Сложностные характеристики статистических скрытых каналов Автор: Свинцицкий Антон Игоревич Факультет вычислительной математики и кибернетики Московского Государственного Университета им. М. В. Ломоносова Научный руководитель: д.ф.-м.н. Грушо Александр Александрович 25 сентября 2012 года

1.Анализ и классификация существующих моделей скрытых каналов передачи данных в компьютерных системах. 2.Постановка задачи. 3.Модель статистического скрытого канала и ее свойства. 4.Практические аспекты, связанные с существованием скрытых каналов в компьютерных системах План презентации

Анализ и классификация существующих моделей скрытых каналов

Определение (Lampson B.W. A note of the Confinement Problem): Скрытый канал - канал связи (коммуникационный канал) изначально не предназначенный для передачи информации, нарушающих установленную политику информационной безопасности. Анализ и классификация

Основные классы скрытых каналов (традиционное разделение): 1.Скрытые каналы по памяти. 2.Скрытые каналы по времени. 3.Статистические скрытые каналы. Анализ и классификация

Анализ современных моделей скрытых каналов позволяет выделить следующие классы (практическая классификация): 1.Стеганографические скрытые каналы. 2.Статистические скрытые каналы. Анализ и классификация

Общая схема скрытого канала Стеганографические скрытые каналы

Стеганографические скрытые каналы в современных сетевых протоколах Протокол IP (заголовок) Протокол DNS (DNS запросы)

Стеганографический скрытый канал в протоколе DNS

Протокол HTTP (использование get запросов) Использование «cookies» Стеганографические скрытые каналы в современных сетевых протоколах

Использование «cookies» Стеганографические скрытые каналы в современных сетевых протоколах

Использование перестановок

Статистические скрытые каналы. Примеры

1.Скрытые каналы существуют практически в любом протоколе сетевого взаимодействия. 2.Скрытые каналы представляют для нарушителем возможности получения доступа к информационным активам компании. 3.Стеганографические скрытые каналы наиболее исследованы в отечественной и зарубежной литературе. Выводы

Выводы. Сравнение скрытых классов скрытых каналов

Постановка задачи

Необходимо описать модель статистического скрытого канала передачи информации, для обеспечения передачи информационных активов из защищаемого сегмента корпоративной сети на сервер нарушителя (злоумышленника), расположенный в сети Интернет. Постановка задачи

Модель статистического скрытого канала и ее свойства

Описание модели

Оценка параметров модели

Передача k бит информации

Пропускная способность статистического скрытого канала

Защита от скрытого канала

Использование модели на разных уровнях модели OSI

Практические аспекты, связанные с существованием скрытых каналов в компьютерных системах

Протокол синхронизации времени

Возможные ошибки при передаче пакетов: 1.Лишние пакеты, обладающие свойства «меток» синхронизации. 2.Ошибки, связанные с задержкой сетевых пакетов на узлах компьютерной сети. 3.Ошибки, связанные с отбрасыванием пакетов на узлах компьютерной сети. Протокол синхронизации времени. Исправление ошибок

Протокол синхронизации времени.

1. Исполняемый код. Основная задача исполняемого кода состоит в интерпретации стандартных потоков входа/выхода консоли (stdin/stdout) [92], в которой работает cmd.exe в последовательность DNS- запросов Модель скрытого канала под ОС Windows.

2. Модуль состояния. Основная задача состоит в реализации протокола жизни, который мог бы передать информацию на сервер управления о состоянии модуля управления Модель скрытого канала под ОС Windows.

3. Транспортный модуль. Основная задача транспортного модуля состоит в построение доверенного соединения с сервером управления с использованием протокола UDP Для этого используются уникальные идентификаторы (ID), которые получаются с помощью стандартных вызовов в операционной системе Windows: A=GetUserName () – функция, возвращающая имя пользователя, от имени которого запущен модуль удаленного управления; B=GetComputerName () – функция, возвращающая NetBIOS имя узла корпоративной информационной системы, на котором запущен модуль удаленного управления; ID=Hash(A+B) – функция, реализующая получения хэш-значения по описанному алгоритму (может использоваться любой алгоритм, например MD5 Модель скрытого канала под ОС Windows.

4. Операционная система В операционной системе используется встроенный сервис svchost.exe/resolver Используются стандартные WinAPI: GetHostByName (); DnsQuary (); IcmpSendEcho (); IcmpSendEcho2Ex (). Модель скрытого канала под ОС Windows.

Основными задачами, которые реализует сервер управления, являются: получение DNS-запросов по порту 53/udp; разворачивание/сворачивание команд и(или) результатов выполнения таких команд в DNS- запросы/DNS-ответы. Модуль парсер предназначен для интерпретации полученной последовательности UDP-пакетов в выход stdout для каждого уникального ID Модель скрытого канала под ОС Windows.

Общая схема оценки возможности существования скрытых каналов в компьютерных системах Оценка возможности существования скрытых каналов

Типы скрытых каналов: 1.Стеганографический 2.Статистический Оценка возможности существования скрытых каналов

Уровень реализации скрытого канала: уровень передачи данных; сетевой уровень; транспортный уровень; уровень прикладного программного обеспечения (прикладной уровень). Оценка возможности существования скрытых каналов

Априорные меры обеспечения информационной безопасности, которые могут влиять на возможность существования скрытых каналов: использование средств защиты от вредоносного программного обеспечения; использование средств анализа защищенности узлов корпоративной информационной системы; использование межсетевых экранов; использование средств мониторинга и контроля сетевого трафика; использование механизмов прокси- серверов для предоставление доступа к сетями общего доступа; обучение работников вопросам обеспечения информационной безопасности. Оценка возможности существования скрытых каналов

Апостериорные меры обеспечения информационной безопасности, которые могут влиять на возможность существования скрытых каналов: использование средств мониторинга и корреляции событий информационной безопасности; Оценка возможности существования скрытых каналов

Описание Вероятность возникновения (существования) скрытых каналов низкая Вероятность возникновения (существования) скрытых каналов средняя Вероятность возникновения (существования) скрытых каналов высокая

Оценка возможности существования скрытых каналов

0123 Неактуально Актуально Неактуально Актуально НеактуальноАктуально Оценка возможности существования скрытых каналов

Спасибо за внимание Вопросы?