67
Таблица 16
Описание проверки защиты от несанкционированного доступа
Параметр
Значение
Функция
1. Предотвращение внешних угроз
Предмет проверки
1.1 Предотвращение не санкционированного
подключения
1.2 Оповещение о попытках подключения
1.3 Составление отчета проверок безопасности
Используемые
средства
Использование ПО, предоставляемого
сторонним разработчиком на основе
подписанного контракта
Исходные данные
В локальной сети работает сервер, рабочие
станции и другие устройства.
Искажения тестовой
информации для
имитации нештатных
ситуаций
А) Злоумышленник имеет логин и пароль
одного из сотрудников Б) Выход из строя
модуля сканирования сети
Ожидаемая реакция
1.1 Отказ в доступе к сети
1.2 Уведомление системного администратора о
попытках несанкционированных попытках
подключения
1.3 Предоставление отчета о состоянии сети в
заданные интервалы времени
Способ определения
результатов
Параметры, определяемые требованиям
Составив подробный перечень проверок элементов сети, можем оценить
качество работы и эффективность.
2.4.3 Проведение проверочных испытаний и их результаты
Процесс установки Snort на компьютер состоит из этапов:
Инсталяция WinPcap
Инсталяция Snort
Инсталяция правил Snort
Настройка программы и журналов
Тестирование
Настройка режима обнаружения и сигнализации
Запуск в тестовом режиме
68
Первым этапом будет инсталляция драйверов WinPcap. Snort представляет
собой сетевой анализатор, работающий в режиме приема всех пакетов
(promiscuous-mode), поэтому ему необходима поддержка на уровне драйверов. Эту
поддержку обеспечивает WinPcap. Загрузив из сети установочный файл,
достаточно пройти по нескольким процедурам инсталляции.
Рисунок 11. Установка WinPcap
Следующий этап – установка Snort 2.9. При запуске установки в начальном
диалоговом окне необходимо выбрать режим настройки базы данных для
сохранения результатов.
Рисунок 12. Выбор базы данных для хранения
Далее определяем компоненты Snort, которые требуется установить.
69
Рисунок 13. Выбор требуемых компонентов для установки
В окне Install Location указать папку, в которой будет, развернут Snort.
После выбора папки щелкнуть на кнопку Next, чтобы завершить процесс
установки. Программа предоставит завершающее информационное окно, после
завершаем установку.
Рисунок 14. Завершающее информационное окно
Поскольку, оболочки ОС нет, загружаем специальные правила, по которым
Snort будет работать. Для этого необходимо перейти на официальный сайт
Snort.org и найти кнопку "Rules" (правила) рисунок 17. Из открывшегося списка
найти файл, соответствующий нашей версии (файлы рассортированы по версиям
70
Snort). На 2020 год для Windows актуальная версия 2.9.15.1, которую мы
настраиваем в качестве примера.
Рисунок 17. Инсталляция специальных правил для Snort
Snort имеет большой выбор правил, что позволяет достаточно тонко
отфильтровать трафик в сети.
Таблица 12
Правила для Snort
Действия
Описание
Alern
Генерирует предупреждение, используя указанное
предупреждение, и передаёт информацию системе
журналирования.
Log
Протоколирует пакеты без предупрежденя.
Pass
Игнорирует пакеты.
Activate
Генерирует предупреждение, затем включает указанное
динамическое правило.
Dynamic
Остаётся пассивным, пока не активируется динамическим
правилом, затем действует как log.
Приступаем к этапу настройки Snort, для исполнительного файла Snort
необходимо сообщить два адреса: куда сохранять журналы и поиск файла
конфигурации (snort.conf). Эту информацию предоставляет пользователь при
71
запуске Snort из командной строки рисунок 15 с помощью ключей -l и -c
соответственно.
snort -l С:snortlog; -c С:snortetcsnort.conf; -A console.
Рисунок 15. Командная строка Snort
Указывает программе, что журналы следует записывать в папку С:snortlog,
а snort.conf она находится С:snortetc. Ключ -A задает способ передачи
генерируемых программой предупреждений. В этом примере, предупреждения
выводятся на экран консоли, и сотрудник может убедиться, что Snort работает
корректно. Множество ключей командной строки Snort чувствительны к регистру
символов, поэтому набирать команды следует именно так, как они представлены.
Когда система располагает несколькими сетевыми интерфейсами, то по
умолчанию Snort обнаружит первый интерфейс. Если порядок сетевых
интерфейсов неизвестен, выполним команду Snort с одним ключом -W. Snort
выдает список сетевых интерфейсов в том порядке, в котором их обнаруживает.
Заставить Snort использовать определенный сетевой интерфейс, необходимо
ввести ключ -i с номером интерфейса при запуске Snort. После выполнения Snort
на экране появится информация рисунок 16:
72
Рисунок 16. Информация о запуске вписанных параметров
Запустив Snort тестовом режиме, проверим его чувствительность, направив
специально подготовленный трафик. Самый простой способ вызвать
предупреждение об опасности — обратиться к командному интерпретатору
(cmd.exe) на другом рабочем компьютере запросив HTTP URL. Чтоб имитировать
фазу нападения, следует обратиться к любому URL и добавить в конце запроса
символы /cmd.exe. Например, в ответ на обращение к http://www.a-website-that-I-
can-trust.com/cmd.exe Snort должен вывести предупреждение в командном окне, в
таком же как на рисунке 16. Сообщения фиксируются в журнал C:snortlog.
73
Существует ещё вариант проверки Snort – отправить через сеть необычно
длинный эхо-запрос на сервер или компьютер с активной программой Snort.
воспользовавшись командой Ping:
ping ip_address, где ip_address — IP-адрес целевого сервера.
Предупреждения получены, можем приступать к настройке Snort для конкретных
задач.
Режим обнаружения вторжений используется для фиксирования
подозрительных и вредных пакетов, с последующим занесением в лог Snort.
Отличительная особенность данного режима заключается в добавлении ключа -с ,
который определяет путь до конфигурационного файла Snort. В этом файле
содержится информация, которая используется для редактирования работы
приложения. Там указываются адреса сети, которую следует протоколировать и
искать вторжения, подключаемые порты, разрешенные файлы правил пути к базам
данных куда можно будет заносить данные о работе Snort. Так же многочисленные
тонкие настройки конфигурации.
При вводе данной конфигурации с добавлением ключа -с мы запустим
Snort в режиме обнаружения вторжений с использованием подразумеваемого
конфигурационного файла snort.conf.
snort -de -l /snort/log -h 192.168.1.0/24 -c /snort/etc/snort.conf
В режиме сигнализации Snort протоколирование пакетов, вызывающих
сигналы тревоги, необходимо выбрать подходящий уровень детализации и формат
"тревожных" данных. В таблице 13 перечислены опции режимов сигнализации,
которые можно задавать в командной строке после ключа -A:
Таблица 13
Опции режимов сигнализации
Опция
Описание
-A full
Полная информация о сигнале, включая прикладные данные. Что
подразумевает режим сигнализации. Который будет использоваться
при отсутствии спецификаций.
74
Продолжение таблицы 13
-A fast
Быстрый режим. Протоколируются заголовки пакетов и тип сигналов.
Это уместно в быстрых сетях, но если требуется дополнительная
информация, необходимо использовать опцию full.
-A unsock
Направляет сигнал в UNIX-сокет с указанным номером, враждебной
программы.
-A none
Отключает сигналы тревоги.
Во время работы системы опции следует конфигурировать при помощи
ключей инструкций configure. К примеру, попробуем прописать файл, в который
заносятся враждебные и подозрительные пакеты. В файле конфигурации на месте
где прописывается "Step 6 : Output", дописываем строчку "output alert_fast :
alert.ids", сохраняем и запускаем в режиме сигнализации, в папке snortlogalert.ids
записываются данные о подозрительных пакетах. При вводе ключа "-A console "
подозрительные пакеты дублируются в консоли, т.е. нагляднее
продемонстрированы администратору.
В ходе успешных испытаний, завершив все этапы разработки, Snort
запускается в тестовом режиме. В результате проделанной работы была изучена
система предотвращения атак на базе Snort. Изучена структура данной системы и
принцип её работы. Изучил правила использования ПО для предотвращения атак
на сервер предприятия. Система позволяет выявить известные инструменты для
анализа и взлома сетей, используемые злоумышленником и при возможности
воспрепятствовать противоправной деятельности.
75
Глава 3. Обоснование экономической эффективности проекта
3.1 Выбор и обоснование методики расчёта экономической
эффективности
Пользуясь данными из предыдущих глав, можно сделать выбор по
методике расчёта экономической эффективности проекта. Эта
эффективность складывается из составляющий:
Косвенный эффект – характеризуется повышением
безопасности передаваемых данных, снижением числа ошибок при
обработке и пересылке документов, а также повышению комфорта
сотрудников при выполнении их профессиональных обязанностей;
Прямой эффект – характеризуется снижением трудовых и
стоимостных показателей.
Для составления расчёта экономической эффективности проекта,
проведем сравнение показателей до модернизации сети, и после, тем самым
обоснованно докажем эффективность проекта. Приведем показатели, на
которые следует опираться в дальнейшем. Первым показателем будут
являться трудовые затраты, к ним относят:
1) Абсолютное снижение трудовых затрат (Т) в часах за год:
Т = Т
0
– Т
1
,
Где:
Т
0
– трудовые затраты в часах за год, которые тратятся на
обработку информации по изначальному варианту;
Т
1
– трудовые затраты в часах за год, которые тратятся на
обработку информации по предлагаемому варианту;
2) Коэффициент относительного снижения трудовых затрат (К
т
):
К
Т
=Т / T
0
* 100%
3) Индекс снижения трудовых затрат или повышение
производительности труда (Y
T
)
Y
T
= T
0
/ T
1
76
К стоимостным показателям относятся:
Абсолютное снижений стоимостных затрат (С) в рублях за год;
Коэффициент относительного снижения стоимостных затрат (К
С
);
Индекс снижения стоимостных затрат (Y
C
);
Все эти показатели рассчитываются по аналогии с трудовыми затратами.
Помимо рассмотренных показателей, целесообразно также рассчитать срок
окупаемости затрат на внедрение проекта мультисервисной сети в
организацию. Показатель окупаемости (Т
ок
), рассчитывается в годах, долях года
или в месяцах года по следующей формуле:
Т
ок
= К
П
/C
Где:
К
П
– затраты на создание, проектирование и внедрения
проекта в целом;
3.2 Расчет показателей экономической эффективности проекта
Путем внедрения информационной системы разработанный проект
позволяет повысить скорость реагирования на нарушения и безопасность
предприятии в целом. Однако внедрение новых аппаратных и программных
средств для реализации системы сигнализации и синхронизации сети
предприятия требует значительных материальных и временных затрат.
Рассчитаем стоимостные показатели внедряемой ИС по каждому пункту
получения прямого эффекта, путём снижения трудозатрат.
Расходы до внедрения Snort. Для рассмотрения показателей составим
таблицу 14:
Таблица 14.
Расходы до внедрения системы
Наименование услуги
Цена, руб.
Работник отдела
81 000
Программное и аппаратное обеспечение
45 000