Защита от хакеров корпоративных сетей

Анализ коммерческих инструментальных средств

Сегодня на рынке доступны многочисленные коммерческие инструментальные средства. Покупка любого из них является задачей, которая может привести в замешательство и отпугнуть потенциального покупателя своей сложностью. Как и в случае с большинством других продуктов, группа маркетинга каждого производителя будет убеждать покупателя, что их программа лучшая и что она выполняет больше всех проверок. Проблема при покупке рассматриваемого инструментария состоит в том, что не все производители оценивают их по единым критериям. Финансируемая федеральным правительством США организация проектно-конструкторских работ Mitre (www.mitre.org) частично обратила внимание на эту проблему, создав словарь распространенных уязвимостей и дефектов CVE (Common Vulnerabilities and Exposures). Этот словарь является стандартизированным соглашением по именованию уязвимостей и дефектов информационной безопасности. Создание словаря CVE преследовало цель облегчить для производителей инструментария безопасности и конечных пользователей установку соответствия между информацией об уязвимости и многочисленными инструментальными средствами. В настоящее время ряд коммерческих и свободно распространяемых инструментальных средств установили или находятся в процессе установления соответствия между своими базами данных и идентификаторов словаря CVE. Следует отметить, что такое соответствие очень важно для оценки использования рассматриваемых инструментальных средств. В таблице 17.1 приведены некоторые сканеры и число обнаруживаемых ими уязвимостей.

Сканеры и число обнаруживаемых ими уязвимостей

Читатель может заметить, что если учитывать лишь число обнаруживаемых уязвимостей, то разница между сканерами приобретает драматический характер. Если бы каждый производитель находил и подсчитывал бы уязвимости, основываясь на словаре CVE, то это было бы идеальным выходом из сложившейся путаной ситуации. Это не такая уж простая задачка, поскольку для большинства производителей переход на словарь CVE означает не только пересмотр правил подсчета проверок, но и переписывание самих проверок. Производители постоянно находят новые способы продемонстрировать значительное преимущество своих программ. При использовании словаря CVE игра в проверки перестанет существовать, и сделается возможным справедливое сравнение инструментальных средств с помощью таких их характеристик, как процент ложных срабатываний, удобство и простота использования, эффективность сканирования и возможности выдачи отчетов. Именно эти показатели станут ключевыми показателями при определении лучшей программы.

Ниже приводится краткий перечень некоторых из критериев, которыми следует руководствоваться при покупке коммерческого сканера:

• процент ложных срабатываний;

• производительность;

• возможности выдачи отчетов;

• интерфейс пользователя.

Следует понять, что большинство коммерческих сканеров рождается неравными. Каждый из них имеет собственные достоинства и недостатки. Обычное дело – встретить администраторов безопасности, использующих в своей работе более одного коммерческого инструментального средства, потому что ни одно из них не годится на все случаи жизни. Даже бесповоротно решив купить сканер уязвимости, не следует торопиться с покупкой до тех пор, пока не будет произведена основательная оценка удовлетворения каждой программой специфических потребностей покупателя и его среды. Почти все производители программных средств, пытаясь продать свою программу, бесплатно предложат ее демонстрационную копию. Воспользуйтесь эти предложением. В худшем случае покупателю придется позвонить продавцу и попросить его помочь разрешить возникшие проблемы применения его программы. Если продавец не может ответить на вопросы покупателя в полном объеме, то переговорите с одним из разработчиков программы. Опыт автора общения с продавцами свидетельствует о полезности общения в том случае, если продавцы рады помочь покупателю и готовы ответить на любой его вопрос. Но не поддавайтесь на различные маркетинговые уловки. В конечном счете следует принять собственное решение относительно соответствия программы предъявляемым к ней требованиям.

По всей видимости, процент ложных срабатываний является наиболее раздражающим результатом использования сканеров уязвимости. Ложное срабатывание – это такая ситуация, когда сканер сообщает о существовании проблемы, хотя на самом деле ее нет. Высокий процент ложных срабатываний приводит к тому, что пользователь сканера уязвимости перестает ему доверять и начинает проверять, обычно вручную, каждую уязвимость, найденную сканером. Очевидно, что это трудоемкое непроизводительное занятие заставит пользователя задаться, по крайней мере, одним вопросом: «Зачем был куплен такой дорогой сканер?» С другой стороны, упущения – это такая ситуация, когда сканер не обнаруживает фактически существующую проблему. Это более опасная вещь. К счастью, упущения встречаются не так часто, и разработчику их легче исправить, но тем не менее следует знать об их существовании. Сказанное уже является причиной использования более одного сканера и, конечно, постоянного мониторинга своей системы.

Если читатель обслуживает большую сеть, то для него, вероятно, очень важна производительность сканера. На производительность сканера оказывают влияние много факторов. Двумя наиболее очевидными факторами являются механизм сканирования и выбранные производителем алгоритмы проверки существования уязвимости. В настоящее время большинство программ являются многопоточными приложениями, которые предусматривают их настройку пользователем. В результате пользователь может многое сделать для настройки производительности и сравнить производительность сканеров во время сканирования различных машин. Некоторые производители обратили внимание на эту проблему, предложив распределенные решения сканирования. В них используются многочисленные механизмы сканирования различных машин с выводом сообщений о результатах сканирования на центральную консоль отчетов. Теоретически это звучит как вполне приемлемое решение, но на практике приводит к проблемам, например к уменьшению пропускной способности сети и, конечно, к потенциальным проблемам защиты, если трафик не обрабатывается безопасным способом.

Выдача отчетов является одной из характеристик присутствующих на рынке сканирующих программ, которая трудно и медленно поддается стандартизации. Вне зависимости от того, использует сканер для выдачи отчетов собственные средства или он использует функциональные возможности встроенного генератора отчетов Crystal Report, но в большинстве случаев пользователь может настраивать выходной отчет.

На рисунке 17.1 показан интерфейс распространенного коммерческого сканера ISS Internet Scanner, а на рис. 17.2 показан интерфейс другого сканера – Retina by eEye. Как читатель может заметить, интерфейсы отличаются незначительно, но при этом они оба интуитивно понятны и легки в использовании. Читатель не найдет большой разницы в удобстве и простоте использования каждого из коммерческих сканеров, но как он сможет увидеть позже в этой главе, он должен быть в курсе ограничений сканеров и понимать причины их появления.

Рис. 17.1. Интерфейс ISS Internet Scanner

Рис. 17.2. Интерфейс Retina

Ниже приводится краткая характеристика каждого коммерческого продукта. Обратившись по уже приведенным ссылкам из секции «Автоматизированные инструментальные средства: обзор программ», можно прочитать обзоры по определенным программам. Тем не менее перечислены некоторые из наиболее распространенных программ и приведена краткая аннотация на каждую из них, основанная на опыте работы авторов книги с ними. Сканер CyberCop Scanner

В течение некоторого времени сканер CyberCop Scanner был популярен. Он начал свою историю под именем Ball ista Scanner компании Secure Networks, которая несколько лет назад была куплена Network Associates (NAI). NAI улучшила сканер и дополнила его возможности до уровня, достаточного для того, чтобы вновь сделать его популярным. Одними из самых больших недостатков сканера являются высокий процент ложных срабатываний и разнообразные проблемы с производительностью. Это хорошее инструментальное средство, которое можно приобрести, если у пользователя имеются достаточные знания и время для «прополки» (анализа) больших отчетов с целью поиска действительных проблем, на которые нужно обратить внимание.

Считается, что сканер Internet Scanner является лидером на рынке инструментальных средств сканирования. Компания ISS была одной из первых, кто выпустил в продажу сканер уязвимости. Как читатель узнает дальше, точность (или скорее отсутствие точности), кажется, является бедствием для всех коммерческих инструментальных средств, включая Internet Scanner. Принимая во внимание, что этот сканер был одной из первых программ, поступивших в продажу, можно сказать, что у разработчиков было достаточно времени для его улучшения и совершенствования. Подобно CyberCop, общей жалобой пользователей сканера Internet Scanner является необходимость в прочесывании больших сообщений и удалении бесполезной информации, сохраняя действительно необходимые и полезные данные.

Следующим в списке коммерческих сканеров является BV–Control for Internet Security, прежнее название HackerShield. Автор пережил трудное время, наблюдая за ошибками этого сканера, но он предвзятый пользователь, потому что ранее был членом исследовательской группы по вопросам безопасности RAZOR Security Research Team компании BindView. Как уже говорилось, самой большой ошибкой этой программы являются ее отчеты. На экране отчет выглядит замечательно, но при распечатке различные типы ошибок форматирования делают листинг почти нечитабельным. В настоящее время компания BindView, вероятно, вкладывает значительные средства в исследования уязвимостей, поэтому точность сканера может оказаться немного лучше.

Сканер eEye Retina является одним из новейших инструментальных средств сканирования на рынке программ подобного типа. Его хвастливые возможности типа общая атака (Common Attack) и хакерские методы (Hacking Methods) поиска и идентификации новых, ранее не описанных уязвимостей позволяют утверждать, что Retina – солидный продукт, у которого есть возможности для улучшения в таких направлениях, как производительность и выдача отчетов. В целом автору нравится данный продукт и работа специалистов eEye, вносящих большой вклад в развитие информационной безопасности.