Алгоритм контроля состояния элементов телекоммуникационной системы

Другой вариант - взлом транзитных станций и/или SS7. Например, с помощью специальных настроек протокола SS7 можно создать нелегитимный управляющий трафик, который позволит удаленно обнулить все счетчики, используемые для передачи трафика между транзитными станциями (Signal Point - Signal Point).

Мерами пресечения в первом случае служат комплексные проверки всех абонентов-операторов для контроля новых операторов, которые подключаются к сети «под крылом» крупных региональных. Очевидно, что эффективность таких мер повысится, если в проверку вовлечены другие компании-операторы транзитных сетей («Ростелеком», «ТрансТелеКом»), поскольку в этом случае можно будет проследить цепочку подставных фирм по обе стороны транзита.

Второй вариант мошенничества наиболее сложен и в то же время привлекателен для злоумышленника, так как дает возможность с минимальным риском скрыто получать прибыль. Однако для его осуществления нужны хорошие знания оборудования, установленного у оператора транзитной сети, а также современных протоколов (прежде всего SS7) и технологий передачи данных.

Протокол SS7 создавался для публичных (незащищенных) телефонных сетей с целью обеспечить возможность определения сетевой архитектуры, конфигурации и протокола передачи сообщений, а потому обладает ограниченными аутентификационными функциями. Именно эти особенности сетей на базе SS7 сделали возможными следующие типы атак на сетевое оборудование транзитной сети (станции):

Signal Point spoofing (SP-spoofing) - подмена адреса станций при передаче нелегитимного трафика путем модификации полей OPC, DPC, SLS на уровне MTP;

SS7 hijacking - манипулирование параметрами (полями) пакетов SS7 для создания ложных соединений с reset-пакетами (модифицированные пакеты FISU - уровень MTP);

SCCP-tunneling - манипулирование инкапсулированием пакетов MCU для создания ложных трансляций номеров станций (уровень SCCP).

Угрозы системе управления и биллингу. Мошенничество в области телекоммуникаций

В настоящее время для систем предупреждения и обнаружения НСИ информационных ресурсов АСС еще не отработаны в достаточной мере модели. Известные из литературы [47, 56, 57, 122, 148] модели описательного характера отражают, как правило, субъективный взгляд на эту проблему отдельных исследователей [49, 55].

Мониторинг. Целенаправленно организованный процесс наблюдения за статусом и рабочими характеристиками различных физических и логических компонентов сети с целью их оценки, контроля и прогноза состояния. В зависимости от типа компонента мониторинг предполагает постоянную проверку условий функционирования и индивидуальных характеристик компонента либо основан на обнаружении необычных событий в процессе работы сети.

Управление. Целенаправленное и адекватное воздействие со стороны администратора сети или специального ПО, вырабатываемое на основе результатов мониторинга и вывода отчетов, направленное на модификацию рабочих характеристик сети и изменение состояния ее компонентов в интересах обеспечения нормального функционирования сети [Аванесов М. Ю., Татаринов А. Н. Средства диагностики технического состояния компонентов сети АТМ / Информация и космос №2, 2005. С.48].

Из разработанной на втором этапе модели противоборства на арене ТКС следует, что для успешной борьбы с нарушителями в информационной сфере следует совершенствовать технологии распознавания ПДВ и работы по ликвидации возникающих каналов утечки.

Таким образом, частными показателями эффективности защиты могут являться полнота охвата, своевременность (время распознавания и время ликвидации воздействия) и достоверность мониторинга и контроля состояния защищенности.

Основными факторами всякого управления, которые присущи любой системе управления объектом, являются:

цель управления (Z*);

информация о состоянии объекта и среды (I);

воздействие на объект, т. е. собственно управление (U);

алгоритм управления (?).

Таким образом, в основе процесса мониторинга и управления системой информационной безопасности ТКС (предупреждения и обнаружения ПДВ) лежит информация о сложившейся ситуации . Такую информацию возможно получить в результате информационного обследования (анализа защищенности) объекта защиты на предмет соответствия требованиям по ИБ. Далее задачу мониторинга и управления системой информационной безопасности ТКС необходимо свести к формализации задач конкретным должностным лицам по применению некоторого набора программных продуктов (и, например, корректным установкам локальных политик безопасности имеющегося ПО и т. д.).

Необходимую информацию о состоянии объекта и среды лучше всего получать наблюдая трафик объекта защиты, а также подсистему регистрации и учета. В этом случае полученная информация будет наиболее актуальна, и достоверна с момента ввода в эксплуатацию системы ЗИ.

Если исключить из перечня рассмотренных факторов мониторинга и управления хотя бы один, управление станет невозможным. Именно этим обстоятельством и обуславливаются деструктивные возможности нарушителей. Объектом воздействия чаще бывают системы коммуникаций, с помощью которых передается информация I и управляющее воздействие U, а также узлы и АРМ, где реализуется алгоритм управления ? (ТКС). Все трудности управления определяются сложностью объекта, поэтому достижение цели работы начато именно с изучения (моделирования) объекта, а не с алгоритма управления им.

Типовая ТКС состоит из совокупности локальных сегментов ТКС, объединенных транспортной сетью и единством управления (см. том 1 отчета). Определим понятие локального сегмента ТКС.

Локальный сегмент ТКС - множество элементов ТКС, выделяемое по следующим признакам:

признаку группирования в одно подмножество элементов с возможностью непосредственного управления ими;

признаку локализации некоторого подмножества элементов в рамках некоторой технической компоненты ТКС;

признаку присвоения элементам локального сегмента ТКС некоторой идентификационной информации, однозначно характеризующей локальный сегмент как часть ТКС (которая, как правило, называется адресом или сетевым адресом локального сегмента ТКС).

Тогда все множество элементов ТКС состоит из множества элементов локального сегмента и внешнего сегмента ТКС.

Очевидно, что во внешнем сегменте могут быть выделены несколько локальных. Ниже будем полагать, что в качестве объекта защиты рассматривается один типовой локальный сегмент ТКС.

Непосредственное управление (рассматриваемое как один из признаков для выделения локального сегмента ТКС) подразумевает возможность изменения состояния элемента локального сегмента ТКС непосредственно через органы управления конкретной спецЭВМ.

Локальный сегмент включает в себя ТЦК (ЛЦК).

Удаленным локальным сегментом ТКС будем называть локальный сегмент, принадлежащий множеству элементов внешнего сегмента ТКС. Очевидно, что множества элементов локального и внешнего сегмента ТКС не пересекаются.

Доступ удаленного локального сегмента к любому элементу ТКС подразумевает организацию сложного информационного потока от удаленного локального сегмента к ассоциированным элементам ТКС, т. е. фактически управление элементом ТКС со стороны удаленного локального сегмента.

Под информационным потоком будем понимать непрерывную последовательность пакетов сообщений, объединенных набором общих признаков, выделяющих его из общего сетевого трафика.

NB. Каждый локальный сегмент может включать в себя и ЛВС или, в случае вырожденной ТКС - отдельную ПЭВМ. В состав каждой ЛВС входят стандартные сетевые устройства и они состоят из разного количества сегментов.

Определим информационные потоки, циркулирующие в ТКС. Множество возможных информационных потоков рассматриваемой распределенной ТКС, состоящей из двух локальных сегментов ТКС, показано на рис. 2.1 в виде множества возможных вариантов соединений между отправителем а_i и получателем b_i пакетов сообщений:

Рисунок 2.1 - Множество возможных информационных потоков распределенной ТКС, состоящей из двух локальных сегментов ТКС

1. пересекающий ЛС 1 (i = 1);

2. выходящий из ЛС 1 и не входящий в ЛС2 (i=2);

3. выходящий из внешнего ЛС и входящий в ЛС1 (i = 3);

4. между ЛС1 и ЛС2 (i = 4);

5. не затрагивающий ни один из ЛС (i = 5);

6. внутри ЛС (i = 6).

Вариант 5 в дальнейшем не рассматривается, т. к. информационный поток 5 не представляет угрозы для безопасности защищаемых ЛС 1 и 2.

Можно сделать вывод, что есть необходимость защиты информации при существовании информационных потоков вариантов 1, 2, 3, 4 и 6, т. е. необходимо контролировать исходящий трафик, входящий трафик, трафик между ЛВС и трафик внутри ЛВС.

Эффективность системы защиты во многом зависит от правильного выбора структуры системы мониторинга и управления ИБ ТКС. Правильный выбор структуры облегчает разработку политики безопасности, управление элементами защиты и повышает устойчивость состояния защищенности.

Если входящий, исходящий и транзитный через ТКС трафик возможно контролировать средствами межсетевого экранирования, шифрования, систем обнаружения атак и др. традиционными средствами ЗИ, то трафик внутри ТЦК/ЛЦК ТКС возможно контролировать лишь средствами специализированного аудита. Защита же встроенными средствами ОС аппаратуры и средствами защиты от НСД для рабочих станций в ЛВС ТЦК/ЛЦК является, во-первых, пассивной, а во-вторых, не позволяет обнаруживать нарушения со стороны авторизованных пользователей, что является недопустимым.

Перечисленные информационные потоки порождаются функционирующим на узлах ТКС прикладным и системным программным обеспечением (их процессами).

Источниками информационных потоков в ТКС являются объекты, по которым однозначно идентифицируются отправители информационных потоков, если только не было факта подмены. Существенно снизить вероятность подмены можно введением дополнительных идентификаторов (признаковых полей пакетов) источника сообщений.

На уровне локального сегмента ТКС принято решать следующие задачи по защите информации: защита информации в операционных системах; защита информации в базах (массивах) данных; защита информации от несанкционированного доступа и защита информации при ее передаче по каналам связи.

Возможно применение следующих способов защиты и их сочетаний:

1. распределенная СРД и СРД, локализованная в программно-техническом комплексе (ядро защиты);

2. СРД в рамках операционной системы, СУБД или прикладных программ;

3. СРД в средствах реализации сетевых взаимодействий или на уровне приложений;

4. использование криптографических преобразований или методов непосредственного контроля доступа;

5. программная и (или) техническая реализация СРД.

Тогда мониторинг и управление системой ИБ - деятельность по предотвращению воздействия на защищаемую информацию с нарушением установленных прав и/или правил на изменение информации, приводящего к искажению, уничтожению, копированию, блокированию доступа к информации, а также к утрате, уничтожению или сбою функционирования информационной инфраструктуры.

Искомые СЗИ должны содержать в себе функции как СРД, так и ее обеспечивающих средств. Данный тезис подтверждается существующей на сегодня тенденцией интеграции средств ЗИ, выполняющих отдельные функции, в комплексные средства защиты, объединенные зачастую на платформе штатных сетевых устройств, например, маршрутизаторов.

Появление ПДВ нарушителей, вредоносного ПО и другие действия злоумышленников будут предваряться (сопровождаться) появлением несанкционированных информационных потоков.

Система мониторинга и управления ИБ может представлять собой систему управления информационными потоками.

Несанкционированные информационные потоки могут порождаться:

санкционированными пользователями, нарушающими политику безопасности, если таковая имеется, локально и удаленно;

несанкционированными пользователями, пытающимися провести удаленные ПДВ (в т. ч. и фрод);

вредоносными программами, установленными на ПЭВМ санкционированных абонентов ЛВС.

Повышение устойчивости функционирования ТКС в условиях ПДВ может быть осуществлено путем повышения эффективности функционирования системы предупреждения и обнаружения ПДВ, которого можно достичь за счет повышения полноты охвата элементов ТКС, своевременности и достоверности обнаружения (распознавания) ПДВ путем расширения признакового пространства системы защиты, что осуществляется путем коррекции параметров системы защиты и структуры ТКС.

Суть математического моделирования системы мониторинга и управления системой ИБ заключается в математическом моделировании активной защиты информационных ресурсов автоматизированных систем от преднамеренных деструктивных воздействий.

Известно, что задача защиты ТКС от ПДВ декомпозируется на задачи обнаружения ПДВ (идентификацию) и ликвидации ПДВ (реагирование). В дальнейшем речь пойдет о моделировании возможностей решения именно второй задачи.

Для того, чтобы абстрагироваться от не совсем состоятельной терминологии, принятой де-факто под «давлением» коммерческих публикаций, напрямую связанных с продвижением на рынок программных и аппаратно-программных продуктов, в дальнейшем в работе под реагированием СЗИ на ПДВ (инциденты, события ИБ) понимается, согласно современным принципам управления сложными объектами, коррекция объекта и системы защиты.

Коррекция может затрагивать (рис. 2.2): модель; объект; цели управления.

Рисунок 2.2 - Направления коррекции ТКС

В первом случае коррекция может распространяться как на параметры модели, так и на ее структуру. Очевидно, что коррекция структуры происходит реже, чем параметров, которые могут корректироваться на каждом шаге процесса управления.

Если коррекция модели не приводит к ожидаемому успеху, или не соответствует решающим правилам, обращаются к коррекции объекта.

Процесс реализации целей Z* создаваемой ТКС не может не привести к коррекции исходного множества целей, т. к. множество целей, которое достигается реализованной системой управления, как правило, не совпадает с исходным множеством целей. Это связано с тем, что ТКС, как сложный объект, под воздействием управляющих факторов (в т. ч. и преднамеренных деструктивных воздействий) эволюционирует каким-то определенным, но неизвестным нам априорно образом и, естественно, не все исходные цели могут быть в нем реализованы. Это связано с тем, что даже если структура воздействий ясна, она включает неопределенность, а вероятности наступления соответствующих событий не могут быть оценены (ограничение). С другой стороны, открываются дополнительные возможности по реализации новых целей. Это и вызывает необходимость коррекции множества целей, т. е. определения действительных возможностей данной системы управления на данном объекте.

Схема системы управления объектом защиты представлена на рис. 2.3.

Рисунок 2.3 - Схема системы управления (предупреждения и обнаружения несанкционированных воздействий)

2.2 Уязвимости инфраструктуры ТКС

При решении задач контроля информационных потоков технологического обмена в ТКС необходимо уделять особое внимание безопасности сетевого оборудования и, в частности, маршрутизаторов. Темпы развития технологий и разнообразие моделей маршрутизаторов привели к необходимости разработки методических материалов по увеличению защищенности обрабатываемой ими информации.

Проблема обеспечения защищенности маршрутизаторов является особо важной т. к. в ходе реализации угрозы злоумышленник может иметь в виду как получение контроля над ресурсами самого маршрутизатора как такового, так и последующее явное или неявное использование его ресурсов для организации атаки на другие сетевые информационные ресурсы. Большая часть атак на маршрутизаторы носит сетевой характер в силу их назначения и особенностей применения.

Использование маршрутизаторов и коммутаторов, в качестве ключевых элементов инфраструктуры сети, делает их наиболее привлекательным объектом атаки злоумышленников.

ОС маршрутизаторов содержат возможности, позволяющие сделать систему (а равно и сеть, функциональность которой она обеспечивает) совершенно беззащитной перед злоумышленником. Поэтому цена ошибочной настройки маршрутизатора исключительно велика. Необходимо предъявлять строгие требования к качественному конфигурированию оборудования, поскольку в значительной части известных случаев компрометация оборудования злоумышленниками, вплоть до вывода его из строя, была обусловлена именно ошибками конфигурирования.

Далее представлены основные источники уязвимостей маршрутизаторов, связанные с IP-сетями.

Система обеспечения безопасности маршрутизаторов состоит из подсистемы управления доступом, подсистемы регистрации и учета, криптографической подсистемы и подсистемы обеспечения целостности (рисунок 2.4).

Рисунок 2.4 - Система оценки безопасности маршрутизаторов и ее подсистемы

Подсистема управления доступом.

В задачи подсистемы управления доступом, как видно из рисунка, входят:

Аутентификация субъектов доступа.

Пароли (и аналогичные ключи, такие как групповые строки SNMP) являются первейшим средством, позволяющим предотвратить неавторизованный доступ к маршрутизатору. Этот способ требует пользователей перед началом работы идентифицировать себя путем введения паролей. Естественно в большинстве случаев этот метод используется в конфигурациях по умолчанию. Но, например, в конфигурации маршрутизаторов Cisco, устанавливаемой по умолчанию, пароли доступа через консольный порт не назначаются. Более того, изначально в диалоговом окне настройки конфигурации установка соответствующего пароля не требуется. Поэтому необходимо устанавливать пароли с помощью команд изменения конфигурации там где по умолчанию их нет, если есть такая возможность.

К тому же, работа с маршрутизатором может происходить в пользовательском и привилегированном режимах. В пользовательском режиме доступен лишь максимально ограниченный ряд команд.

Привилегированный же режим открывает доступ к большому набору команд, а также доступ к режиму глобальной конфигурации, в котором пользователь может изменить конфигурацию маршрутизатора.

Контроль интерактивного доступа. Установка паролей начала сеанса и привилегированного доступа в некоторых случаях не может обеспечить достаточную степень защиты. Если консоль или сеанс связи Telnet останется без контроля в привилегированном режиме, любой пользователь сможет изменить конфигурацию маршрутизатора.

Контроль интерактивного доступа.

Установка паролей начала сеанса и привилегированного доступа в некоторых случаях не может обеспечить достаточную степень защиты. Если консоль или сеанс связи Telnet останется без контроля в привилегированном режиме, любой пользователь сможет изменить конфигурацию маршрутизатора. Можно указать предельное время открытого состояния несопровождаемых линий, тем самым, обеспечив дополнительную степень защиты. Это предотвращает появление "зависших сессий", которые бесконечно занимают линию при отсутствии какой-либо активности с другой стороны. Хотя против целенаправленных атак такая схема малоэффективна, она помогает избежать проблем в случае непреднамеренно оставленных в открытом состоянии сессий.

Как уже говорилось выше, ПО маршрутизаторов может иметь по умолчанию два режима привилегий - пользовательский и привилегированный. В маршрутизаторах Cisco, например, командам каждого из этих режимов можно назначить до 16 иерархических уровней, что позволяет делегировать административные полномочия. С помощью множества паролей можно разрешить различным группам пользователей доступ к различным наборам команд. Примером использования многоуровневой системы привилегий является разрешение системному администратору применять команды мониторинга и тестирования, а системному инженеру - все команды.

Основной возможностью защиты маршрутизаторов является управление доступом Telnet к маршрутизатору. Этот тип защиты важен, поскольку с помощью Telnet к маршрутизатору можно получить привилегированный доступ. В связи с этим, естественно, требуется установить пароль привилегированного режима (в маршрутизаторах Cisco этот пароль по умолчанию не стоит и запрашивается только при первичном подключении), ограничивающего доступ к привилегированному режиму через Telnet. Необходимо ограничить доступ Telnet источникам с определенными IP-адресами, определить стандартный список доступа с разрешенными IP-адресами, использовать список доступа для виртуальных терминальных линий. Также необходимо настроить все заданные конфигурацией порты виртуальных линий, ограничить доступ к порту aux, установить ограничения на типы соединений которые могут быть открыты к маршрутизатору.

Протокол SNMP широко используется для управления маршрутизаторами, а зачастую и для изменения их конфигурации. Средства SNMP могут использоваться нарушителями для внедрения в сеть, если эти средства не настроены должным образом. К сожалению, первая версия протокола SNMP, которая применяется наиболее широко, имеет достаточно слабую защиту, базирующуюся на групповой строке (community string), которая представляет собой фиксированный пароль, передающийся в открытом виде по сети. Если возможно, старайтесь использовать версию 2, которая поддерживает авторизацию на основе схемы MD5, и позволяет ограничивать доступ к информации о состоянии устройства. Необходимо тщательно сконфигурировать непривилегированный и привилегированный доступ SNMP с помощью групповых строк и использовать списки доступа. Необходимо разрешить отправку прерываний и запросов SNMP только узлам, которые назначены вами для выполнения функций системы сетевого управления.

Современное ПО маршрутизаторов предлагает сервер HTTP, что делает процесс настройки более простым, но открывает новые бреши в системе защиты. Для управления доступом HTTP необходимо определить список доступа, где указываются адреса, которым разрешается иметь доступ к HTTP серверу маршрутизатора, использовать возможности парольной защиты подобно доступу к консоли или виртуальной линии, а также можно изменить порт который будет использоваться программным обеспечением для доступа к HTTP серверу и выбрать метод аутентификации пользователей сервера HTTP.

Удаленное администрирование через интернет очень удобно, однако требует внимательного отношения к безопасности.

Защита от подмены адреса.

Многие атаки полагаются на возможность подмены адреса. Одни атаки целиком основаны на этом, другие позволяют затруднить обнаружение атакующего при использовании им чужих адресов вместо своих собственных. Поэтому, предотвращение подмены адреса является важной задачей в защите как маршрутизатора так и сегмента сети.

В рамках подсистемы управления доступом защита от подмены адреса может быть реализована с помощью списков доступа. Как правило, списки доступа для защиты от подмены адреса следует строить в виде входных, т.е. должны фильтроваться пакеты, приходящие на маршрутизатор, на входных интерфейсах, а не при выходе из маршрутизатора. Входной список доступа защищает от подмены и сам маршрутизатор, в то время как выходной - только узлы, находящиеся "за ним". При использовании списков доступа, направленных на предотвращение подмены адреса, следует всегда отбрасывать пакеты с адресами источника, равными широковещательным или групповым адресам, а также пакеты с адресом источника "loopback". Также бывает полезно фильтровать все пакеты-перенаправления протокола ICMP, вне зависимости от адресов источника и приемника.

Контроль потоков данных.

Протоколы маршрутизации уязвимы в отношении прослушивания и фальсификации обновлений маршрутизации. ПО маршрутизаторов поддерживает аутентификацию обновлений маршрутизации, чтобы обнаружить несанкционированные или фальсифицированные сообщения маршрутизации из неизвестных источников. Аутентификация протокола маршрутизации называется также аутентификацией соседнего узла.

Подсистема регистрации и учета

Подсистема регистрации и учета должна выполнять следующие функции.

Протоколирование событий.

Маршрутизаторы могут вести протоколирование различных событий, многие из которых прямо или косвенно влияют на безопасность. Важность журналов сообщений для защиты от атак трудно переоценить. Вот например, основные типы протоколирования, используемые маршрутизаторами Cisco.

События AAA (Authentication, Authorization, Accounting - идентификации, авторизации и учета), которые могут содержать информацию о входящих соединениях по коммутируемым телефонным линиям, входах в интерактивный режим и выходах из него, о доступе по HTTP, изменениях режима привилегий пользователя, выполняемых командах и т.д.

Протоколирование сообщений протокола SNMP, которые посылаются на станции управления при существенных изменениях в работе сети. Системное протоколирование, с помощью которого записывается большое количество событий, в зависимости от настроек системы.

С точки зрения безопасности, наиболее важными событиями, обычно записываемыми в журналы являются изменения в состоянии интерфейсов, изменения конфигурации маршрутизатора, а также события, которые детектируют дополнительные подсистемы обнаружения вторжений и защиты от атак.

Отчеты о нарушении списков доступа также можно использовать для обнаружения атак, с помощью настройки их на подозрительные типы трафика. Если на маршрутизаторе установлена правильная дата, или если работает протокол NTP, то может быть полезным включать в сообщения информацию о текущем времени и дате.

Использование буфера оперативной памяти.

По умолчанию информация о событиях посылается только на консольный порт. Поскольку большинство консольных портов обычно не наблюдаются, или подключены к терминалам без буферной памяти и сравнительно небольшим размером экрана, может получиться так, что информация не будет доступна тогда, когда она необходима, особенно при отладке проблемы с сетью. Практически каждый маршрутизатор следует настроить так, чтобы он посылал информацию о событиях еще и в буфер в оперативной памяти. Этот буфер имеет фиксированный размер, и хранит наиболее свежую информацию. Содержимое буфера при перезагрузке маршрутизатора теряется. Но, даже при этих условиях, буфер событий среднего размера может быть очень полезен.

Использование syslog сервера.

Системные сообщения могут передаваться в различные точки, где и будет осуществляться реакция на них:

· системный консольный порт;

· серверы, на которых запущен сервис, поддерживающий протокол syslog;

· удаленные сессии на виртуальных терминалах и локальные сессии на локальных терминалах;

· локальный буфер в оперативной памяти маршрутизатора (logging buffered).

Вы можете сконфигурировать отправку сообщений на syslog-сервер, при этом можно контролировать порог, начиная с которого сообщения будут отправляться на сервер. Но, даже если у вас есть syslog-сервер, то от локального протоколирования отказываться не стоит.

Информация о событиях AAA посылается на серверы авторизации с использованием протоколов TACACS+ и/или RADIUS, и там записывается в файлы журналов событий, хранящиеся на дисках.