Transcript KOMPSAUGA 3.2 - KTU - Kompiuterių katedra

Europos socialinis fondas
KOMPIUTERIŲ IR OPERACINIŲ
SISTEMŲ SAUGA
3. Kompiuterių saugumas
3.2 Kompiuterių tinklų saugumas
Mokomoji medžiaga parengta vykdant ES struktūrinių fondų remtą projektą
INFORMACIJOS SAUGOS STUDIJŲ MODULIŲ RENGIMAS IR
DĖSTYTOJŲ KVALIFIKACIJOS TOBULINIMAS
Sutarties Nr. ESF/2004/2.5.0-03-421/BPD-190 (SFMIS Nr. BPD2004-ESF-2.5.0-03-05/0082)
Kauno technologijos universitetas, 2007
Europos socialinis fondas
Autoriai
doc. Algimantas Venčkauskas
[email protected]
(skirsniai: 0, 1.1, 1.2, 1.4, 2.1, 2.2, 2.3, 2.4, 2.5, 3.2, 3.3)
doc. Eugenijus Toldinas
[email protected]
(skirsniai: 1.3, 3.1, 4.1, 4.2, 4.3)
Kompiuterių katedra
http://www.ifko.ktu.lt/~algvenck/KirOSsauga/
k2007os k2007ossp
2
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Modulio turinys (1)
1. Kompiuterių ir OS saugos pagrindai
1.1 Kas yra kompiuterių sauga?
1.2 Kompiuterių saugos standartai ir įvertinimo kriterijai
1.3 Formalūs kompiuterių saugos modeliai
1.4 Kriptografija ir kriptografijos protokolai
2. Operacinių sistemų sauga
2.1 OS apsaugos mechanizmai
2.2 Prieigos sauga
2.3 Biometriniai prieigos saugumo metodai
2.4 Failų sistemų sauga
2.5 OS saugos auditas, monitoringas











3
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Modulio turinys (2)
3. Kompiuterių sauga
3.1 Duomenų sauga kompiuterinėse laikmenose
3.2 Kompiuterių tinklų sauga
3.3 Rizikos mažinimas
4. Programų sauga
4.1 Programų saugos problemos: kenkėjiškos programos,
piratavimas.
4.2 Programų saugos metodai, buferio perpildymo
problema
4.3 C++ ir .NET sistemos saugos priemonės








4
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Paskaitos tikslai
Išnagrinėti:
 Kompiuterių tinklų saugumo problemas, atakų rūšis ir
priežastis.
 Kompiuterių tinklų apsaugos būdus. Užkardas.
 Užkardų tipus: paketinius filtrus (packet filter); taikomojo
lygio serverius (application gateways, proxy server);
sujungimo lygio serverius (circuit gateways).
 Virtualiuosius privačiuosius tinklus.
 Užkardų realizavimo būdus.
5
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Kompiuterių tinklų saugumo problemos
Šiuo metu labai paplitus kompiuteriams ir iškilus
būtinybei bei atsiradus galimybei jungti vietinius
(lokalius) tinklus prie interneto, tapo labai aktuali vietinių
tinklų saugumo problema.
Viena, reikia apsaugoti vietinius tinklus nuo grėsmių iš
išorės, kita reikia apsaugoti vietinius tinklus ir nuo vidinių
grėsmių – ar tai būtų nelojalūs darbuotojai, ar įsibrovėliai,
kurie jau kažkokiu būdu pateko į vietinį tinklą.


6
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Kompiuterių tinklų saugumo problemos (2)
Todėl čia apžvelgsime vietinių tinklų apsaugą keliais
atžvilgiais:
apsaugą nuo išorinio interneto;
apsaugą nuo vidinių grėsmių;
saugią tinklo architektūrą;
kiekvieno tinklo elemento saugumą.




7
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Pagrindinės atakų rūšys yra šios:
Fizinė ataka – įsibrovėlis turi fizinę prieigą prie
kompiuterio.
Sisteminė ataka – įsibrovėlis jau turi prieigą prie
sistemos (dažniausiai paprasto vartotojo teisėmis) ir,
naudodamasis operacinės sistemos ar programinės įrangos
spragomis, pasididina teises iki administratoriaus teisių.
Nuotolinė ataka – įsibrovėlis jungiasi per tinklą ir bando
pasinaudoti sistemos spragomis, kad įlįstų į sistemos vidų.



8
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Pagrindinės priežastys, kodėl įsilaužėliai gali patekti
į sistemą:
Europos socialinis fondas
Programinės įrangos klaidos (software bugs).
Sistemos konfigūracijos problemos.
Slaptažodžių nulaužimas.
Informacijos „šniukštinėjimas" (sniffing).
Projektavimo trūkumai (design flaws).





9
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Programinės įrangos klaidos (software bugs).

Buferių perpildymas (buffer overflows/underflows).

Netikėtos kombinacijos (unexpected combinations).

Neapdorojami duomenys (unhandled input).

Sinchronizacijos problemos (race conditions, etc.)
10
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Sistemos konfigūracijos problemos.

Numatytoji konfigūracija (default configuration).

Blogas administravimas.

Patikimų ryšių eksploatavimas (trust relationship).
11
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Slaptažodžių nulaužimas.

Silpnieji slaptažodžiai.

Žodyno atakos (dictionary attacks).

Brutalios jėgos atakos (brute force attacks).
12
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Informacijos „šniukštinėjimas" (sniffing).
Pagrindinės priežastys, leidžiančios šniukštinėjimą tinkle,
yra:

Bendroji kolizijų sritis (collision domain).

Serverių šniukštinėjimas.

Atviro teksto protokolai.
13
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Kompiuterių tinklų apsaugos būdai. Užkardos



Užkarda – tai sistema, kuri apsaugo kompiuterį ar vietinį
tinklą nuo išorės, pagal įvairius veiksnius ribojant
prisijungimą.
Ji tarsi atskiria saugomą sistemą nuo nesaugomos.
Užkarda dar vadinama ugniasiene.
14
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Užkardų klasifikavimas




Užkardos klasifikuojamos pagal įvairius požymius:
realizavimo būdą:
 programinės,
 aparatinės;
saugojamo objekto tipą:
 asmeninės,
 dedikuotosios,
 bendrosios;
filtravimo tipą:
 sekančios būseną,
 nesekančios būsenos;
papildomus komponentus:
 gali turėti srauto reguliavimo priemones,
 įvairius proxy servisus,
 7 sluoksnių filtrus ir t. t.
15
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Aparatinės užkardos

Aparatinės užkardos (hardware firewall) suprantamos
kaip dedikuotasis tinklo prietaisas (network appliance),
kuris atlieka jų ir galbūt dar kitas funkcijas.

Aparatinės užkardos turi pranašumų – dažniausiai didesnį
pralaidumą, nes dažnai dalį funkcijų atlieka dedikuotoji
aparatinė įranga; taip pat pasižymi aparatūros patikimumu
ir kompaktiškumu.
16
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Programinės užkardos

Programinės užkardos (software firewall) dažniausiai
suprantamos kaip kompiuteris, kuriame funkcionuoja
patikima tinklinė OS (dažniausiai įvairūs UNIX variantai)
ir programinė įranga, realizuojanti užkardos funkcijas.

Programinės užkardos yra labai lanksčios, universalios,
patikimos, tačiau atsiranda keblumų filtruojant didelius
srautus (100 Mb ar daugiau) – reikia galingų mašinų ir
Intel x86 platforma tam nelabai tinka.
17
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Asmeninės užkardos




Asmeninės užkardos (personal firewall) – tai tam tikra
programinė įranga, veikianti ne dedikuotoje sistemoje, o
asmeniniame kompiuteryje.
Dažnai kombinuojama kartu su antivirusinėmis ir kitomis
potencialiai pavojingo turinio (įvairių skriptų) filtravimo
programomis.
Neatstoja išorinės užkardos ir tik iš dalies sumažina
grėsmes.
Dažniausiai naudojamos MS Windows OS.
18
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Dedikuotosios užkardos

Dedikuotosios užkardos (dedicated firewall) yra
programinės užkardos rūšis.

Dažniausiai tai atskira mašina su programine užkarda, kuri
neatlieka daugiau jokių funkcijų, tik apsaugo tam tikrą
mašiną ar potinklį.
19
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Bendrosios užkardos

Bendrosios užkardos. Tai programinės užkardos kurios
atlieka dar papildomas funkcijas – jose veikia papildomi
servisai.

Šiuo atveju taupomi ištekliai, tačiau sumažėja saugumas –
atsiranda daugiau atakos vektorių.
20
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Užkardos apibrėžimas

Užkarda yra sistema ar sistemų kombinacija, kuri leidžia
suskirstyti tinklą į dvi ar daugiau dalių ir realizuoti tam
tikrą taisyklių rinkinį, apibrėžiantį duomenų paketų
perdavimo sąlygas iš vienos dalies į kitą.

Dažniausiai užkarda įrengiama tarp įmonės vietinio tinklo
ir interneto, nors ji gali būti ir įmonės vietinio tinklo
viduje tarp atskirų potinklių.
21
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Užkardos panaudojimo schema
užkarda
internetas
vietinis tinklas
22
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Užkardas galima suskirstyti į tris tipus:

paketinius filtrus (packet filter);

taikomojo lygio serverius (application gateways, proxy
server);

sujungimo lygio serverius (circuit gateways).
Visi trys tipai gali būti realizuoti ir vienoje užkardoje.
23
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Paketiniai filtrai (packet filter)


Užkardos su paketiniais filtrais priima sprendimą praleisti
paketą ar atmesti analizuodamos IP adresus, vėliavėles
arba TCP prievadų numerius paketo antraštėje.
IP adresas ir prievado numeris – tai atitinkama tinklinio ir
transportinio lygio informacija, bet paketiniai filtrai
naudoja ir taikomojo lygio informaciją t. y. visi TCP/IP
standartiniai servisai asocijuojasi su nustatytu prievado
numeriu.
24
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Paketų filtravimo taisyklių galimas atvaizdavimas
Veiksmas
25
Paketo
tipas
Siuntėjo
adresas
Siuntėjo
prievadas
© A. Venčkauskas, 2007
Gavėjo
adres
as
Gavėjo
prievad
as
Vėliavėlės
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Taikomojo lygio serveriai (proxy server)

Užkardos su taikomojo lygio serveriais naudoja konkrečių
paslaugų serverius – telnet, FTP ir t. t., paleidžiamus
užkardoje ir praleidžiančius pro save visą srautą,
priskiriamą tam tikram servisui.

Taigi tarp kliento ir serverio susidaro dvi sąsajos: nuo
kliento iki užkardos ir nuo užkardos iki paskirties vietos.

Taikomojo lygio protokolų serveriai leidžia užtikrinti ypač
aukštą apsaugos lygį – sąveika su išoriniu pasauliu
realizuojama per nedidelį skaičių taikomųjų programų,
visiškai kontroliuojančių visą įeinantį ir išeinantį srautą.
26
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Jungimosi lygio serveriai (circuit gateways)

Jungimosi lygio serveris veikia kaip TCP jungimosi
transliatorius. Vartotojas su tam tikru nustatytu prievadu
jungiasi prie užkardos, o ši jungiasi su nukreipimo vieta.
Seanso metu šis transliatorius kopijuoja baitus abiem
kryptimis, veikdamas kaip laidas.

Toks serveris leidžia sukurti transliatorių bet kuriam
vartotojo nustatytam servisui, besinaudojančiam TCP
protokolu, valdyti prieigą prie šio serviso ir rinkti
naudojimosi juo statistiką.
27
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Paketinių filtrų pranašumai:

nedidelė kaina;

filtravimo taisyklių nustatymo lankstumas;

didelė greitaveika, maži laiko nuostoliai.
28
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Paketinių filtrų trūkumai:





internete matomas vietinis tinklas;
sudėtingas filtravimo taisyklių aprašymas, reikalingos
labai geros žinios apie TCP ir UDP technologijas;
sutrikus užkardos darbui visi kompiuteriai už jo tampa
visiškai neapsaugoti arba neprieinami;
autentifikavimas naudojant IP adresą, galima apgauti
naudojant kitą IP (atakuojanti sistema prisistato kaip kita
naudojant kitą IP adresą);
vartotojo lygiu autentifikavimas nenaudojamas.
29
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Taikomojo lygio serverių pranašumai:

internete vietinis tinklas nematomas;

sutrikus užkardos darbui, paketai nebepraeina pro užkardą,

kartu neatsiranda grėsmės saugomam tinklui;

autentifikavimas vartotojo lygiu gali būti realizuojamas
kaip skubaus perspėjimo apie įsilaužimą sistema.
30
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Taikomojo lygio serverių trūkumai:

daug didesnė nei paketinių filtrų kaina;

neįmanoma panaudoti RPC ir UDP protokolų;

mažesnis našumas nei paketinių filtrų.
31
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Virtualieji privatieji tinklai


Dalis užkardų leidžia organizuoti virtualiuosius
privačiuosius tinklus (Virtual Private Network, VPN), t. y.
sujungti keletą vietinių tinklų, prijungtų prie interneto, į
vieną virtualųjį tinklą.
VPN leidžia organizuoti vartotojams matomas vietinių
tinklų sąsajas ir išsaugoti perduodamos informacijos
slaptumą ir vientisumą naudojant šifravimą. Tokiu būdu
perduodant internetu informaciją, šifruojami ne tik
vartotojo duomenys, bet ir tinklinė informacija – tinklo
adresai, prievadų numeriai ir t. t.
32
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Užkardų realizavimo būdai





Užkarda gali būti naudojama vietoj išorinio
maršrutizatoriaus
Kelių maršrutizatorių panaudojimas užkardoje
Dviejų sąsajų maršrutizatoriaus naudojimo užkardoje
Užkarda saugo tik dalį vietinio tinklo
DMZ jungimo schema
33
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Užkarda gali būti naudojama vietoj išorinio
maršrutizatoriaus
Europos socialinis fondas
užkarda
internetas
vietinis tinklas
34
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Kelių maršrutizatorių panaudojimo užkardoje
schema
internetas
Europos socialinis fondas
maršrutizatorius
maršrutizatorius
užkarda
vietinis
tinklas
35
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Dviejų sąsajų maršrutizatoriaus naudojimo
užkardoje schema
Europos socialinis fondas
užkarda
internetas
maršrutizatorius
vietinis tinklas
36
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Užkarda saugo tik dalį vietinio tinklo
užkarda
maršrutizatorius
internetas
FTP
serveris
apsaugotas
potinklis
WWW
serveris
vietinis
37
© A. Venčkauskas, 2007
tinklas
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
DMZ jungimo schema
užkarda
maršrutizatorius
internetas
FTP
serveris
WWW
serveris
vietinis tinklas
38
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Santrauka


Šiuo metu labai paplitus kompiuteriams ir iškilus būtinybei bei
atsiradus galimybei jungti vietinius (lokalius) tinklus prie
interneto, tapo labai aktuali vietinių tinklų saugumo problema.
Viena, reikia apsaugoti vietinius tinklus nuo grėsmių iš išorės,
kita reikia apsaugoti vietinius tinklus ir nuo vidinių grėsmių –
ar tai būtų nelojalūs darbuotojai, ar įsibrovėliai, kurie jau
kažkokiu būdu pateko į vietinį tinklą.
39
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Santrauka (2)


Apsauga nuo įsilaužimų. Dauguma atakų vykdoma per tinklą
iš išorės. Todėl vienas iš svarbiausių uždavinių yra apsaugoti
sistemą nuo išorinių grėsmių. Tam naudojamos tiek
programinės, tiek aparatinės priemonės – maršrutizatoriai,
užkardos, įvairios įsilaužimo aptikimo ir prevencijos
sistemos.
Užkarda – tai sistema, kuri apsaugo kompiuterį ar vietinį
tinklą nuo išorės, pagal įvairius veiksnius ribojant
prisijungimą. Užkarda dar vadinama ugniasiene.
40
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Santrauka (3)
Užkardos klasifikuojamos pagal įvairius požymius: realizavimo būdą
– programinės, aparatinės; saugomo objekto tipą – asmeninės,
dedikuotosios, bendrosios; filtravimo tipą – sekančios būseną,
nesekančios būsenos; papildomus komponentus – gali turėti srauto
reguliavimo priemones, įvairius proxy servisus, 7 sluoksnių filtrus ir
t. t.
Užkardas galima suskirstyti į tris tipus:
 paketinius filtrus (packet filter);
 taikomojo lygio serverius (application gateways, proxy server);
 sujungimo lygio serverius (circuit gateways).
 Visi trys tipai gali būti realizuoti ir vienoje užkardoje.

41
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Mokymosi medžiaga

http://www.ifko.ktu.lt/~algvenck/KirOSsauga/:
 Teorinė medžiaga - Mokomoji knyga,
 Laboratorinių darbų medžiaga, ten yra ir referatų temos,
 Pateiktys.
42
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Literatūra






BISHOP, Matt. Computer Security: Art and Science. Addison Wesley
Professional, 2002.- 1136 p. ISBN-10: 0-201-44099-7; ISBN-13: 978-0-20144099-7
BARRETT, Daniel J; SILVERMAn, Richard E.; BYRNES, Robert G. Linux
Security Cookbook. Oreilly, 2003. - 334 p
BOSWORTH, Seymour (Editor); KABAY, M. E. (Editor). Computer Security
Handbook, 4th Edition. Wiley, 2002. – 1224 p. ISBN: 978-0-471-41258-8
DANSEGLIO, Mike; ALLEN, Robbie. Windows Server 2003 Security
Cookbook Security Solutions and Scripts for System Administrators. Oreilly,
2005. – 520p.
PRESTON, W. Curtis. Backup & Recovery. Oreilly, 2007. - 760 p.
SZOR, Peter. Art of Computer Virus Research and Defense. Addison Wesley
Professional, 2005. – 744 p. ISBN-10: 0-321-30454-3; ISBN-13: 978-0-32130454-4
43
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Papildoma literatūra



PIPKIN, Donald L. Information security: protecting the global enterprise.
Prentice Hall, 2000. - 364 p. ISBN 0-13-017323-1
TANENBAUM, Andrew S. Modern Operating Systems, 2/E. Prentice Hall,
2001 - 976 p. ISBN-10: 0130313580; ISBN-13: 9780130313584
CARRIER, Brian. File System Forensic Analysis. Addison Wesley
Professional. 2005.- 6000 p. ISBN-10: 0-321-26817-2; ISBN-13: 978-0-32126817-4
44
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas
Europos socialinis fondas
Ačiū už dėmesį
Klausimai...
45
© A. Venčkauskas, 2007
Kompiuterių ir operacinių sistemų sauga | Kompiuterių tinklų saugumas