Изменение конфигурации аппаратно

Защита уровня
приложений
Безмалый Владимир
MVP Consumer Security
Microsoft Security Trusted Advisor
vladb@windowslive.com
http://vladbez.spaces.live.com
Создание учетной записи пользователя с
минимальными полномочиями для запуска
программ
• 90% уязвимостей, обнаруженных в
Windows 7 не могут быть реализованы,
если пользователь работает без прав
администратора
• Наиболее распространенная ошибка –
дать пользователю больше прав, чем
реально нужно
Создание учетной записи пользователя с
минимальными полномочиями для запуска
программ
• Другие типичные ошибки:
o установка приложений с
непродуманными разрешениями
NTFS
o недостаточное внимание к защите
конфиденциальных данных.
Установка программ
• Программу устанавливает
администратор.
• При установке необходимо продумать,
куда записать файлы приложения в
каталоге Program Files.
• Если в приложении предусмотрена
возможность выбора места хранения, то
следует поместить файлы каждого типа в
отдельный каталог.
Установка программ
• Иногда лучший выход - поместить файлы,
доступные пользователям (но не самому
приложению), в изолированный раздел
диска.
• При установке программы необходимо
принять во внимание компоненты,
которые предстоит установить.
• Если необходимости в определенной
функции нет, не стоит устанавливать ее
заранее.
Послеустановочные
задачи
• Сразу после установки приложения нужно
исследовать файлы в его каталоге Program Files.
• Последний этап - назначение паролей
приложения.
• Если в программе можно изменить имя
пользователя, то следует избегать типовых и легко
угадываемых имен
• Не забудьте удалить все стандартные
пользовательские и демонстрационные учетные
записи в приложении.
Минимальные
полномочия
• Самый надежный способ
обезопасить приложение - дать ему
только необходимые полномочия для
выполнения соответствующей роли.
• Следует ограничить доступ к
файловой системе и реестру и
запретить доступ к системным
правам и полномочиям, таким как
возможность входа через сеть.
Минимальные
полномочия
• К сожалению, многие
разработчики не принимают во
внимание возможность запуска
их программ пользователями,
не имеющими
административных полномочий.
Минимальные
полномочия
• Программе необходимы
определенные ресурсы.
• Ключ к подготовке программы
для работы с минимальными
полномочиями - определить
элементы, к которым требуется
доступ.
Служебная учетная
запись
• Чтобы сформировать служебную
учетную запись, следует создать на
сервере или в домене учетную
запись пользователя и назначить ей
надежный пароль.
• Рекомендуется выбрать фразу
длиной не менее 30 символов.
• В данном случае придется вручную
регулярно менять пароли.
Минимальные
полномочия
• На вкладке Terminal Services Profile
нужно установить флажок Deny this
user permissions to log on to any
Terminal Server.
• Если на сервере работает
несколько служб и требуется
создать учетную запись для каждой
из них.
Доступ к файлам
• Многие программы помещают файлы
конфигурации в общие каталоги, такие
как каталог Windows.
• Некоторые приложения скрывают
определенные файлы, относящиеся к
лицензированию.
• Необходимо обнаружить все эти файлы,
чтобы обеспечить доступ к ним
служебной учетной записи.
Доступ к файлам
• Чтобы идентифицировать файлы,
необходимые служебной учетной записи,
нужно настроить Windows на аудит
доступа к файлам.
• Данную задачу лучше выполнять на
тестовом компьютере или виртуальной
машине (VM).
• После этого настроить политику
безопасности для записи результатов
аудита.
Доступ к реестру
• Большинство программ используют реестр не
только для хранения данных о конфигурации, но
и для поиска общесистемных настроек.
• Чтобы выполнить аудит этого процесса,
следует открыть regedit.exe и щелкнуть
правой кнопкой мыши на кусте реестра
HKEY_LOCAL_MACHINE. Выберите пункт
Permissions и назначьте аудит для
Everyone, точно так же, как для файловой
системы.
Подготовка списков
доступа
• Windows создает запись в журнале событий при
каждом обращении программы к
проверяемому файлу или разделу реестра. В
данном случае это вся файловая система и весь
куст реестра HKEY_LOCAL_MACHINE.
• Использование реестра Windows таким
способом может привести к появлению тысяч
записей в журнале событий, поэтому
предпочтительно использовать бесплатный
инструмент Log Parser компании Microsoft (см.
http://www.microsoft.com/downloads/details.aspx
?FamilyID=890cd06b-abf8-4c25-91b2f8d975cf8c07&DisplayLang=en).
Права пользователя
• Для работы некоторых приложений
требуются специальные права
пользователей.
• Чтобы затруднить злоупотребления
служебной учетной записью, можно
специально отменить некоторые права
этой учетной записи, например Deny
access to this computer from the network,
Deny log on as a batch job, Deny log on
locally и Deny log on through Terminal
Services.
Заключение
• После того, как будут настроены
полномочия и права, следует запустить
приложение в контексте созданной
служебной учетной записи.
• Большинство приложений успешно
запускается после незначительной
настройки разрешений доступа к
файлам и реестру.
Инструменты для
диагностики служб
Инструмент
Ссылка
Application Verifier http://www.microsoft.com/downloads/details.aspx?Fami
lyID=bd02c19c-1250-433c-8c1b2619bd93b3a2&DisplayLang=en
Standard User
Analyzer
http://www.microsoft.com/downloads/details.aspx?Fami
lyID=df59b474-c0b7-4422-8c70b0d9d3d2f575&DisplayLang=en
Filemon
http://www.sysinternals.com/Utilities/Filemon.html
Regmon
http://www.sysinternals.com/Utilities/Regmon.html
Tokenmon
http://www.sysinternals.com/Utilities/Tokenmon.html
Создание паспортов
программного
обеспечения
Документы, регламентирующие порядок
изменения конфигурации аппаратнопрограммных средств АС
• Аппаратно-программная
конфигурация автоматизированных
рабочих мест, на которых
обрабатывается защищаемая
информация, должна
соответствовать кругу возложенных
на сотрудников - пользователей
данного АРМ функциональных
обязанностей.
Документы, регламентирующие порядок
изменения конфигурации аппаратнопрограммных средств АС
• В соответствии с принципом
«минимизации полномочий» все
неиспользуемые в работе
устройства ввода-вывода
информации на таких АРМ должны
быть отключены, ненужные для
работы программные средства и
данные с дисков АРМ также должны
быть удалены.
Документы, регламентирующие порядок
изменения конфигурации аппаратнопрограммных средств АС
• Все программное обеспечение
должно установленным порядком
проходить испытания и передаваться
в фонд алгоритмов и программ.
• В подсистемах должны
устанавливаться и использоваться
только полученные установленным
порядком из него программные
средства.
Документы, регламентирующие порядок
изменения конфигурации аппаратнопрограммных средств АС
• На всех АРМ, подлежащих защите,
должны быть установлены необходимые
технические средства защиты.
• Для упрощения сопровождения,
обслуживания и организации защиты АРМ
должны оснащаться программными
средствами и конфигурироваться
унифицировано (в соответствии с
установленными правилами).
Обеспечение и контроль физической
целостности и неизменности
конфигурации аппаратных ресурсов
• Физическая охрана
компонентов компьютерных
систем включает:
o организацию системы охранно-пропускного
режима и системы контроля допуска на
объект;
o введение дополнительных ограничений по
доступу в помещения, предназначенные для
хранения закрытой информации;
Обеспечение и контроль физической
целостности и неизменности
конфигурации аппаратных ресурсов
• Физическая охрана
компонентов компьютерных
систем включает:
o визуальный и технический контроль
контролируемой зоны объекта защиты;
o применение систем охранной и
пожарной сигнализации.
Регламентация процессов обслуживания и
осуществления модификации аппаратных
и программных ресурсов АС
• Ввод в эксплуатацию новых АРМ и все
изменения в конфигурации технических и
программных средств существующих
АРМ в АС должны осуществляться только
установленным порядком согласно
"Инструкции по установке, модификации
и техническому обслуживанию
программного обеспечения и
аппаратных средств АРМ АС".
Регламентация процессов обслуживания и
осуществления модификации аппаратных
и программных ресурсов АС
• Инструкция призвана
регламентировать функции и
взаимодействия подразделений
организации по обеспечению
безопасности при проведении
модификаций и обслуживании
программного обеспечения и
технических средств АС.
Регламентация процессов обслуживания и
осуществления модификации аппаратных
и программных ресурсов АС
• Все изменения конфигурации
технических и программных
средств защищенных рабочих
станций и серверов должны
производиться только на
основании заявок начальников
структурных подразделений
организации.
Право внесения изменений в конфигурацию
аппаратно-программных средств защищенных
рабочих станций и серверов АС
• в отношении системных и прикладных
программных средств, а также в
отношении аппаратных средств уполномоченным сотрудникам ИТ;
• в отношении программно-аппаратных
средств защиты – уполномоченным
сотрудникам службы СЗИ;
• в отношении программно-аппаратных
средств телекоммуникации уполномоченным сотрудникам службы
связи и телекоммуникации.
Право внесения изменений в конфигурацию
аппаратно-программных средств защищенных
рабочих станций и серверов АС
• Изменение конфигурации аппаратнопрограммных средств защищенных рабочих
станций и серверов кем-либо, кроме
уполномоченных сотрудников перечисленных
подразделений, должно быть ЗАПРЕЩЕНО.
• Право внесения изменений в конфигурацию
аппаратно-программных средств PC
организации, не требующих защиты, может быть
предоставлено сотрудникам отдела
автоматизации (на основании заявок).
Процедура внесения изменений в конфигурацию
аппаратных и программных средств защищенных
серверов и рабочих станций
• Может инициироваться либо заявкой начальника
данного подразделения, либо заявкой
начальника ИТ.
• Заявка руководителя подразделения, в котором
требуется произвести изменения конфигурации
PC, оформляется на имя начальника ИТ.
• Производственная необходимость проведения
указанных в заявке изменений может
подтверждаться подписью вышестоящего
руководителя.
Процедура внесения изменений в конфигурацию
аппаратных и программных средств защищенных
серверов и рабочих станций
• В заявках могут указываться следующие виды
необходимых изменений в составе аппаратных и
программных средств рабочих станций и
серверов подразделения:
o установка в подразделении новой ПЭВМ
(развертывание новой PC или сервера);
o замена ПЭВМ (PC или сервера
подразделения);
o изъятие ПЭВМ;
o добавление устройства (узла, блока) в состав
конкретной PC или сервера подразделения;
Процедура внесения изменений в конфигурацию
аппаратных и программных средств защищенных
серверов и рабочих станций
• В заявках могут указываться следующие
виды необходимых изменений в составе
аппаратных и программных средств
рабочих станций и серверов
подразделения:
o замена устройства в составе конкретной PC или сервера;
o изъятие устройства из состава конкретной PC или сервера;
o установка (развертывание) на конкретной PC или сервера
программных средств, необходимых для решения
определенной задачи (добавление возможности решения
данной задачи на данной PC или сервере);
Процедура внесения изменений в конфигурацию
аппаратных и программных средств защищенных
серверов и рабочих станций
• В заявках могут указываться
следующие виды необходимых
изменений :
o обновление (замена) на конкретной PC или сервере
программных средств, необходимых для решения
определенной задачи (обновление версий
используемых для решения определенной задачи
программ);
o удаление с конкретной PC или сервера программных
средств, использовавшихся для решения определенной
задачи (исключение возможности решения данной
задачи на данной PC).
Экстренная модификация
(обстоятельства форс-мажор)
• В исключительных случаях (перечень которых
должен определяться руководством
организации), требующих безотлагательного
изменения ПО и модификации ТС, сотрудник ИТ
ставит в известность руководство ИТ и службы
СЗИ о необходимости такого изменения для
получения соответствующего разрешения
(перечень лиц, которым предоставлено право
разрешать выполнение форс-мажорных работ
также должен определяться руководством
организации).
Экстренная модификация
(обстоятельства форс-мажор)
• Факт внесения изменений в ПО и ТС защищенных
рабочих станций и серверов фиксируется актом за
подписями ответственного за информационную
безопасность в подразделении и пользователя
данной PC, сотрудников ОА и службы СЗИ.
• В акте указывается причина модификации,
перечисляются файлы, подвергшиеся изменению, и
указывается лица, принявшие решение на
проведение работ и лиц, проводивших эти работы.
• Факт модификации ПО и корректировки настроек
системы защиты фиксируется в «Журнале учета
нештатных ситуаций...» того подразделения, в
котором установлены PC (сервера).
Аудит ПО
Инвентаризация и аудит
программного обеспечения
• Аудит программного обеспечения
(ПО) предприятия представляет
собой ревизию установленных
программ.
• Аудит позволяет определить
эффективность использования ПО,
а также дать рекомендации по
вопросам закупки, поддержки,
развития и управлению жизненным
циклом ПО.
Когда (в каких случаях)
эта услуга востребована?
• Руководство не располагает точной
информацией о лицензионной
чистоте установленного в
организации программного
обеспечения.
• Необходимо не только выявить
установленное ПО, но и дать
рекомендации по закупке лицензий
либо замене на другие продукты.
Когда (в каких случаях)
эта услуга востребована?
• На компьютерах компании
установлено большое количество
неучтенного программного
обеспечения («зоопарк»).
• Продукты разных производителей
конфликтуют друг с другом, часто
возникают ошибки, сотрудники
вынуждены постоянно обращаться к
системным администраторам за
технической поддержкой.
Когда (в каких случаях)
эта услуга востребована?
• Программное обеспечение,
используемое в компании, редко либо
никогда не обновляется, в связи с чем
содержит мужество уязвимостей.
• Это ПО является прямой угрозой
безопасности корпоративной сети.
• Необходимо выявить устаревшие версии
ПО и дать рекомендации по его
обновлению или замене.
Какие задачи решает?
• Определение лицензионной
чистоты используемого ПО.
• Инвентаризация ПО позволяет
выявлять вероятные риски и
оценивать их последствия.
Какие задачи решает?
• Определение соответствия
возможностей ПО и потребностей
бизнеса.
• Аудит позволяет понять, насколько
эффективно используется ПО, и
какие есть возможности для
увеличения этой эффективности.
Какие задачи решает?
• Определение целесообразности
дальнейшего использования ПО, его
развития или же замены на новый
продукт.
• Стандартизация используемого ПО.
Сотрудники компании получают
набор программ, необходимый и
достаточный для их эффективной
работы
Оптимизация расходов на
программное обеспечение
• Повышение безопасности
корпоративной сети за счет
отказа от практики
использования
непроверенного и
небезопасного ПО.
Какие преимущества
дает эта услуга?
• Сознательное или случайное нарушение
лицензионных соглашений может
привести к наложению на организацию
крупных штрафов.
• Имея точные данные о закупленном ПО,
можно точнее планировать дальнейшие
затраты и извлечь максимальную выгоду
из лицензионных соглашений,
воспользовавшись программами
корпоративного лицензирования.
Какие преимущества
дает эта услуга?
• Имея на руках информацию об
использовании той или иной
программы, можно принять
управленческое решение: следует
ли в дальнейшем продолжать
закупки данного продукта или лучше
избавиться от него по истечении
срока лицензионного договора.
Какие преимущества
дает эта услуга?
• Инвентаризация позволяет определить,
какие установленные программные
продукты требуют замены версий или
установки обновлений.
• Учет программного обеспечения как
актива компании повышает её рыночную
стоимость, что влечет рост её
инвестиционной привлекательности.
Три основных этапа
аудита
• Постановка задачи и уточнение
границ работ
• Сбор данных
• Анализ данных и оформление
результатов
Постановка задачи и
уточнение границ работ
• На данном этапе проводятся
организационные мероприятия по
подготовке проведения аудита:
• Уточняются цели и задачи аудита
• Подготавливается и
согласовывается техническое
задание (ТЗ) на проведение аудита
Сбор данных
• Интервьюирование персонала
заказчика
• Инвентаризация программного
обеспечения
• Анализ представленных
документов
Интервьюирование
персонала
• К интервьюированию
обязательно привлекаются
сотрудники:
o Непосредственно использующие
ПО для решения своих задач
o Специалисты, оказывающие
техническую поддержку
пользователям.
Анализ данных и
оформление результатов
• Сводится вместе и
анализируется:
o инвентаризационные данные об
установленном ПО
o информация о закупленных лицензиях
на ПО
o информация об обнаруженных
проблемах
o конфигурационная информация
Результат
• Результатом аудита является
создание пакета документов,
содержащего
детализированные данные об
установленном на компьютерах
компании программном
обеспечении.
Результат
• Стандартный комплект
включает в себя следующие
документы:
o Перечень установленного
программного обеспечения
o Перечень закупленного программного
обеспечения .
Результат
• Стандартный комплект включает
в себя следующие документы:
o Аналитический отчет, в который входят:
• перечень обнаруженных проблем;
• оценку последствий этих проблем;
• предлагаемые меры по устранению
проблем с выделением первоочередных
мер и оценкой длительности и стоимости
их реализации.
Атаки на MS Office
• 71,2% атак связаны с
одной-единственной
уязвимостью, обновление
безопасности для
которой (MS06-027) было
выпущено три года назад.
Статистика атак на MS Office
(первое полугодие 2009 года)
• Большинство атак против
Office в первом полугодии
2009 г. (55,5%) нанесли
ущерб приложениям Office,
которые в последний раз
обновлялись между июлем
2003 г. и июнем 2004 г.
Статистика атак на MS Office
(первое полугодие 2009 года)
• Большая часть этих атак нанесла
ущерб пользователям Office 2003,
которые не установили ни одного
пакета обновления или обновления
для системы безопасности со
времени выхода первоначальной
версии Office 2003 в октябре 2003
года.
Использование обновлений и уровень
пиратства (по сравнению с США)
4
3.5
3
2.5
2
1.5
1
0.5
0
Использование службы
обновления
Уровень пиратства
Вопросы?
Безмалый Владимир
MVP Consumer Security
Microsoft Security Trusted Advisor
vladb@windowslive.com
http://vladbez.spaces.live.com