Аудит компьютерной системы

Размещено на http://www.allbest.ru/

Процедура аудита применительно к защищенным компьютерным системам заключается в регистрации в специальном журнале, называемом журналом аудита или журналом безопасности, событий, которые могут представлять опасность для системы. Пользователи системы, обладающие правом чтения этого журнала, называются аудиторами.

Необходимость включения в защищенную систему функций аудита диктуется следующими обстоятельствами:

1. Подсистема защиты компьютерной системы, не обладая интеллектом, неспособна отличить случайные ошибки пользователей от злонамеренных действий. Например, то, что пользователь в процессе входа в систему ввел неправильный пароль, может означать как случайную ошибку при вводе пароля, так и попытку подбора пароля. Но, если сообщение о подобном событии записано в журнал аудита, администратор, просматривая этот журнал, легко сможет установить, что же имело место на самом деле - ошибка легального пользователя или атака злоумышленника. Если пользователь ввел неправильный пароль всего один раз - это явная ошибка. Если же пользователь пытался угадать собственный пароль 20-30 раз - это явная попытка подбора пароля.

2. Администраторы защищаемой системы должны иметь возможность получать информацию не только о текущем состоянии системы, но и о том, как она функционировала в недавнем прошлом. Журнал аудита дает такую возможность, накапливая информацию о важных событиях, связанных с безопасностью системы.

3. Если администратор обнаружил, что против защищаемой системы проведена успешная атака, ему важно выяснить, когда была начата атака и каким образом она осуществлялась. При наличии в системе подсистемы аудита не исключено, что вся необходимая информация содержится в журнале аудита.

Большинство экспертов по компьютерной безопасности сходятся во мнении, что привилегия работать с подсистемой аудита не должна предоставляться администраторам операционной системы. Другими словами, множество администраторов и множество аудиторов не должны пересекаться. При этом создается ситуация, когда администратор не может выполнять несанкционированные действия без того, чтобы это тут же стало известно аудиторам, что существенно повышает защищенность системы от несанкционированных действий администраторов.

Подсистема аудита компьютерной системы должна удовлетворять следующим требованиям:

1) Только сама система может добавлять записи в журнал аудита. Если предоставить это право какому-то физическому пользователю, этот пользователь получит возможность компрометировать других пользователей, добавляя в журнал аудита соответствующие записи.

2) Ни один субъект доступа, в том числе и сама система, не имеет возможности редактировать или удалять отдельные записи в журнале аудита.

3) Только пользователи-аудиторы, обладающие соответствующей привилегией, могут просматривать журнал аудита.

4) Только пользователи-аудиторы могут очищать журнал аудита. После очистки журнала в него автоматически вносится запись о том, что журнал аудита был очищен, с указанием времени очистки журнала и имени пользователя, очистившего журнал. Система аудита должна поддерживать возможность сохранения журнала аудита перед очисткой в другом файле.

Для ограничения доступа пользователей к журналу аудита недостаточно использования обычных средств разграничения доступа. Дело в том, что в подавляющем большинстве систем администраторы, используя свои привилегии, могут прочитать и изменить содержимое любого файла, хранящегося на любом компьютере системы. Поэтому для ограничения доступа к журналу аудита должны применяться специальные средства защиты.

Политика аудита - это совокупность правил, определяющая то, какие события должны регистрироваться в журнале аудита. Для обеспечения надежной защиты операционной системы в журнале аудита должны обязательно регистрироваться следующие события:

- попытки входа/выхода пользователей из системы;

- попытки изменения списка пользователей;

- попытки изменения политики безопасности, в том числе и политики аудита. аудит компьютерный защита безопасность

При определении политики аудита не следует ограничиваться регистрацией событий из перечисленных классов. Окончательный выбор того, какие события должны регистрироваться в журнале аудита, а какие не должны, возлагается на аудиторов. При этом политика аудита в значительной мере определяется спецификой информации, хранимой и обрабатываемой в операционной системе, и дать какие-либо рекомендации, не зная этой специфики, невозможно.

При выборе оптимальной политики аудита следует учитывать ожидаемую скорость наполнения журнала аудита. Если политика аудита предусматривает регистрацию слишком большого числа событий, это не только не повышает защищенность операционной системы, но, наоборот, снижает ее. Если новые записи добавляются в журнал аудита слишком часто, аудиторам будет трудно выделить в огромном объеме малоценной информации те события, которые на самом деле представляют угрозу безопасности системы. Кроме того, чем быстрее заполняется журнал аудита, тем чаще его нужно очищать, и тем больше вероятность временного выхода из строя операционной системы из-за переполнения журнала аудита.

Политику аудита не следует рассматривать как нечто неизменное, заданное раз и навсегда. Политика аудита должна оперативно реагировать на изменения в конфигурации операционной системы, в характере хранимой и обрабатываемой информации, и, особенно, на выявленные попытки атаки операционной системы. Если, например, с помощью аудита было обнаружено, что имела место попытка преодолеть защиту операционной системы, но основные принципы реализации этой атаки остались неясными, целесообразно изменить политику аудита таким образом, чтобы при дальнейших попытках осуществлять аналогичные атаки аудиторы получали более подробную информацию.

В целом политика аудита - своего рода искусство, и выбор оптимальной политики в значительной мере определяется опытом и интуицией аудитора.

В некоторых системах подсистема аудита помимо записи информации о зарегистрированных событиях в специальный журнал предусматривает возможность интерактивного оповещения аудиторов об этих событиях. Когда аудитор начинает работу с операционной системой одного из компьютеров сети, операционные системы других компьютеров получают соответствующие сообщения, после чего при каждой регистрации события в журнале аудита одного из компьютеров сети копия информации об этом событии передается на терминал, с которым работает аудитор.

Класс событий, регистрируемых в журнале аудита, не обязательно должен совпадать с классом событий, информация о которых передается аудиторам интерактивно. Целесообразно так организовать интерактивное оповещение аудиторов, чтобы аудиторы получали оповещение только о наиболее важных событиях - в противном случае аудиторам будет трудно выделить в сплошном потоке сообщений по-настоящему полезную информацию.

Данная дополнительная функция подсистемы аудита позволяет аудиторам более оперативно реагировать на попытки преодоления злоумышленниками защиты операционной системы и тем самым повышает общую защищенность системы. С другой стороны, техническая реализация этой функции весьма трудоемка, из-за чего интерактивное оповещение аудиторов пока применяется редко.

Размещено на Allbest.ru