SDA
27.10.2005, 21:17
Эффективное решение задачи антивирусной защиты сегодня имеет крайне важное значение. Это обусловлено неуклонно возрастающей долей эффективных вирусных атак на информационные ресурсы автоматизированных информационных систем (АИС) в общем списке ежегодно регистрируемых атак. Однако, подобная динамика характеризует не только важность задачи антивирусного противодействия, но и, правда косвенно, относительно низкую эффективность существующих технологий и технических средств антивирусной защиты, не смотря на тот факт, что данный сегмент рынка средств защиты на сегодняшний день наиболее полно представлен, как отечественными, так и зарубежными средствами. Все это делает актуальным проведение исследований и разработки новых подходов к антивирусной защите. В данной работе рассматриваются решения, основанные на использовании в антивирусной защите механизмов защиты информации от несанкционированного доступа (НСД), разрабатываются дополнительные требования к данным механизмам в части решения рассматриваемых задач. Предлагаемые подходы апробированы в комплексной системе защиты информации (КСЗИ) "Панцирь-К" для ОС Windows 2000/XP/2003 (новая разработка ЗАО "НПП "Информационные технологии в бизнесе").
1. Классификация задач антивирусной защиты. Общий подход к противодействию вирусным атакам с применением механизмов защиты информации от НСД.
Основной тезис, который будет обоснован в данной работе, и который будет положен в основу разработки требований к средствам антивирусной защиты, состоит в следующем: основу антивирусной защиты составляет применение механизмов защиты компьютерных ресурсов от несанкционированного доступа (НСД), причем эффективное антивирусное противодействие возможно только при реализации контроля доступа к ресурсам для субъекта "ПРОЦЕСС".
Основу существующих принципов контроля доступа к ресурсам, реализуемых в современных ОС и других системных средствах, а также в большинстве современных средств защиты, включая антивирусную, составляет задание прав и реализация разграничений на основании определенных правил доступа субъектов "ПОЛЬЗОВАТЕЛЬ" к объектам, в частности, к файловым объектам. Именно данный способ контроля доступа формализован в соответствующих нормативных документах в области защиты информации.
Однако именно процесс, и может нести в себе уязвимость, предоставляя возможность вирусной атаки. Тому может быть несколько причин, положим их в основу классификации уязвимостей процессов:
* Несанкционированные (сторонние) процессы. Это процессы, которые не требуются пользователю для выполнения своих служебных обязанностей и могут несанкционированно устанавливаться на компьютер (локально, либо удаленно) с различными целями (например, так называемые, шпионские программы), в том числе, и с целью осуществления НСД к информации;
* Критичные процессы. К ним мы отнесем те процессы, которые запускаются в системе с привилегированными правами, например, под учетной записью System или root, а также процессы, которые наиболее вероятно могут быть подвержены атакам, в первую очередь, это сетевые службы. Атаки на подобные процессы (как правило, сетевые атаки) наиболее критичны, что связано с возможностью расширения привилегий, в пределе - получения полного управления системой (т.к. ОС не обеспечивает возможности в необходимом объеме устанавливать разграничения прав доступа для пользователя System или root). В качестве замечания отметим, что на сегодняшний день существенно возросла доля атак, направленных на уязвимости не собственно в ОС, а на уязвимости приложениий. Однако приложения пользуются сервисами ОС, которые должны защищаться ОС, т.е. уязвимость приложения (например, некорректное олицетворение, ошибки переполнения буфера и т.д.) при корректной реализации механизмов защиты ОС, не должны приводить к возможности несанкционированного доступа к информации;
* Скомпрометированные процессы - процессы, содержащие ошибки (уязвимости), ставшие известными, использование которых позволяет осуществить НСД к информации. Отнесение данных процессов в отдельную группу обусловлено тем, что с момента обнаружения уязвимости и до момента устранения ее разработчиком системы или приложения, может пройти несколько месяцев. В течение этого времени в системе находится известная уязвимость, поэтому система не защищена;
* Процессы, априори обладающие недекларированными (документально не описанными) свойствами. К этой группе мы отнесем процессы, являющиеся средой исполнения (прежде всего, это виртуальные машины, являющиеся средой исполнения для скриптов и апплетов, и офисные приложения, являющиеся средой исполнения для макросов).
Вывод
С учетом приведенной классификации, из которой следует, что именно процесс несет в себе угрозу вирусной атаки, может быть сформулирована задача контроля доступа к ресурсам с учетом доверия к процессам или доверительного контроля доступа к ресурсам.
Полностью статья http://bugtraq.ru/library/security/virnsd.html
1. Классификация задач антивирусной защиты. Общий подход к противодействию вирусным атакам с применением механизмов защиты информации от НСД.
Основной тезис, который будет обоснован в данной работе, и который будет положен в основу разработки требований к средствам антивирусной защиты, состоит в следующем: основу антивирусной защиты составляет применение механизмов защиты компьютерных ресурсов от несанкционированного доступа (НСД), причем эффективное антивирусное противодействие возможно только при реализации контроля доступа к ресурсам для субъекта "ПРОЦЕСС".
Основу существующих принципов контроля доступа к ресурсам, реализуемых в современных ОС и других системных средствах, а также в большинстве современных средств защиты, включая антивирусную, составляет задание прав и реализация разграничений на основании определенных правил доступа субъектов "ПОЛЬЗОВАТЕЛЬ" к объектам, в частности, к файловым объектам. Именно данный способ контроля доступа формализован в соответствующих нормативных документах в области защиты информации.
Однако именно процесс, и может нести в себе уязвимость, предоставляя возможность вирусной атаки. Тому может быть несколько причин, положим их в основу классификации уязвимостей процессов:
* Несанкционированные (сторонние) процессы. Это процессы, которые не требуются пользователю для выполнения своих служебных обязанностей и могут несанкционированно устанавливаться на компьютер (локально, либо удаленно) с различными целями (например, так называемые, шпионские программы), в том числе, и с целью осуществления НСД к информации;
* Критичные процессы. К ним мы отнесем те процессы, которые запускаются в системе с привилегированными правами, например, под учетной записью System или root, а также процессы, которые наиболее вероятно могут быть подвержены атакам, в первую очередь, это сетевые службы. Атаки на подобные процессы (как правило, сетевые атаки) наиболее критичны, что связано с возможностью расширения привилегий, в пределе - получения полного управления системой (т.к. ОС не обеспечивает возможности в необходимом объеме устанавливать разграничения прав доступа для пользователя System или root). В качестве замечания отметим, что на сегодняшний день существенно возросла доля атак, направленных на уязвимости не собственно в ОС, а на уязвимости приложениий. Однако приложения пользуются сервисами ОС, которые должны защищаться ОС, т.е. уязвимость приложения (например, некорректное олицетворение, ошибки переполнения буфера и т.д.) при корректной реализации механизмов защиты ОС, не должны приводить к возможности несанкционированного доступа к информации;
* Скомпрометированные процессы - процессы, содержащие ошибки (уязвимости), ставшие известными, использование которых позволяет осуществить НСД к информации. Отнесение данных процессов в отдельную группу обусловлено тем, что с момента обнаружения уязвимости и до момента устранения ее разработчиком системы или приложения, может пройти несколько месяцев. В течение этого времени в системе находится известная уязвимость, поэтому система не защищена;
* Процессы, априори обладающие недекларированными (документально не описанными) свойствами. К этой группе мы отнесем процессы, являющиеся средой исполнения (прежде всего, это виртуальные машины, являющиеся средой исполнения для скриптов и апплетов, и офисные приложения, являющиеся средой исполнения для макросов).
Вывод
С учетом приведенной классификации, из которой следует, что именно процесс несет в себе угрозу вирусной атаки, может быть сформулирована задача контроля доступа к ресурсам с учетом доверия к процессам или доверительного контроля доступа к ресурсам.
Полностью статья http://bugtraq.ru/library/security/virnsd.html