Διαχείριση Ασφάλειας και Εμπιστοσύνης σε Πολιτισμικά Περιβάλλοντα Ενότητα 11: ΑΣΦΑΛΕΙΑ ΛΕΙΤΟΥΡΓΙΚΩΝ ΣΥΣΤΗΜΑΤΩΝ, ΑΝΤΙΜΕΤΩΠΙΣΗ ΕΙΣΒΟΛΗΣ Δημήτριος Κουκόπουλος Σχολή Οργάνωσης και Διοίκησης Επιχειρήσεων Τμήμα Διαχείρισης Πολιτισμικού Περιβάλλοντος και Νέων Τεχνολογιών
Βασικές Έννοιες ΠΕΡΙΕΧΟΜΕΝΑ Συστήματα Εντοπισμού Εισβολής Αντιμετώπιση Κακόβουλου Λογισμικού Αντιμετώπιση Επιθέσεων Υπερχείλισης Απομονωτή Στοίβας 2
Εισβολή Ασφάλειας Γεγονός ή πολλαπλά γεγονότα απειλής της ασφάλειας ενός συστήματος από εισβολέα με σκοπό την απόκτηση πρόσβασης στο σύστημα ή σε πόρο του συστήματος χωρίς την απαιτούμενη εξουσιοδότηση. 3
Εντοπισμός Εισβολής Ορισμός: Υπηρεσία ασφάλειας που παρακολουθεί και αναλύει τι συμβαίνει σε ένα σύστημα με στόχο την αναγνώριση και την προειδοποίηση για προσπάθειες μη εξουσιοδοτημένης πρόσβασης σε πόρους του συστήματος σε πραγματικό χρόνο. Βασική ιδέα: Η συμπεριφορά του εισβολέα διαφέρει από αυτή του νόμιμου χρήστη, αν και κάποιες φορές υπάρχουν επικαλύψεις. 4
Χρησιμότητα Συστημάτων Εντοπισμού Εισβολής Έγκαιρος εντοπισμός εισβολής μπορεί να οδηγήσει σε αναγνώριση και αποβολή εισβολέα από σύστημα πριν γίνει βλάβη ή πριν η βλάβη είναι σημαντική. Είναι φόβητρα της δράσης εισβολέων. Συλλογή πληροφοριών για νέες τεχνικές εισβολής και ενδυνάμωση μέτρων παρεμπόδισης εισβολής. 5
Κατηγορίες Συστημάτων Εντοπισμού Εισβολέων Συστήματα εντοπισμού εισβολέων που βασίζονται σε υπολογιστή φιλοξενίας (Hostbased IDS): Παρακολούθηση χαρακτηριστικών και γεγονότων μόνο σε υπολογιστή φιλοξενίας Συστήματα εντοπισμού εισβολέων που βασίζονται στο δίκτυο (Network-based IDS): Παρακολούθηση κυκλοφορίας δικτύου και ανάλυση δικτύου, μεταφοράς και εφαρμογών για αναγνώριση ύποπτης δραστηριότητας 6
Δομή Συστήματος Εντοπισμού Εισβολέων Αισθητήρες: Υπεύθυνοι για συλλογή δεδομένων που μπορούν να περιέχουν αποδεικτικά εισβολής (πακέτα, αρχεία καταγραφής, κλήσεις συστήματος) και προώθησή τους σε αναλυτή. Αναλυτές: Παίρνουν είσοδο από αισθητήρες ή αναλυτές, βρίσκουν την ύπαρξη εισβολής και επιστρέφουν αποδεικτικά και πληροφορίες για αντιμετώπιση εισβολής. Διεπαφή χρήστη: Ο χρήστης παρακολουθεί τα δεδομένα εξόδου του συστήματος και ελέγχει τη συμπεριφορά του. 7
Συστήματα Εντοπισμού Εισβολέων που Βασίζονται σε Υπολογιστή Φιλοξενίας Προσθήκη στρώματος λογισμικού ασφάλειας σε συστήματα. Διαφορά με IDS δικτύου και firewalls: Εντοπισμός εσωτερικών και εξωτερικών εισβολών με παρακολούθηση δραστηριότητας συστήματος Τεχνικές εντοπισμού εισβολής: Εντοπισμός ανωμαλιών (συλλογή στοιχείων συμπεριφοράς εντός χρονικής περιόδου, εφαρμογή στατιστικών ελέγχων για εντοπισμό)-κατάλληλη για μεταμφιεσμένους εισβολείς Εντοπισμός υπογραφής (ορισμός συνόλου κανόνων ή προτύπων επιθέσεων για χρήση σε αποφάσεις αναγνώρισης εισβολέα)- κατάλληλη για αντιποιητές εισβολείς 8
Είδη Στατιστικών Ελέγχου Εντοπισμού Εντοπισμός κατωφλίου (καθορισμός κατωφλίου ανεξάρτητου από χρήστη σχετικού με συχνότητα εμφάνισης γεγονότος) Βασισμένη σε προφίλ χρήστη (καθορισμός προφίλ χρήστη και χρήση για εντοπισμό αλλαγών συμπεριφοράς) 9
Εγγραφές Ελέγχου Εργαλείο εντοπισμού εισβολής. Σκοπός: Καταγραφή δραστηριότητας χρηστών. Τύποι: Εγγενείς εγγραφές ελέγχου (native audit records): τα λειτουργικά συστήματα πολλών χρηστών συλλέγουν πληροφορίες για δραστηριότητα χρηστών, μπορεί όμως αυτές να μην έχουν την επιθυμητή μορφή. Εγγραφές ελέγχου συγκεκριμένες για εντοπισμό (detection specific audit records): υλοποίηση λογισμικού συλλογής μόνο πληροφοριών συμπεριφοράς χρηστών που ενδιαφέρουν το IDS. 10
Παράδειγμα Εγγραφής Ελέγχου Συγκεκριμένης για Εντοπισμό Υποκείμενο (subject): αρχικοποιητές ενεργειών (χρήστες, διεργασίες) Ενέργεια (action): λειτουργία που εκτελεί υποκείμενο σε αντικείμενο ή σε συνεργασία με αντικείμενο (ανάγνωση αρχείου) Αντικείμενο (object): αποδέκτης ενεργειών (αρχείο, πρόγραμμα) Συνθήκη εξαίρεσης (exception condition): συνθήκη εξαίρεσης που προκύπτει κατά την επιστροφή Χρήση πόρου (resource usage): λίστα ποσοτικών στοιχείων για χρήση πόρου (αριθμός γραμμών που έχουν γραφεί) Χρονική σφραγίδα (time stamp): χρονική στιγμή και ημερομηνία εκτέλεσης ενέργειας 11
Αντιμετώπιση Επιθέσεων από Κακόβουλο Λογισμικό Παρεμπόδιση εισβολής κακόβουλου λογισμικού σε σύστημα. Δεν είναι δυνατή 100%. Χρήση αντιβιοτικών. 12
Λειτουργία Αντιβιοτικού Εντοπισμός Αναγνώριση Αφαίρεση Αν εντοπιστεί κακόβουλο λογισμικό, αλλά δεν αναγνωριστεί και αφαιρεθεί πρέπει να αφαιρεθεί μολυσμένο πρόγραμμα και να επανεγκατασταθεί. 13
Βασικό Εργαλείο Εξελιγμένων Αντιβιοτικών Ανάγκη: Εντοπισμός ρουτίνας αποκρυπτογράφησης πολυμορφικού ιού που πρέπει να εκτελεστεί ώστε να ενεργοποιηθεί ένας πολυμορφικός ιός Τεχνολογία γενική αποκρυπτογράφησης Υψηλές ταχύτητες σάρωσης Εντοπισμός ιών (και πολυμορφικών) Κάθε εκτελέσιμο αρχείο εκτελείται μέσω σαρωτή γενικής αποκρυπτογράφησης που αποτελείται από: Εξομοιωτή K.M.E. (περιβάλλον εκτέλεσης κώδικα στόχου) Σαρωτή υπογραφής ιού (αναζήτηση υπογραφής γνωστών ιών) Μονάδα ελέγχου εξομοίωσης (ελέγχει εκτέλεση κώδικα στόχου) 14
Λειτουργία Σαρωτή Γενικής Αποκρυπτογράφησης Ο εξομοιωτής μεταφράζει μια-μια τις εντολές του κώδικα στόχου για να εντοπίσει ρουτίνα αποκρυπτογράφησης ιού. Σε τακτά διαστήματα η μονάδα ελέγχου εξομοίωσης διακόπτει το σάρωμα του κώδικα για εύρεση υπογραφών ιών. 15
Τύποι Αντιβιοτικών Ψηφιακό ανοσοποιητικό σύστημα Λογισμικό μπλοκαρίσματος συμπεριφοράς 16
Ψηφιακό Ανοσοποιητικό Σύστημα Αναλυτική προσέγγιση προστασίας από ιούς που αναπτύχθηκε από IBM και τελειοποιήθηκε από τη Symantec. Ανάγκη: Απειλή διάδοσης ιών από το Διαδίκτυο, χρήση συστημάτων ταχυδρομείου, φορητότητα προγραμμάτων σε Διαδίκτυο (Java, ActiveX). Στόχος: Παροχή γρήγορου χρόνου απόκρισης. 17
Λειτουργία Ψηφιακού Ανοσοποιητικού Συστήματος 1/2 Σε κάθε υπολογιστή τοποθετείται λογισμικό παρακολούθησης που χρησιμοποιεί ευρετικές μεθόδους για να ανακαλύψει την παρουσία ενός ιού. Οι ευρετικές μέθοδοι αποφασίζουν με βάση τη συμπεριφορά του συστήματος, τις τροποποιήσεις των προγραμμάτων ή τις χρησιμοποιούμενες υπογραφές. Αν ένα πρόγραμμα έχει μολυνθεί το λογισμικό παρακολούθησης προωθεί αντίγραφο του μολυσμένου προγράμματος σε υπολογιστή διαχειριστή του συστήματος. Ο υπολογιστής διαχειριστής κρυπτογραφεί το δείγμα και το αποστέλλει σε κεντρικό υπολογιστή ανάλυσης ιών. 18
Λειτουργία Ψηφιακού Ανοσοποιητικού Συστήματος 2/2 Ο υπολογιστής ανάλυσης ιών δημιουργεί περιβάλλον όπου το μολυσμένο πρόγραμμα μπορεί να εκτελεστεί με ασφάλεια. Η δημιουργία ασφαλούς περιβάλλοντος γίνεται με εξομοίωση. Ο υπολογιστής ανάλυσης ιών αφού αναλύσει το μολυσμένο πρόγραμμα παράγει συνταγή αναγνώρισης και αφαίρεσης ιού και την αποστέλλει στον υπολογιστή διαχειριστή. Ο υπολογιστής διαχειριστής προωθεί τη συνταγή στο μολυσμένο υπολογιστή και σε άλλους πελάτες-υπολογιστές του συστήματος. Οι ανά τον κόσμο συνδρομητές παίρνουν ενημερωμένες αντιικές εκδόσεις τακτικά που τους προστατεύουν από το νέο ιό. 19
Λογισμικό Μπλοκαρίσματος Συμπεριφοράς Ενσωμάτωση σε λειτουργικό σύστημα υπολογιστή. Παρακολούθηση σε πραγματικό χρόνο της συμπεριφοράς διεργασιών για κακόβουλες ενέργειες και παρεμπόδισή τους πριν επηρεάσουν το σύστημα. Καλύτερο από σαρωτή αποτύπωσης ή ευρετική μέθοδο γιατί λειτουργεί σε πραγματικό χρόνο και δε το εμποδίζουν αναδιατάξεις εντολών ιών ή σκουληκιών. Μειονέκτημα: ανίχνευση εισβολέα αφού εκτελεστεί. 20
Παρακολουθούμενες Συμπεριφορές Άνοιγμα, προβολή, διαγραφή και τροποποίηση αρχείων. Διαμόρφωση οδηγών δίσκου και άλλων μη αναστρέψιμων λειτουργιών δίσκου. Τροποποίηση λογικής εκτελέσιμων αρχείων ή μακροεντολών. Τροποποίηση κρίσιμων ρυθμίσεων συστήματος και αρχικοποίηση δικτυακών επικοινωνιών. Προγραμματισμός πελατών e-mail και άμεσων μηνυμάτων για αποστολή εκτελέσιμου κώδικα. 21
Λειτουργία Λογισμικού Μπλοκαρίσματος Συμπεριφοράς Εκτέλεση λογισμικού σε υπολογιστή, αφού λάβει οδηγίες από διαχειριστή δικτύου ώστε να αναγνωρίζει και να επιτρέπει καλές ενέργειες και να μπλοκάρει κακόβουλες ενέργειες. Μπλοκάρισμα της εκτέλεσης κάθε ύποπτου λογισμικού με απομόνωση κώδικα σε εικονοποιημένο περιβάλλον (sandbox). To sandbox δεν επιτρέπει την πρόσβαση του κώδικα σε πόρους και εφαρμογές. Αποστολή ειδοποίησης. 22
Άμυνα σε Σκουλήκια Βασική ιδέα: H διάδοση σκουληκιού παράγει αυξημένη δραστηριότητα δικτύου. Απαιτήσεις άμυνας: Γενικότητα (αντιμετώπιση διάφορων επιθέσεων σκουληκιού) Έγκαιρη απόκριση (περιορισμός μόλυνσης) Ελαστικότητα (αντίσταση σε τεχνικές διαφυγής εισβολέων) Ελάχιστο κόστος άρνησης εξυπηρέτησης (όχι αλλοίωση κανονικής λειτουργίας) Διαφάνεια (όχι αλλαγές σε υπάρχοντα συστήματα από λογισμικά αμύνης) Καθολική και τοπική κάλυψη (άμυνα σε δικτυακές επιθέσεις εσωτερικές και εξωτερικές του δικτύου) 23
Είδη Άμυνας σε Σκουλήκια 1/3 Φιλτράρισμα σάρωσης από σκουλήκια με βάση την υπογραφή Παραγωγή υπογραφής σκουληκιού και χρήση για παρεμπόδιση σκουληκιού. Ευαισθησία σε πολυμορφικούς ιούς. Περιορισμός σκουληκιών με βάση το φίλτρο Εστίαση σε περιεχόμενο σκουληκιού. Έλεγχος μηνύματος για κώδικα σκουληκιού. Χρήση αποτελεσματικού αλγορίθμου εντοπισμού (Vigilante). Περιορισμός σκουληκιών με βάση την ταξινόμηση του φορτίου Εξέταση πακέτων δικτύου για εύρεση ιού. 24
Είδη Άμυνας σε Σκουλήκια 2/3 Εντοπισμός σάρωσης τυχαίου περιπάτου κατωφλίου Τυχαία επιλογή προορισμών σύνδεσης για εντοπισμό ενεργού λειτουργίας σαρωτή. Κατάλληλο για δικτυακές συσκευές υψηλής ταχύτητας και μικρού κόστους. Περιορισμός ρυθμού Περιορισμός ρυθμού κυκλοφορίας που μοιάζει με σάρωση από μολυσμένους υπολογιστές (π.χ. περιορισμός αριθμού συνδέσεων από υπολογιστή σε ένα χρονικό διάστημα). Ακατάλληλη για αργά, αθόρυβα σκουλήκια. Μεγάλες καθυστερήσεις σε κανονική κυκλοφορία. 25
Είδη Άμυνας σε Σκουλήκια 3/3 Ανάσχεση ρυθμού Μπλοκάρισμα εξερχόμενης κυκλοφορίας με υπέρβαση κατωφλίου σχετικού με ρυθμό εξερχόμενης σύνδεσης ή ποικιλία προσπαθειών σύνδεσης. Ακατάλληλη για αργά, αθόρυβα σκουλήκια. 26
Άμυνα σε Bots Συστήματα εντοπισμού εισβολής. Αντιβιοτικά συστημάτων. Απενεργοποίηση σε φάση κατασκευής δικτύου bots. 27
Άμυνα σε Rootkit 1/2 Υπερβολικά δύσκολος εντοπισμός. Ευαισθησία πολλών αντιβιοτικών σε rootkit. Χρήση εργαλείων ασφάλειας επιπέδου δικτύου και υπολογιστή για αναζήτηση υπογραφών γνωστών rootkit σε εισερχόμενη κυκλοφορία. IDS home-based Network-based IDS Αντιβιοτικά home-based 28
Άμυνα σε Rootkit 2/2 Χρήση εργαλείων ασφάλειας επιπέδου δικτύου και υπολογιστή για αναζήτηση συμπεριφορών δηλωτικών της παρουσίας rootkit. Αναχαίτιση κλήσεων συστήματος. Εφαρμογή καταγραφής πληκτρολόγησης. Χρήση εργαλείων για ελέγχους ακεραιότητας αρχείων. RootkitRevealer Για rootkit επιπέδου πυρήνα η μόνη άμυνα είναι η επανεγκατάσταση του λειτουργικού συστήματος. 29
Επιθέσεις Υπερχείλισης Απομονωτή Χρήση προβλεπόμενης διεύθυνσης θέσης απομονωτή στόχου για προσδιορισμό της διεύθυνσης επιστροφής που θα χρησιμοποιηθεί στην επίθεση για την μεταφορά ελέγχου σε κώδικα κελύφους. Επέκταση αντιγραφών πέρα από τον τοπικό χώρο μεταβλητών στη στοίβα. Αντιγραφή κώδικα μηχανής σε απομονωτή στόχο και μεταφορά ελέγχου σε αυτόν. 30
Αντιμετώπιση Επιθέσεων Υπερχείλισης Απομονωτή Στοίβας Άμυνες κατά τη διάρκεια της μεταγλώττισης: Αντίσταση σε επιθέσεις σε προς δημιουργία προγράμματα Άμυνες κατά τη διάρκεια της εκτέλεσης: Ανίχνευση και ματαίωση επιθέσεων σε προγράμματα 31
Άμυνες κατά τη Διάρκεια της Μεταγλώττισης Επιλογή της γλώσσας προγραμματισμού. Τεχνικές ασφαλούς συγγραφής κώδικα. Επεκτάσεις γλώσσας και χρήση ασφαλών βιβλιοθηκών. Μηχανισμοί προστασίας στοίβας. 32
Άμυνες κατά τη Διάρκεια της Εκτέλεσης Προστασία εκτελέσιμου χώρου διευθύνσεων. Αποκλεισμός εκτέλεσης κώδικα στη στοίβα. Τυχαία διάταξη του χώρου διευθύνσεων. Αλλαγή διεύθυνσης στοίβας με τυχαίο τρόπο για κάθε διεργασία. Φόρτωση με τυχαίο τρόπο των προτύπων βιβλιοθήκης από ένα πρόγραμμα. Σελίδες φρούρησης. Τοποθέτηση σελίδων μεταξύ κρίσιμων περιοχών σε χώρο διευθύνσεων διεργασιών. 33
Χρηματοδότηση Το παρόν εκπαιδευτικό υλικό έχει αναπτυχθεί στo πλαίσιo του εκπαιδευτικού έργου του διδάσκοντα. Το έργο «Ανοικτά Ακαδημαϊκά Μαθήματα στο Πανεπιστήμιο Πατρών» έχει χρηματοδοτήσει μόνο την αναδιαμόρφωση του εκπαιδευτικού υλικού. Το έργο υλοποιείται στο πλαίσιο του Επιχειρησιακού Προγράμματος «Εκπαίδευση και Δια Βίου Μάθηση» και συγχρηματοδοτείται από την Ευρωπαϊκή Ένωση (Ευρωπαϊκό Κοινωνικό Ταμείο) και από εθνικούς πόρους. 34
Σημείωμα Ιστορικού Εκδόσεων Έργου Το παρόν έργο αποτελεί την έκδοση 1.0. 35
Σημείωμα Αναφοράς Copyright Πανεπιστήμιο Πατρών, Δημήτριος Κουκόπουλος. «Διαχείριση Ασφάλειας και Εμπιστοσύνης σε Πολιτισμικά Περιβάλλοντα. ΑΣΦΑΛΕΙΑ ΛΕΙΤΟΥΡΓΙΚΩΝ ΣΥΣΤΗΜΑΤΩΝ, ΑΝΤΙΜΕΤΩΠΙΣΗ ΕΙΣΒΟΛΗΣ». Έκδοση: 1.0. Πάτρα 2015. Διαθέσιμο από τη δικτυακή διεύθυνση: https://eclass.upatras.gr/courses/culture110/. 36
Σημείωμα Αδειοδότησης Το παρόν υλικό διατίθεται με τους όρους της άδειας χρήσης Creative Commons Αναφορά, Μη Εμπορική Χρήση Παρόμοια Διανομή 4.0 [1] ή μεταγενέστερη, Διεθνής Έκδοση. Εξαιρούνται τα αυτοτελή έργα τρίτων π.χ. φωτογραφίες, διαγράμματα κ.λ.π., τα οποία εμπεριέχονται σε αυτό και τα οποία αναφέρονται μαζί με τους όρους χρήσης τους στο «Σημείωμα Χρήσης Έργων Τρίτων». [1] http://creativecommons.org/licenses/by-nc-sa/4.0/ Ως Μη Εμπορική ορίζεται η χρήση: που δεν περιλαμβάνει άμεσο ή έμμεσο οικονομικό όφελος από την χρήση του έργου, για το διανομέα του έργου και αδειοδόχο που δεν περιλαμβάνει οικονομική συναλλαγή ως προϋπόθεση για τη χρήση ή πρόσβαση στο έργο που δεν προσπορίζει στο διανομέα του έργου και αδειοδόχο έμμεσο οικονομικό όφελος (π.χ. διαφημίσεις) από την προβολή του έργου σε διαδικτυακό τόπο Ο δικαιούχος μπορεί να παρέχει στον αδειοδόχο ξεχωριστή άδεια να χρησιμοποιεί το έργο για εμπορική χρήση, εφόσον αυτό του ζητηθεί. 37
Διατήρηση Σημειωμάτων Οποιαδήποτε αναπαραγωγή ή διασκευή του υλικού θα πρέπει να συμπεριλαμβάνει: το Σημείωμα Αναφοράς το Σημείωμα Αδειοδότησης τη δήλωση Διατήρησης Σημειωμάτων το Σημείωμα Χρήσης Έργων Τρίτων (εφόσον υπάρχει) μαζί με τους συνοδευόμενους υπερσυνδέσμους. 38