Безопасность с ClamAV

Безопасность с ClamAV

Не секрет, что для использования в корпоративной среде нужно обязательно иметь антивирус. Конечно есть и более полезные с точки зрения ИБ меры и средства, такие как регулярное проведение анализа защищенности всех ПК и серверов (Patch management), отсутствие административных полномочий на всех ПК пользователей. И тем не менее, без антивируса сегодня никуда.

В настоящее время бесплатных и/или свободных антивирусов достаточное количество. Однако среди них есть только три, которые могут быть использованы в корпоративной среде. Один из них ClamAV.

Основное назначение данного продукта - сетевые и почтовые шлюзы. Программное обеспечение шлюза, должно осуществлять вызовы антивирусного сканера для сканирования каждого проходящего файла.

Антивирус ClamAV, как известно, не содержит в себе антивирусного монитора, который в автоматическом режиме осуществляет вызовы сканера при обращениях к файлам. Это означает, что каждый подозрительный файл нужно в ручном режиме проверять на вирусы, после чего использовать. Стоит ли говорить об удобности для конечного пользователя?

Для того, чтобы компенсировать отсутствующий функционал, существует несколько внешних мониторов. По информации с форума http://forum.ru-board.com есть следующие мониторы (привожу неизменые комментарии с форума):

Bilirafon-AV. Это нечто очень странное и весьма ненадежное, как я понимаю. Он просто меняет ключики в реестре, и при попытке запустить какую-либо программу сперва запускается сам.
Tech-Protect. Облазил весь инет, замучил Гугля, но так и не нашел, где его можно скачать. Если у кого-то есть - большая просьба, поделитесь, пожалуйста. Ну и заодно - как он в работе, действительно ли лучше других мониторов для ClamAV?
WinPooch. Несовместим с WinXP SP3
Moon Secure AV. Пока оставил именно его. Интерфейс, конечно, потрясает Ну хоть EICAR'а ловит стабильно. (Хотя, нет, не очень стабильно - позволяет копировать eicar в буфер обмена и вставлять в другую папку. Но выполнить все-таки не дает.)
Spyware Terminator. Поставил, попробовал, удалил. Как-то хитрО там все с настройками, да и как заставить его обновляться просто по сети - совершенно неясно. Если кто-то его пользует - поделитесь опытом, как его настраивать и обновлять в сетке на несколько машин? И, кстати, EICAR он у меня ловил не всегда - в каких-то случаях позволял eicar.com выполниться.
ClamRT. Проект заморожен в 2005 году, судя по датам дистрибутивов на SourceForge.

Таким образом, можно считать, что есть большие проблемы с наличием свободного и стабильно работающего монитора, «идущего в ногу» с самим антивирусом. Привожу скриншот одного из таких мониторов.

 В качестве тестирования используем ОС Windows 7 с установленными последними обновлениями и последней версией антивируса ClamWin 0.96.2.

Скачиваем тестовый вирус EICAR и пытаемся его запустить. При попытке запуска, как и следовало ожидать, антивирус его не заметил, а вот встроенный в ОС Windows Защитник (Defender) его сразу заметил и предложил удалить.

Для тестирования антивируса пришлось отключить Windows Defender и просканировать тестовый вирус. Антивирус ClamAV сразу определил тестовый вирус.

 Результаты сканирования заносятся в лог в текстовом виде.

 Недавно появился новый «обвес» для антивируса ClamAV -  ClamAV for Windows 2.0, производимый компаниями Immunet Corporation и Sourcefire, Inc. Данный антивирус имеет две версии: Free и Plus. Plus отличается расширенными возможностями по сканированию файлов при недоступности своего «облачного» ресурса, поддерживает сканирование USB носителей и почтовых баз, поддерживает архивы и установочные (сжатые) файлы, а также обладает расширенными функциями по автоматизации. Обе версии имеют в своем составе монитор, столь необходимый конечному пользователю.

 По информации с сайта http://www.antivirus.ru, по состоянию на октябрь 2009 года, рейтинг антивируса ClamAV – 13, а занимает он лишь 33 место.

Вывод: в настоящее время не существует свободного и полностью работоспособного монитора для антивируса ClamAV, сам же антивирус ClamAV кроссплатформенный и работоспособный, однако эффективность его невысока. Антивирус ClamAV адекватно логирует события, что позволяет удаленно управлять им и разбирать логи (parsing) при создании каких-либо дополнительных средств ИБ.

Безопасность протокола ARP

Безопасность протокола ARP

        На сайте компании http://www.redline-software.com размещен цикл статей, посвященных сетевым атакам. Одна из этих атак, относящихся к типу Man-in-the-Middle – ARP Cache Poisoning. Повторим её в лабораторных условиях, согласно описанию с сайта.

        Делаем тестовую сеть, состоящую из маршрутизатора, ПК злоумышленника и ПК жертвы. ПК подключаются через коммутатор в сеть, через маршрутизатор осуществляется доступ в Интернет.

        Фиксируем исходные данные сетевых интерфейсов, выполнив команду ARP –A на каждом ПК.

Маршрутизатор – IP 192.168.0.1 MAC 00-1b-11-fb-34-ec

ПК злоумышленника – IP 192.168.0.2 MAC 00-1b-fc-8c-b1-74

ПК жертвы – IP 192.168.0.3 MAC b4-82-fe-70-e5-4f

Далее скачиваем и устанавливаем ПО Cain & Abel c сайта http://www.oxid.it. 

 Выбираем нужный интерфейс

Сканируем сеть для определения присутствующих хостов

 Выбираем жертву (в моём случае компьютер Samsung)

 И запускаем процесс «отравления» ARP кеша.

Смысл атаки заключается в постоянной подмене MAC адреса хоста, обладающего IP адресом 192.168.0.1 MAC адресом злоумышленника 00-1b-fc-8c-b1-74.

После того, как атака «включена» трафик начинает перенаправляться через ПК злоумышленника. Для подтверждения этого достаточно на ПК жертвы проявить какую-нибудь активность, например, зайти на какой-нибудь web-сайт. Все http запросы начинают отображаться в окне программы Cain & Abel на ПК злоумышленника, по которым легко установить сетевую активность, используя общедоступный DNS сервер.

Методы защиты:

• Фиксация соответствий между IP и MAC адресами на каждом ПК сети при помощи скриптов из команд “ARP –s <IP address> <MAC address>”.
•  Контроль соответствия сетевых пакетов при помощи ПО класса HIPS на каждом ПК сети.
• Контроль соответствия таблиц коммутации на уровне сетевых коммутаторов.

Комплексная безопасность

Комплексная безопасность

Часто при попытках объяснить необходимость повышения уровня информационной безопасности компании приходится слышать тезис о том, что всё равно останется какой-нибудь другой способ, осуществить утечку информации. Попробуем разобраться в этом!

Посмотрим данные с сайта компании «Периметрикс» о способах осуществления утечек за 2007-2008 годы. Очевидно, опрос проводился с возможностью выбирать 2 наиболее актуальных технологии для осуществления утечки информации. Действительно, самые популярные ответы это мобильные носители (флешки) и электронная почта.

После перевода показанных данных в вероятности (при помощи поправочного коэффициента) получаем распределение вероятностей по видам утечек информации.

Мобильные накопители	70 %	0,350
Электронная почта	52 %	0,260
Интернет (веб-почта, форумы)	33 %	0,165
Печатающие устройства	23 %	0,115
Интернет-пейджеры	13 %	0,065
Фото-принадлежности	1 %	0,005
Другое	7 %	0,035
Итого		1

Существует два основных подхода к перекрытию какого-либо исходящего информационного канала: на уровне прав доступа и на уровне анализа контекстной информации, причем второй способ может быть расширением первого. Но сейчас не об этом.

Давайте представим, что мы перекрыли любым из вышеприведенных способов возможность утечек по средствам мобильных накопителей. Что произойдет в данном случае? Утечки прекратятся? Нет и еще раз нет. Останутся все другие способы, причем вероятности их использования возрастут, пропорционально вероятности каждого оставшегося способа. Таким образом, вероятность 0,350 «размажется» по всем остальным не равномерно, а с учетом их каждого веса. Покажу это на примере таблицы.

Мобильные накопители	0,350	-
Электронная почта	0,260	0,403
Интернет (веб-почта, форумы)	0,165	0,256
Печатающие устройства	0,115	0,178
Интернет-пейджеры	0,065	0,101
Фото-принадлежности	0,005	0,008
Другое	0,035	0,054
Итого	1	1

Теперь давайте перекроем утечки по электронной почте. Что мы получим в итоге? Да всё, то же самое. Вероятность 0,403 также «размажется по всем остальным, также с учетом каждого веса. Также покажу это на примере таблицы.

Мобильные накопители	0,350	-	-
Электронная почта	0,260	0,403	-
Интернет (веб-почта, форумы)	0,165	0,256	0,343
Печатающие устройства	0,115	0,178	0,239
Интернет-пейджеры	0,065	0,101	0,101
Фото-принадлежности	0,005	0,008	0,010
Другое	0,035	0,054	0,054
Итого	1	1	1

Можно сделать вывод, что, несмотря на перекрытие актуальных каналов утечек, вероятность утечек не уменьшается, а всегда равна единице. На самом же деле если перекрыть все «популярные» каналы, то вероятность использования оставшихся существенно уменьшается. Противоречие здесь кроется в понимании термина вероятность. Под вероятностью в области оценки рисков понимается количество попыток осуществления утечек в единицу времени. То есть когда мы перекроем все популярные каналы, не забыв про организационные меры, количество попыток использовать оставшиеся существенно уменьшится, так как осуществить каждую из оставшихся возможностей станет гораздо сложнее.

• Probability – вероятность. Классический математический термин.
• Likelihood – вероятность. Удельное количество попыток какого-либо действия.

Можно сделать справедливый вывод о том, что понятие информационной безопасности есть понятие комплексное и поэтому показатели ИБ можно считать относительными, а их понижение может быть лишь следствием фрагментарной ликвидации каналов или некоторых способов утечки.

Виртуальная безопасность

Виртуальная безопасность

До виртуализации

В лучшем случае до «эпохи» виртуализации каждый сервер выполнял какую-нибудь единственную бизнес- или инфраструктурную роль. В худшем случае, если таких задач было несколько, инфраструктурные и бизнес-функции были совмещены на одном оборудовании, и это особенно плохо сказывалось на надежности сервисов.

Применение виртуализации

Теоретически технологии виртуализации призваны отделить задачи друг от друга, в том числе задачи бизнес уровня от уровня инфраструктуры. Более того, хорошим тоном в части обеспечения высоких показателей надежности является выполнение (размещение) лишь единственной задачи на каждом виртуальном сервере. Именно так и рекомендует поступать компания Microsoft. Недостатком такого подхода является большое количество необходимых дополнительных лицензий на серверные операционные системы.

Далее рассмотрим несколько таблиц, из которых станут ясны как достоинства, так и недостатки технологии виртуализации, а также риски информационной безопасности и технологии защиты среды виртуализации и самих виртуальных машин.

Плюсы и минусы виртуализации

Плюсы виртуализации	Минусы виртуализации
Большее количество ВМ на том же количестве физических серверов	Выход из строя физического сервера делает недоступным сразу несколько ВМ
Простое разворачивание ВМ из шаблонов	Общее падение быстродействия при загрузке дисковой подсистемы какой-либо ВМ
Возможность клонирования ВМ
Возможность миграции ВМ между физическими серверами и/или эвакуации ВМ на другие сервера
Быстрое восстановление ВМ после сбоев оборудования
Возможность централизованного управления ВМ
Возможность резервного копирования на уровне ВМ
Экономия места в коммутационных шкафах и стойках серверной
Снижение уровня потребления электроэнергии, уровня шума, тепловыделения оборудования и т.д.

Изменение рисков при использовании виртуализации

Уменьшение рисков	Увеличение рисков
Риск зависимости программной части сервера от работоспособности физического сервера	Риск потери доступности при выходе из строя физического сервера
Риск простоя переведенных на ВМ серверов	Риск уничтожения всех ВМ при выходе из строя дисковой подсистемы
	Риск утечки данных вместе с ВМ
	Риски хранения конфиденциальных данных вместе с обычными данными
	Риски сетевого взаимодействия ВМ, не выходящие за пределы физического сервера

Как видно из приведенных выше таблиц у технологии виртуализации есть много преимуществ в сравнении с классической ИТ-инфраструктурой, однако данная технология приводит к увеличению рисков ИБ.  Для «парирования» рисков ИБ должны применяться как общепринятые методы, так и применимые только к среде виртуализации. Далее будут показаны методы обеспечения безопасности, как среды виртуализации, так и самих ВМ.

Методы защиты физических и виртуальных машин

Методы защиты физического сервера

Бесперебойное обеспечение электропитанием

Защита хостовой ОС

Защита гипервизора

Защита сервера управления

Защита консоли управления

Разграничение доступа к каждой ВМ

Разграничение ресурсов для каждой ВМ

Защита ВМ друг от друга

Обеспечение безопасности трафика между компонентами среды виртуализации

Общие методы защиты

Доверенная загрузка ОС

Разграничение доступа

Регистрация и учет

Антивирусная безопасность

Межсетевое экранирование

Анализ защищенности

Предотвращение вторжений

Контроль портов и интерфейсов

Криптозащита (при необходимости, как функциональная и обеспечивающая составляющие)

Методы защиты виртуальной машины следуют из общих методов защиты, а также:

Контроль целостности каждой ВМ

Защита от возможных целевых атак на гипервизор, хостовую ОС, сервер управления, консоль управления.