Pobieranie prezentacji. Proszę czekać

Pobieranie prezentacji. Proszę czekać

Typowe praktyki wykorzystywane w aktywnych zabezpieczeniach Rafał Łukawiecki Strategic Consultant, Project Botticelli Ltd

Podobne prezentacje


Prezentacja na temat: "Typowe praktyki wykorzystywane w aktywnych zabezpieczeniach Rafał Łukawiecki Strategic Consultant, Project Botticelli Ltd"— Zapis prezentacji:

1 Typowe praktyki wykorzystywane w aktywnych zabezpieczeniach Rafał Łukawiecki Strategic Consultant, Project Botticelli Ltd Copyright 2005 © Microsoft Corp & Project Botticelli Ltd. E&OE. Ta prezentacja ma wyłącznie charakter informacyjny. Nie udziela się jakichkolwiek gwarancji i przed posłużeniem się tymi informacjami należy je zweryfikować. Można ponownie użyć tej prezentacji pod warunkiem przeczytania, zaakceptowania i stosowania się do wytycznych opisanych w polu Komentarze okna Plik/Właściwości.

2 2Cele Korzystanie z zasady Dogłębnej obrony w przeglądzie głównych obszarów problemów z zabezpieczeniami Przegląd głównych technologii zabezpieczeń Szybkie przejrzenie list kontrolnych zabezpieczeń głównych produktów serwerowych firmy Microsoft

3 3 Program sesji Analiza środowiska operacyjnego Ochrona:AplikacjiHostówSieci Listy kontrolne ze wskazówkami firmy Microsoft

4 4 Analiza środowiska operacyjnego

5 5 Dogłębna obrona Zasady, procedury i świadomość Wzmacnianie syst. op., zarządzanie aktualizacjami, uwierzytelnianie Zapory sieciowe, kwarantanna VPN Strażnicy, zamki, urządzenia rejestrujące, HSM Segmenty sieci, IPSec, NIDS Wzmacnianie aplikacji, antywirusy Listy ACL, szyfrowanie Szkolenie użytkowników w zakresie obrony przed inżynierią społeczną Zabezpieczenia fizyczne Granica Sieć wewnętrzna Host Aplikacja Dane

6 6 Klasyfikacja typowych zagrożeń Fałszywe pakiety itp. Przep. buforu, niedozw. ścieżki itp. Wstrzyk. kodu SQL, XSS, manip. wejściem, itp. SiećHostAplikacja Zagrożenia sieci Zagrożenia hosta Zagrożenia aplikacji

7 7 Przykłady zagrożeń sieci ZagrożeniePrzykłady Zbieranie informacji Skanowanie portów Używanie trace routingu do wykrywania topologii sieci Używanie żądań rozgłaszania do wyliczania hostów podsieci Podsłuch Korzystanie ze snifferów pakietów do wykradania haseł Odmowa usługi (DoS) Zalewanie pakietami SYN Zalewanie pakietami ICMP echo request Źle sformatowane pakiety Fałszowanie Pakiety ze sfałszowanymi adresami źródłowymi

8 8 Przykłady zagrożeń hostów ZagrożeniePrzykłady Arbitralne wykonanie kodu Przepełnienia buforów w bibliotekach ISAPI DLL (np. MS01-033) Ataki typu directory traversal (MS00-078) Ujawnianie pliku Źle sformatowane żądania HTR (MS01-031) Luka virtualized UNC share (MS00-019) Odmowa usługi (DoS) Źle sformatowane żądania SMTP (MS02-012) Źle sformatowane WebDAV HTR (MS01-016) Źle sformatowane adresy URL (MS01-012) Siłowe przesłania plików Nieautoryzowany dostęp Zasoby o niewystarczająco restrykcyjnych listach ACL Fałszowanie przy użyciu skradzionych poświadczeń logowania Wykorzystanie otwartych portów i protokołów Używanie protokołu NetBIOS i SMB do wyliczania hostów Zdalne łączenie się z programem SQL Server

9 9 Przykłady zagrożeń aplikacji ZagrożeniePrzykłady Wstrzyknięcie kodu SQL Dołączenie polecenia DROP TABLE do tekstu wpisywanego do pola wejściowego Skrypty między witrynami Używanie złośliwych skryptów po stronie klienta do wykradania plików cookie Manipulowanie ukrytym polem Złośliwa zmiana wartości ukrytego pola Podsłuch Używanie snifferów do wykradania haseł i plików cookie z ruchu na nieszyfrowanych łączach Przejęcie sesji Używanie skradzionego pliku cookie identyfikatora sesji do uzyskania dostępu do stanu czyjejś sesji Fałszowanie tożsamości Używanie skradzionych plików cookie formularzy uwierzytelniania w celu udawania innego użytkownika Ujawnianie informacji Umożliwianie klientowi obejrzenia stosu, gdy wystąpi nieobsługiwany wyjątek

10 10 Typowe wzorce nakierowanych ataków Wejście do sieci przez wstrzyknięcie kodu SQL itp. Zainstalowanie lub używanie oprogramowania proxy portu do otwarcia przychodzących połączeń Zdalne sterowanie hostem w celu przypuszczenia kolejnych ataków od wewnątrz aż kontroler domeny będzie dostępny Uzyskanie kontroli nad pożądanymi zasobami Zatarcie śladów ataku i usunięcie zainstalowanego oprogramowania

11 11 Co robić wobec ataku Zastosować awaryjną procedurę działania Lub zwiększyć poziom pogotowia (z żółtego na czerwony itp.) Wykonać następujące kroki: 1. Określić rodzaj ataku 2. Zlokalizować źródło 3. Chronić i zachować dowody 4. Znaleźć inne zagrożone komputery 5. Uodpornić się na ten problem, gdy tylko będzie to możliwe

12 12 Kierunki ataku – punkty wejściowe Oto czego szuka napastnik Zawsze istnieją Trzeba bronić ich tak dobrze, jak to możliwe Dolne liście (kierunki) drzewa zagrożeń Trzy kategorie wejścia: Inżynieria społeczna Niezałatane znane luki Nowe, ogólnie nieznane luki

13 13 Wejście z poziomu aplikacji Inżynieria społeczna Trojan za pośrednictwem poczty lub programu wiadomości błyskawicznych Zabezpieczanie aplikacji jest niezbędne, aby uniknąć większości problemów Przepełnienie buforu Bezpieczne praktyki kodowania dla programistów Automatyczne stosowanie poprawek aplikacji innych firm Tę usługę zapewnia np. program InstallShield

14 14 Wejście z poziomu hosta Stosowanie poprawek Znane luki są z reguły wykorzystywane przez robaki i komputery zombie Zasada najniższego uprzywilejowania Najbardziej restrykcyjne zasady Najbardziej ograniczone konta Active Protection Przyszłe kierunki automatycznych innych niż wzorcowe zachowań hosta Bardzo obiecująca Ochrona antywirusowa Uruchamianie załączników Ochrona przed programami typu spyware

15 15 Wejście z poziomu sieci Zapory sieciowe Konieczność (nawet jeśli zastosowano rozwiązanie Active Protection)! Wiele poziomów między granicami Słaba infrastruktura Starsze, bez poprawek urządzenia sieciowe Kontrolery domeny Wymagane specjalne zabezpieczenia Konieczne zabezpieczenia fizyczne Active Directory Konieczność zweryfikowania spójności z zasadami Wszelkie nieautoryzowane zmiany muszą być zbadane Fizyczne zabezpieczenia kopii zapasowych ma kluczowe znaczenie

16 16 Typowe poziomy zabezpieczeń (Microsoft) Na podstawie typowych wymagań dotyczących zabezpieczeń-funkcji- kosztów, firma Microsoft wymienia trzy rodzajowe poziomy zabezpieczeń: Starsze Umożliwia zachowanie zgodności z systemami Windows 98, ME itp. – na ogół najbardziej funkcjonalny i dość słabo zabezpieczony Przedsiębiorstwo Typowe potrzeby dotyczące funkcjonalności w oparciu o klientów Windows 2000 i XP z odpornością na wszystkie typowe ataki Na ogół oszczędne Wysokie zabezpieczenia Wprowadza proaktywne zabezpieczenia przed atakami na podstawie wysoce restrykcyjnych zasad kosztem utraty możliwości korzystania z wielu aplikacji i innych ograniczeń funkcjonalności oraz może wykorzystywać formalne modelowanie zabezpieczeń Drogi, ale wart ceny Te pojęcia są używane w książce Windows Server 2003 Security Guide i innych dokumentach firmy Microsoft dotyczących zabezpieczeń

17 17 Ochrona aplikacji

18 18 Dlaczego ochrona aplikacji jest istotna Ochrona granic zapewnia ograniczone zabezpieczenia Wiele obron opartych na hoście nie jest związanych z konkretną aplikacją Większość współczesnych ataków ma miejsce na poziomie aplikacji

19 19Programiści! Z operacyjnego punktu widzenia problem jest oczywiście powodowany przez programistów Z operacyjnego punktu widzenia problem jest oczywiście powodowany przez programistów Ich aplikacje mają dostęp do uprzywilejowanych zasobów Na skutek istnienia luk te zasoby stają się zagrożone Rozwiązanie problemu wymaga niemal intymnych powiązań między programistą a operacjami

20 20 Podstawowe zabezpieczenia Korzystać z zaleceń producenta dotyczących zabezpieczeń Takich jak opis Microsoft Exchange Server Security Guidelines (Wskazówki dotyczące zabezpieczeń do programu Microsoft Exchange Server) itp. Zdefiniować uniwersalne elementarne wskazówki dotyczące zabezpieczeń dla wszystkich serwerów aplikacji Oprzeć te wskazówki na zaleceniach producenta systemu operacyjnego, takich jak role serwera opisane w podręczniku Windows Server 2003 Security Guide (Podręcznik zabezpieczeń do systemu Windows Server 2003) Zaimplementować je jako zasadę Zasady grupy usługi Active Directory to znakomity sposób zarządzania takimi zasadami Używać wynikowego narzędzia zasad do sprawdzania, czy zasada dotyczy hosta zgodnie z wymaganiami Sprawdzanie zgodności jest ciągłym działaniem

21 21 Własne aplikacje Większość przedsiębiorstw do realizowania wielu kluczowych działań biznesowych korzysta z szeregu własnych, samodzielnie opracowanych aplikacji Te aplikacje rzadko spełniają surowe wymagania dotyczące zabezpieczeń Kształcenie programistów w zakresie bezpieczeństwa jest niezwykle istotne Istniejące aplikacje muszą być traktowane jako złe do czasu wykazania za pomocą modelowania zagrożeń, że są bezpieczne

22 22 Traktowanie niesprawdzonych aplikacji Wszystkie aplikacje do czasu wykazania, że są bezpieczne, traktować jako złe Udostępniać je, kierując się tym, czy użytkownik potrzebuje takiego dostępu Ograniczać dostęp zdalny Izolować na dedykowanych serwerach aplikacji Ograniczać serwery za pomocą zasad IPSec, tak aby zezwalały jedynie na taką komunikację, której aplikacja wymaga w jawny sposób Monitorować sposób używania, aby określić podstawowy sposób i alarmować, gdy nastąpi zmiana sposobów Włączyć szczegółowe śledzenie Żądać formalnej analizy zagrożeń, jeśli powyższe ograniczenia są zbyt surowe

23 23 Relacje z programistami W odniesieniu do przyszłych aplikacji opracowywanych samodzielnie i na zewnątrz, formalnie żądać dla każdej nowej aplikacji określania zasad zabezpieczeń i zgodności z podstawowymi wytycznymi Uważnie podchodzić do wyjątków Domagać się, aby testowanie aplikacji przeprowadzano w warunkach obostrzonych wymagań dotyczących zabezpieczeń przed testowaniem beta lub skierowaniem do programu pilotażowego Ustanowić operacyjny punkt kontaktowy na pytania do programistów

24 24 Bezpieczne programowanie Aplikacje.NET mogą korzystać z szeregu nowych i silnych technik zabezpieczeń Optować za tym, aby przyszłe prace programistyczne wykorzystywały platformę.NET i jej modele zabezpieczeń tam, gdzie jest to możliwe Używany język programowania nie jest istotny, dopóki jest używana platforma Inne środowiska oprogramowania pośredniego mogą wymagać integracji ich podsystemów zabezpieczeń z zabezpieczeniami systemu operacyjnego, hosta i sieci wykonywanej ręcznie w znacznie większym stopniu Czasem jest to istotna słabość

25 25 Zalecane mechanizmy zabezpieczeń.NET Zabezpieczenia dostępu do kodu.NET Dowody platformy.NET Korzystając z podpisów cyfrowych, programiści mogą tworzyć silne kryptograficznie identyfikatory dla swoich aplikacji Można używać tych silnych nazw (SN) do tworzenia zasad umożliwiających lub wykluczających uruchamianie całych klas aplikacji Należy kontrolować skojarzone zasady Izolowane składowanie.NET Nowa funkcja umożliwiająca aplikacjom tworzenie wirtualnych systemów plików w sposób bardziej odporny na ataki między aplikacjami

26 26 Ochrona hostów

27 27 Wzmacnianie systemu operacyjnego Stosować najnowsze poprawki zabezpieczeń i dodatki Service Pack Dodatek SP2 dla systemu Windows XP Zapora systemu Windows z ustawieniami dostosowanymi do aplikacji Ochrona przed uruchamianiem załączników Blokowanie okienek wyskakujących Ochrona pamięci (tylko w odniesieniu do niektórych procesorów) Usprawnienia RPC/DCOM Mogą spowodować problemy ze zgodnością ze starszymi aplikacjami, więc może być konieczne obejście lub poprawienie tej funkcji Stosować własne podstawowe zasady zabezpieczeń

28 28 Zarządzanie poprawkami Podejścia: SMS (System Management Server) Do samodzielnego zastosowania, czasochłonne, ale najbardziej elastyczne Usługi SUS (Software Update Services) Pełna kontrola, ale tylko w systemach operacyjnych Windows Windows Update Niewielka kontrola przedsiębiorstwa, tylko systemy Windows, dominujące Aplikacja - producent Installshield Update, HP Software Update i wiele innych Używać narzędzi takich jak MBSA do wykrywania brakujących poprawek Microsoft Baseline Security Analyser

29 29 Ochrona antywirusowa Dogłębna obrona Na klientach Na serwerach Na zaporach sieciowych Zapewnić pełną zgodność, zwłaszcza z usługą aktualizacji podpisu Rozważyć podejście dwóch producentów: Główne systemy na hostach Dodatkowe systemy różnych producentów na zaporach sieciowych i serwerach komunikacyjnych (poczty itp.)

30 30 Wykonywanie załączników Numer jeden wśród ataków z wykorzystaniem inżynierii społecznej (tak zwane Luki warstwy 8) Edukacja to główna linia obrony Nowsze programy mogą obsługiwać załączniki w chroniony, bezpieczny sposób Outlook 2003 XP SP2 Obejmuje aplikacje innych firm Sterowanie za pomocą obiektów GPO

31 31 Ochrona przed programami typu spyware (malware) Na 90% komputerów znajduje się szkodliwe oprogramowanie, średnio 28 różnych programów typu spyware (wg. Earthlink & Webroot) Komputery zombie Zmniejszenie przepustowości sieci i wydajności procesora Wycieki tajemnic handlowych Naruszenie prywatności Najlepsza wskazówka: SpyBot Search and Destroy (www.spybot.info) Microsoft AntiSpyware (w wersji beta) AdAware

32 32 Filtrowanie ruchu Oprócz zapór sieciowych należy rozważyć włączenie na każdym hoście filtrowania przychodzącego i wychodzącego ruchu Dogłębna obrona Na podstawie aplikacji i użytkowników Włączać jedynie te protokoły i porty, które są wymagane przez aplikacje działające na hoście Dodatek XP SP2 pomaga w realizacji tego zadania na stacjach roboczych Zestawy reguł IPSec to znakomite narzędzie do tego celu

33 33 Ochrona sieci

34 34 Wiele granic Zewnętrzna – brzeg sieci Między użytkownikiem a Internetem itp. DMZ – Strefa zdemilitaryzowana Między krawędzią sieci a wszystkimi chronionymi zasobami Możliwa jedynie minimalna ochrona Strefa domyślnego bezpieczeństwa Tradycyjna sieć LAN Strefa podwyższonego bezpieczeństwa Sieć wewnątrz sieci Dla kluczowych zasobów Granica (brzeg) izolacji Zasoby nie są fizycznie połączone z sieciami Przydatna dla niektórych kluczowych zasobów (np. główne klucze) Izolacja Brzeg sieci

35 35 Cele ochrony sieci Obrona granic Obrona klientów Wykrywanie włamań Kontrola dostępu do sieci Poufność Bezpieczny dostęp zdalny ISA Server WF/ICF 802.1x / WPA IPSec

36 36 Systemu wykrywania włamań (IDS) Reaktywny, rodzący się obszar, w którym dostępnych jest zaledwie kilka narzędzi, np.: Niektóre zestawy reguł dla programu Microsoft Operations Manager (MOM) 2005 Monitorowane kopalnie złota (honeypots) Skaner internetowy ISS (www.iss.net) Netcat

37 37 Kopalnie złota (Honeypots) Hosty (z reguły serwery) z pozostawionymi znanymi lukami Odłączone od pozostałej sieci W przeciwnym wypadku stanowią ogromne zagrożenie dla przedsiębiorstwa Intensywnie monitorowane Wszelkie nieautoryzowane dostępy są dozwolone w celu kontrolowanej kontynuacji Stanowią znakomity wskaźnik źródła ataku i możliwości napastnika

38 38 Zapory sieciowe Program ISA Server 2004 ogromnie ułatwia radzenie sobie z intensywnym (nad)używaniem portu 80 Komunikacja między zaporami a chronionymi przez nie serwerami jest przedmiotem coraz większej troski Oprócz filtrowania ruchu należy rozważyć zastosowanie zapory sieciowej do: Skanowania w poszukiwaniu wirusów Wykrywania włamań Monitorowania zgodności

39 39 Ochrona portów urządzeń sieciowych Bezprzewodowych 802.1x lub pełne użycie standardu WPA Modelowania fizycznego zasięgu radiowego Przewodowych Obecnie trwa opracowywanie odpowiednika standardu 802.1x dla sieci przewodowych Ochrona przed podłączeniem wrogich hostów

40 40 Systemy heterogeniczne W rzeczywistości w większości przedsiębiorstw działa zdumiewająca liczba systemów Brak jednolitości powoduje powstawanie luk w: Uwierzytelnianiu Wielu infrastrukturach PKI Delegacji administrowania Niezgodnych zabezpieczeniach Z tego mogą wynikać także korzyści: jeśli dzieje się coś złego, mniej elementów ucierpi

41 41 Jednokrotne logowanie Dążenie do stosowania pojedynczej tożsamości użytkownika i jednego hasła (lub karty inteligentnej) do wszystkich celów Wiele kont użytkowników z identycznymi hasłami to poważna luka zabezpieczeń i zmora administracyjna Trzy podejścia: Ujednolicone uwierzytelnianie Np. wszystkie aplikacje korzystają z uwierzytelniania Kerberos v5 oraz Microsoft AD Np. wszędzie używać certyfikatów i infrastruktury PKI Zsynchronizowana administracja Np. Microsoft Identity Integration Server Na podstawie klienta Karta inteligentna automatyzująca wiele uwierzytelnień (następna sesja)

42 42 Ujednolicone delegowane uwierzytelnianie Trudne do narzucenia, chyba że wszystkie aplikacje zostały napisane tak, aby używały tego samego systemu W rzeczywistości możliwe tylko wtedy, gdy jeden system dominuje, a inne są sporadyczne Na przykład wielki system AD oraz małe i ograniczone królestwo UNIX W wypadku aplikacji sieci Web całkiem możliwe:.NET Passport lub Ogólnie WS-Federation oraz WS-Security

43 43 Rozproszone uwierzytelnianie PKI Najbardziej otwarte i niezależne rozwiązanie Dość uodpornione na to, co przyniesie przyszłość Wiele certyfikatów rozpoznających się wzajemnie Podpisywanie krzyżowe Wzajemne importowanie głównych certyfikatów TLS, WS-Security, CAPI oraz interfejsy API.NET Fx Integracja AD: Usługa AD może zapewniać automatyczne zaciąganie certyfikatów i zaopatrywanie w nie W razie potrzeby właściwości certyfikatu klienta mogą być automatycznie tłumaczone na użytkowników i role AD

44 44 Zalecenia dotyczące infrastruktury PKI 3-warstwowa struktura odporności i zabezpieczeń: Certyfikaty główne (offline) Certyfikaty OU (offline) Wystawianie certyfikatów (offline) Dalsze omówienie problemów i kwestii związanych z infrastrukturą PKI będzie miało miejsce dzisiaj w późniejszej sesji

45 45 Zsynchronizowana administracja Microsoft Identity Integration Server Zmiany w jednym systemie są przekładane na reprezentację meta-katalogową i wymuszane we wszystkich uczestniczących systemach Może się integrować z systemami HR i innymi systemami W pełni zautomatyzowane zdobywanie personelu, gdy to możliwe Działa między systemami AD/AD oraz AD/inne- katalogi

46 46 Listy kontrolne ze wskazówkami firmy Microsoft

47 47 Najlepsze wskazówki dotyczące serwera aplikacji Skonfigurować zabezpieczenia w podstawowym systemie operacyjnym Zastosować dodatki Service Pack i poprawki systemu operacyjnego i aplikacji Instalować lub włączać tylko niezbędne usługi Konta aplikacji powinny mieć przydzielone minimalne uprawnienia Stosować zasadę dogłębnej obrony w celu zwiększenia ochrony Przydzielać jedynie te uprawnienia, które są niezbędne do wykonania wymaganych zadań

48 48 Dziesięć najważniejszych spraw w Microsoft Exchange Zainstalować najnowszy dodatek Service Pack Zainstalować wszystkie stosowne poprawki zabezpieczeń Uruchamiać program MBSA Sprawdzać ustawienia przekazywania Wyłączyć lub zabezpieczyć dobrze znane konta Stosować warstwowe podejście antywirusowe Korzystać z zapory sieciowej Ocenić serwer ISA Server Zabezpieczyć dostęp OWA Zaimplementować strategię tworzenia kopii zapasowych

49 49 Dziesięć najważniejszych spraw przy zabezpieczaniu programu SQL Server Zainstalować najnowszy dodatek Service Pack Uruchamiać program MBSA Skonfigurować uwierzytelnianie Windows Izolować serwer i tworzyć jego kopie zapasowe Sprawdzać hasło sa: Ograniczać uprawnienia usług SQL Blokować porty na zaporze sieciowej Używać systemu plików NTFS Usunąć pliki instalatora i przykładową bazę danych Śledzić połączenia

50 50 Wskazówki dot. bezp. dla użytkowników Używać skomplikowanych haseł* Chronić hasła Zamykać nienadzorowane komputery* Nie logować się za pomocą uprzywilejowanych kont* Uruchamiać jedynie zaufane programy* Nie otwierać podejrzanych załączników* Nie ulegać inżynierii społecznej Przeglądać zasady zabezpieczeń swojej organizacji Nie próbować omijać ustawień zabezpieczeń* Zgłaszać podejrzane incydenty * Te wskazówki można częściowo wdrożyć za pośrednictwem scentralizowanych zasad

51 51Streszczenie

52 52Streszczenie Systematyczne podejście, takie jak dogłębna obrona, ułatwia osiągnięcie bezpieczeństwa pod każdym względem Edukacja i ciągłe badania są równie ważne jak technologie Postępować zgodnie ze wskazówkami dotyczącymi zabezpieczeń podanymi przez dostawców


Pobierz ppt "Typowe praktyki wykorzystywane w aktywnych zabezpieczeniach Rafał Łukawiecki Strategic Consultant, Project Botticelli Ltd"

Podobne prezentacje


Reklamy Google