К вопросам информационной

Защита от DDoS атак

Одним из наиболее критичных, по последствиям, классов компьютерных атак являются атаки типа «Распределенный отказ в обслуживании» (Distributed Denial of Service, DDoS), направленные на нарушение доступности информационных ресурсов. Эти атаки осуществляются с использованием множества программных компонентов, размещаемых на хостах в сети Интернет. Они могут привести не только к выходу из строя отдельных узлов и сервисов, но и остановить работу корневых DNS-серверов и вызвать частичное или полное прекращение функционирования сети.

Основная цель защиты против DDoS-атак заключается в предотвращении их реализации, точном обнаружении этих атак и быстром реагировании на них. При этом важно также эффективно распознавать легитимный трафик, который имеет признаки, схожие с трафиком вторжения, и обеспечивать надежную доставку легитимного трафика по назначению.
Общий подход к защите от атак DDoS включает реализацию следующих механизмов:

• 
  обнаружение вторжения;
  
• 
  определение источника вторжения;
  
• 
  предотвращение вторжения.
  

Вариант решения для ИТС

Рассмотрим пример комплексного подхода, представляющего собой многоуровневую систему с четко выстроенной линией обороны. Внедрение решения позволяет повысить защищенность внутренней сети (рис. 5.3).

Рис.5.3. Архитектура решения защиты от DDoS-атак

В данном решении применяются сенсоры обнаружения аномалий, просматривающие проходящий внешний трафик в непрерывном режиме. Данная система находится на границе центра обработки данных, таким образом, процесс очистки начинается еще до попадания трафика атаки во внутреннюю сеть ЦОД. Метод обнаружения аномалий не может обеспечить 100% вероятность очистки трафика, поэтому появляется необходимость интеграции с подсистемами предотвращения атак на сетевом и системном уровне. Решение предлагает рекомендации по обеспечению дополнительной безопасности, позволяющие укрепить сеть оператора связи и подготовить ее для быстрого противодействия и максимальной защиты от сетевых угроз различных видов

Технические преимущества внедряемых решений:

• 
  мгновенная реакция на DDoS-атаки;
  
• 
  возможность включения системы только по требованию обеспечивает максимальную надежность и минимальные затраты на масштабирование.
  

Варианты решения:

• 
  Arbor Peakflow SP;
  
• 
  Cisco Guard;
  
• 
  Cisco Traffic Anomaly Detector.
  

3. 
   Защита от вирусов
   

Цель антивирусной защиты в ИТС - блокировать все возможные точки проникновения вирусов, а именно:

• 
  проникновение вирусов на рабочие станции при использовании на рабочей станции инфицированных файлов со съемных носителей информации;
  
• 
  заражение вирусами с помощью инфицированного программного обеспечения, полученного из сети Интернет через протоколы HTTP или FTP и сохраненного на локальной рабочей станции;
  
• 
  проникновение вирусов при подключении к внутренней сети инфицированных рабочих станций удаленных или мобильных пользователей;
  
• 
  заражение вирусами с удаленного сервера, подсоединенного к внутренней сети и обменивающегося инфицированными данными с серверами приложений и баз данных.
  

Средства антивирусной защиты должны обеспечивать защиту от вредоносных программ серверов и рабочих станций пользователей и администраторов, а также защиту шлюзов входа/выхода во внешнюю сеть [35]. Использование средств антивирусной защиты имеет неоспоримое преимущество – предотвращение ущерба вследствие уничтожения, искажения ценной информации или нарушения работы средств вычислительной техники.
Средства антивирусной защиты должны обеспечивать следующий функционал:

• 
  антивирусное сканирование на основе сигнатурного и эвристического методов;
  
• 
  резидентный антивирусный мониторинг;
  
• 
  блокирование скрипт-вирусов (макровирусов, javascript- вирусов);
  
• 
  автоматическое обновление антивирусных баз с возможностью использования нескольких источников обновления;
  
• 
  проверка всего входящего и исходящего трафика;
  
• 
  защита от фишинга (вид интернет-мошенничества, целью которого является получение идентификационных данных пользователей)
  
• 
  ограничение прав пользователя на остановку исполняемых задач и изменения настроек антивирусного программного обеспечения;
  
• 
  отправка с разрешения пользователя подозрительных файлов на экспертизу в антивирусную лабораторию.
  

Комплексная защита от вредоносного кода должна включать следующие архитектурные решения:

• 
  Централизованная установка и удаление компонентов системы антивирусной защиты для эффективного контроля системы защиты.
  
• 
  Централизованное администрирование компонентов системы для применения единых политик антивирусной защиты и легкости управления комплексом.
  
• 
  Централизованный мониторинг деятельности средств антивирусной защиты для оперативной реакции на вирусные эпидемии, составление отчетов и статистической информации о работе системы защиты.
  
• 
  Централизованный карантин подозрительных или зараженных файлов для анализа и сохранения зараженных файлов с ценной информацией и дальнейшего восстановления.
  
• 
  Применение иерархии серверов обновления и управления, используемой для гибкости применения политик антивирусной защиты и увеличения надежности системы защиты.
  

Хорошей практикой является построение эшелонированной централизованной системы антивирусной защиты, предусматривающей использование средств антивирусной защиты различных производителей и их раздельную установку на рабочих станциях, серверах БД и приложений, а также на шлюзах выхода в Интернет.
Дополнительный функционал, обеспечиваемый некоторыми антивирусными средствами:

• 
  автоматическое устранение повреждений и отмена изменений, произведенных вредоносными программами;
  
• 
  автоматическое сканирование узлов информационной системы на наличие уязвимостей, на основе которых реализуются вирусные угрозы;
  
• 
  блокирование зараженных узлов с целью предотвращения распространения вирусной эпидемии;
  
• 
  блокирование узлов, имеющих неактуальные версии антивирусных средств или устаревшие антивирусные базы.
  

Подсистема защиты от вредоносного кода интегрируется со следующими подсистемами:

• 
  с подсистемой обеспечения безопасности коммутируемой инфраструктуры и беспроводных сетей для блокировки зараженных узлов с целью предотвращения распространения вирусной эпидемии и узлов, несоответствующих политике информационной безопасности;
  
• 
  с подсистемой межсетевого экранирования в целях перенаправления только потенциально опасного трафика для антивирусной проверки, тем самым балансировки нагрузки на средство потоковой антивирусной фильтрации и для блокирования опасных внешних ресурсов;
  
• 
  с подсистемой обеспечения непрерывности функционирования средств защиты, в целях резервного копирования конфигураций средств антивирусной защиты и антивирусных баз и оперативного восстановления работоспособности антивирусной системы в случае вирусной эпидемии;
  
• 
  с подсистемой мониторинга и управления инцидентами, для оперативного анализа инцидентов вирусного заражения, их обработки, оповещения ответственных лиц и составления отчетов о работе системы.
  
1. 
   Информационная безопасность систем связи
   

Ранее мы уже говорили о том, что в качестве средств обеспечения связи в ИТС могут использоваться:

• 
  сеть Интернет;
  
• 
  сеть GSM/GPRS;
  
• 
  спутниковая связь.
  

Далее мы последовательно остановимся на аспектах информационной безопасности каждой из систем связи.

1. 
   Причины уязвимостей сетевого стека и приложений
   

Набор (стек) протоколов TCP/IP, который очень широко используется в настоящее время и позволяет организовать взаимодействие различных компьютерных систем и описывает внутреннюю работу сети Internet, был разработан при участии Департамента Защиты (Department of Defence) США. Несмотря на этот факт, он содержит серьезные недостатки, касающиеся его безопасности, независимо от правильности реализации. В целом, можно условно разделить источники этих уязвимостей следующим образом:

• 
  Слабые механизмы аутентификации, встроенные в сетевые протоколы, многие сервисы плохо спроектированы. Многие сервисы для аутентификации полагаются на IP-адреса (например, r-утилиты Berkley, lpd, NFS), которые несложно подделать в пакете. Другие механизмы сетевого управления вообще не имеют средств аутентификации, в особенности протоколы маршрутизации (RIP). Некоторые протоколы имеют аутентификацию по логину/паролю (pop3), но используются статические пароли, поэтому становятся возможными атаки по словарю.
  
• 
  Сетевой трафик передается в открытом виде. Часто также передаются и пароли в незашифрованном виде. Если злоумышленник имеет доступ к каналу передачи, он может просматривать все передаваемые пакеты в поисках интересующей его информации.
  
• 
  Ошибки в сетевом программном обеспечении (например, переполнение буфера). Это атака не на протокол, а на его реализацию. Успешно захватив контроль над сетевым сервисом, злоумышленник может захватить контроль и над узлом, где этот сервис работает.
  

Таким образом, если в ИТС в качестве системы связи планируется использовать сеть Internet, то для обеспечения информационной безопасности при передаче данных потребуется использовать дополнительные механизмы защиты, которые не предоставляются стеком протоколов TCP/IP.

2. 
   Организация VPN
   

Одним из способов защиты информации, передаваемой по открытым каналам связи (Интернет, 2G/3G сети) является создание так называемых защищенных виртуальных сетей (Virtual Private Network, VPN). Виртуальный канал связи, создаваемый поверх реального физического канала, обеспечивает шифрование данных, контроль целостности данных и зачастую аутентификацию источника данных. Одним из главным преимуществ VPN является простота построения такой сети, поскольку можно использовать как программное решение, так и аппаратно-программные комплексы для повышения скорости криптографических операций [33].
В настоящее время существует два основных подхода к построению сетей VPN: использование стандартизированных протоколов типа IPSec (IP Security) или L2TP (Layer 2 Tunneling Protocol), либо создание собственного решения на базе SSL/TLS (Secure Sockets Layer/Transport Layer Security).