1. Введение
Неотъемлемой частью глобальных вычислительных сетей
являются Web-сервера. Они представляют собой
один из основных объектов для осуществления злоумышленниками удаленных
компьютерных атак различного типа, способных нарушить целостность, конфиденциальность
и доступность информации.
Важным аспектом обеспечения безопасности Web-серверов является создание механизмов и средств защиты
Web-сервера от действий злоумышленников. Одним из таких
средств являются системы тестирования защищенности (анализа уязвимостей) Web-сервера.
Примерами систем анализа уязвимостей являются ISS Internet Scanner, XSpider, LanGuard, ShadowSecurityScanner, XFocus
X-Scan, Nessus и др. По степени активности воздействий, оказываемых
на исследуемую информационную систему, системы анализа уязвимостей
классифицируются на пассивные и активные.
Процесс функционирования систем пассивного анализа
уязвимостей можно описать следующим образом: с исследуемой информационной
системы считываются основные параметры функционирования, результаты сканирования
сравниваются с множеством значений, описывающих “идеальное” состояние или
представляющих собой значения, полученные при сканировании системы ранее. О
любых отличиях, замеченных в процессе сравнения, уведомляется администраторы
безопасности сети.
Системы активного анализа уязвимостей (системы
моделирования атак) имитируют реализацию различных сетевых атак на исследуемую
информационную систему [1]. Кроме тестирования безопасности, они могут быть
также использованы для обучения систем обнаружения вторжений с целью приобретения
необходимых данных о возможных вторжениях.
Одним из основных недостатков существующих систем
анализа уязвимостей является то, что они реализуют жесткие стратегии анализа и
ориентированы на реализацию только простых (одношаговых) атак с фиксированными
параметрами, что не позволяет в полной мере оценить уязвимости и, в конечном
счете, повысить безопасность компьютерной системы.
В данной работе рассматривается предлагаемый авторами
подход к построению системы моделирования атак на Web-сервер, основанный на использовании онтологии сетевых
атак, развитых механизмов и стратегий их реализации, а также применении информационного
хранилища уязвимостей и эксплоитов (программ реализации отдельных атак). Во
втором разделе дается представление о сетевых атаках на Web-сервер. В третьем разделе раскрывается онтология атак
на Web-сервер. Общая структура системы моделирования атак
представлена в четвертом разделе. В пятом разделе с помощью примеров
рассматриваются предлагаемые механизмы генерации атак.
2. Описание атак на Web-сервер
Атака на Web-сервер
– это реализация воздействий на сервер, которые прямо или косвенно могут нанести
ущерб его безопасности. Для практической реализации системы моделирования атак
на web-сервер необходимо разработать онтологию атак на Web-сервер, т.е. создать модель предметной области,
отделенной от специфики предполагаемой реализации и включающей только множество
базовых понятий и отношений.
Составной частью разработки онтологии атак является их
классификация [2]. По стадиям реализации атаки на Web-сервер можно разбить на группы, обеспечивающие осуществление
следующих основных фаз: (1) разведка; (2) внедрение на хост; (3) повышение
привилегий; (4) реализация угрозы; (5) сокрытие следов; (6) создание потайных
ходов.
Разведка может включать выявление работающих хостов,
идентификацию запущенных служб, определение операционной системы (ОС), сбор
дополнительной информации, идентификацию пользователей и групп, приложений и
заголовков.
Стадия
внедрения подразумевает использование
удаленного подбора пароля, переполнения буфера, задействования разделяемых
ресурсов и пр.
Повышение
привилегий основано на сборе
информации (например, за счет использования программ srvinfo и regdump, поиска
паролей в bat-файлах и др.), использовании
утилит getadmin и sechole,
выполнении ложных запросов к портам LPC,
взломе баз данных SAM, использовании троянских коней
и именованных конвейеров и др.
Этап
реализации угрозы может базироваться
на ошибке IIS “Translate: f”, изъянах в
сценариях Phf, MDAC RDS IIS 4.0, CGI систем Irix, webhits.dll, Cold Fusion, PHP, wwwcount.cgi, iishack сервера IIS 4.0, showcode.asp, codebrws.asp, неверной
интерпретации точки и использовании альтернативных потоков данных в ASP, применении скрытых дескрипторов; прямом добавлении
информации из форм ввода в файл и многих других.
Сокрытие
следов включает в себя отключение
аудита, очистку журналов регистрации событий, скрытие файлов (attrib, потоки в файлах NTFS).
На стадии создания
потайных ходов осуществляется установка утилит удаленного администрирования
(remote.exe, winVNC, Remote
Administrator и пр.), установка доступа к командной оболочке с
помощью netcat, использование NetBust и BackOrifice
2000, прикрепление троянских программ к исполняемым файлам в процессе запуска системы
и т.п.
3. Онтология атак на Web-сервер
Представленный выше подход к классификации атак на web-сервер позволил разработать онтологию атак. В этой
онтологии понятия вышележащего уровня связываются с
соответствующими понятиями смежного нижележащего уровня при помощи отношений
трех видов: “Part of” – отношение декомпозиции (“Целое – часть”); “Kind of” –
отношение специализации (“Понятие – класс понятия”); “Seq of” – отношение порядка
выполнения (“Операция – этап реализации”). Каждый сетевой пакет связан отношением
“Example of” (“Тип объекта – экземпляр объекта”) со своей конкретной реализацией.
Каждый узел онтологии представляется
следующим образом: <маркер узла>:
<название узла (интерпретация)> (<идентификатор узла>)
(<Пояснение (может отсутствовать)>). Например, самый верхний узел рассматриваемой
онтологии, имеющий название “Атака на Web-сервер”
(Attack on the web-server),
идентифицируется следующим образом: A: Attack on the web-server (1), где A – маркер узла, Attack on the web-server – название узла, (1) – идентификатор узла.
4. Структура системы моделирования атак на Web-сервер
Предлагаемая структура системы моделирования атак на web-сервер представлена на рис.1. Числа на рис.1 задают
возможную последовательность использования элементов системы при генерации
атак.
Сетевой
интерфейс обеспечивает непосредственное
выполнение на нижнем уровне скрипта атаки, а также сбор информации об атакуемом
Web-сервере и обновление данных в базе данных
уязвимостей. Модуль разведки
предназначен для определения последовательности разведывательных действий (сбор
информации) для выявления уязвимостей атакуемого Web-сервера. Модуль
выбора уязвимостей предназначен для манипулирования информацией об уязвимостях
Web-сервера. Модуль
определения подцелей и формирования плана действий служит для генерации
плана действий системы, исходя из общего намерения (цели) атаки и наличия
уязвимостей, которым подвержен атакуемый Web-сервер. Модуль
генерации скрипта атаки вырабатывает последовательность атакующих действий
и запуска эксплоитов, приводящую к достижению цели атаки. Модуль выполнения скрипта атаки генерирует цепочку низкоуровневых
операций (команд, действий) по реализации атаки.
Основными компонентами информационного хранилища
системы является база знаний об
уязвимостях, которым подвержены
