Trustworthy Computing Initiative

Надѐжная Компьютерная Инициатива -

ответ сегодняшним рискам ИТ

безопасности

Дмитрий Соболев Консультант по внедрению инфраструктурных решений

29.07.2010

Содержание

Почему безопасность ИТ так

существенна

Актуальность рисков безопасности ИТ

Microsoft Trustworthy Computing Initiative

Выводы

Предложение DPA для улучшения безоп

асности ИТ инфраструктуры

Что существенно для организации?

Заработать

Сэкономить

Контролировать риски

Цель нападающих –

программы пользователей

Источник: The Top Cyber Security Risks, сентябрь 2009 года

Динамика найденных уязвимостей

Источник: The Microsoft Security Update Guide, июль 2009 года

Source: Microsoft Security Intelligence Report V7

% of vulnerability disclosures: Operating system vs browser and application vulnerabilities

Топ 10 внутрисетевых уязвимостей

Источник: Top 10 Internal Vulnerabilities, www.qualys.com. Апрель 2010 года

№ Уязвимость

1 Adobe Flash Player Multiple Vulnerabilities, 7.x, 8.x, 9.x

2 Adobe Flash Player Multiple Vulnerabilities, 9.x, 10.x

3 Adobe Acrobat and Reader Multiple Vulnerabilities

4 Adobe Reader JavaScript Methods Memory Corruption Vulnerability

5 Sun Java Multiple Vulnerabilities

6 Microsoft Office PowerPoint Could Allow Remote Code Execution

7 Microsoft Excel Remote Code Execution Vulnerability

8 Sev4 Microsoft Word Multiple Remote Code Execution Vulnerabilities

9 WordPad and Office Text Converters Remote Code Execution Vulnerability

10 Vulnerabilities in Microsoft DirectShow Could Allow Remote Code Execution

Недостатки распространения заплаток

Наибольшее внимание уделяется ОС

Затем MS Office заплатки

Только тогда (если вообще) Adobe

Reader и Flash, Java

Обновляя Internet Explorer,

игнорируются другие Интернет

проводники

Динамика распространения заплаток

(MS OS)

Источник: The Top Cyber Security Risks, www.tippingpoint.com, сентябрь 2009 года

Динамика распространения заплаток (MS

Office)

Источник: The Top Cyber Security Risks, www.tippingpoint.com, сентябрь 2009 года

Динамика распространения заплаток

(Adobe Acrobat)

Источник: The Top Cyber Security Risks, www.tippingpoint.com, сентябрь 2009 года

Динамика распространения заплаток

(Adobe Flash)

Источник: The Top Cyber Security Risks, www.tippingpoint.com, сентябрь 2009 года

0-day уязвимости

Программная ошибка для которой ещѐ нет заплатки

Быстро возрастающее количество авторов

Распространѐнные цели PDF, Flash Player и MS Office Suite (PowerPoint, Excel, Word)

Производитель не спешит латать дыры, если нет крупномасштабных нападений

Пример взлома

Инфраструктура Рабочие станции Windows XP

Сервера Windows Server 2003

Active Directory

Инфраструктура «Огненной стены»

Цель взлома Украсть секретные данные с сервера

Условия Все рабочие станции стандартизированы

На рабочих станциях учетная запись Administrator активна и пароль везде одинаковый

Централизованно обслуживается список Internet Explorer Trusted Web sites

Пример взлома

Шаг 0: Нападающий взламывает веб страницу, которой доверяет компания (Trused web site), и добавляет код с уязвимостью.

Источник: The Top Cyber Security Risks, www.tippingpoint.com, сентябрь 2009 года

Пример взлома

Шаг 1: Клиент, с рабочей станции на которой не установлены все заплатки, посещает соответствующую страницу. Проводник выполняет встроенный код нападающего и инсталлирует на компьютер клиента консоль удалённого доступа (reverse shell backdoor).

Источник: The Top Cyber Security Risks, www.tippingpoint.com, сентябрь 2009 года

Пример взлома

Шаг 2: Консоль удалённого доступа через HTTPS пересылает запросы на сайт нападающего и принимает на выполнение его команды (с контексте прав пользователя).

Источник: The Top Cyber Security Risks, www.tippingpoint.com, сентябрь 2009 года

Пример взлома

Шаг 3: Нападающий закачивает инструмент, который использует метод privilege escalation (например, 0-day), и получает права администратора . Нападающий считывает все зашифрованные пароли на рабочей станции (password hash).

Источник: The Top Cyber Security Risks, www.tippingpoint.com, сентябрь 2009 года

Пример взлома

Шаг 4: После этого применяя метод нападения pass-the-hash против рабочей станции сетевого администратора, подключается и считывает зашифрованные пароли с компьютера администратора.

Источник: The Top Cyber Security Risks, www.tippingpoint.com, сентябрь 2009 года

Пример взлома

Шаг 5: Нападающий, используя считаные hash паролей уровня доменного администратора, методом pass-the-hash нападает на доменный контролёр АД, получает к нему доступ и считывает всё зашифрованные пароли учётных записей на доменном контролёре.

Источник: The Top Cyber Security Risks, www.tippingpoint.com, сентябрь 2009 года

Пример взлома

Шаг 6: Взломщик ещё раз использует метод pass-the-hash и как администратор подключается к серверу с секретными данными компании. Шаг 7: Он копирует данные на сайт в Итнернет, для транспортировки используя HTTPS.

Источник: The Top Cyber Security Risks, www.tippingpoint.com, сентябрь 2009 года

Почему это было возможно?

Во внутренней сети находится рабочая станция на которую не установили все заплатки (Шаг 1.)

Недостаточно контролируется HTTPS трафик, через который работает программа консоли удалѐнного доступа (Шаг 2.)

Все локальные учѐтные записи на рабочих станциях (включая администратора) активны и имеют одинаковые пароли (Шаг 4.)

Рабочая станция администратора недостаточно защищена и изолирована (Шаг 4.)

У учѐтной записи администратора домена есть права доступа на сервер с секретной информацией (Шаг 6.)

Trustworthy Computing Initiative –

Надѐжная Компьютерная Инициатива

2001 год – бушует Code Red и Nimda

В начале 2002 года Билл Гейтс

сообщает о Microsoft Trustworthy

Computing Initiative

Изменение парадигмы с

функциональности на безопасность

Trustworthy Computing Initiative

Основная идея:

ИТ система должна делать только то, что от неѐ ждут и ничего другого, несмотря на ошибки и условия

Дизайнерские ошибки и ошибки допущенные при внедрении не должны влиять на функциональность системы

Недопустимо выполнять только часть этих требований

Надѐжность системы должна быть холистической и многомерная

Источник: Trust in Cyberspace, Committee on Information Systems Trustworthiness, 1998.

Сравнение уязвимости Интернет проводников 1H9

• Целю нападений на Windows XP рабочие станции в 56.4% случаев являлись уязвимости Microsoft

Windows XP

3rd Party 43.6%

Microsoft 56.4%

Windows Vista

3rd Party 84.5%

Microsoft 15.5%

В среде Windows Vista только 15.5%

SD3+C paradigma –

secure by design,

secure by default,

secure in

deployment +

improved

communications

Защищает

конфиденциально

сть данных

Соответствует

принципам

честного обмена

информации

Услуги постоянно

доступны

Легко и быстро

резервировать и

восстанавливать

В центре клиент и его

бизнес требования

Директивы

установившейся

практики

Открытость и

прозрачность

Trustworthy Computing

Trustworthy Computing

Выводы

ИТ безопасность позволяет контролировать риски

Цель нападающих – пользовательские программы

Распространение заплаток для программ очень медленная

Эксплойты 0-day создают реальные риски

Цель MS Trustworthy Computing Initiative - создавать надѐжные продукты

Предложение DPA

Аудит безопасности ИТ инфраструктуры

Укрепление ИТ инфраструктуры – от

анализа и планирования до внедрения

процедур и поддержки

Стандартизация ИТ инфраструктуры при

помощи продуктов MS System Center

Внедрение продукта MS Forefront для все

уровневой защиты ИТ инфраструктуры

Предложение DPA

Network Access Protection (NAP) – изоляция повреждѐнных элементов и устранение их уязвимостей

Network Policy Server и 802.1x – надѐжная и удобная аутентификация рабочих станций и мобильных устройств с сетях WiFi и Wired

Аутентификация при помощи Смарт-карт для внутренних и внешних пользователей (Secure Logon, VPN, TS gateway, IPSec)

Спасибо за внимание!