52
Рис. 17. Диалоговое окно «Change Action Center Settings» операционной системы
Windows 10
Кроме предоставления администратору уведомлений о возможных сбоях и
проблемах в операционной системе Центром поддержки контролируется
способы передачи этой информации в корпорацию Microsoft для поиска
решений.
Для управления учетными записями пользователей в состав операционной
системы Windows 10 входит служба User Account Controls (UAC), которая
позволяет вести учет данных пользователей и администратора, выполнять
разграничение доступа и определять уровни целостности операционной
системы.
С помощью Центра управления учетными записями администратором
назначаются права пользователям, формируется локальная политика
безопасности.
Для обеспечения защиты данных от утечек и несанкционированного
доступа в состав операционной системы Windows 10 входят службы
шифрования дисков BitLocker, шифрования файлов EFS и служба управления
правами RMS.
Сравнение технологий защиты операционной системы Windows 10
приведено в табл. 7.
53
Таблица 7
Сравнение технологий защиты клиентской операционной системы Windows 10
Параметры защиты
Служба
BitLocker
EFS
RMS
Управление
устройствами
Обеспечение защиты
данных на ноутбуках
+ (да)
+ (да)
- (нет)
+ (да)
Обеспечение защиты
данных на сервере
+ (да)
- (нет)
- (нет)
+ (да)
Обеспечение защиты
файлов отдельного
пользователя
- (нет)
+ (да)
- (нет)
- (нет)
Обеспечение защиты
данных на настольном
компьютере
+ (да)
+ (да)
- (нет)
+ (да)
Обеспечение защиты
съемного диска
+ (да)
- (нет)
- (нет)
+ (да)
Как видно из табл. 7 защиту данных на ноутбуках, серверах, настольных
компьютерах и съемных дисках обеспечивает служба BitLocker. Служба EFS
позволяет обеспечить защиту на ноутбуках и настольных компьютерах, а также
файлов отдельного пользователя.
Технология BitLocker используется для защиты конфиденциальной
информации посредством шифрования и дешифрования данных. В ее состав
входит мастер, который позволяет обеспечить защиту системного раздела с
момента загрузки операционной системы [44, c.80].
Технология BitLocker to Go позволяет шифровать данные на внешних
носителях с помощью алгоритмов криптозащиты AES длиной 128 бит и
диффузора, включающего собственные алгоритмы криптозащиты [50, c.80].
Система шифрования файлов Encrypting File System (EFS) применяется
для шифрования папок и файлов от несанкционированного доступа. Эта система
входит в состав файловой системы NTFS и поддерживает механизмы
эллиптической криптографии (ECC), которые позволяют обеспечить высокий
уровень безопасности данных в соответствии с международными стандартами
безопасности.
Служба управления правами Right Management Services (RMS)
применяется для обеспечения защиты операционной системы и
принудительного выполнения правил обращения с конфиденциальными
документами, сообщениями с электронной почты и другими видами
54
информации. В этом случае обеспечение защиты производится на основании
шифрования данных и управления правами пользователей.
В состав операционной системы Windows 10 входят средства обеспечения
защиты от вредоносного программного обеспечения, такие как средства
биометрической защиты, защитник Windows, антивирус Microsoft Security
Essentials, программа удаления вредоносных программ (MSRT), брандмауэр
Windows и технология AppLocker.
Антивирус Microsoft Security Essentials позволяет выполнять мониторинг
системы в реальном режиме времени и использовать пользователю три режима
проверки полную быструю и выборочную. Кроме предоставления пользователю
информации по найденному вирусу антивирусом Microsoft Security Essentials
приводится подробное описание вредоносного кода.
Средство удаления вредоносных программ MSRT представляет собой
программное обеспечение, позволяющее обнаруживать и удалять особо опасные
и вредоносные программы, а брандмауэр Windows 10 позволяет фильтровать
исходящий и входящий трафик и обеспечивать защиту от непредвиденного
поведения компонентов системы.
Технология AppLocker применяется для контроля работы программного
обеспечения работающего под управлением операционной системы Windows 10.
С ее помощью можно задавать политики контроля использования приложений,
сократить риски возникновения атак несанкционированного доступа.
В Политике безопасности рабочих станций все пользователи имеют
назначенные привилегии, которые соответствуют стандарту POSIX.
Принадлежность к рабочей группе определяется по привилегиям. Пользователь
как член рабочей группы получает набор полномочий. Члены группы
администраторов имеют неограниченные полномочия к операционной системе
Windows 10 и ее объектам.
Каждый пользователь и каждая рабочая группа имеют имя, которое
идентифицировано в виде учетной записи. Все учетные записи пользователей
хранятся в базе данных реестра HKLM/SAM. В учетных записях пользователей
отражаются сведения о пользователе, их пароль, комментарий и адрес.
55
Наиболее важным параметром учетной записи является список
привилегий для получения доступа к ресурсам операционной системы. Именно
эти идентификаторы используется для защиты внутренних процессов ОС
Windows 10.
Для входа в операционную систему Windows 10 каждым сотрудником
ООО «РН-Эксплорейшн» предъявляется уникальный пароль. Введенный пароль
перехватывается драйвером, который вызывает программу регистрации.
За процесс аутентификации отвечает система локальной авторизации, в
которой гарантируется, что у пользователя существует разрешение на доступ к
системе. Кроме этого LCA ведет контроль политики аудита и журнал, в котором
хранятся сообщения.
В требованиях Политики безопасности ООО «РН-Эксплорейшн» указано,
что система должна отслеживать действия только авторизованных
пользователей с применением метода дискреционного доступа.
В процессе регистрации из базы извлекается учетная запись и
формируется список привилегий, ассоциированных с пользователем или
группой и последующим их объединением в структуру данных или маркер
доступа, как это показано на рис. 18.
Рис.18. Составляющие маркера доступа Политики безопасности ОС Windows 10
ООО «РН-Эксплорейшн»
Объекты в системе имеют дескриптор защиты, отражающий список
дискреционного управления доступом DACL (Discretionary Access Control List).
Структура каждого DACL-списка включает в свой состав набор записей ACL и в
состав каждой записи входит SID пользователя и перечень его прав.
Для проверки прав доступа администратором выполняются следующие
этапы:
56
- если SID-пользователя совпадает с ID-владельца и производится запрос
стандартных прав доступа, то доступ предоставляется независимо от
содержимого DACL;
- система последовательно сравнивает SID каждого ACE DACL маркера;
- есть ли установлено соответствие, то маркеры доступа сравниваются с
проверяемыми правами.
Процедуры проверки осуществляются на основании предоставляемой
компанией Microsoft порядка размещения ACE. Например, для ускорения
рекомендуется размещать запрещающие элементы над разрешающими правами.
Пример проверки прав доступа к защищенному объекту приведён на рис.19.
Рис.19. Пример проверки прав доступа к защищенному объекту
В своей работе администратор использует монитор безопасности или
Security Reference Monitor (SRM), в котором выполняется проверка прав
пользователя на получение доступа к объекту.
В операционной системе ООО «РН-Эксплорейшн» для усиления защиты
применяются модифицированная безопасность среда MBC, которая включает
систему безопасности операционной системы и программный продукт Strong
Disk Pro.
В основе работы и модифицированной безопасной среды MBC находится
прозрачное шифрование данных.
57
Структура работы модифицированной безопасной среды MBC приведена
на рис.20.
Рис.20. Структура работы модифицированной безопасной среды MBC
Также на рабочих станциях установлена антивирусная программа
Антивирус Касперского 2018, которая постоянно обновляется с учетом
возникновения новых вирусов и опасностей, позволяющих нанести
существенный вред операционной системе.
Антивирусное программное обеспечение позволяет вести реестр
известных вирусов для обеспечения высокого уровня защиты от атак и угроз. В
бесплатной версии установлен необходимый минимум защитных функций,
позволяющий оперативно блокировать угрозы и удалять зараженные файлы.
2.3. Выявление недостатков в методах защиты от
несанкционированного доступа
Для поиска уязвимостей в операционной системе Windows Server 2016
будем использовать автоматизированные способы. Методика динамического
анализа позволяет получить информацию об уровне защиты операционной
системы в текущий момент времени.
58
Каждая итерация такого анализа предусматривает выполнение
мониторинга тестируемого приложения на предмет угроз и уязвимостей. Общий
алгоритм тестирования операционной системы Windows Server 2016 на угрозы и
уязвимости приведен на рис.21.
Рис.21. Общий алгоритм тестирования операционной системы на угрозы и
уязвимости
Ключевым показателем эффективности генерации данных является
покрытие программного кода тестовыми данными. В этом случае программа
будет представлена в виде графа
),( EVK
, где
V
- это вершины графа, а
E
-
это дуги.
В анализе бинарного кода вершины графа будут выступать линейными
блоками инструкций, а дуги описываться через передачу управления на
линейный блок. Для оценки покрытия кода будет использоваться граф потока
управления, который представлен в виде:
VeVsesEVCFG ,,,,,
, где
V
-
множество вершин, представленных в виде линейного блока;
VVE
-
множество дуг,
s
- значение входной вершины;
e
- значение выходной
59
вершины;
)(GE
- множество дуг графа
G
;
)(Gend
- значение выходной
вершины графа
G
[35, c.90].
Для проведения тестирования операционной системы Windows Server
2016 на уязвимости предлагаем использовать алгоритм, приведенный на рис.22.
Рис.22. Алгоритм для тестирования операционной системы на уязвимости
Как видно из рис.22, для тестирования операционной системы на
уязвимости предложно использовать гибридный подход к формированию тестов.
Этот подход предусматривает описание структуры данных, а на основании этой
структуры выполнять необходимые тестирования и измерения.
Для тестирования в настоящее время существует достаточно большое
количество метрик оценки исходного кода, среди которых можно отметить [36]:
- количественные метрики, такие как метрика анализа количества строк
кода LOC, метрика Джилба;
- метрики сложности потока данных программного продукта,
позволяющие оценить сложность генерируемого кода (метрики Спена, Генри,
Кафура, Чепина;
- гибридные метрики, которые сочетают две или три перечисленные выше
метрики.
60
Рассмотрим практическую реализацию методики поиска уязвимостей в
операционной системе.
Для формирования тестовых данных будем использовать формальный
язык описания протокола тестирования, который разработан специально для
тестирования приложений рабочей группой университета Тулейна США и
позволяет описывать процедуры анализа с необходимым уровнем детализации
[3].
Полученные результаты тестирования с использованием формального
языка описания протокола приведены на рис.23.
Рис.23. Полученные результаты тестирования с использованием формального
языка описания протокола
Полученные результаты показывают, что производительность
операционной системы Windows Server 2016 по ДБИ выше, чем в режиме
отладки. Это объясняется тем, что отладчик входит в состав операционной
системы и при работе создает дополнительную нагрузку.
На следующем этапе выполним статический и экспертный анализ
уязвимостей в операционной системе Windows.
Наиболее распространенные виды уязвимостей операционной системы по
исследованиям, проведенным Лесниковой В. Г. и А. Н. Кокоулиным, приведены
на рис.24.
61
Рис.24. Наиболее распространенные уязвимости операционных систем
Как видно из рис.24, в операционных системах в наибольшей степени
возникают уязвимости, связанные с отожествлением прав с правами системы
(27%), получением имени и пароля других служб и приложений (13%), а также
дезинформацией пользователя (9%).
Среди угроз безопасности к операционной системе следует выделить [15]:
- угрозы по цели атак, включающие несанкционированное чтение
информации, что может привести к уничтожению, изменению, частичному или
полному разрушению системы;
- угрозы по принципу действия, включающие угрозы применения скрытых
каналов, а также создания новых несанкционированных каналов;
- угрозы по характеру влияния, включающие несанкционированные
действия злоумышленников в операционной системе, пассивное,
несанкционированное наблюдение злоумышленника за процессом,
происходящим в системе;
- угрозы по типу уязвимости, включающие ошибки администратора,
недокументированные возможности программного обеспечения и создание
программных закладок.
27%
13%
9%
8%
7%
7%
4%
4%
4%
4%
3%
3%
2%
1%
Отожествление прав с правами
системы
Получение имени и пароля
других служб и приложений
Дезинформация пользователя
Использование некорректных
настроек безопасности реестра
Получение имени и пароля ОС
или БД
Разрушение системы
Использование некорректных
настроек файловой системы
Запуск произвольной программы