Сетевые атаки

Сувеличением зависимости мировой экономики и государственных структур от Internet возрастает и уровень риска, связанного с сетевыми атаками на ресурсы сетей, подключенных к Internet. Атаки через Глобальную сеть становятся мощным средством ведения информационных войн между государствами, совершения преступлений в финансовой и других сферах, включая акты терроризма. 22 сентября 2001 г. Американским институтом изучения технологий обеспечения безопасности (Institute for Security Technology Studies At Dartmouth College) был опубликован отчет под названием «Кибератаки во время войны с терроризмом» (Cyber Attacks During The War on Terrorism: A Predictive Analysis). Данный отчет содержит анализ ситуаций, в которых политические конфликты стимулировали рост числа сетевых атак на ресурсы Internet. С этой точки зрения изучались конфликты между Индией и Пакистаном, Израилем и Палестиной, NATO и Сербией, США и Китаем из-за столкновения между китайским истребителем и американским самолетом-разведчиком. Целью предпринятого исследования было прогнозирование ситуации в Internet в результате проведения США широкомасштабной антитеррористической кампании после трагедии 11 сентября 2001 г. Хотя в данном исследовании как объекты нападения рассматривались Internet-ресурсы, принадлежащие США, сделанные выводы применимы и ко всем остальным государствам, включая Россию.

Потенциальные источники сетевых атак были разделены на следующие группы:

– террористические группы;

– хакеры, одобряющие действия террористов или ненастроенные против США;

– государства, считающиеся оплотом мирового терроризма, против которых может быть направлена антитеррористическая кампания США (в том числе Афганистан, Сирия, Иран, Ирак, Судан и Ливия);

– любопытствующие и самоутверждающиеся хакеры.

В качестве основных целей сетевых атак обсуждались:

– подмена страниц на Web-серверах (Web defacing) в США и странах-союзницах, распространение дезинформации и пропаганды;

– атаки «отказ в обслуживании» (DoS) на критичные элементы информационной инфраструктуры в США и странах-союзницах с использованием сетевых червей и вирусов, уязвимостей сетевого ПО;

– НСД к Internet-ресурсам США и стран-союзниц, результатом которых является повреждение критичных элементов информационной инфраструктуры и нарушение целостности жизненно важной информации.

Основные выводы по результатам анализа:

– физические атаки сразу же сопровождаются ростом числа сетевых атак;

– количество, сложность и скоординированность сетевых атак неизменно возрастают;

– сетевые атаки направлены против особо критичных сетевых ресурсов, к числу которых относятся серверы и активное сетевое оборудование, подключенные к Internet.

Проведенное исследование позволило рекомендовать в качестве первоочередных мер обеспечения безопасности во время войны с терроризмом следующие:

– повышение документирования (logging) и оповещения (alert) в системах выявления сетевых атак;

– незамедлительное сообщение о подозрительной активности в правоохранительные органы с целью проведения расследования и принятия предупредительных мер;

– следование стандартам и внедрение передового опыта в области обеспечения информационной и физической безопасности, регулярное обновление ПО, защита от вирусов, установка систем выявления атак и МЭ;

– принятие рекомендованных мер защиты против известных программных средств реализации атак (exploites) и резервное копирование критичных информационных ресурсов;

– применение методов фильтрации IP-пакетов (ingress and egress filtering) на маршрутизаторах и МЭ для защиты от DoS-атак.

Как видно из представленных рекомендаций, наряду со стандартными средствами защиты, без которых немыслимо нормальное функционирование АС (таких как МЭ, системы резервного копирования и антивирусные средства), необходимы еще и IDS (системы выявления атак) - основное средство борьбы с сетевыми атаками.

В настоящее время IDS начинают все шире внедряться в практику обеспечения безопасности корпоративных сетей. Однако имеется ряд проблем, с которыми неизбежно сталкиваются организации, развертывающие у себя систему выявления атак. Эти проблемы существенно затрудняют, а порой и останавливают процесс внедрения IDS. Приведем некоторые из них:

– большая стоимость коммерческих IDS;

– малая эффективность современных IDS, характеризующихся большим числом ложных срабатываний и несрабатываний (false positives and false negatives);

– требовательность к ресурсам и порой неудовлетворительная производительность IDS уже на скорости 100 Мбит/с в сетях;

– недооценка рисков, связанных с сетевыми атаками;

– отсутствие в организации методики анализа рисков и управления ими, позволяющей руководству адекватно оценивать величину риска и обосновывать стоимость реализации контрмер;

– необходимость в высокой квалификации экспертов по выявлению атак, без которой невозможно внедрение и развертывание IDS.

Для России характерны также незначительная зависимость информационной инфраструктуры предприятий от Internet и финансирование мероприятий, обеспечивающих информационную безопасность, по остаточному принципу, что не способствует приобретению дорогостоящих средств защиты для противодействия сетевым атакам.

Тем не менее процесс внедрения IDS в практику поддержания ИБ продолжается, в том числе и в России.

Американский институт SANS учредил программу профессиональной сертификации специалистов по выявлению атак - GIAC Certified Intrusion Analyst (GCIA). Сертификат GCLA, будучи свидетельством практических навыков специалиста, ценится в США даже выше, чем, скажем, CISSP (Certified Information Systems Security Professional), учрежденный ISC (International Security Consortium) и являющийся эталоном профессиональной зрелости в сфере ИБ.

В основе большинства ошибок при принятии решений, в том числе по защите от сетевых атак, лежит неправильная оценка рисков. Точность идентификации и оценки рисков, связанных с любым видом деятельности, выступает в качестве основной характеристики профессиональной зрелости специалиста в предметной области. При отсутствии адекватной оценки рисков сложно ответить на вопросы о том, с чего следует начинать построение системы защиты информации, какие ресурсы и от каких угроз надо защищать и какие контрмеры считать приоритетными. Трудно также решать проблему необходимости и достаточности того или иного набора контрмер и их адекватности существующим рискам.

Таким образом, вопрос оценки рисков, связанных с сетевыми атаками, является важнейшим и рассматривается в первую очередь.

Дата добавления: 2015-09-02