Настройка и использование сканера уязвимостей OpenVAS

· PHP-графики "url.php" - уязвимость произвольного выполнения PHP кода (CVSS: 9.0). Описание: PHP-графики склонны к уязвимости произвольного выполнения кода PHP. Злоумышленник может воспользоваться уязвимостью, чтобы запустить произвольный PHP код в контексте веб сервера;

· PHP-графики "index.php" - уязвимость произвольного выполнения PHP кода (CVSS: 9.0). Описание: PHP-графики склонны к уязвимости произвольного выполнения кода PHP. Злоумышленник может воспользоваться уязвимостью, чтобы запустить произвольный PHP код в контексте соответствующего приложения;

· phpMyAdmin "server_databases.php" - уязвимость удаленного выполнения команд (CVSS: 8.5). Успешное использование уязвимости позволит выполнить произвольные команды и, возможно, скомпрометировать нужное приложение;

· WordPress "wp-admin/options.php" - уязвимость удаленного выполнения кода (CVSS: 8.5). Описание: хост работает с запущенным WordPress и подвержен уязвимостью удаленного выполнения кода. Решение: обновить WordPress до версии 2.3.3 или более поздней;

· phpMyAdmin BLOB - уязвимость потоковой многовходовой проверки (CVSS: 7.5);

· уязвимость проверки идентификации phpBB форума (CVSS: 7.5). Описание: phpBB склонен к уязвимости обхода безопасности. Злоумышленник может использовать эту лазейку, чтобы обойти некоторые ограничения безопасности и получить несанкционированный доступ к затронутому приложению. Решение: установить обновления для программного обеспечения;

· Ajax File и Image Manager "data.php" подвержены уязвимости PHP-инъекции (CVSS: 7.5). Описание: Ajax File и Image Manager склонны к уязвимости удаленной PHP-инъекции. Злоумышленник может воспользоваться уязвимостью, чтобы внедрить и выполнить произвольный PHP код в контексте подходящего приложения. Это может привести к другим атакам на систему через сфальсифицированное приложение.

· Log1 CMS "data.php" - уязвимость PHP-инъекции (CVSS: 7.5). Описание: Log1 CMS подвержен уязвимости удаленной PHP-инъекции. Злоумышленник может воспользоваться уязвимостью, чтобы внедрить и выполнить произвольный PHP код в контексте подходящего приложения. Это может привести к другим атакам на систему через сфальсифицированное приложение;

· PHPMoAdmin - уязвимость удаленного несанкционированного выполнение кода (CVSS: 7.5). Описание: PHPMoAdmin склонен к уязвимости удаленного выполнения кода, так как приложение недостаточно защищает данные, предоставляемые пользователям. Злоумышленник может воспользоваться уязвимостью, чтобы выполнить произвольный PHP код в контексте уязвимого приложения;

· Доступен выход на phpinfo() (CVSS: 7.5). Описание: среди сведений из этого файла можно выделить - имя пользователя, установившего PHP, если он является пользователем SUDO; IP-адрес хоста; версию веб сервера; версию системы (UNIX/Linux); а также корневую директорию веб сервера

· Netref Cat_for_gen.PHP подвержен уязвимости удаленной PHP-инъекции (CVSS: 7.5). Описание: на удаленном узле работает директория скрипта Netfref, написанном на PHP. Рекомендуется обновить Netref до версии 4.3 или более поздней;

· многочисленные уязвимости WordPress (CVSS: 7.5). Успешная эксплуатация уязвимости позволит злоумышленнику узнать пароли произвольных учетных записей, угадывать случайным образом сгенерированные пароли, получить доступ к КИ, и, возможно, выдать себя за санкционированного пользователя и подделать сеть передачи данных. Решение: обновить WordPress до версии 2.6.2 или более поздней;

· множественные уязвимости PHP-Nuke (CVSS: 7.5). Описание: на удаленном узле работает PHP-Nuke, написанный на PHP и подверженный множеству уязвимостей. Успешное использование уязвимости может привести к выполнению произвольных SQL команд, введению произвольных веб скриптов или перехвату аутентификации администратора. Решение: попытаться обновить программу до новой версии, в случае неудачи рекомендуют найти альтернативу данному продукту;

Среди уязвимостей среднего уровня также были замечены многочисленные уязвимости программных продуктов phpMyAdmin, phpBB, WordPress, среди новых уязвимостей можно отметить следующие:

· многочисленные уязвимости безопасности приложения ionCube Loader Wizard через скрипт loader-wizard.php (CVSS: 6.4). Решение: обновить приложение до актуальной версии;

· уязвимость раскрытия информации Cookie в Apache "httpOnly" Server (CVSS: 4.3). Описание: на данном хосте запущен Apache Server, который склонен к уязвимости раскрытия информации cookie. Успешное применение уязвимости позволит злоумышленнику получить доступ к КИ, которая может помочь в дальнейших атаках на данный хост;

· уязвимость http TRACE к XSS-атакам (CVSS: 5.8). Описание: удаленный веб-сервер поддерживает HTTP методы TRACE или/и TRACK, которые используются для отладки этого сервера. Серверы, поддерживающие данные методы, уязвимы перед атаками межсайтового скриптинга (XSS) и атаками на основе межсайтовой трассировки (XST) при использовании в сочетании с различными недостатками в браузере. Злоумышленник может использовать эту уязвимость, чтобы обмануть законных веб-пользователей и присвоить свои полномочия веб-серверу. Решение: не использовать данные методы.

Среди уязвимостей низкого уровня присутствуют:

· уязвимость временных меток в протоколе TCP (CVSS: 2.6). Описание: удаленный хост реализует временные метки в протоколе TCP и, следовательно, позволяет вычислить время бесперебойной работы. Злоумышленник может попытаться вычислить время безотказной работы удаленного хоста;

· уязвимость HTTP-инъекции веб-форума phpBB через скрипты included/message_parser.php (CVSS: 2.6). Описание: веб-форум phpBB подвержен уязвимости HTTP-инъекции, поскольку он не может правильно обезопасить данные, предоставляемые пользователям. Злоумышленник может воспользоваться данной уязвимостью, чтобы внедрить произвольный PHP-код в браузер ничего не подозревающему пользователю в рамках уязвимого сайта. Это может позволить злоумышленнику похищать учетные данные для аутентификации в виде файлов cookie, контролировать отображения сайта пользователям или запускать новые атаки. Решение: обратиться к поставщику за обновлениями;

· несколько уязвимостей межсайтового скриптинга (XSS) (CVSS: 2.6);

Кроме уязвимостей при сканировании DVL обнаружено 28 общих замечаний по системе, среди них - открытые udp/tcp порты, замечания по работе некоторых сервисов и др.

Результат анализа

После просмотра и краткого обзора отчетов сканирования была составлена общая гистограмма с найденными уязвимостями по различным операционным системам. (рис. 2.16)



Рис. 2.16 - Гистограмма с полученными результатами сканирования

По результатам анализа можно сделать вывод, что в любых операционных системах, даже, со всевозможными установленными обновлениями, злоумышленник может обнаружить слабые места, которыми он может воспользоваться для атаки. В современном мире проведение сканирования систем в рамках безопасности жизненно необходимо для того чтобы вовремя выявить дыры в защите и предпринять шаги для их оперативного устранения. Помимо обнаружения уязвимостей сканер OpenVAS содержит полезные рекомендации для их устранения.

Использовать подобные средства защиты стоит, но нужно помнить, что безопасность сети строится не только из применения технических и программных средств защиты, но и из различных организационных и технических средств.

3. Общая система оценки уязвимостей (CVSS- Common Vulnerabilities Scoring System)

Общая система оценки уязвимостей - Common Vulnerabilities Scoring System (CVSS) - это открытая система, позволяющая обмениваться характеристиками и степенями серьезности уязвимостей программного обеспечения. CVSS состоит из трех групп метрик: базовая, временная и контекстная. Базовая группа отражает внутренние уязвимости, временная - характеристики уязвимости, меняющиеся со временем, а контекстная - уязвимости, уникальные для среды пользователя. Временные и контекстные метрики опциональны и применяются для более точной оценки опасности, которую представляет данная уязвимость для более или менее конкретной инфраструктуры. Каждая метрика производит оценку уязвимости в интервале от 0.0 до 10.0. Оценка CVSS также представлена в виде векторной строки, состоящей из короткого текстового описания со значениями.

CVSS принадлежит и управляется FIRST.Org (FIRST - Forum of Incident Response and Security Teams) - некоммерческой организацией, базирующейся в США, чья миссия заключается в том, чтобы помочь IT-специалистам мира бороться с угрозами информационной безопасности. FIRST имеет право периодически обновлять базы CVSS по своему усмотрению. До тех пор пока FIRST владеет всеми правами и заинтересована в CVSS, последняя будет предоставляться для общественности в открытом доступе.

CVSS хорошо подходит в качестве стандартной системы измерения уязвимостей для предприятий, организаций и правительств, которые требуют точной и последовательной оценки влияния уязвимостей. CVSS представляет собой универсальный открытый и стандартизированный метод рейтинга IT-уязвимостей [11].

3.1 Определение CVSS вектора

Каждое приложение или служба, использующие Общую систему оценки уязвимостей (CVSS) должны обеспечивать не только CVSS оценку, но и вектор, который описывает компоненты, из которых была рассчитана полученная оценка. Это и есть гарантия уверенности в правильности оценки и дает подробности характера уязвимости.

Группа базовых метрик отображает характеристики уязвимости, которые не меняются со временем и не зависят от контекста. Метрики Access Vector (Вектор доступа), Access Complexity (Сложность доступа) и Authentication (Аутентификация) оценивают варианты получения доступа к уязвимости и требуется ли для успешного применения уязвимости дополнительные условия. Три метрики воздействия - Confidentiality Impact (Влияние на конфиденциальность), Integrity Impact (Влияние на целостность) и Availability Impack (Влияние на доступность) - описывают возможное прямое влияние на IT-систему в случае эксплуатации уязвимости. Это влияние определяется независимо с точки зрения конфиденциальности, целостности и доступности. Это означает, например, что эксплуатация уязвимости может вызвать частичную потерю целостности и доступности, но не влиять на конфиденциальность.

Метрика: AV - Access Vector (Вектор доступа). Эта метрика отображает, как используется уязвимость. Чем больше расстояние между злоумышленником и используемой уязвимостью на атакуемом хосте, тем больше значение у оценки уязвимости. Варианты значений данной метрики приведены в таблице 3.1.

Таблица 3.1

Варианты значений метрики Access Vector - вектор доступа

Значение метрики	Описание
Локальный (L)	Использование уязвимости возможно только при физическом или локальном доступе злоумышленника к уязвимой системе.
Соседняя сеть (A)	Использование уязвимости требует от злоумышленника получить доступ к соседней сети, т.е. такой сети, имеющей общую среду передачи с сетью, содержащей уязвимое ПО.
Сетевой (N)	Использование уязвимости предполагает наличие доступа к уязвимому ПО со стороны злоумышленника, причем этот доступ ограничен только величиной сетевого стека.

Метрика: AC - Access Complexity (Сложность доступа). Данная метрика определяет сложность использования атаки при получении злоумышленником доступа к целевой системе. Например, для выполнения атаки переполнения буфера в Интернет-службе злоумышленнику необходимо обнаружить целевую систему и внедрить свой подготовленный эксплойт. Значение оценки зависит от сложности реализации уязвимости, чем выше сложность, тем ниже оценка. Варианты значений данной метрики приведены в таблице 3.2.

Таблица 3.2

Варианты значений метрики Access Complexity - сложность доступа

Значение метрики	Описание
Высокое (H)	Для использования уязвимости требуются специальные условия. Например:
	· в большинстве конфигураций злоумышленник должен обладать повышенными правами доступа или использовать уязвимости одновременно и в других системах (например, перехватывать DNS); · атаки, зависящие от методов социальной инженерии, которые легко обнаруживаются хорошо осведомленными людьми. Например, жертва может выполнить несколько подозрительных или нетипичных действий.
Среднее (M)	Для использования уязвимости требуются слегка нетипичные условия. Например: · злоумышленники ограничены группой систем или пользователей, обладающими некоторым уровнем авторизации, и, возможно, являющейся недоверенной; · для реализации успешной атаки требуется заранее собранные сведения о системе; · уязвимая конфигурация настроена не по умолчанию и обычно не используется (например, уязвимость есть при серверной аутентификации учетной записи пользователя по специальной схеме, но отсутствует при использовании другой схемы); · злоумышленник должен применять методы социальной инженерии для обмана осмотрительных пользователей (например, фишинг-атаки, которые путем зрительного обмана заставляют пользователя выполнить ряд действий для получения конфиденциальной информации;
Низкое (L)	Для использования уязвимости злоумышленнику не требуется обладать специальными правами и условиями. Например: · доступ к уязвимому продукту имеют большое количество систем и пользователей, причем авторизация может быть анонимной или недоверенной (например, подключенный к Интернету web или почтовый сервер); · уязвимая конфигурация настроена по-умолчанию или используется повсеместно; · атака выполняется вручную и не требует большого навыка и сбора информации.

Метрика: Au - Authentication (Аутентификация). Данная метрика отображает количество этапов аутентификации, которые злоумышленник должен пройти в целевой системе, чтобы использовать уязвимость. Показатель не оценивает надежность или сложность процесса аутентификации, а касается только предъявления злоумышленником учетных данных перед использованием уязвимости. Возможные варианты значений данной метрики приведены в таблице 3.3.

Таблица 3.3

Варианты значений метрики Authentication - аутентификация

Значение метрики	Описание
Множественное (M)	Для использования уязвимости от злоумышленника требуется множественная аутентификация (2 и более раз). Например, аутентификация в ОС, а затем в приложении, установленном на ОС.
Одиночное (S)	Чтобы использовать уязвимость злоумышленник должен войти в систему (например, через командную строку, интерактивную сессию или web-интерфейс).
Отсутствует (N)	Для использования уязвимости аутентификация не требуется.

Показатель: C - Confidentiality Impact (Влияние на конфиденциальность). Данная метрика определяет влияние успешного использования уязвимости на сохранение конфиденциальности в системе. Возможные варианты значений этой метрики приведены в таблице 3.4. Чем выше воздействие на конфиденциальность, тем выше оценка.

Таблица 3.4

Варианты значений метрики Confidentiality Impact - влияние на конфиденциальность

Значение метрики	Описание
Отсутствует (N)	Конфиденциальность системы не затрагивается.
Частичное (P)	Происходит значительное раскрытие данных. Злоумышленник может получить доступ к некоторым системным файлам, но не может контролировать поток полученной информации.
Полное (C)	Происходит полное раскрытие данных, что приводит к полному раскрытию всех системных файлов. Злоумышленник может читать все системные данные (память, файлы и пр.).

Метрика: I - Integrity Impact (Влияние на целостность). Эта метрика отображает влияние успешного использования уязвимости на целостность системы. Возможные варианты значений данной метрики приведены в таблице 3.5. Чем выше влияние на целостность системы, тем выше значение оценки.

Таблица 3.5

Варианты значений метрики Integrity Impact - влияние на целостность

Значение метрики	Описание
Отсутствует (N)	Целостность системы не нарушается при использовании уязвимости.
Частичное (P)	Злоумышленник может изменять некоторые системные файлы и информацию, но он не имеет контроля над изменяемыми данными. Например, злоумышленник не может выбирать данные для изменения.
Полное (С)	При использовании уязвимости полностью нарушается целостность системы. В скомпрометированной системе злоумышленник может любые файлы по своему усмотрению.

Метрика: A - Availability Impact (Влияние на доступность). Данная метрика показывает результат успешного использования уязвимости на доступность системы, т.е. на доступность информационных ресурсов. Возможные варианты значений данной метрики приведены в таблице 3.6. Чем выше влияние на доступность системы, тем выше значение оценки.

Таблица 3.6

Варианты значений метрики Availability Impact - влияние на доступность

Значение метрики	Описание
Отсутствует (N)	Доступность не зависит от использования уязвимости.
Частичное (P)	Присутствуют проблемы со снижением производительности или с перебоями работы сервисов затрагиваемого ресурса.
Полное (C)	Затрагиваемый ресурс становится недоступным для всех.

Временные метрики. Угроза использования уязвимости может меняться с течением времени. Существует три фактора, изменяющиеся с течением времени и входящие в CVSS: подтверждение технических данных уязвимости, статус устранения уязвимости, а также наличие вредоносного кода или технических деталей. Временные метрики относятся к числу необязательных, поэтому, их значения не вносят никаких изменений в базовую оценку. Векторы CVSS, содержащие временные показатели, образуются путем добавления временных показателей к базовому вектору.

Метрика: E - Exploitability (Возможность использования). Данная метрика отображает текущее состояние готовности технических средств или вредоносного кода. Общедоступность простого в использовании кода эксплойта значительно увеличивает потенциальный круг злоумышленников, в том числе начинающих. На начальном этапе реальное использование уязвимости рассматривается только теоретически. Публикация технических деталей увеличивает вероятность использования уязвимости. Эксплойт позволит постоянно использовать найденную уязвимость со стороны злоумышленника. В дальнейшем уязвимость может превратиться в отправную точку для планирования последующих атак, например, атак с использованием сетевых червей и других вирусов. Возможные варианты значений этой метрики приведены в таблице 3.7. Наивысшая оценка зависит от простоты использования уязвимости, чем выше простота, тем выше оценка.

Таблица 3.7

Варианты значений метрики Exploitability - возможность использования

Значение метрики	Описание
Не доказано (U)	Код эксплойта неизвестен, или использование уязвимости носит теоритический характер.
Доказано правильность концепции (POC)	В наличие есть пробный код эксплойта или вид демонстрационной, не применимой в большинстве систем. Код или технология не работают в большинстве случаев или требуют существенной модификации квалифицированным злоумышленником.
Функциональное (F)	Функциональный код эксплойта доступен и может быть использован в большинстве ситуаций при наличии уязвимости.
Высокое (H)	Уязвимость можно использовать при наличии легко переносимого, автономного кода, или нет необходимости использования (запускается вручную) и детали широко известны. Код работает в любой ситуации или внедряется мобильным автономным агентом (например, червь или вирус).
Не определена (ND)	Метрика не влияет на оценку и не будет использоваться в формуле.

Метрика: RL - Remediation Level (Уровень восстановления). Remediation Level - важный фактор для оценки приоритетов. Закрытие уязвимости невозможно при ее первоначальной публикации. Текущие исправления уязвимсоти носят временной характер до выпуска обновления или официального исправления. Наличие исправления (временного или постоянного) уменьшает временную оценку, что повлияет на уменьшение критичности проблемы при появлении официального исправления. Возможные значения этой метрики представлены в таблице 3.8.

Таблица 3.8

Варианты значений метрики Remediation Level - уровень восстановления

Значение метрики	Описание
Официальное исправление (OF)	Комплексное решение от поставщика доступно. Был выпущен официальный патч, либо обновление.
Временное исправление (TF)	Существует официальное временное обновление. Поставщик предлагает временное исправление, инструменты или обходной путь.
Дополнительные действия (W)	Существует неофициальное решение от третьих лиц. В некоторых случаях пользователи уязвимой системы могут сами создать исправление или воспользоваться решением третьего лица для уменьшения влияния уязвимости.
Не доступно (U)	Исправление невозможно применить либо отсутствует доступное решение.
Не определено (ND)	Данной значение метрики не влияет на оценку и будет пропущено в уравнении.

Метрика: RC - Report Confidence (Степень достоверности отчета). Данная метрика измеряет степень достоверности информации о существовании уязвимости и доверие к известным техническим деталям. Иногда фиксируется только наличие уязвимости, без конкретных деталей. Впоследствии уязвимость может быть подтверждена, а затем признана автором или поставщиком уязвимого компонента. Актуальность уязвимости будет выше, если подтвердится ее достоверное существование. Эта метрика также определяет уровень технических знаний, доступных для потенциальных злоумышленников. Возможные значения этой метрики представлены в таблице 3.9.

Таблица 3.9

Варианты значений метрики Report Confidence - степень достоверности отчета

Значение метрики	Описание
Не подтверждено (UC)	Существует один неподтвержденный источник, либо несколько противоречивых сообщений о найденной уязвимости.
Не доказано (UR)	Есть несколько неподтвержденных источников, в том числе от независимых охранных компаний или научно-исследовательских организаций.
Подтверждено (C)	Уязвимость подтверждается производителем или же автором эксплойта, применимого к уязвимости.
Не определено (ND)	Данное значение метрики не влияет на общую оценку и будет опущено в формуле.

Контекстные метрики. Различные среды могут иметь громадное влияние на риск организации и заинтересованных лиц при наличии уязвимости. Группа контекстных метрик CVSS отражает характеристики уязвимости, связанные с IT-средой пользователя. Поскольку контекстные метрики не являются обязательными, они содержат оценку каждой метрики, не влияя на базовую оценку. Эти метрики применяются только в тех случаях, когда пользователь хочет получить более точную оценку, рассчитанную под свою конкретную систему.

Метрика: CDP - Collateral Damage Potential (Сопутствующий потенциальный ущерб). Эта метрика измеряет риск повреждения или утраты собственности или оборудования, а также оценивает возможность экономических потерь, связанных с производительностью или доходом. Возможные значения этой метрики представлены в таблице 3.10.

Таблица 3.10

Варианты значений метрики Collateral Damage Potential - сопутствующий потенциальный ущерб

Значение метрики	Описание
Отсутствует (N)	Отсутствует риск повреждения, понижения производительности и экономических потерь.
Низкое (L)	Удачное использование уязвимости приведет к небольшому физическому или материальному ущербу.
Среднее, пониженное (LM)	Удачное использование уязвимости приведет к среднему физическому или материальному ущербу.
Среднее, повышенное (MH)	Удачное использование уязвимости приведет к значительному физическому или материальному ущербу.
Высокое (H)	Удачная реализация уязвимости приведет к катастрофическим последствиям для затронутого объекта.
Не определено (ND)	Значение данной метрики не влияет на полученную оценку и пропускается в формуле.

Метрика: TD - Target Distribution (Плотность целей). Эта метрика измеряет процентное соотношение потенциально уязвимых систем. Она используется в качестве особого индикатора среды для определения процента затрагиваемых систем при использовании уязвимости злоумышленником. Возможные значения этой метрики представлены в таблице 3.11. Чем больше процентное соотношение потенциально уязвимых систем, тем больше полученная оценка.

Таблица 3.11

Варианты значений метрики Target Distribution - плотность целей

Значение метрики	Описание
Отсутствует (N)	Отсутствуют целевые системы, которые могут быть затронуты реализацией уязвимости.
Низкое (L)	В указанном контексте существуют цели, но в небольшом количестве. Процентное соотношение затрагиваемых систем колеблется от 1% до 25%.
Среднее (M)	Подверженные риску системы существуют в среднем количестве. Риску подвержены от 26% до 75% систем в указанной среде.
Высокое (H)	Подверженные риску системы существуют в большом количестве. Риску подвержены от 75% до 100% систем в указанной среде.
Не определено (ND)	Значение данной метрики не влияет на полученную оценку и пропускается в формуле.

Метрики: CR - System Confidentiality Requirement (Требуемая конфиденциальность системы), IR - System Integrity Requirement (Требуемая целостность системы), AR - System Availability Requirement (Требуемая доступность системы). Данные метрики позволяют аналитику настроить CVSS-оценку в зависимости от важности уязвимых устройств или ПО для организации. Полученная оценка зависит от конфиденциальности, целостности и доступности. Если для организации в приоритете показатели доступности, то аналитик может выставить значение важности доступности выше относительно конфиденциальности и целостности. Возможные значения для всех трех метрик представлены в общей таблице 3.12 [11].

Таблица 3.12

Варианты значений метрик System [Confidentiality | Integrity | Availability] Requirement - Требуемая [конфиденциальность | целостность | доступность]

Значение метрики	Описание
Низкое (L)	Потеря [конфиденциальности | целостности | доступности] может привести к небольшому неблагоприятному воздействию на организацию или частных лиц, связанное с организацией (например, сотрудники, клиенты).
Среднее (M)	Потеря [конфиденциальности | целостности | доступности] может привести к серьезному ограниченному воздействию организацию или частных лиц, связанных с организацией (например, сотрудники, клиенты).
Высокое (H)	Потеря [конфиденциальности | целостности | доступности] может привести к очень серьезному воздействию на организацию или частных лиц, связанных с организацией (например, сотрудники, клиенты).
Не определено (ND)	Метрика не влияет на оценку и будет пропущена в формуле.

3.2 Уравнения оценок CVSS

Базовая оценка рассчитывается по формуле 3.1:

(3.1)

где BaseScore - базовая оценка;

Impact - воздействие;

Exploitability - использование уязвимости.

Воздействие (Impact) рассчитывается по формуле 3.2:

(3.2)

где Impact - воздействие;

ConfImpact - влияние на конфиденциальность;

IntegImpact - влияние на целостность;

AvailImpact - влияние на доступность.

Использование уязвимости рассчитывается по формуле 3.3:

(3.3)

где Exploitability - использование уязвимости;

AccessComplexity - сложность доступа;

Authentication - аутентификация;

AccessVector - вектор доступа.

если , в противном случае

AccessComplexity = в случае, если AccessComplexity:

· высокая: 0.35;

· средняя: 0.61;

· низкая: 0.71.

Authentication= в случае, если Authentication:

· аутентификация не требуется: 0.704;

· требуется одна ступень аутентификации: 0.56;

· требуется множество ступеней аутентификации: 0.45.

AccessVector= в случае, если AccessVector:

· требуется локальный доступ: 0.395;

· локальная сеть доступна: 0.646;

· сеть доступна: 1.

ConfImpact = в случае, если ConfImpact:

· нет: 0;

· частичная: 0.275;

· полная: 0.660.

IntegImpact = в случае, если IntegImpact:

· нет: 0;

· частичная: 0.275;

· полная: 0.660.

AvailImpact = в случае, если AvailImpact:

· нет: 0;

· частичная: 0.275;

· полная: 0.660.

Временная оценка рассчитывается по формуле 3.4:

(3.4)где TemporalScore - временная оценка;

BaseScore - основная оценка;

Exploitability - возможность использования;

RemediationLevel - уровень восстановления;

ReportConfidence - степень достоверности отчета.

Exploitability = в случае, если Exploitability:

· не доказана: 0.85;

· доказана правильность концепции: 0.9;

· функциональная: 0.95;

· высокая: 1.00;

· не определена: 1.00.

RemediationLevel = в случае, если RemediationLevel:

· официальное исправление: 0.87;

· временное исправление: 0.90;

· дополнительные действия: 0.95;

· не доступно: 1.00;

· не определено: 1.00.

ReportConfidence = в случае, если ReportConfidence:

· не подтвержден: 0.90;

· не доказан: 0.95;

· подтвержден: 1.00;

· не определен: 1.00.

Оценка окружающих условий рассчитывается по формуле 3.5:

(3.5)

где EnvironmentalScore - Оценка окружающих условий;

AdjustedTemporal - Временная корректировка;

CollateralDamagePotential - Сопутствующий потенциальный ущерб;

TargetDistribution - Плотность целей.

AdjustedTemporal: Временная корректировка пересчитывается с "воздействием", суб-уравнение можно заменить следующим уравнением AdjustedImpact (формула 3.6).

(3.6)

где AdjustedImpact - Скорректированное воздействие;

ConfImpact - Влияние на конфиденциальность;

ConfReq - Требуемая конфиденциальность системы;

IntegImpact - Влияние на целостность;

IntegReq - Требуемая целостность системы;

AvailImpact - Влияние на доступность;

AvailReq - Требуемая доступность системы.

CollateralDamagePotential = в случае, если CollateralDamagePotential:

· нет: 0;

· низкий: 0.1;

· средне-пониженный: 0.3;

· средне-повышенный: 0.4;

· высокий: 0.5;

· не определен: 0.

TargetDistribution = в случае, если TargetDistribution:

· нет: 0;

· низкая: 0.25;

· средняя: 0.75;

· высокая: 1.00;

· не определена: 1.00.

ConfReq = в случае, если ConfReq:

· низкая: 0.5;

· средняя: 1;

· высокая: 1.51;

· не определена: 1.

IntegReq = в случае, если IntegReq:

· низкая: 0.5;

· средняя: 1;

· высокая: 1.51;

· не определена: 1.

AvailReq = в случае, если AvailReq:

· низкая: 0.5;

· средняя: 1;

· высокая: 1.51;

· не определена: 1 [11].

3.3 Расчет базового вектора CVSS для одной из найденных уязвимостей

Из найденных в результате сканирования уязвимостей, выберем уязвимость высокой степени опасности для веб-приложения PHPMoAdmin (CVE-2015-2208).

Уязвимость подразумевает возможность удаленного внедрения произвольного кода в веб-приложение PHPMoAdmin. Данная уязвимость числится в базе и ей присвоен вектор CVSS равный 7,5.

В соответствии с описанным выше алгоритмом, будет составлен базовый вектор CVSS для данной уязвимости.

Полученный базовый вектор CVSS: AV:N/AC:L/Au:N/C:P/I:P/A:P [10].

Рассчитать значение вектора можно на официальном сайте CVSS, воспользовавшись калькулятором [11]. В итоге получаем базовую метрику (Base Score) равную 7.5.

По полученным расчетам уязвимость имеет высокую степень опасности. Рекомендации к устранению данной уязвимости: обратиться к правообладателю за обновлением.

4. Методические рекомендации к выполнению лабораторной работы

4.1 Разработка структуры лабораторной работы

Анализ существующих рабочих программ, учебно-методических пособий и лабораторных работ позволяет выделить следующие основные требования, предъявляемые к структуре лабораторных работ - это наличие:

- теоретической части;

- практической части;

- контрольных вопросов;

- рекомендаций по выполнению;

- отчета о выполненной работе;

- списка литературы.

Следовательно, чтобы разрабатываемые лабораторные работы удовлетворяли существующим учебно-методическим требованиям к оформлению, а так же соответствовали компетентностному подходу нового образовательного стандарта, структура каждой лабораторной работы должна быть следующей:

- номер лабораторной работы;

- тема;

- цель лабораторной работы - в этой части должна быть сформулирована основная цель лабораторной работы и задачи направленные на ее достижение;

- описание знаний умений и навыков, которые должен получить студент при ее выполнении;

- теоретическая часть - здесь должен быть представлен теоретический материал, подлежащий изучению студентами;

- практическая часть - в этом разделе должны быть сформулированы условия заданий направленные на формирование и закрепление у студентов практических навыков работы в рамках темы лабораторной работы. Для обеспечения самостоятельности выполнения студентами лабораторной работы в этом разделе так же должны быть предусмотрены различные варианты заданий;

- контрольные вопросы - в данном разделе должны быть представлены контрольные вопросы, охватывающие весь теоретический материал в рамках темы каждой лабораторной работы. Ответы на данные вопросы должны позволить студенту лучше освоить и закрепить изученный теоретический материал и оказать помощь при выполнении практической части работы;

- порядок выполнения - в этом разделе должны быть приведены основные требования и последовательность выполнения лабораторной работы;

- шаблон отчета о выполнении работы. Приводится образец оформления отчета о выполнении лабораторной работы;

- список дополнительной литературы.

В соответствии с учебно-методическими указаниями процесс выполнения каждой лабораторной работы состоит из трех этапов - подготовительного, исполнительного и аналитического.

На подготовительном этапе формируется индивидуальная рабочая среда проведения работы, проводится инструктаж преподавателем.

На исполнительном этапе выполняются задания с применением инструментов лабораторной работы.

На аналитическом этапе производится анализ результатов и оформляется отчет.

4.2 Разработка лабораторной работы "Настройка и использование сканера уязвимостей OpenVAS"

Лабораторная работа посвящена вопросам настройки и использования сканера уязвимостей OpenVAS. Цель:

1. Изучение оценки уязвимостей на базе общей системы оценки уязвимостей - Common Vulnerabilities Scoring System (CVSS).

2. Получение практических навыков по работе с OpenVAS.

3. Получение практических навыков по работе с описанием уязвимостей и их "закрытию".

В рамках данной лабораторной работы, студенты должны:

- знать:

а) понятие общей системы оценки уязвимостей (CVSS);

б) место сканеров уязвимостей в комплексе защиты информации;

в) архитектуру сканера уязвимостей OpenVAS;

г) возможные типы сканирования и описание наборов портов в OpenVAS;

д) краткое описание целевых ОС, используемых в работе;

- уметь:

а) реализовывать процедуру первоначальной настройки сканера уязвимостей OpenVAS;

б) использовать сканер уязвимостей OpenVAS для сканирования сетевых узлов;

в) анализировать полученные отчеты сканирования;

- владеть:

а) навыками работы с Windows- и Linux-ориентированными системами;

Для достижения поставленной цели теоретическая часть лабораторной работы должна охватывать и раскрывать следующие вопросы:

- Общая система оценки уязвимостей (CVSS).

- Место сканеров уязвимостей в комплексе защиты информационной безопасности.

- Описание архитектуры сканера уязвимостей OpenVAS.

Практическая часть должна способствовать приобретению и закреплению обозначенных выше умений и навыков, следовательно, все задания должны быть посвящены изучению следующих вопросов:

- Запуск ОС Kali Linux и выполнение первоначальной настройки OpenVAS.

- Запуск и настройка операционной системы, предназначенной для сканирования.

- Настройка и запуск сканирования в веб-интерфейсе GreenBone Security Assistant (GSA).

- Анализ полученного при сканировании отчета уязвимостей.

Для повышения роли индивидуальной работы студентов при выполнении практической части помимо общих заданий, студентам предлагается выполнить ряд индивидуальных заданий в соответствии с выданным преподавателем вариантом (см. таблицу 4.1 и 4.2). Задание на индивидуальную работу: реализовать сканирование сетевых узлов в соответствии с назначенными параметрами.

Таблица 4.1

Варианты заданий для сканирования ОС из стандартных дистрибутивов с сопутствующими обновлениями

Вариант	Сканируемая ОС	Список портов (Port list)	Конфигурация сканирования (Scan conf)
1	Windows 2000	All TCP and Nmap 5.51 top 1000 UDP	Full and very deep
		All privileged TCP and UDP
2	Windows 7	All IANA assigned TCP and UDP 2012-02-10	Full and fast
		All IANA assigned TCP 2012-02-10
3	Debian 6	All IANA assigned TCP and UDP 2012-02-10	Full and fast ultimate
		OpenVAS Default
4	Debian 8	All IANA assigned TCP and UDP 2012-02-10	Full and fast
		Nmap 5.51 top 2000 TCP and top 100 UDP
5	Kali Linux (IP 127.0.0.1)	All TCP	Full and very deep ultimate
		All TCP and Nmap 5.51 top 1000 UDP
6	Windows 7	OpenVAS Default	Full and fast
		All TCP
7	Windows 8	All TCP and Nmap 5.51 top 1000 UDP	Full and fast ultimate
		All privileged TCP and UDP
8	Windows 10	All IANA assigned TCP and UDP 2012-02-10	Full and fast
		OpenVAS Default

Таблица 4.2

Варианты заданий для сканирования ОС DVL с заранее уязвимыми сервисами

Варианты	Список портов (Port list)	Конфигурация сканирования (Scan conf)	Службы, запущенные на ОС DVL
1	All IANA assigned TCP and UDP 2012-02-10	Full and fast ultimate	HTTPD и SSH
2	All IANA assigned TCP and UDP 2012-02-10	Full and fast ultimate	Mysql и PHPMyAdd
3	All IANA assigned TCP and UDP 2012-02-10	Full and fast ultimate	HTTPD и PHPMyAdd
4	All IANA assigned TCP and UDP 2012-02-10	Full and fast ultimate	SSH и Mysql
5	All IANA assigned TCP and UDP 2012-02-10	Full and fast ultimate	PHPMyAdd и SSH
6	All IANA assigned TCP and UDP 2012-02-10	Full and fast ultimate	MySql и HTTPD
7	All IANA assigned TCP and UDP 2012-02-10	Full and fast ultimate	HTTPD
8	All IANA assigned TCP and UDP 2012-02-10	Full and fast ultimate	SSH

Следующий раздел лабораторной работы, в соответствии с разработанной выше структурой, это контрольные вопросы, для данной темы предлагается следующий вариант вопросов:

1. Что такое сканер уязвимостей?

2. Приведите структуру OpenVAS.

3. Перечислите, какие модули сканера вы использовали при сканировании? Для чего нужны эти модули?

4. Что такое уязвимость и как она влияет на безопасность системы?

5. Откуда сканер берет описания уязвимостей? Что такое NVT?

6. Для чего нужна общая система оценки уязвимостей?

7. В каком случае использование сканера уязвимости может представлять опасность для информационной безопасности?

8. Какие метрики входят в CVSS? Что они характеризуют?

9. Почему важно искать уязвимости с точки зрения защиты информации?

10. Из каких частей обычно состоит уязвимость в отчете сканирования?

Выводы

Была разработана лабораторная работа, в которой рассматриваются вопросы, связанные с настройкой и использованием сканера уязвимостей OpenVAS, сканированием некоторых операционных систем на наличие уязвимостей, анализами полученных отчетов. Разработанное методическое пособие находится в Приложении В.

Заключение

Число устройств подключенных к сети достигло более 10 миллиардов. Только число Web-сайтов по данным Neftcraft News составляет 1800047111. Взломанной оказывается каждая 100-120 машина, подключенная к сети Интернет. Ситуация в сфере сетевой и информационной безопасности ухудшается от года к году. На данный момент реальность такова, что каждый пользователь и тем более предприниматель должны предпринимать элементарные меры защиты от возможных нападений.

Существует множество различных средств анализа защищенности. Некоторые из них предназначены только для одной операционной системы, другие требуют очень глубоких знаний архитектуры сети и ОС, третьи предназначены для тестирования только одного из типов уязвимостей сети. Поэтому наибольший практический интерес представляют продукты более универсальные, к которым относятся сканеры уязвимостей.

В работе был проведен анализ защищенности различных операционных систем, которые часто устанавливаются и на компьютеры сети предприятия и на компьютеры обычных пользователей, было наглядно показано на примере DVL, сколько может быть критических уязвимостей в незащищенной системе. В результате анализа был получен список уязвимостей для выбранных ОС, где каждая уязвимость была оценена по мировому стандарту CVSS. Существуют три степени опасности уязвимости: высокая, средняя и низкая. В большинстве сканируемых узлах нашлись уязвимости средней степени опасности, предоставляющие возможность совершить атаку типа отказ в обслуживании. Стоит понимать, что даже уязвимости низкой степени опасности могут позволить злоумышленнику воспользоваться ей для успешной реализации своих планов. В системах, где уязвимости не были обнаружены, в действительности могут использоваться устаревшие уязвимости, однако в силу особенностей проведения работ по тестированию, они могли не обнаружиться. Для устранения получения неполной информации рекомендуется проводить комплексный анализ защищенности. В ходе выполнения дипломной работы были выполнены все поставленные задачи, кафедре МСИБ были переданы: методическое пособие, паспорт лабораторной работы, образы виртуальных машин целевых систем.

На основании всего вышесказанного можно сделать выводы, что большинство устройств и операционных систем не обладает должной защитой, а также что анализ защищенности сетевых узлов является необходимой практикой для оценки безопасности сети и устройств в силу изначального несовершенства их защищенности. Данная работа легла в основу создания лабораторной работы по предмету "Программно-аппаратные средства обеспечения информационной безопасности".

Список использованных источников

1. Жигулин, Г.П. Информационная безопасность [Текст]: учебное пособие для вузов / Г.П. Жигулин, С.Г. Новосадов, А.Д. Яковлев - СПб: СПб ГУ ИТМО, 2003.

2. Платонов, В.В. Программно-аппаратные средства обеспечения информационной безопасности вычислительных сетей [Текст] / В.В. Платонов - Издательский дом "Академия", 2006. - 236 с.

3. Каким является типичный сценарий атаки? [Электронный ресурс] / Информационный портал Сitforum.ck.ua - Режим доступа: http://citforum.ck.ua/internet/securities/faq_ids106.shtml, свободный. - Загл. с экрана.

4. Боршевников А.Е. Сетевые атаки. Виды. Способы борьбы [Текст] // Современные тенденции технических наук: материалы междунар. науч. конф. (г. Уфа, октябрь 2011 г.). - Уфа: Лето, 2011. - С. 8-13.

5. Гордейчик, С.В. Исследование "Использование сканеров безопасности в процессе тестирования сети на устойчивость к взлому" [Электронный ресурс] / С.В. Гордейчик, В.Б. Лепихин - учебный центр "Информзащита", 2005. - Электронный документ (pdf-файл).

6. MaxPatrol [Электронный ресурс] / Информационный портал ptsecurity.com - Режим доступа: https://www.ptsecurity.com/ru-ru/products/mp8/, свободный. - Загл. с экрана.

7. Описание архитектуры OpenVAS [Электронный ресурс] / официальный сайт OpenVAS - Режим доступа: http://www.openvas.org/, свободный. - Загл. с экрана.

8. А.В. Милосердов, Д.А. Гриднев, Тестирование на проникновение с помощью Kali Linux 2.0 [Текст] / А.В. Милосердов, Д.А. Гриднев - WebWare.biz, 2015. - Электронный документ (pdf-файл).

9. Использование сканера уязвимостей OpenVAS [Электронный ресурс] / Информационный портал Habrahabr.ru - Режим доступа: https://habrahabr.ru/post/203766/, свободный - Загл. с экрана.

10. National Vulnerability Database [Электронный ресурс] / NIST. - 2014. - Режим доступа: http://nvd.nist.gov, свободный - Загл. с экрана.

11. CVSS [Электронный ресурс] / Информационный портал first.org - Режим доступа: https://www.first.org/cvss, свободный - Загл. с экрана.

Размещено на Allbest.ru

...