Материал: Проникновения в операционную среду компьютера. модели злоумышленного удаленного доступа. Радько Н.М., Язов Ю.К

Продолжение табл. 3.4

Знаком «» отмечены меры защиты, которые не противоречат реализации функциональных требований соответствующего типа ИТКС, а также обеспечивают защиту от угроз, актуальных для данного типа ИТКС.

3.3.2. Определение отношения рассматриваемых мер защиты к противодействию исследуемым атакам

Исходя из результатов глав 1 и 2, определяется отношение применения тех или иных мер защиты к возможности реализации каждой из исследуемых атак.

Таблица 3.5

Влияние применения мер защиты на реализацию исследуемых атак

Продолжение табл. 3.5

В — уменьшение вероятности достижения злоумышленником цели посредством реализации атаки,

Р — уменьшение времени действия атаки вследствие реакции системы защиты и реализации ответных действий,

И — исключение достижения цели злоумышленником.

Применение мер защиты может повлечь, как полное исключение возможности успеха атаки (применение коммутаторов в сети относительно атаки «сниффинг пакетов» либо шифрование трафика относительно атаки «подмена доверенного объекта»), уменьшение вероятности успешной реализации атаки (меры ограничения физического доступа для всех видов атак, связанных с непосредственным доступом), а также уменьшение времени нахождения элемента ИТКС в целевом для злоумышленника состоянии вследствие реакции системы защиты.

Глава 4. Аналитическое моделирование процессов реализации угроз удаленного доступа к элементам иткс

4.1.Моделирование процессов реализации сетевого анализа

4.1.1. Сниффинг пакетов в сети без коммутаторов

Рассмотрим пассивную атаку, которая, как правило, является подготовительным этапом при реализации многих активных сетевых атак. В том случае, если вместо коммутаторов в сети установлены концентраторы, полученные пакеты рассылаются всем компьютерам в сети, а затем компьютеры определяют для них этот пакет или нет.

Если злоумышленник получит доступ к компьютеру, который включен в такую сеть, или получит доступ к сети непосредственно, то вся информация, передаваемая в переделах сегмента сети, включая пароли, станет доступной ему [40]. Злоумышленник может поставить сетевую карту в режим прослушивания и будет принимать все пакеты независимо от того, ему ли они предназначались.

Несанкционированное прослушивание сети и наблюдение за данными производится при помощи специальной программы — пакетного сниффера, который осуществляет перехват всех сетевых пакетов сегмента, за которым идет наблюдение. Перехваченные таким сниффером данные могут быть использованы злоумышленниками для получения доступа к сервисам системы на правах легального пользователя.

Смоделируем данную атаку с помощью сети Петри-Маркова [19,60,61]. Здесь и далее, если не указано другое, C — хост злоумышленника, A и B — атакуемые хосты. Приведем обозначения элементов сети. Здесь s_i — позиции, t_j — переходы:

s₁ — атакуемые хосты готовы,

s₂ — C физически готов к перехвату трафика (он находится в исследуемом сегменте сети без коммутаторов, анализатор трафика запущен и настроен),

t₁ — передача пакета между A и B, перехват пакета,

s₃ — пакет перехвачен,

t₂ — анализ пакета, извлечение полезных данных,

s₄ — необходимые данные (пароль, имя пользователя) извлечены из пакета.

Вид данной сети представлен на рис. 4.1.

Рис. 4.1. Вид сети Петри-Маркова для внутрисегментного прослушивания трафика

На этой сети позиции не имеют инцидентные дуги, поэтому вероятности перемещения из них в переходы равны единице.

Элементы матрицы, определяющие логические функции срабатывания сети, могут быть записаны (без учета направленности дуг графа) следующим образом:

Поскольку полушаг из перехода в позицию срабатывает мгновенно, то динамика срабатывания сети определяется только вероятностями срабатывания сети (перемещения из состояния в переход) и плотностями распределения времени нахождения процесса в каждом состоянии. Тогда в данной сети достаточно рассмотреть процесс перехода из начального состояния s₁ в конечный переход t₂.

Для данной сети Петри-Маркова имеет место следующая система интегро-дифференциальных уравнений [60,62]:

(4.1)

где f_sitj(t) — плотность вероятности времени перемещения из состояния s_i к переходу t_j,

_sitj(t) — соответствующий закон распределения,

_ij — вероятность срабатывания перехода, причем вероятности срабатывания всех переходов на данной траектории не зависят от времени, вероятность перемещения по всей сети рассчитывается по формуле

d_ij — все полушаги сети.

Полагаем, что плотности распределения вероятностей являются экспоненциальными зависимостями и имеют вид:

f_sitj_ije_ijt, (4.2)

где _ij1/_ij, _ij (i1,…,4; j1,…,3) — средние времена вышеперечисленных действий соответственно.

Согласно предельной теореме, для редеющих событий при последовательном разрежении стационарного ординарного потока результирующий поток с увеличением числа разрежений приближается к простейшему. Таким образом, результирующий поток является экспоненциальным, так как экспоненциальный поток и есть простейший.

Расчет с применением прямого и обратного преобразования Лапласа получается весьма громоздким, поэтому целесообразно применять пуассоновское приближение для плотностей распределения вероятностей времени перемещения в переходы сети Петри-Маркова [3,60,64]. Применяя пуассоновское приближение, получим среднее время  перемещения по сети Петри-Маркова из начальной позиции до конечного перехода и вероятность этого перемещения:

₂₁₃₂,

(4.3)

где исходные параметры атаки принимают следующие значения:

₂₁11,5 с — среднее время запуска и настройки программы-анализатора трафика,

₁₁0,5 с — среднее время передачи достаточного для анализа количества пакетов по сети (например, всех пакетов, содержащих символы пароля сервиса telnet),

₃₂0,1 с — среднее время анализа пакетов и выявления необходимых данных.

Таким образом, среднее время перехода по всей сети есть 11,7 с, а зависимость вероятности реализации атаки от времени приобретает вид, представленный на рис. 4.2.

P(t)1e_t/11,7

P(t)

Рис. 4.2. Зависимость вероятности реализации внутрисегментного прослушивания трафика от времени