Разработка программного средства анализа событий систем семейства Windows на основе разработанной методики анализа событий

Актуальность темы связана с тем, что в последние годы резко возросло число возможных способов влияния на конфиденциальность, целостность и доступность информации, обрабатываемой в частных и корпоративных сетях. Причин этого явления несколько. Прежде всего, возросло количество уязвимостей, ежедневно обнаруживаемых в программном обеспечении информационных систем. С усложнением систем информационной безопасности появляются все более изощренные методы проникновения в систему с помощью программного обеспечения. В наше время основными направлениями защиты информации являются: обеспечение доступности требуемой информации из любой точки сети, обеспечение ее конфиденциальности и целостности.

Однако, доступность сетевых информационных ресурсов также упрощает задачу злоумышленника по осуществлению успешной попытки несанкционированного доступа (НСД) к этим ресурсам через сеть, что приводит к нарушению конфиденциальности. В то же время, несовершенные организационные меры позволяют как внутренним, так и внешним злоумышленникам запускать вредоносный код на компьютерах организаций. Для противодействия попыткам НСД разработчики программных и аппаратных средств компьютерных сетей развивают средства идентификации и аутентификации пользователей, средства разграничения доступа к сетевым информационным ресурсам, криптографические средства защиты информации, а для защиты компьютеров конечных пользователей от несанкционированного доступа программного обеспечения - антивирусные программы и персональные межсетевые экраны. Указанные традиционные средства защиты информационных систем от НСД являются достаточно эффективными, однако их чрезмерное усложнение часто негативно сказывается на доступности информации в сети. Таким образом, возникает проблема разработки методов и средств повышения защищенности информационных ресурсов от НСД в компьютерных сетях без ухудшения свойств доступности этих ресурсов. Одним из наиболее эффективных решений этой проблемы является использование средств регистрации и оперативного анализа событий, влияющих на информационную безопасность компьютерных сетей.

В настоящее время задачи регистрации событий безопасности решаются достаточно эффективно при помощи средств аудита, встроенных в системное и прикладное программное обеспечение. Политику аудита событий можно настроить таким образом, чтобы создавались записи о действиях пользователя или активности системы в указанной категории событий. Можно вести наблюдение за активностью, связанной с безопасностью, например за тем, кто получает доступ к объекту, за входом пользователя в систему и выходом из системы, или за изменением параметров политики аудита. Однако задачам эффективной организации оперативного анализа зарегистрированных событий безопасности не уделяется должного внимания. Для обеспечения оперативного анализа событий безопасности в компьютерной сети целесообразно разрабатывать и внедрять системы мониторинга и анализа событий безопасности, обеспечивающие автоматизированный сбор и оперативный анализ.

Практическая значимость дипломного проекта состоит в том, что разрабатываемая методика исследования и анализа средств аудита систем семейства Windows с последующей разработкой и внедрением системы мониторинга и анализа событий безопасности, позволит повысить уровень контроля и отслеживания несанкционированных действий программного обеспечения, преодолевшего систему информационной безопасности предприятия. Необходимость подобного контроля обусловлена, как правило, отсутствием в политике безопасности предприятия предписаний по раскрытию факта несанкционированного доступа, непосредственно после того как несанкционированный доступ произошел.

Целью проекта является разработка методики исследования и анализа средств аудита систем семейства Windows с целью обнаружения несанкционированного доступа программного обеспечения к ресурсам вычислительных машин, а также разработка программного средства на основе алгоритма, полученного при разработке данной методики. Создание системы мониторинга и анализа событий безопасности на основе разработанной методики позволит специалисту по информационной безопасности на предприятии проводить жесткий контроль доступа к критическим объектам информационной системы, позволит своевременно обнаруживать факты несанкционированного доступа к ресурсам вычислительной машины и проводить расследование данных фактов.

Проект состоит из 5 глав.

В первой главе разрабатывается методика исследования и анализа средств аудита систем семейства Windows с целью обнаружения несанкционированного доступа программного обеспечения к ресурсам вычислительных машин на основе анализа архитектуры и функциональных возможностей системы аудита Windows.

Во второй главе разрабатывается программное средство на основе разработанной методики исследования и анализа средств аудита систем семейства Windows с целью обнаружения несанкционированного доступа программного обеспечения к ресурсам вычислительных машин

В третьей главе рассматривается информационная структура предприятия, анализируются угрозы информационной безопасности, и делаются выводы о необходимости дополнительной защиты, описывается подробный алгоритм работы программного средства и результаты внедрения программного средства в выделенный сегмент информационной структуры предприятия. В четвертой главе обосновывается безопасность и экологичность проекта. В пятой главе рассчитывается технико-экономическая эффективность проекта.

1. Исследование и анализ средств аудита событий систем семейства Windows с целью обнаружения несанкционированного доступа программного обеспечения к ресурсам вычислительных машин

аудит windows программный обеспечение

1.1 Исследование архитектуры и функциональных возможностей средств аудита систем семейства Windows

1.2 Разработка методики анализа средств аудита событий систем семейства Windows для обнаружения несанкционированного доступа программного обеспечения к ресурсам вычислительных машин

1.2.1 Разработка структуры системы мониторинга событий безопасности

Разработка структуры системы анализа событий безопасности и распределение функций между ее компонентами должны производиться с учетом основных требований к системе. Можно сформулировать следующие требования, влияющие на структуру системы:

1. Система должна обрабатывать данные о событиях безопасности, извлекаемые из журналов аудита конечного множества компьютеров в сети.

2. Результаты обработки событий безопасности должны хранится в единой базе данных событий безопасности.

3. Функции системы должны распределяться между компонентами, функционирующими на разных компьютерах сети.

Предлагаемая структура системы, удовлетворяющая указанным требованиям, показана на рис 1.3.

Рисунок 1.3 Структура системы мониторинга событий безопасности

Рассмотрим подробнее назначение и основные функции компонентов системы, пользуясь схемой, представленной на рис. 1.3.

Агенты системы функционируют на компьютерах сети и извлекают данные о событиях безопасности и направляют их монитору событий безопасности для обработки. Агенты системы могут выполнять свои функции двумя основными способами, а значит можно выделить два основных возможных варианта реализации функций агентов.

Активные агенты. Агенты такого типа направляют новые данные монитору событий безопасности по мере их обнаружения в журналах аудита.

Пассивные агенты. Агенты такого типа предоставляют монитору данные о событиях безопасности по запросу, выполняя, фактически, функции сервисов удаленного доступа к журналам аудита компьютеров сети.

Пассивные агенты, могут обеспечивать как последовательное, так и произвольное чтение данных из журналов аудита. Наличие возможности произвольного чтения данных значительно упрощает и ускоряет процедуры поиска и выборки новых данных. Сложность и эффективность реализации произвольного чтения журналов аудита зависит от способа хранения событий в них. Широко распространенный текстовый формат хранения событий усложняет задачу произвольного чтения данных по сравнению со структурированными форматами.

Монитор событий безопасности (МСБ) - это основной модуль системы, который обеспечивает обработку данных о событиях безопасности, поступающих с компьютеров сети. Основные этапы, методы и алгоритмы обработки событий безопасности рассматриваются далее. МСБ решает задачи автоматизированного анализа и фильтрации поступающих событий согласно заданным правилам и сохранение их в основной базе данных событий безопасности. Таким образом, МСБ решает значительную часть задач системы, обеспечивая обнаружение признаков угроз нарушения информационной безопасности в компьютерной сети и оповещение персонала, ответственного за безопасность сети.

Модуль отображения предназначен для отображения и исследования результатов работы монитора событий безопасности.

Таким образом, монитор событий безопасности является основным модулем системы, решающим большинство задач, стоящих перед системой мониторинга событий безопасности, путем взаимодействия с другими компонентами системы. Обобщая, можно сказать, что монитор событий безопасности должен эффективно решать одна основную задачу системы - быстро и надежно выполнять обработку событий безопасности. Эффективность решения этой задачи во многом зависит от организации процесса обработки событий безопасности, структуры монитора событий безопасности, разделения функций обработки событий безопасности между монитором событий безопасности и агентами системы, функционирующими на компьютерах сети. Эффективность обработки событий также зависит от методов и алгоритмов, выполняющих различные этапы обработки событий безопасности.

Обязательной составляющей методики должен быть аудит критически важных объектов и процессов операционной системы, таких как:

- корневой системный каталог Windows, его подкаталоги;

- реестр Windows;

- системные файлы;

- корневое системное хранилище System Volume Information;

- объекты автозапуска;

- попытки входа в систему;

- изменение учетных политик;

- других критических процессов и объектов.

Наиболее распространенным местом размещения исполняемых файлов вредоносного программного обеспечения является корневой системный каталог Windows, вследствие чего необходимо проводить аудит изменений файлов в данном каталоге, в частности на предмет появления новых исполняемых файлов.

Деятельность вредоносного программного обеспечения зачастую сопровождается записью собственных параметров в реестр операционной системы, в частности в ветку автозапуска.

Деятельность вредоносного программного обеспечения затрагивает системные файлы, дописывая вредоносный код в исходный код файла. Вследствие этого изменяется размер и контрольная сумма зараженных файлов.

1.2.2 Анализ основных этапов обработки событий безопасности в системе

Процесс обработки данных аудита событий безопасности, получаемых от любого из источников - журналов аудита компьютеров сети, может быть описан обобщенным алгоритмом, блок-схема которого представлена на рис. 1.4. Согласно этому алгоритму, в процессе обработки данных аудита событий безопасности можно выделить четыре основных этапа.

1. Извлечение данных из журнала аудита.

2. Формализация данных.

3. Анализ и фильтрация событий безопасности.

4. Оповещение об обнаруженных угрозах и запись событий безопасности в базу данных событий безопасности.

Извлечение данных из журнала аудита заключается в выполнении операции чтения данных из файла журнала аудита в некоторый буфер. Конкретные действия, которые необходимо выполнить на этом этапе зависят от способа организации хранения событий безопасности в журналах аудита. Современные средства аудита событий безопасности используют два основных подхода для организации хранения событий безопасности в файлах журналов аудита -- хранение событий в структурированных файлах и хранение событий в текстовых файлах, где каждая отдельная текстовая строка задает отдельное событие. Если данные успешно получены, то далее их необходимо формализовать, то есть преобразовать данные к структурам, используемым в системе для представления событий. Поскольку, считанные данные о событиях безопасности представлены в таком формате, в котором они хранятся в журнале аудита, то необходимо их преобразовать к структуре, удобной для последующего представления в процессе обработки в системе. Для этого обычно необходимо выделить из массива информации отдельные события и значения отдельных полей данных структур, задающих события.

Рисунок 1.4 Обобщенный алгоритм обработки данных аудита событий безопасности

1.2.3 Анализ действий, производимых вредоносным программным обеспечением в системе

При проникновении на компьютеры конечных пользователей вредоносное программное обеспечения оставляет «следы» деятельности в операционной системе в виде изменения файлов и параметров, обусловленные деструктивными действиями вирусов. В системах семейства Windows существует возможность регистрации данных событий в операционной системе при помощи аудита безопасности.

Деструктивное действие вируса -- стратегия его функционирования, предпринимаемые им, подчас незаметные для пользователя, вредоносные действия направленные на нарушение нормального функционирования операционной системы, а иногда ее полного краха, а также условия, при которых вирус вступает в фазу своего проявления и его алгоритм работы в ней.

Процесс проникновения большинства вирусов может быть описан следующим образом:

- будучи запущенным неосторожным пользователем, создает в один из каталогов - наиболее часто в каталоги: Windows, System, System32, Temp, Application Data - файлы под различными именами с наиболее частым расширением .exe, .dll, .dat, .ini, .bat;

- для обеспечения своего запуска при каждой загрузке Windows прописывается в реестре в секции автозагрузки HKLM\software\microsoft\windows\currentversion\run ,

- либо записывает необходимые данные в реестр, чаще всего в раздел HKLM\SOFTWARE\

- создаёт свои копии в виде файлов с наиболее частыми расширениями .exe, .dll, .dat, .ini, .bat;

- функционирует в соответствии с моделью деструктивного действия вируса.

Пример:

Win32.HLLM.MyDoom.33808

Тип вируса: Почтовый червь массовой рассылки

Уязвимые ОС: Win95/98/Me/NT/2000/XP

Размер файла: 22 020 байт

Упакован: UPX

Техническая информация

Червь копирует себя в каталог %Windir%под именем lsass.exe.

Для обеспечения своего запуска при каждой загрузке Windows прописывается в реестре в секции автозагрузки HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run "Traybar" = "%Windir%\lsass.exe"

%Windir% - каталог с установленной Windows.

Для своего распространения использует собственную реализацию SMTP-протокола.

Создаёт свои копии в папках, которые содержат подстроки

incoming ftproot download shar

в виде файлов с такими именами:

index Kazaa Lite Harry Potter ICQ 4 Lite WinRAR.v.3.2.and.key Winamp 5.0 (en) Crack Winamp 5.0 (en) exe

Этим файлам присваиваются расширения:

.exe .com .ShareReactor.com .scr

Рассылает свои многочисленные копии по адресам, которые содержат следующие подстроки:

sales james spam abus master sample accoun privacycertific bug listserv submit ntivi suppor crosoft и т.д.

Чаще всего отсылается сообщение о том, что отправленная корреспонденция не была доставлена, и пользователю предлагается ознакомиться с подробностями.

В поле От может быть такой текст:

Postmaster Mail Administrator Automatic Email Delivery Software Post Office The Post Office Bounced mail Returned mail MAILER-DAEMON Mail Delivery Subsystem или подставляться любой иной почтовый адрес, найденный в поражённой системе.

Для своего дальнейшего распространения ищет адреса, просматривая такие файлы:

doc .txt .htm .html

Имя вложения выбирается из списка:

blank attachment document file letter mail message readme text transcript которому присваивается одно из расширений:

.bat .cmd .com .exe .pif .scr .zip

Червь содержит backdoor-процедуру: открывает и слушает порт TCP 1042.

На основании исследований, проводимых Лабораторией Касперского и ООО «Доктор Веб», и накопленной статистки можно составить список файлов и ключей реестра, наиболее часто создаваемых или модифицируемых вредоносными программами. Такая статистика может быть использована для выявления наиболее часто применяемых вирусов.

1.2.4 Анализ событий безопасности с целью обнаружения несанкционированного доступа программного обеспечения к ресурсам вычислительных машин

Процесс анализа зарегистрированных событий безопасности характеризуется необходимостью решения следующих основных задач:

1. Объединение событий, полученных из различных источников, например зарегистрированных на различных компьютерах сетевой информационной среды.

2. Устранение избыточности журнала аудита.

3. Поиск событий, отвечающих определенным условиям.

4. Обработка событий «вручную».

5. Классификация зарегистрированных событий безопасности.

6. Оповещение персонала, ответственного за безопасность, о фактах обнаружения особо важных событий.

При объединении событий в единый журнал системные события образуют журнал, который экспортируется в текстовый файл. Журнал представляет собой описания событий, разделенные символом-разделителем. При экспорте разделителем является символ «. Текстовый формат хранения данных позволяет разработчикам средств аудита существенно упростить операции записи данных аудита в журналы аудита. Просмотр и обработка данных аудита в текстовом формате также являются простыми процедурами. Для этого необходимо произвести разбор строк текстового файла журнала аудита и выделить в них значения отдельных полей записи о событии. Недостатком является то, что при текстовом способе хранения данных аудита становится невозможным произвольное чтение данных из журнала аудита, данные могут быть прочитаны только последовательно.

Устранение избыточности журнала аудита, то есть сокращение числа событий для дальнейшей обработки на основании «черного» и «белого» списков.

Как было сказано ранее, вирусы при проникновении создают файлы и ключи реестра, которые на основании исследований, проводимых Лабораторией Касперского и ООО «Доктор Веб», и накопленной статистки позволяют составить список файлов и ключей реестра, наиболее часто создаваемых или модифицируемых вредоносными программами. Такая статистика, регулярно обновляемая, может служить основой для «черного» списка, который будет применен для поиска событий, относящихся к этим файлам и ключам.

Так же, для значительного уменьшения числа событий целесообразно использовать «белый» список. «Белый список» следует формировать из доверенных приложений и дополнять при установке нового приложения.

Результатом применения «черного» и «белого» списков должно являться формирование списков несанкционированных событий, санкционированных событий и событий, предназначенных для дальнейшей обработки.

Поиск событий, отвечающих определенным условиям. При необходимости произвести сортировку по таким критериям как Дата/Время.

Обработка событий «вручную» заключается в просмотре и анализе отдельных событий администратором. На основании знаний администратора о системе, в которой осуществляется аудит, и его опыта администратор выносит решение о принадлежности анализируемого события к одному из классов. Выделим три класса: санкционированные события, несанкционированные события и «сомнительные» события. «Сомнительные» события - это те события, относительно которых нельзя сделать однозначного вывода являются ли они санкционированными или нет. Такие события требуют проверки с применением дополнительных средств.

При отнесении события к одному из классов, определяется, к какому объекту относится событие (если категория события - Аудит доступа к объектам), производится поиск всех событий, случившихся с этим объектом, и отнесение найденных событий к тому же классу.

Классификация зарегистрированных событий безопасности

На основании предыдущих пунктов составляется три списка событий:

- список несанкционированных событий, составленный из событий, определенных «черным» списком и отобранных администратором;

- список санкционированных событий, составленный из событий, определенных «белым» списком и отобранных администратором;

- список «сомнительных» событий.

Рисунок 1.5 - Методика анализа событий системы с целью обнаружения НСД ПО к ресурсам вычислительных машин

1.3 Выводы

1. Процесс анализа зарегистрированных событий безопасности характеризуется необходимостью решения следующих основных задач: объединение событий, полученных из различных источников, например зарегистрированных на различных компьютерах сетевой информационной среды; устранение избыточности журнала аудита; поиск событий, отвечающих определенным условиям; обработка событий «вручную»; классификация зарегистрированных событий безопасности; оповещение о фактах обнаружения особо важных событий.

2. Системные события образуют журнал, который импортируется в текстовый файл.

3. Журнал представляет собой описания событий, разделенные символом-разделителем.

4. Устранение избыточности журнала аудита происходит на основании «черного» и «белого» списков.

5. Обработка событий «вручную» заключается в просмотре и анализе отдельных событий администратором.

6. Составляется три списка событий: несанкционированных событий, санкционированных событий, «сомнительных» событий, что и является результатом.

2. Разработка программного средства анализа событий систем семейства Windows на основе разработанной методики анализа событий

2.1 Настройка системы аудита Windows на основе существующей методики анализа аудита событий