Кафедра "Информационная безопасность компьютерных систем"

Отчет 2004

XII Общероссийской научно-технической конференции
«МЕТОДЫ И ТЕХНИЧЕСКИЕ СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ ИНФОРМАЦИИ»  

Общая информация

Решение конференции

Тезисы докладов

ОРГАНИЗАТОРЫ: Министерство образования и науки РФ, Комитет по информатизации и связи Правительства Санкт-Петербурга, Комитет по науке и высшей школе Правительства Санкт-Петербурга,  Государственное образовательное учреждение «Санкт-Петербургский государственный политехнический университет», Московский государственный инженерно-физический институт (государственный университет), ВКА им. А.Ф. Можайского, Военный университет связи, Институт криптографии, связи и информатики Академии ФСБ РФ, Ассоциация Защиты Информации, Академия криптографии, ЗАО «РНТ», ЗАО «НПП «СТЗИ», ЗАО «ГОЛЛАРД», ЗАО «СПб РЦЗИ», ЗАО «Инфосистемы Джет», Санкт-Петербургский филиал НТЦ «Атлас»

ДАТЫ: 4-5 октября 2004 г.

МЕСТО: Санкт-Петербург — Зеленогорск, «Гелиос Отель»

РЕШЕНИЕ:

4-5 октября 2004 года на базе Государственного образовательного учреждения «Санкт-Петербургский государственный политехнический университет» состоялась XII Общероссийская научно-техническая конференция «Методы и технические средства обеспечения безопасности информации». Учредителями конференции выступили ряд государственных структур (Министерство образования и науки РФ, Государственная техническая комиссия, Академия криптографии, Правительство Санкт-Петербурга), ведущие вузы Москвы и Санкт-Птербурга (МИФИ, ГОУ «СПбГПУ», Военный университет связи, ВКА им. А.Ф. Можайского, Институт криптографии, связи и информатики Академии ФСБ РФ). Спонсорами организации конференции выступили ряд ведущих фирм – лидеров в области технологии защиты информации. Такими фирмами являлись: «Инфосистемы Джет», НТЦ «АТЛАС», РНТ, ГОЛЛАРД, СПбРЦЗИ, LANCK, НПП «СТЗИ».   В работе конференции приняли участие:  138 специалистов из различных организаций. Из них из Санкт-Петербурга — 66, из Москвы — 65, из Минска — 5, из Баку – 1, из Таганрога – 1. Докторов наук — 45, кандидатов наук — 68.   По сравнению с предыдущим годом необходимо отметить общее количество участников при некотором сокращении числа регионов принимавших участие.   Представленные доклады охватывали следующие научные направления:

  • Современные методы и перспективные решения в области компьютерной безопасности, в том числе: системы обнаружения вторжений, системы защиты баз данных, методы анализа безопасности программного обеспечения, методы и средства контроля и управления доступом;
  • Криптографические методы защиты информации, включая: анализ современных методов и алгоритмов повышенной стойкости, систем стеганографии, электронно-цифровой подписи и защиты систем передачи данных;
  • Подготовка специалистов в области информационной безопасности.

Состояние рынка продуктов и систем обеспечения информационной безопасности проанализировано в сообщении заведующего кафедрой ИБКС ГОУ «СПбГПУ» Зегжды П.Д. Автор обращает внимание на следующие особенности ситуации, сложившейся на Российском рынке информационной безопасности:

  1. Российский рынок ИТ-безопасности по данным IDC, в 2002 г. Российский рынок информационной безопасности был сильно раздроблен – существенную его часть (40%) занимали компании, доля которых меньше 2% (см.таблицу 1).
  2. Затраты на безопасность в большинстве передовых стран составляют в среднем (5-7) % от бюджета информационных технологий.  Россия существенно отстает по этому показателю, по данным, предоставленным Ассоциацией защиты Информации, в нашей стране этот показатель составляет не более 2%.
  3. Продукты обеспечения информационной безопасности могут быть систематизированы на ряд групп представленных в таблице 2. В таблице эти группы расположены в порядке убывания степени их распространения. Сравнение этой систематизации с тематикой докладов, представленных на конференции, показывает, что основные усилия разработчиков и докладчиков сосредоточены именно на наименее распространенных системах защиты информации. По мнению авторов этот факт свидетельствует об актуальности представленных докладов и позволяет сделать вывод о востребованности разработок, представленных на конференции. Сказанное особенно может быть отнесено к системам обнаружения вторжений, анализ которых составил около 30% от общего количества докладов. Подобные системы являются востребованными современными информационными технологиями, однако в нашей стране практически отсутствуют оригинальные разработки в данной области.

Таблица 1.

Компания Доля (%)
«Лаборатория Касперского»
23
«Информзащита»
12
Check Point
9
Internet Security Systems
6
Trend Micro
3
Symantec
3
«Диалог Наука»
2
Jet Infosystems
2
Другие
40

  Таблица 2.

Наименование Доля компаний, использующих продукт (%) Количество сообщений на конференции
Антивирусные средства
48 0

Межсетевые экраны

29 20
Идентификация, авторизация и администрирование
11 30
Системы обнаружения атак
10 30

Как следует из проведенного анализа, наиболее многочисленные группы докладов относились к проблемам построения криптографических систем и вопросам создания систем обнаружения вторжений. Традиционный интерес к построению криптографических систем вызвало сообщение специалистов ЗАО «СПб РЦЗИ» (А.Г. Эркин, Е.В. Мареева, Л.З. Кравец, С.А. Петренко) посвященное обеспечению защиты в международных платежных системах с использованием российских криптографических алгоритмов. СПб РЦЗИ была выработана концепция создания подсистемы защиты, которая базируется на применении метода наложенной (added) безопасности. Отечественные криптографические стандарты были реализованы в качестве второго (добавленного) контура в процедурах авторизации платёжных транзакций, хранения в базе данных процессинговых систем ключевых данных и персональных данных владельцев карт. Необходимость применения второго контура шифрования определяется видом терминального мастер ключа, выработанного и распределённого на определённом участке процессинговой системы, что в свою очередь определяется наличием дополнительных  устройств РМБ-Б и РМБ-Т в состав  банкомата и платёжного терминала соответственно. РМБ осуществляет работу в двух режимах:

  • если модернизация периферийного оборудования на направлении не проведена или осуществляется встречная работа на направление с HSM модулем, выполняется алгоритм, аналогичный работе HSM при авторизации транзакции – режим эмуляции работы HSM;
  • если модернизация периферийного оборудования на направлении проведена или осуществляется встречная работа на направление с РМБ модулем, выполняется алгоритм двойного закрытия данных (Des и ГОСТ) при авторизации транзакции.

Теоретические вопросы организации криптографической защиты рассмотрены в докладе А.Г. Ростовцева «Защита криптографических устройств от side channel attacks». В 1998 г. в работе Дж.Келси, Б.Шнайер и др. были описаны атаки на устройства криптографической защиты данных (side channel attacks), использующие анализ электромагнитных, акустических и временных сигналов, несущих информацию о ключе. Существующие методы защиты от таких атак создают неудобства и снижают живучесть криптосистем. Предложен подход к защите ключей, основанный на использовании изоморфизмов алгоритма — таких его преобразований, при которых для одинаковых входов получаются одинаковые выходы, хотя работа алгоритма изменяется. При этом на вход, выход и исполняемую операцию накладывается случайная «маска» так, что информация не появляется в открытом виде до завершения процесса ее обработки. Это исключает вычислимую зависимость между ключом и обрабатываемой информацией. Случайные изоморфизмы легко реализуются в стандарте электронной цифровой подписи, а при шифровании данных почти все изоморфизмы являются трудновычислимыми. Это обусловливает целесообразность разработки шифров, операторы которых допускают вычислимые изоморфизмы.  

Направление, связанное с построением систем обнаружения вторжений представлено большим количеством докладов, среди которых нужно отметить доклад И.В. Котенко, посвященный созданию механизма распознавания целей компьютерных атак.

В основу механизмов распознавания планов положена модель генерации действий злоумышленников. Первоначально злоумышленник имеет некоторый набор целей и выбирает для этих целей определенное подмножество планов, заданных в библиотеке планов. Набор выбранных планов определяет частично упорядоченное множество ожидаемых примитивных действий. В любой момент злоумышленник может неоднократно выполнить любое из ожидаемых действий, которые допускаются его предыдущими действиями. В процессе выполнения действий по реализации атаки генерируется новый набор ожидаемых действий. Новое множество ожидаемых действий формируется на основе предыдущего множества путем удаления последнего выполненного действия и добавления новых допустимых ожидаемых действий.

Для распознавания используется вероятностное распознавание плана. Исходными данными для распознавания являются наблюдения действий злоумышленника, на основе которых формируется возможная трасса выполнения действий по реализации атаки. С получением информации о новых действиях злоумышленника формируются наборы ожидаемых действий и множество вероятных целей с установленным на нем распределением вероятностей, сопоставленных с каждым их этих наборов действий. Представленная модель реализуется в настоящее время в прототипе ложной информационной системы, предназначенной для отслеживания действий злоумышленников, введения их в заблуждение и определения их намерений и способов реализации атак. Обобщенные механизмы обнаружения вторжений для их предотвращения рассмотрены в докладе В.В. Платонова (СЦЗИ ГОУ «СПбГПУ»).

Как показано в докладе для обеспечения надежной защиты СПВ должна иметь высокое качество определения признаков наличия вторжения (отсутствие или существенная минимизация количества ложных срабатываний). Обеспечение качества обнаружения СПВ должно реализовываться различными механизмами обнаружения вторжений. Среди этих механизмов можно отметить следующие: нормализация пакетов для стека TCP/IP, нормализация используемых протоколов (согласно RFC), контроль состояний соединений и сеансов и т.д. Для того, чтобы обеспечить возможность одновременной проверки различными механизмами, представляется необходимым наличие буфера, в который записываются приходящие пакеты.

Наличие буфера позволяет обеспечить, в частности,  реализацию функций реассемблирования пакетов, защиту от атак отказа в обслуживании и возможность корректировки указанных в запросе данных (для протоколов высокого уровня). Статистика инцидентов в Internet показывает, что значительное число компьютерных атак и воздействий вредоносного программного обеспечения реализуется посылкой на целевой хост специально сформированных пакетов для компрометации целевого хоста. Успех таких вторжений вызывается тем, что каждый производитель реализует стек протоколов TCP/IP самостоятельно, часто не руководствуясь всеми требованиями RFC. Для обеспечения защиты от нежелательных или специальным образом сформированных пакетов разработан механизм (нормализатор пакетов), выполняющий нормализацию пакетов IP, TCP, UDP и ICMP. Для проверки данного подхода для протоколов прикладного уровня реализована нормализация основных параметров протокола HTTP.

Практический интерес при построении систем обнаружения вторжений представляют сообщения сотрудников ФГУП НИИ «КВАНТ» (В.В. Корнеев, В.В. Райх и др.), посвященные перспективным направлениям развития технологий обнаружения компьютерных атак. Практические разработки Специализированного центра защиты информации ГОУ «СПбГПУ» представлены сообщением С.С. Корта о разработке анализатора сетевых вторжений «Авгур». Система «Авгур» выполняет следующие задачи:

  • выявление с использованием сигнатурного метода некорректных обращений к защищаемым серверам;
  • оценка возможного успеха этих обращений;
  • классификация обращений, оцененных как успешные по этапам типовых сценариев вторжения;
  • сопоставление последовательности этих обращений типовому сценарию вторжения (верификация сценария);
  • категоризация удаленных станций по возможно имеющимся у нарушителя знаниям с целью предсказания следующих этапов сетевого вторжения;
  • сбор информации о параметрах текущей активности удаленных станций по отношению к защищаемым серверам;
  • обработка информации о параметрах текущей активности удаленных станций с применением методов математической статистики;
  • совместная обработка результатов анализа некорректных обращений и параметров текущей активности удаленных станций по отношению к защищаемым серверам с целью уменьшения числа ошибок первого и второго рода в обнаружении вторжений;
  • отслеживание обращений с незарегистрированных в системе портов защищаемых серверов.

Целью доклада Трифаленкова И.А. «Технические и маркетинговые критерии выбора средств защиты информации», г.Москва, Компания «Джет Инфосистем». является выяснение, какие критерии могут быть предложены для различных классов средств защиты информации, что таится за заявлениями различных производителей ПО, и о чем это говорит на самом деле для того, чтобы правильно определить, какие собственно средства защиты информации применимы в случае конкретной информационной системы, необходимо правильно определить требования к ним. Основой такого определения должна быть следующая позиция: все средства защиты предоставляют всего-навсего инструментарий для реализации политики безопасности. Поэтому основные вопросы при выборе того или иного средства защиты должны быть примерно следующими:

  • для чего будет применяться средство?
  • какие угрозы это средство будет ликвидировать и в какой степени?
  • какие правила работы с информационными ресурсами будут (могут быть) реализованы?

Отсутствие четких ответов на указанные вопросы будет означать неготовность организации к эффективному использованию приобретаемых средств защиты. В докладе приводятся основные требования, которые могут и должны быть выдвинуты к средствам защиты информации, наиболее распространенным на данном этапе (межсетевым экранам, средствам создания виртуальных частных сетей, средствам контекстного анализа). При этом рассматриваются два класса критериев: общие критерии для средств защиты информации (как собственная защищенность, производительность, сертификация, стоимость) и функциональные критерии, зависящие от каждого конкретного средства.  

Среди докладов, посвященных технологии построения высоконадежных систем повышенной защиты перспективным является применение так называемых гибридных операционных систем (А.М. Вовк, Зегжда Д.П. А.В. Коротич, СЦЗИ ГОУ «СПбГПУ»). Гибридная операционная система «Линукс в среде Феникс» построена на основе ЗОС Феникс, реализующей все функции защиты, в среде которой функционируют копии операционной системы Линукс, погруженные в среду Феникс и представляющие с этой точки зрения обычные пользовательские процессы. Каждый пользователь имеет в своем распоряжении полностью изолированную персональную копию среды Линукс.

Данное решение позволит расширить множество приложений, запускаемых под ЗОС Феникс широким множеством приложений популярной ОС Линукс. Все функции защиты  реализованы в составе Феникс, а для прикладных процессов открыты все функциональные  возможности Линукс, причем при этом не наносится ущерб защищенности ОС Феникс, а все приложения Линукс подчиняются модели безопасности Феникс. Использование технологии гибридных операционных систем при построении защищенных информационных систем на базе ЗОС Феникс и популярной открытой ОС Линукс позволяет обеспечивать:

1.    Тотальный контроль всех информационных взаимодействий и потоков информации со стороны доверенных средств защиты из состава ЗОС Феникс, что обеспечивает высокий уровень безопасности.

2.    Невозможность обхода  или отключения защиты, поскольку средства защиты Феникс взаимодействуют непосредственно с аппаратной платформой, а средства Линукс не имеют к ней никакого доступа.

3.    Множество доступных приложений расширяется за счет приложений Линукс, что позволяет использовать гибридную систему LoF практически везде, где применяется Линукс.

4.    Минимизация накладных расходов на организацию защиты — фактически единственным дополнительно исполняемым кодом по сравнению с обычной Линукс является код средств защиты ЗОС Феникс.

Технологии обеспечения безопасности ресурсов баз данных представлены несколькими докладами, среди которых следует отметить сообщение директора Регионального отделения «Гупта Технолоджи в России – СНГ». В этом сообщении отмечается ряд преимуществ защищенной СУБД «Гупта», которую отличает сочетание встроенных механизмов защиты с развитым механизмом построения прикладных систем и удобством ее администрирования, что делает весьма перспективным применение данной системы в широком классе прикладных задач.

Практическим примером применения Защищенной ОС Феникс является технология контроля и управления доступом к ресурсам баз данных, представленная макетным вариантом информационной системы «клиент-серевер», разработанном в СЦЗИ ГОУ «СПбГПУ». Использование свойств Защищенной ОС Феникс позволяет построить шлюз контроля управления доступом к ресурсам баз данных. Все взаимодействия между клиентами БД и сервером Oracle осуществляются исключительно через шлюз, являющийся посредником в их совместной работе. Данное решение имеет следующие преимущества:

1.      Все возможные взаимодействия пользователей с ресурсами БД представляют собой жестко заданный набор операций над объектами БД. В каждой операции четко определены субъект, объект и тип доступа, что позволяет эффективно осуществлять контроль и управление доступом к ресурсам БД на основе прикладной политики безопасности.

2.      Логика контроля и управления доступом к ресурсам БД реализована на шлюзе. Данный подход обеспечивает независимость средств защиты от прикладных средств и увеличивает их надежность.  

Настройки безопасности программных средств влияют на безопасность компьютерной системы в целом. В процессе эксплуатации такой системы, как Windows 2000/XP, пользователь оперирует большим множеством защищаемых ресурсов (например, файлов, ключей реестра, принтеров) и их настроек. Для определения того, отвечают ли предъявляемым требованиям настройки безопасности, примененные к ресурсам, необходимо обладать всей информацией обо всех ресурсах. Для этого применяется инвентаризация настроек безопасности. Для решения указанных проблем в СЦЗИ ГОУ «СПбГПУ» разработано средство «Анализатор», предназначенное для проведения автоматизированной инвентаризации настроек безопасности всех именованных объектов защиты в среде Windows 2000/XP.

«Анализатор» собирает информацию о настройках безопасности следующих объектов: пользователи и группы, логические диски, каталоги и файлы, разделы и подразделы реестра, жесткие и символические ссылки, разделяемые ресурсы, службы, принтеры, COM-объекты, объекты режима ядра (процессы, потоки, задачи, маркеры безопасности, события, мьютексы, семафоры, таймеры, устройства, адаптеры, драйверы, контроллеры, порты, проекции файлов, профили, оконные станции, рабочие столы и др.). Для всех объектов есть возможность собрать данные о владельце и списке прав доступа, а также о специфических для каждого типа объекта атрибутах. Как результат «Анализатор» генерирует файл-отчет, в котором содержится «снимок» подсистемы защиты в виде списка выявленных активных и пассивных участников безопасности со всеми настройками.

Таким образом, авторами разработано автоматизированное средство инвентаризации системы, позволяющее оперативно собирать информацию о настройках безопасности системных сущностей. «Анализатор» обладает рядом достоинств: наличие программного интерфейса для контроля всего процесса сбора информации; гибкость в задании множества собираемых настроек; сбор информации о всем множестве объектов защиты; достаточно высокая скорость сбора данных.

Разработанный программный продукт имеет весьма широкую область применения. С его помощью системные администраторы могут регулярно проверять настройки безопасности системы и корректность их задания, проводить подробный анализ и отслеживать все изменения в защите системы. Эксперты получают инструмент для получения «среза» системы в плане ее защиты. Возможность ведения отчетности позволяет документировать все изменения в подсистеме защиты. Средство также применимо в обучающих целях для исследования настроек безопасности и механизмов защиты Windows 2000/XP.

В докладе сотрудников ФГУП «Концерн «Системпром» (Бородакий Ю.В., Пальчун Б.П. и др.) «Техническое регулирование в компьютерной инфосфере», рассматривается проект Общего технического регламента «Обеспечение безопасности государства, общества и личности при использовании систем (продукции) с компьютерной обработкой информации», разработанный «Концерном «Системпром» в соответствии с положениями Федерального закона «О техническом регулировании» (№ 184-ФЗ от 27 декабря 2002 года). Авторы доклада предлагают разработать общий технический регламент «Обеспечение безопасности государства, общества и личности при использовании систем (продукции) с компьютерной обработкой информации» и принять его в ранге федерального закона, что позволит:

  • во-первых, создать нормативно-правовую базу по обеспечению безопасности критических систем от возможных компьютерогенных угроз;
  • во-вторых, образовать недостающее «связующее звено» между  Федеральным законом «О техническом регулировании» и всем спектром специальных технических регламентов в области информационной безопасности.

Конференция приняла следующее решение, включающее ряд практических предложений по усилению координации работ в области обеспечения информационной безопасности в Северо-Западном федеральном округе. В решение конференции включены следующие предложения:

1.    Обратиться в Правительство Санкт-Петербурга с просьбой  об усилении координации работ по обеспечению информационной безопасности с учетом необходимости постановки как практических, так и теоретических исследований особенно в гуманитарной и правовой области информационной безопасности.

2.    Проинформировать комитет по науке и высшей школе Правительства Санкт-Петербурга и департамент информатизации Правительства Ленинградской области о проблемах подготовки кадров в области защиты информации в регионе.

3.    Считать основными актуальными направлениями работ в области защиты информации следующие:

  • разработка теоретических основ защиты информации в компьютерных системах;
  • разработка принципов управления безопасностью распределенных компьютерных систем;
  • разработка отечественных технологий создания защищенных информационных систем;
  • разработка научно-обоснованных методик сертификации средств защиты информации;
  • исследование и опыт эксплуатации средств защиты в Internet;
  • совершенствование и обмен опытом подготовки специалистов в области информационной безопасности в системе высшей школы.

Следует отметить, что конференция проводилась в Выставочном зале «Гелиос Отеля» города Зеленогорска, что позволило организовать выставку, демонстрирующую разработки ведущих фирм Санкт-Петербурга, а также обеспечить комфортные условия для участников конференции.

ТЕЗИСЫ ДОКЛАДОВ:

Просмотреть оглавление сборника докладов

Получить сборник докладов полностью