилита hfind проверяет значения хеш-функции в базе данных, используя
двоичный алгоритм поиска, поэтому она работает быстрее, чем штатный grep, но
вначале следует создать индексный файл (ключ "-i"):
# hfind -i nsrl-sha1 /usr/local/hash/nsrl/
NSRLFile.txt
Index Created
В результате в текущем каталоге появится NSRLFile.txtsha1.idx. Теперь можно
пробить любой файл по базе:
# md5sum /bin/ls
# hfind /usr/local/hash/nsrl/NSRLFile.txt f58
860f27dd2673111083670c9445099
Hash
Not Found
Для примера создадим md5-сумму важных системных файлов:
# md5sum /bin/* /sbin/* /usr/bin/* /usr/bin/*
> system.md5
Проверяем результат командой "cat system.md5", генерируем индексный файл:
# hfind -i md5sum system.md5
Теперь можно периодически проверять наличие измененных файлов в
контролируемых каталогах:
# md5sum /bin/* > bin.md5
# hfind -f bin.md5 system.md5
3/bin/bash
Invalid Hash Value
Как видишь, /bin/bash изменился со времени создания базы, его контрольная
сумма не совпадает.
И, наконец, скрипт sorter. Он умеет анализировать образ (для этого запускает
fls и icat), а также находит и распознает файлы (при помощи file). Если
задействована база NSRL, сортировщик может определить сразу и характер файла
(опасный или нет). Опасные файлы автоматически заносятся в отдельный файл -
alert.txt (если использован параметр "-s", то будет сохранено и содержимое
файла). Создаем каталог, куда будет сохраняться результат, и запускаем анализ
раздела или dd-образа:
# mkdir data
# sorter -d data -f ntfs /dev/sda1
По окончании работы в подкаталоге data появится несколько файлов с
расширением txt:
archive.txt documents.txt disk.txt sorter.sum
# cat data/documents.txt
Documents and Settings/All Users/Главное меню/Программы/
Стандартные/desktop.ini
ISO-8859 text, with CRLF line terminators
Image: /dev/sda1 Inode: 5805-128-1
В sorter.sum найдем общий итог по поиску.
Веб-интерфейс Autopsy
Утилит в составе Sleuth Kit более чем предостаточно, и это вызывает некоторые
затруднения не только в их изучении, но и использовании даже у бывалых спецов.
Но не беда, так как в дополнение к TSK был создан инструмент визуализации -
Autopsy Forensic Browser
,
поддерживаемый тем же автором. Autopsy для своей работы требует наличия TSK и
желательно NSRL. После запуска в командной строке копируем выданный URL в
веб-браузер (http://localhost:9999).
Первым делом следует создать базу данных dd-образов, предварительно взятых с
различных дисков и систем. Для этого нужно нажать ссылку "New Case" и заполнить
название и описание (можно указать несколько вариантов, чтобы упростить поиск).
Далее нужно добавить сведения об узле, с которого снят образ. Жмем "Adding a New
Host" и заполняем данные - имя компьютера, описание, временной пояс, путь к
базам NSRL. И, наконец, через "Adding a New Image" подключаем образ - задаем
путь к файлу, тип (диск, раздел). После этого можно выбрать: копирование образа,
перемещение образа, создание симлинка. В следующем окне указываем файловую
систему и точку монтирования. По окончании можно начинать работу. Например,
извлечь строковые данные, отдельные блоки или удаленные файлы можно в
"Image Details". Здесь же получаем всю необходимую информацию о данных,
содержащихся в тех или иных блоках (ASCII, Hex, String). При необходимости
добавляем комментарий к нужному участку. Аналогично можно вывести список файлов,
данные о состоянии inode и прочую информацию. Сторонними разработчиками создана
альтернатива Autopsy - PTK ,
обладающая большим удобством в использовании и расширенными возможностями.
В мире окон
WWW
RFC3227 "Guidelines for Evidence Collection and Archiving" -
ftp.rfc-editor.org/innotes/rfc3227.txt .
Документ, подготовленный Национальным институтом юстиции США (National
Institute of Justice) "Forensic Examination of Digital Evidence: A Guide for Law
Enforcement" -
Раздел 1. Информация и ее роль в бизнесе. Понятие компьютерного инцидента
- Основные понятия в сфере оборота информации. Возможные последствия несанкционированного доступа к критически важной информации. Некоторые примеры инцидентов.
- Понятие и классификация КИ. Узкое и расширенное толкование КИ. Неизбежность КИ как следствие невозможности создания абсолютной защиты. Основные стадии КИ (подготовка, развитие, скрытие следов).
- Ненадлежащая политика руководства организации. Отсутствие подготовленного персонала. Отсутствие формально ответственных лиц. Использование «пиратского» программного обеспечения. Игнорирование рекомендаций службы безопасности, непринятие профилактических мер. Возможные последствия такой политики на примере некоторых организаций.
- Нарушители правил из числа персонала организации. Различные категории нарушителей требований политики безопасности. Методы предотвращения вредных последствий от их деятельности.
- Деятельность хакеров. Социальный состав хакеров. Цели и методы их деятельности. Возможные последствия. Некоторые мифы и суеверия о хакерах.
- «Традиционные» злоумышленники. Воры, рэкетиры, террористы и возможные последствия их действий. Изменение некоторых концепций в сфере информационной безопасности в свете роста количества террористических актов.
- Неправомерная деятельность отдельных представителей государственных органов. Возможные причины интереса со стороны контролирующих органов. Налоговые проверки, «крышевание», действия в интересах конкурентов. Методы минимизации возможного ущерба от неправомерной деятельности.
- Несчастные случаи и стихийные бедствия. Возможные последствия. Методы минимизации ущерба.
- «Однобокая» или неправильно сбалансированная служба безопасности (СБ). Некоторые типичные недочеты при комплектовании СБ организаций и последствия этих недочетов. Нарушение взаимодействия трех компонентов СБ. Неверный выбор имиджа СБ в организации.
- Проблемы в работе с персоналом. Отсутствие подготовленного персонала. Поручение работ по защите информации случайным лицам. Отсутствие единой политики информационной безопасности. Недопустимость использования IT-специалистов для обеспечения информационной безопасности. Недочеты в работе с персоналом, в том числе с уволившимися сотрудниками.
- Уязвимости в программном обеспечении (ПО). Наличие скрытых уязвимостей в используемых программных средствах, в том числе, вследствие использования пиратского ПО. Несоблюдение процедур инсталляции и обслуживания ПО. Консультации со случайными лицами и их последствия.
- Беспечность ответственных сотрудников. Игнорирование предупреждений со стороны компетентных государственных органов и персонала. Непринятие мер к своевременному расследованию КИ. Игнорирование сигналов от защитных программных и аппаратных средств.
- Компетентные государственные органы, осуществляющие расследование КИ в РФ и США. Подразделения «К» БСТМ МВД РФ. ФСБ РФ. Секретная служба Министерства финансов США. ФБР США. Интерпол. Некоторые возможности этих организаций в расследовании КИ.
- Существенные различия в юридической системе РФ и США. Влияние этих различий на расследование КИ. Ограничения в применении в РФ западных методик предотвращения и расследования КИ.
- Международное взаимодействие в расследовании КИ. Доказательственное значение материалов, полученных из-за границы. Типичные ошибки при сборе информации за рубежом.
- Негосударственные организации, занимающиеся расследованием КИ на территории РФ, и их возможности. Профессиональные ассоциации, охранно-детективные структуры, службы безопасности провайдерских компаний.
- Комплексная система безопасности на предприятии. Увязка в едином комплексе организационно-административных, программно-технических, физических и технических мер как необходимое условие для минимизации нанесенного КИ ущерба. Невозможность решения проблем безопасности каким-либо одним способом. Примеры таких попыток и их последствия.
- План обеспечения непрерывности работы и восстановления работоспособности АС организации (ОНРВ). Необходимость предварительной подготовки плана действий в случае КИ с учетом различных видов КИ. Автоматизм в исполнении плана.
- Адекватная политика информационной безопасности. Недопустимость политики реагирования «по факту» КИ. Повышение осведомленности сотрудников организации в вопросах информационной безопасности.
- Законодательство РФ. Законы «Об информации, информатизации и защите информации», «О правовой охране программ для ЭВМ и баз данных», «О коммерческой тайне» и предъявляемые ими требования. Уголовный кодекс и Кодекс об административных правонарушениях РФ.
- Криптографические средства. Правовое регулирование работ с криптографическими средствами защиты информации в РФ.
- Правовая защита информации в организации. Реализация режима коммерческой тайны на предприятии в отношении существенной информации. Ознакомление с этим фактом всех заинтересованных лиц. Размещение предупреждений на сервере организации.
- Обеспечение представительства интересов организации. Выдача постоянно действующей доверенности на право представления интересов предприятия и заверенных копий всех правоустанавливающих документов лицам, ответственным за информационную безопасность. Возможность внесения соответствующих изменений в устав организации.
- Организация взаимодействия с правоохранительными органами. Предварительное установление и поддержка контакта с правоохранительными органами.
- Средства протоколирования. Использование средств протоколирования всех подозрительных действий, мониторинга активности пользователей для выявления КИ на ранней стадии. Обеспечение доказательственного значения файлов протоколов.
- Перекрытие технических каналов снятия информации. Основные методы несанкционированного съема информации (активные и пассивные радиозакладки, отражатели, электронно-оптические преобразователи, направленные микрофоны, стетоскопы, средства внешнего контроля). Нестандартные приемы съема информации (волноводы, тайники, ВЧ-навязывание). Некоторые средства защиты. Непрофессиональный подход к технической защите информации и его последствия.
- Обеспечение резервного копирования данных. Периодическое полное и дифференциальное копирование. Обеспечение защищенных зон для хранения информации.
- Доказательственное значение файлов протоколов в случае официального и частного расследования.
- Дистанционная работа сотрудников как средство обеспечения безопасности информации. Диверсификация информационных ресурсов предприятия.
- Контроль рабочих мест сотрудников. Использование кейлоггеров и «троянских» программ. Внедрение контрольного ПО на рабочие места. Обеспечение «невидимости» контрольного ПО для антивирусных программ. Снятие файлов протоколов.
- Контроль активности сотрудников. Использование методики honey pot. Отслеживание обращений к критичным файлам. Протоколирование действий сотрудников с помощью специальных программных средств.
- Контроль трафика электронной почты и обращения к Web-сайтам. Виды активности, которые требуется контролировать.
- Контроль телефонных переговоров сотрудников. Использование стандартного программного обеспечения мини-АТС.
- Использование результатов контрольных мероприятий. Анализ файлов протоколов. Построение профилей активности сотрудников. Методика реагирования на недопустимые действия сотрудников. «Мягкое» и «жесткое» пресечение недозволенной активности.
- Неотложные действия. Алгоритм действий при возникновении инцидентов. Рекомендации NIPC США и возможность их адаптации к российским условиям.
- Взаимодействие с государственными и негосударственными органами. Решение вопроса об обращении в правоохранительные органы. Взаимодействие с негосударственными организациями и специалистами по информационной безопасности.
- Выявление и устранение предпосылок, способствовавших возникновению КИ
- Восстановление работоспособности системы после КИ согласно плану ОНРВ
- Специфика реагирования при возникновения КИ вследствие неправомерных действий отдельных представителей государственных органов. Обеспечение правовой и физической защиты информации. Документирование неправомерных действий.
- Взаимодействие с правоохранительными органами в ходе расследования. Официальное обращение в государственные органы. Возбуждение уголовного дела.
- Выявление злоумышленника. Оценка нанесенного злоумышленником ущерба с учетом морального вреда и упущенной выгоды организации.
- Сбор доказательств преступной деятельности злоумышленника. Недопустимость применения незаконных методов сбора доказательств. Различие между служебным расследованием в рамках организации и оперативно-розыскной деятельностью. Участие правоохранительных органов.
- Представительство интересов организации на предварительном следствии и в суде. Некоторые сложности, которые могут при этом возникнуть.
- Использование статуса потерпевшего для получения информации об истинных мотивах и методах действий злоумышленника. Необходимость полного и окончательного расследования КИ. Раскрытие возможных пособников злоумышленника внутри организации.
- Устранение причин, способствовавших возникновению КИ. Обеспечение невозможности возникновения КИ в будущем.
- Правовые основы для изъятия и исследования компьютерной техники. Основные принципы изъятия имущества в ходе расследования уголовного дела (обыск, выемка, осмотр, добровольная выдача) и в административном порядке (осмотр). Правовой статус специалиста.
- Методика изъятия компьютерной техники и носителей информации. Обеспечение доказательственного значения изъятых материалов. Описание и пломбирование техники.
- Методика исследования компьютерной техники. Общие принципы исследования техники. Программное средство EnCase. Выводы эксперта и экспертное заключение.
- Постановка задачи. Вводная информация о выявлении инцидента в сфере информационной безопасности.
- Планирование расследования. Самостоятельное планирование хода расследования слушателями. Групповое обсуждение и корректировка плана.
- Пошаговое расследование инцидента. Самостоятельное поэтапное проведение полного цикла расследования с использованием информации, добытой на каждом этапе. Исследование зараженного компьютера. Составление всех необходимых документов. Использование технических средств и организация поисковых мероприятий в сети Интернет.
Каждые сутки обрабатываются полтора миллиона событий ИБ, поступающих от различных систем и устройств: IDS, IPS, межсетевых экранов, сканеров состояния защищённости, антивирусов, сетевых устройств. Автоматизированная обработка выявляет события, влияющие на безопасность, для последующего детального анализа. Аналитики компании вручную исследуют 180–200 событий. Каждое такое подозрительное событие является потенциальным инцидентом ИБ, с которым связана вероятность компрометации данных и нарушения конфиденциальности, целостности и доступности.
Инцидент - негативное событие с финансовыми, правовыми и репутационными последствиями для жертвы компьютерной атаки. Если организация хочет быть готовой противостоять злоумышленникам, она должна реагировать на каждый такой случай. И мы можем в этом помочь.
Наша работа по расследованию инцидентов состоит из 5 этапов.
Выявление инцидента информационной безопасности
Инцидент информационной безопасности может обнаружить дежурная смена Центра мониторинга. Или к нам может обратиться непосредственно владелец ресурса, если в его информационной системе есть подозрительная активность, при которой внедрённые ранее средства защиты информации «молчат». При этом у объекта атаки может быть недостаточно ресурсов или опыта для расследования инцидента.
Мы также можем определить, подвергалась ли организация атакам в прошлом и был ли какой-либо ущерб, проанализировав имеющиеся записи журналов различных систем.
Сдерживание
Главная задача после обнаружения инцидента - не допустить компрометации данных и снизить влияние на бизнес-процессы. Для этого заказчик локализует атакованный узел и блокирует вредоносную активность.
Мы взаимодействуем с ведомственными и корпоративными центрами реагирования на кибератаки , чтобы получать информацию об угрозах и методах противодействия в реальном времени.
Сбор доказательств
На этом этапе мы находим и документируем любые сведения, связанные с инцидентом, чтобы ответить на следующие вопросы:
- Что произошло?
- Когда произошло?
- Объект атаки?
- Откуда «пришла» атака?
- Каковы цели и мотивация атакующего?
- Кто был вовлечён в проведение атаки со стороны жертвы?
- Какие методы, уязвимости и инструменты использовал атакующий?
Ликвидация последствий
После того, как мы соберём информацию об инциденте, заказчик расследования может запускать процессы восстановления после инцидентов ИБ. Если таких процессов нет, мы поможем восстановить работоспособность затронутых атакой информационных систем и ресурсов.
Недопущение повторения
После анализа результатов расследования компьютерного инцидента мы даём рекомендации по изменению настройки и состава средств защиты информации, которые могут предотвратить повторение инцидента в будущем или закрывают наиболее критичный вектор атак.
Результаты
- Заключение по результатам расследования инцидента.
- Документированная информация об инциденте и собранные доказательства.
- Результаты анализа причин, развития и последствий инцидента, предположения о виновных лицах.
- Рекомендации по недопущению подобных инцидентов в будущем.
ТЕХНИЧЕСКИЕ НАУКИ
ТЕХНОЛОГИИ РАССЛЕДОВАНИЯ КОМПЬЮТЕРНЫХ
ИНЦИДЕНТОВ Бутин А.А.
Бутин Александр Алексеевич - кандидат физико-математических наук, доцент, направление: информационная безопасность, кафедра информационных систем и защиты информации, Иркутский государственный университет путей сообщения, г. Иркутск
Введение
Необходимо признать, что компьютерные преступления (инциденты) всегда совершались, совершаются и будут совершаться. Не существует системы защиты, которую нельзя обойти или сломать при наличии достаточного количества ресурсов. Даже если защита от вторжений идеальна по внешнему периметру, всегда есть субъекты, которые обслуживают систему внутри, т.е. имеют легальный доступ к ней.
Ежегодно из-за компьютерных преступлений теряются огромные финансовые средства. Сейчас вряд ли можно найти человека или организацию, которые не сталкивались бы с банальными компьютерными вирусами. Один вирус, принесенный на флеш-накопителе или полученный по почте, может уничтожить всю базу данных организации.
Эти потери могут быть невосполнимыми и зачастую от них нельзя застраховаться. Существует базовый способ борьбы с компьютерной преступностью. Это постоянное отслеживание состояния защищаемой системы, создание резервных копий, систематическое обновление программных продуктов и установка пакетов обновления безопасности. Но и эти меры не будут гарантировать стопроцентной защиты, т.к. может получиться, что злоумышленник будет искать уязвимость именно в данной системе и эта уязвимость будет уникальной. Следовательно, узнать об этом можно только после того, как компьютерный инцидент произойдет. И тогда нужно будет направить все силы на его расследование и выявить, каким же именно способом и кем он был совершен. Если этого не сделать, инцидент может повториться. Ниже приводится одна из возможных технологий расследования компьютерных инцидентов (наряду с опубликованными -).
Методология расследования компьютерных инцидентов. Методология реагирования на компьютерный инцидент предназначена для решения следующих задач:
Подтверждение или опровержение самого факта инцидента;
Сбор достоверной информации об инциденте;
Контроль за правильностью обнаружения и сбора фактов;
Защита гражданских прав, установленных законом и политикой информационной безопасности;
Минимизация влияния на основные операции организации;
Формирование гражданских и уголовных исков к нарушителям;
Компьютерные инциденты часто приводят к сложным и многофакторным проблемам. Как и любая другая сложная техническая проблема, реакция на инциденты может рассматриваться как черный ящик. Проблемы разделяются на составные части, затем исследуется входная и выходная информации каждого компонента. Поэтому предложенная методология реакции на инциденты состоит из следующих процедур:
Подготовка к инциденту - действия, которые позволяют подготовиться к возможным инцидентам.
Выявление инцидентов - исследование подозрительных инцидентов в системе безопасности.
Первоначальная реакция - проведение первоначального расследования, получение наиболее очевидных фактов (включая свидетельские показания) и подтверждение самого факта инцидента.
Формирование стратегии реакции на инцидент - на основе собранных фактов определяется наиболее эффективная реакция на инцидент, которая утверждается руководством компании.
Дублирование (судебное резервное копирование) - создание материалов для предоставления в судебные инстанции для расследования инцидента или получения дополнительных фактов.
Исследование - проведение подробного изучения того, что произошло, кто это сделал и как можно предотвратить подобные инциденты в будущем.
Реализация мер безопасности - активное воздействие на пострадавшую систему, предполагающее проведение мероприятий безопасности для изоляции и устранения последствий инцидента.
Сетевой мониторинг - исследование операций в сети для изучения и защиты пострадавших сетевых устройств.
Восстановление - возобновление нормального операционного состояния пострадавшей системы.
Отчет - точное документирование всех подробностей расследования и применение мероприятий безопасности.
Завершение работы - анализ предпринятых действий, изучение полученного опыта и устранение всех выявленных проблем.
Подготовка к инциденту. Компьютерные инциденты являются случайными, поэтому исследователи заранее не знают, когда произойдет очередной инцидент в системе безопасности. Более того, исследователи вообще не могут получить управление и не имеют доступ к компьютеру, пока на нем не произойдет инцидент. Однако, как и с научным прогнозированием землетрясений или ураганов, можно с уверенностью сказать, что инцидент может произойти. И это поможет хорошо подготовиться и к очередному инциденту.
При подготовке к инциденту предполагается не только получение программных инструментов и технологий, но и некоторые действия в системе и сети для предварительной подготовки к реакции на инцидент. Если исследователи могут немного контролировать компьютеры и сеть, то можно предпринять разнообразные предварительные действия, которые помогут ускорить реакцию после возникновения инцидента. Например, можно усовершенствовать процедуру входа на хосты и в сети, а также регулярно проводить резервное копирование.
Вне зависимости от полномочий доступа к потенциальным жертвам инцидентов (т.е. к хостам и сетям), необходимо заранее распределить роли между членами команды реакции на инцидент, а также подготовить оборудование и программные средства для этой реакции.
Идентификация жизненно важных активов компании. Основой подготовки к инциденту является создание предпосылок для выработки быстрых ответов на вопросы, возникшие после инцидента. Среди этих вопросов:
Что реально произошло?
Какие системы затронуты инцидентом?
Какая информация скомпрометирована?
Какие файлы были созданы, изменены, скопированы или удалены?
Что могло стать причиной инцидента?
Кого следует уведомить об инциденте?
Какие действия нужно предпринять для быстрого возобновления бизнес операций в компании?
Первым этапом в подготовке к возможным инцидентам должна стать безопасность сети. Необходимо затратить время на исследование потенциальных рисков, связанных с компьютерными инцидентами:
Что больше всего может повредить компании: остановка бизнеса, потеря репутации, снижение уровня доверия или кража критически важной информации?
На чем следует сосредоточиться: на краже интеллектуальной собственности, изменении данных или разрушении важных информационных архивов?
Кто представляет наибольшую опасность для компании?
Имея общее представление о возможных рисках, компании должна сформировать правила для безопасности наиболее важных активов, правила станут базой для формирования политик и процедур безопасности активов компании.
Для защиты сети от атаки можно применять мероприятия безопасности на уровне хостов или на уровне всей сети в целом. В любом случае следует предотвращать возможные атаки и регистрировать попытки неавторизованного доступа.
В некоторых случаях можно позволить атакующему продолжить свои операции, но тщательно отслеживать все неавторизованные или незаконные действия.
Подготовка отдельных хостов. Что необходимо выполнить на каждом компьютере, чтобы гарантировать быструю и эффективную реакцию на инцидент? Приведем несколько рекомендаций, которые помогут в любом исследовании наиболее эффективных методов реакции на инцидент:
Запись криптографической контрольной суммы всех важных файлов;
Усиление или разрешение аудита безопасности;
Создание индивидуальных средств безопасности каждого хоста;
Резервное копирование критически важных данных и хранение полученных архивных носителей в безопасном месте;
Обучение пользователей методом индивидуальной защиты хостов;
Если надежно защищены все хосты, можно избежать многих инцидентов компрометации безопасности. При подготовке к инцидентам обязательно должны учитываться индивидуальные средства защиты хостов. Действия по увеличению безопасности хостов не только снизят вероятность инцидентов, но и упростят расследование после возникновения компьютерного инцидента.
Необходимо убедиться, что используются последние версии операционной системы и приложений;
Следует отключить неиспользуемые службы;
Нужно внимательно отнестись к настройке конфигурационных параметров;
Большое количество уязвимостей в системе безопасности связаны только с
ошибками системных администраторов.
Подготовка сети. Многие сетевые средства помогут реагировать на компьютерные инциденты. Необходима сетевая регистрация событий, которая во многих случаях предоставит неоспоримые (а иногда и единственные) факты вторжения. Поэтому в реакции на инцидент важную роль играет сетевой администратор.
Сетевой администратор отвечает за сетевую архитектуру и топологию, поэтому может дать полный ответ на вопрос: «Какие системы могут быть скомпрометированы во время инцидента?». Именно сетевой администратор обслуживает брандмауэры, маршрутизаторы и системы выявления вторжений IDS (Intrusion Detection Systems), которые дают критически важные файлы журналов регистрации. Сетевой
администратор поможет изменить конфигурацию некоторых устройств для блокирования определенных потоков трафика во время реакции на инцидент.
К сетевым мероприятиям безопасности относятся:
Установка брандмауэров и систем IDS;
Использование списков управления доступом в маршрутизаторах;
Создание сетевой топологии, облегчающей мониторинг;
Шифрование сетевого трафика.
Установка подходящей политики и процедур безопасности. Политика, принятая на предприятии может способствовать или препятствовать расследованию компьютерного инцидента, связанного с нарушением безопасности.
Без учета действующей политики сотрудники не смогут ожидать обеспечения своих гражданских прав, а руководство не сможет проводить мониторинг ежедневной работы сотрудников, знакомиться с почтовыми сообщениями, анализировать привычки при перемещении в Web, получать доступ к системам голосовой почты или узнавать о содержимом компьютерных систем своих сотрудников.
Уволившийся сотрудник способен переслать по e-mail важные промышленные секреты, а хакеры - получить полный доступ к корпоративной сети.
Без установки правильной политики нельзя легально проводить мониторинг таких незаконных действий.
После инцидента с нарушением безопасности расследование может предполагать вторжение, например, проведение мониторинга действий сотрудников или неавторизованных в сети взломщиков. Подготовка, планирование, формирование правильной политики и другие внутренние мероприятия, с которыми придется столкнуться, определяются целями, поставленными при реакции на инцидент.
Формирование команды реагирования на инцидент. Сбор команды реагирования, после того, как произошел компьютерный инцидент нарушения безопасности системы, может значительно увеличить время реагирования и расследования инцидента, и снизить результативность работы. Неподготовленный и нетренированный персонал не сможет достичь успеха. В состав команды реагирования должны войти люди, которые обращают внимание на все детали происходящих событий, держат их под контролем, не пропускают важных фактов и тщательно документируют свои действия.
Целями команды реагирования на инциденты являются:
Реакция на все явные и предполагаемые компьютерные инциденты в организации и проведение установленной процедуры расследования;
Беспристрастное (насколько это возможно) и полное расследование инцидента;
Быстрое подтверждение или опровержение факта вторжения или нарушения безопасности систем;
Определение ущерба и области действия инцидента;
Установка линии постоянной связи (24 часа, 7 дней в неделю) для клиентов на время проведения расследования;
Контроль и подавление последствий инцидента;
Сбор фактов и документирование инцидента;
Прослеживание цепочки взаимосвязанных событий (защита фактов во время сбора информации об инциденте);
Привлечение дополнительных сил (при необходимости);
Защита гражданских прав, установленных законом и/или корпоративной политикой;
Обеспечение взаимодействия с органами правопорядка и судебными инстанциями;
Обеспечение должного уровня конфиденциальности, позволяющего защитить от утечки информации, которая может скомпрометировать организацию;
Проведение сбора свидетельских показаний;
После инцидента первым мероприятием должно стать назначение одного из сотрудников руководителем команды реагирования или присвоением ему полномочий главного следователя. В этом случае сотрудник получит в команде право на окончательное решение (демократические принципы существенно замедлят работу команды реагирования на инциденты).
Все исследователи компьютерных инцидентов должны быть знакомы с соответствующими технологиями, а также иметь необходимую квалификацию для оценки преимуществ и недостатков различных стратегий реагирования. Таких специалистов немного, но необходимым уровнем квалификации должен обладать хотя бы руководитель команды реагирования.
Руководитель команды реагирования должен оценить необходимые людские и технические ресурсы еще до начала формирования команды.
Например, если жертвой атаки стал маршрутизатор Cisco, в команду следует пригласить специалиста по этому устройству.
Состав команды реагирования зависит от многих факторов, включая следующие:
Количество хостов, участвовавших в инциденте;
Количество операционных систем, участвовавших в инциденте;
Сложность инцидента;
Предполагаемый ущерб (чем больше ущерб, тем больше потребуется ресурсов).
Единственным способом оценки необходимых людских и технических ресурсов
остается практика.
Выявление инцидентов. Выявление является первым этапом реакции на инциденты. Перед выявлением исследователь должен быть уведомлен о возможности инцидента. Для этого служат определенные каналы, позволяющие получить информацию еще до начала исследования инцидента.
Не следует считать, что нельзя предугадать, когда произойдет следующий инцидент. Можно обратиться к публикациям о вторжениях в операционные системы и приложения. Раньше команда быстрого реагирования на компьютерные инциденты (CERT, Compuiei Emergenсу Response Team) отмечала сотни событий, причем чаще всего в летние месяцы.
Предполагаемый инцидент может быть обнаружен различными техническими и организационными средствами. К техническим средствам относятся системы обнаружения вторжений IDS и брандмауэры (firewall), которые формируют сообщения об аварийных событиях в сети. В процессе своей обычной работы администраторы и пользователи могут заметить необычные операции по использованию учетных записей или ресурсов. Посетители вполне могут уведомить о неправильном функционировании службы или исковерканном Web сайте.
Вне зависимости от метода выявления инцидента, необходимо записать все полученные сведения. Предполагается пользоваться списком уведомлений (notification checklist), который позволяет не упустить важные подробности и факты. Список уведомлений должен содержать все необходимые подробности, хотя не все данные могут использоваться для уведомления. Однако необходимо зафиксировать очевидные факты, к которым относятся:
Текущие дата и время;
Кто или что уведомил об инциденте;
Природа инцидента;
Как произошел инцидент;
Участвовавшее в инциденте оборудование и программное обеспечение;
Контактная информация лиц, обнаруживших инцидент.
Заполнив список уведомлений, следует привлечь команду реагирования на
инцидент и обратиться в соответствующее подразделение компании.
Список литературы
1. Мандиа Кении, Просис Крис. Защита от вторжений: расследование компьютерных преступлений. М.: Издательство «ЛОРИ», 2005. 476 с.
2. Домарев В.В. Безопасность информационных технологий. Методология создания систем защиты. К.: ООО «ТИД ДС», 2001. 688 с.
3. Конеев И.Р., Беляев А.В. Информационная безопасность предприятия. Спб.: БХВ-Петербург, 2005. 752 с.
4. Козлов В.Е. Теория и практика борьбы с компьютерной преступностью. Горячая Линия - Телеком, 2002. 336 с.
5. Скиба В.Ю., Курбатов В.А. Руководство по защите от внутренних угроз информационной безопасности. Питер, 2008. 320 с.
ТРЕХМЕРНОЕ МОДЕЛИРОВАНИЕ С ПРИМЕНЕНИЕМ
СРЕДСТВ АВТОМАТИЗИРОВАННОГО ПРОЕКТИРОВАНИЯ
1 2 Ломовская Е.В. , Алешкова Е.Н.
1Ломовская Елена Владиславовна - заведующая учебной частью;
2Алешкова Елена Николаевна - заведующая отделением очного обучения, Государственное бюджетное профессиональное образовательное учреждение
Ростовской области Волгодонский техникум металлообработки и машиностроения, г. Волгодонск
Аннотация: в статье рассматривается создание комплекса подсистем трехмерного геометрического моделирования, основанного на экспертных знаниях и включающего не только системы вывода и визуализации информации, но и алгоритмические и интеллектуальные методы поддержки принятия решений, который позволит пользователю принимать высокоэффективные решения при проектировании на основании методов компьютерной обработки данных о трехмерных геометрических моделях.
Проектное решение выводится путем предоставления информации о сформированной трехмерной модели, в соответствии с правилами размещения и компоновки технологического оборудования с учетом общеэкономических, природосберегающих, спецтехнологических и других проектных ограничений, что позволит повысить результативность существующих систем, учитывая страну-производитель, требуемых образцов продукции, а также габариты имеющегося или проектируемого помещения или здания.
Ключевые слова: трехмерное моделирование, компьютерная графика, автоматизированное проектирование.
В современном мире с каждым годом происходит все больший рост конкурентной борьбы и ограничений отрицательного влияния на природу, что, в совокупности, ведет к повышению требований к качеству продукции, но сохранении ее низкой стоимости. А, как известно, технологическое оборудование в современных производственных системах имеет обширные конфигурации, которые зависят от видов выпускаемой продукции и перечня продуктов, выпускаемого на каждой из линий производства. В связи с этим возникает необходимость в разработке таких
В последнее время значительно повысилась активность хакеров и, соответственно, число инцидентов компьютерной безопасности. Можно по-разному считать число инцидентов, но как бы ни считали инциденты, тенденция очевидна: их число растет.
Живые и реальные примеры инцидентов информационной безопасности легко находятся на новостных сайтах. Например, на сайте eSecurityPlanet мы видим, что в день происходит примерно по 5 серьезных инцидентов. А посмотреть на дефейсы веб-сайтов можно на Zone-H . Как мы видим, в день подвергается дефейсу несколько десятков сайтов.
Предприятия, имеющие ИТ инфраструктуру, естественно, реагируют на тенденцию роста компьютерных инцидентов. Прежде всего, усиливая безопасность своей информационной системы, посредством применений технологий защиты и проведением внутренних проверок . Но те организации, которые участвуют в росте числа инцидентов, тоже усиливали безопасность своей информационной системы, и это не предотвратило возникновения у них инцидентов. Отсюда вытекает необходимость еще одного направления реакции на растущее число инцидентов: предварительная подготовка к такому инциденту.
Это направление вызывает вопросы о том, как именно проводить расследование инцидентов.
Можно обратиться в тот же Google, откуда поступила информация о росте числа инцидентов ИТ безопасности и найти там рекомендации о проведении расследования компьютерных инцидентов.
Но процесс расследования слишком важен, чтобы не иметь основы, некой методики, одобренной какой-нибудь уважаемой организацией. А процесс изучения вопроса слишком важен, чтобы быть неформализованным и отданным на выбор самого администратора безопасности. При этом время ограничено, инцидент может случиться прямо сейчас!
Так мы логично подошли к необходимости курса по расследованию компьютерных инцидентов, который предложил бы надежную методологию расследования инцидентов безопасности на предприятии, включая как организационные, так и технические вопросы анализа данных.
Такой курс есть. Он предложен организацией EC-Council , чьи курсы этичного хакинга получили одобрение по стандарту ANSI/ISO/IEC 17024 .
И этот курс предлагается в авторизованном EC-Council центре компьютерного обучения «Специалист » как продолжение курса по этичному хакингу и тестированию на проникновение.
В этой статье я расскажу о том, что будет изучаться на курсе по расследованию компьютерных инцидентов, в какой последовательности и зачем. Кстати, зачем об этом рассказывать, есть ведь программа курса? Дело в том, что программа курса состоит из 22-х модулей, а любая классификация, не содержащая от трех до шести категорий, согласно известному афоризму, бесполезна. И здесь я приведу 5 элементов расследования компьютерных инцидентов, изучаемых на курсе.
1 Элемент. Что взломано?
Важно определить,
- какая именно система пострадала в результате инцидента;
- какой именно сервис был скомпрометирован;
- какие именно данные были скомпрометированы.
Оказывается, для этой цели можно использовать заранее подготовленный пакет утилит оперативного реагирования, который поможет определить, что именно взломано в результате инцидента. Какие именно утилиты будут входить в этот пакет и как именно будут использоваться, изучается на протяжении всего курса.
Это большая тема, аспектов и утилит множество, но если разделить снова на 5 элементов, то будет выглядеть так:
Во-первых, нужно уметь идентифицировать и собрать данные, которые могут исчезнуть в короткий промежуток времени, это могут быть временные файлы, cookies, но не только;
Во-вторых, нужно научиться анализировать сетевые подключения и активность системы на предмет наличия отклонений от обычного состояния;
В-третьих, нужно научиться анализировать процессы , в них выполняется код, а так как процессы выполняют код, расположенный в исполняемых файлах и библиотеках, здесь же обратим внимание на целостность этих файлов;
В-четвертых, процессы используют хранилище параметров, реестр , его анализ может открыть больше информации, и нам помогут различные утилиты просмотра реестра;
В-пятых, все процессы выполняются в памяти , поэтому анализ памяти также важен для расследования. Сложностью является то, что память большая, а вредоносные данные небольшие и легко теряются в шестнадцатеричном дампе.
Компрометация или нарушение целостности данных может быть замечена также системой аудита и системой мониторинга сетевого трафика.
2 Элемент. Посредством чего взломано?
Важно определить,
- была ли ошибка в конфигурации;
- была ли ошибка в приложении;
- была ли ошибка в системе;
- была ли ошибка в протоколе.
Под каждую тему отведем модуль, чтобы детально изучить, чем могут помочь информация о процессах, ключах реестра, файлах, всевозможные дампы и журналы.
Здесь нужно научиться одной важной вещи: соотношению событий, записей журналов и конфигурации системы. Для этого нужно понимать, что журналы могут быть у каждого сервиса свои, храниться могут как локально, так и на удаленном сервере, а также разные платформы могут использовать разные форматы журналов.
3 Элемент. Кто взломал?
Важно определить,
- через какую систему произошло вторжение;
- какова была конечная цель атаки;
- с какого компьютера началась атака.
Снова пригодится умение соотносить информацию разных журналов с событиями, сопровождающими инцидент безопасности. Но на этом этапе нужно уметь из собранной на предыдущих шагах информации выделить идентификаторы злоумышленника. Это не обязательно должен быть IP, это может быть адрес электронной почты, учетная запись в приложении, медиа-файл.
4 Элемент. На компьютере подозреваемого
Важно определить,
- какое программное обеспечение использовалось;
- какие файлы использовались;
- в какой последовательности совершалась атака.
Действия зависят от того, включен компьютер подозреваемого, или нет. Если выключен, то, согласно методологии, больше не включаем, а дублируем образ диска и затем с помощью таких инструментов, как AccessData FTK и EnCase обнаруживаем улики и составляем отчет.
Возможен и вариант нахождения улик не на компьютере, а на любом другом оборудовании, ксероксе, принтере, мобильном устройстве.
5 Элемент. Обоснование предыдущих элементов
Важно определить,
- что является уликой;
- как собирать улики;
- как анализировать улики;
- как оформить отчет о расследовании.
Слово улика (evidence) проходит красной нитью через весь курс. Дампы, журналы, файлы – компьютерные термины. Чтобы их можно было приобщить к формализованному процессу расследования, они должны быть оформлены как улики, и обрабатываться в соответствии с процедурами, сохраняющими юридическую значимость улик. Здесь придется немного распараллелиться, поскольку правовое поле России имеет свои особенности.
Суть расследования такова: специалисты организации обнаруживают инцидент, и, либо своими силами оперативно реагируют на инцидент, анализируют данные и передают результаты анализа руководству, либо нанимают аутсорсера по расследованию компьютерных инцидентов, который обеспечит техническое и юридическое сопровождение расследования до передачи дела правоохранительным органам и в суд.
Даже если организация не имеет намерения проводить юридически значимые расследования инцидентов, знание и умение применить методологию расследования хакерских инцидентов повысит общую защищенность информационной системы предприятия.
Курс по расследованию хакерских инцидентов сопровождается живыми кейсами , шестнадцатью учебными примерами по расследованию, показывающими применение техник расследования. Эти кейсы отрабатываются как в теории, так и на практике, в рамках лабораторных работ на виртуальных серверах.
Методология расследования сопровождается контрольными списками (чек-листами), по которым можно сверять правильную последовательность проведения расследования. Теперь мы точно не запутаемся в расследовании деятельности хакера. Ведь осталось только следовать разработанной самими хакерами методике.
Будем учиться расследованию компьютерных инцидентов!