Безопасность информационных систем в современном мире

Безопасность Безопасность информационных систем в информационных систем в

современном миресовременном мире

Андрей КрючковАндрей Крючков[email protected]@microsoft.com

О чем мы сегодня О чем мы сегодня поговоримпоговорим Почему вопросам безопасности Почему вопросам безопасности

уделяется большое вниманиеуделяется большое внимание Основные источники угроз Основные источники угроз

информационным системам и информационным системам и методы борьбы с нимиметоды борьбы с ними

Стратегия Стратегия Microsoft Microsoft в области в области обеспечения безопасностиобеспечения безопасности

Продукты и технологии Продукты и технологии Microsoft Microsoft для управления безопасностьюдля управления безопасностью

БезопасностьБезопасность

Почему вопросам Почему вопросам безопасности уделяется безопасности уделяется большое вниманиебольшое внимание

Когда-то очень давно Когда-то очень давно жизнь была гораздо жизнь была гораздо прощепроще

«Большие ЭВМ»«Большие ЭВМ» Доступ с Доступ с

терминаловтерминалов ““Стеклянный домСтеклянный дом”” Физическая Физическая

безопасность, безопасность, ограниченный ограниченный доступдоступ

Потом стало чуть Потом стало чуть сложнее, но все равно сложнее, но все равно достаточно просто…достаточно просто…

Клиент-СерверКлиент-Сервер Компьютеры Компьютеры

объединены в ЛВСобъединены в ЛВС Серверы печати и Серверы печати и

файлыфайлы Ограниченный доступ Ограниченный доступ

извнеизвне

Но сегодня Но сегодня ““Мы уже Мы уже более не в Канзасе, более не в Канзасе, ТотоТото”*…”*…

Когда мир Когда мир становится становится сложным и сложным и большим…большим…

Пришел Пришел ИнтернетИнтернет Всегда включеноВсегда включено Почта, Почта,

сообщениясообщения ВебВеб

ИнтернетИнтернет

**Прошу прощения у Прошу прощения у L. Frank Baum “The Wizard of Oz”L. Frank Baum “The Wizard of Oz”

Что говорят фактыЧто говорят факты

ХакерыХакеры 44% Веб-узлов были атакованы при 44% Веб-узлов были атакованы при

наличии межсетевых экрановналичии межсетевых экранов Внутренние нарушителиВнутренние нарушители

до 80% взломов происходит “изнутри”до 80% взломов происходит “изнутри” Отказ в обслуживанииОтказ в обслуживании

2000 г.: Yahoo, CNN, Amazon2000 г.: Yahoo, CNN, Amazon Вирусные атакиВирусные атаки

I love You: ущерб составил до 1 млрд. I love You: ущерб составил до 1 млрд. дол.дол.

Source : CSC Peat MarwickPublished October 2000.

Определение Определение безопасностибезопасности??Что защищеноЧто защищено??От кого защищеноОт кого защищено??От чего защищеноОт чего защищено??Как долго защищеноКак долго защищено??ПримерПример: : Интернет-банк может быть Интернет-банк может быть защищен от подложенной бомбы, но защищен от подложенной бомбы, но насколько он защищен от насколько он защищен от работающего в нем программиста с работающего в нем программиста с криминальными наклонностямикриминальными наклонностями??Нельзя говорить о безопасности Нельзя говорить о безопасности не определяя контекст самого не определяя контекст самого слова защитаслова защита

Реальна ли угрозаРеальна ли угроза??

0

10000

20000

30000

40000

50000

60000

70000

80000

1995 1996 1997 1998 1999 2000 2001 2002*

Уязвимости Инциденты

По данным http://www.cert.org/stats

* 2002 данные по третий квартал

Рост числа угрозРост числа угроз

Безопасность сегодняБезопасность сегодня Обеспечение безопасности - это Обеспечение безопасности - это

процесс управления рисками (через процесс управления рисками (через управление людьми и средствами управление людьми и средствами защиты)защиты)

Системы безопасности включаютСистемы безопасности включают:: ЛюдейЛюдей ( (культура и знаниякультура и знания)) ПроцессыПроцессы ( (процедуры, регламенты, процедуры, регламенты,

правилаправила)) ТехнологииТехнологии ( (технические средства защитытехнические средства защиты))

Надежность одного элемента защиты Надежность одного элемента защиты не обеспечивает безопасности системы не обеспечивает безопасности системы в целомв целом

Технологии не являются единственным Технологии не являются единственным и достаточным решениеми достаточным решением

Круговорот не имеет концаКруговорот не имеет конца

Дизайн Дизайн продуктапродукта

Новые Новые угрозыугрозы

ПроцессПроцесс: : ОбнаружитьОбнаружить, , РазработатьРазработать

На будущееНа будущее::ВключитьВключитьв новый в новый продуктпродукт

ОбновлениеОбновление: : ДоставитьДоставить

Модель появления новых угроз развивается в Модель появления новых угроз развивается в соответствии законам Мура и Меткалфасоответствии законам Мура и Меткалфа

Программисты тоже люди и им тоже свойственно ошибатьсяПрограммисты тоже люди и им тоже свойственно ошибаться

ЛюдиЛюди

Процесс

Процесс

Техн

олог

ии

Техн

олог

ии

ТехнологииТехнологии, , ПроцессПроцесс, , ЛюдиЛюдиЧто бросает вызов безопасностиЧто бросает вызов безопасности?? В продуктах не В продуктах не хватает функций хватает функций для безопасностидля безопасности

Продукты Продукты содержат ошибкисодержат ошибки

Многие проблемы Многие проблемы не решают не решают техническими техническими стандартамистандартами

Сложно Сложно поддерживать поддерживать современное современное состояниесостояние

Неверное Неверное распределение ролей и распределение ролей и ответственностиответственности

Отсутствие аудита, Отсутствие аудита, мониторингамониторингаи реагированияи реагирования

Отсутствие процедур Отсутствие процедур поддержания системы в поддержания системы в актуальном актуальном состояниисостоянии

Недостаток знанийНедостаток знаний Недостаток ответственностиНедостаток ответственности Человеческие ошибкиЧеловеческие ошибки

Уровень безопасности,Уровень безопасности,цена или функционал?цена или функционал? Всегда есть баланс междуВсегда есть баланс между

безопасностью, ценой решениябезопасностью, ценой решенияи функционалом (удобствои функционалом (удобствоиспользования, производительность)использования, производительность)

Определите адекватную степень Определите адекватную степень безопасностибезопасности:: Угрозы с которыми вы сталкиваетесьУгрозы с которыми вы сталкиваетесь Степень риска с которой можно житьСтепень риска с которой можно жить Стоимость ваших данныхСтоимость ваших данных

Не забудьте посчитать стоимость Не забудьте посчитать стоимость административных затрат и стоимость потерь административных затрат и стоимость потерь от потери удобства использования и от потери удобства использования и производительностипроизводительности

Абсолютная безопасность недостижимаАбсолютная безопасность недостижима В идеалеВ идеале::

Только те, кому это положено получают доступ к Только те, кому это положено получают доступ к нужной им информации в любое время с нужной им информации в любое время с максимальной производительностью с максимальной производительностью с минимальными затратамиминимальными затратами

Безопасность

Фун

кцииЦ

ена

Объекты для защитыОбъекты для защиты

ДанныеДанные Номера кредитокНомера кредиток Маркетинговые Маркетинговые

планыпланы Исходные кодыИсходные коды Финансовую Финансовую

информациюинформацию

СервисыСервисы Веб узлыВеб узлы Доступ в Доступ в

ИнтернетИнтернет Контроллеры Контроллеры

доменовдоменов ERPERP системы системы

СетиСети ЛогиныЛогины Платежные Платежные

транзакциитранзакции ПочтаПочта

Из чего состоит атакаИз чего состоит атакаУгрозаУгроза + + МотивМотив + + МетодМетод + + УязвимостьУязвимость = = АТАКААТАКА!!

Политикибезопасност

и доступа

Уязвимости

Сеть

Хорошие политики могутостановить некоторые

типы атак

Плохаяполитика

безопасности позволяет

пройтизащиту

Отсутствие политикбезопасности очень опасно

Безумысла

Угрозы сумыс-лом

Природ-ный ка-таклизм

Мотивыи цели

Методыи инстр-ументы

Методыи инстр-ументы

Методыи инстр-ументы

Рассмотрим по Рассмотрим по отдельностиотдельности Основные источники угроз для Основные источники угроз для

информационных систем и как с информационных систем и как с ними бороться ними бороться

МотивыМотивы МетодыМетоды УязвимостиУязвимости

Факторы угроз

Человек Природа

Умышленные Неумышленные

Ошибкипользователей

Внешние:хакеры,

преступники,конкуренты,государство

Внутренние:«Обиженные»

сотрудники

Наводнение,пожар,

землетресение,ураган,вулкан

Источники угрозИсточники угроз

Ошибка обычного пользователя может быть фактором Ошибка обычного пользователя может быть фактором опасности и планировать защиту от ошибок нужно так опасности и планировать защиту от ошибок нужно так же, как и защиту от хакеровже, как и защиту от хакеров

Существуют подходы к решению задач борьбы с Существуют подходы к решению задач борьбы с отказами технических средств и природными отказами технических средств и природными катаклизмами, но данные вопросы лежат вне катаклизмами, но данные вопросы лежат вне сегодняшней темысегодняшней темы

Рассмотрим по Рассмотрим по отдельностиотдельности Угрозы Угрозы Мотивы, которые толкают людей Мотивы, которые толкают людей

на преступлениена преступление МетодыМетоды УязвимостиУязвимости

Какие мотивыКакие мотивы??ЛичныеЛичные СамоутверждениеСамоутверждение Политические Политические

заявления или заявления или терроризмтерроризм

ШуткаШутка Просто потому что Просто потому что

могумогу

КорыстныеКорыстные Украсть информациюУкрасть информацию ШантажШантаж Финансовые махинацииФинансовые махинации

ХулиганствоХулиганство Изменение, уничтожение Изменение, уничтожение

или повреждение или повреждение информацииинформации

Отказ в обслуживанииОтказ в обслуживании Порча общественного Порча общественного

имиджа компанииимиджа компании

Портрет хакераПортрет хакера??

Типичный стереотипТипичный стереотип:: Тинэйджер или молодой человек Тинэйджер или молодой человек

около двадцати летоколо двадцати лет Собственная субкультура и Собственная субкультура и

сообществосообщество Много времени, но мало денегМного времени, но мало денег Узкий крут настоящих Узкий крут настоящих

специалистов -- разработчиков специалистов -- разработчиков утилит, знаний и руководств по утилит, знаний и руководств по взломувзлому

Большинство пользуются Большинство пользуются готовыми скриптами «готовыми скриптами «script script kiddieskiddies»»

Престиж среди своихПрестиж среди своих Мотивация скорее личное Мотивация скорее личное

любопытство нежели корыстьлюбопытство нежели корысть Плюс к этому хакером может Плюс к этому хакером может

стать: «обиженный» стать: «обиженный» сотрудник, конкурент, сотрудник, конкурент, обычный преступник, кибер-обычный преступник, кибер-террористтеррорист

Рассмотрим по Рассмотрим по отдельностиотдельности Угрозы Угрозы МотивыМотивы Методы используемые для Методы используемые для

осуществления атакосуществления атак УязвимостиУязвимости

Методики атак Методики атак (нарушений)(нарушений)

Подбор/взлом паролейПодбор/взлом паролей ВирусыВирусы Троянские кониТроянские кони ЧервиЧерви Атаки на отказ в Атаки на отказ в

обслуживанииобслуживании Подмена адреса Подмена адреса E-mail E-mail Перлюстрация Перлюстрация E-mail E-mail

Проигрывание записи сетевых Проигрывание записи сетевых пакетовпакетов

Модификация перехваченных Модификация перехваченных сетевых пакетовсетевых пакетов

Просмотр сетевого трафикаПросмотр сетевого трафика Методы социальной инженерииМетоды социальной инженерии Атаки по сетиАтаки по сети Подмена сетевых адресовПодмена сетевых адресов Перехват сессийПерехват сессий

Существует огромное количество разно-образных методов осуществления атак.На слайде наиболее часто встречающиеся.

Рассмотрим по Рассмотрим по отдельностиотдельности Угрозы Угрозы МотивыМотивы МетодыМетоды Уязвимости и из причиныУязвимости и из причины

Что такое уязвимостьЧто такое уязвимость??

Ошибки проектированияОшибки проектирования(продукты не имеют встроенных(продукты не имеют встроенныхзащитных механизмов)защитных механизмов)

Ошибки реализации Ошибки реализации (программы содержат ошибки)(программы содержат ошибки)

Ошибки при эксплуатации (многие Ошибки при эксплуатации (многие бреши не могут быть закрыты с бреши не могут быть закрыты с помощью технологиипомощью технологии

«Трещины в крепостной

стене»

УязвимостьУязвимость (слабость)(слабость) – – любая характеристика или свойство любая характеристика или свойство информационной системы, информационной системы, использование использование которой нарушителем может которой нарушителем может привести к реализации угрозыпривести к реализации угрозы

Комплекс защитных мерКомплекс защитных мер

Данные

Сервисы Сети

Предупреждение

Обнаруж

ение

Реакц

ия

Технологии

План-ие, политики

& процедуры

Чел

овеч

ески

й ф

акто

р

Комплекс защитных мер Комплекс защитных мер ПредупреждениеПредупреждение Предотвращение проблем до их Предотвращение проблем до их

проявленияпроявления Проактивный подход к работе над Проактивный подход к работе над

проблемамипроблемами Защита от атак (нарушений), Защита от атак (нарушений),

которые можно предсказатькоторые можно предсказать Технологии (средства защиты) Технологии (средства защиты)

наиболее полезны на данном этапе наиболее полезны на данном этапе защиты защиты

ПримерПример: : Пользователь должен Пользователь должен пользоваться магнитной карточкой пользоваться магнитной карточкой чтобы попасть в офисчтобы попасть в офис

Предупреждение

Комплекс защитных мер Комплекс защитных мер ОбнаружениеОбнаружение Обнаружить атаки через бреши в Обнаружить атаки через бреши в

защите, которые не смогли заранее защите, которые не смогли заранее перекрытьперекрыть

Оценка известных и неизвестных Оценка известных и неизвестных проблем и брешей в безопасностипроблем и брешей в безопасности

Может работать как реакция на Может работать как реакция на событие или быть проактивной событие или быть проактивной Технологии обнаружения атак могут Технологии обнаружения атак могут сильно помочь, но этот этап требует сильно помочь, но этот этап требует повышенного интеллектуального повышенного интеллектуального потенциалапотенциала

Важно документировать все действия,Важно документировать все действия,чтобы в дальнейшем обоснованночтобы в дальнейшем обоснованнопривлекать к ответственностипривлекать к ответственности

ПримерПример: : Сотрудники должны носитьСотрудники должны носитьбедж с фотографией поверх одежды бедж с фотографией поверх одежды всевсевремя, пока они находятся в офисевремя, пока они находятся в офисе

Обнаруж

ение

Комплекс защитных мер Комплекс защитных мер РеакцияРеакция

Обнаружение без реагирования Обнаружение без реагирования не имеет смыслане имеет смысла!!

Пресечение нарушенияПресечение нарушения Восстановление данных и/или Восстановление данных и/или

сервисов в штатный режимсервисов в штатный режим Выявление и наказание Выявление и наказание

виновноговиновного Изучение опыта и улучшение Изучение опыта и улучшение

безопасностибезопасности ПримерПример: : Каждого, кого Каждого, кого

обнаружат без беджа в офисе обнаружат без беджа в офисе охрана выводит из офиса для охрана выводит из офиса для выяснения личности и т.п.выяснения личности и т.п.

Реакц

ия

Стратегия безопасности

Анализ рисков и возможностей атак

Для каждого типа угроз (на прим. умышленная атака)

Проактивная стратегия

Анализ возможного ущерба

Определение уязвимостей

Минимизация уязвимостей

Создания плана работ

Реализация плана и разработкаполитик безопасности и контроля

Стратегия реагирования

Оценка ущерба

Определение причины ущерба

Документирование и изучение

Восстановление

Создание плана работ

Рализация плана и разработкаполитик безопасности и контроля

Обзор результатов/СимуляцияОбзор эффективности политикИзменения в политиках по результатам

Для каждого метода атак (на прим. Вирусная)

Методология для определенияполитики безопасности и контроля

Как планировать рискиКак планировать риски

Для каждой Для каждой системысистемы

Для каждого Для каждого фактора/ фактора/ мотива и мотива и методаметода

Разработка Разработка планов планов предотвращенпредотвращения, ия, обнаружения и обнаружения и реагированияреагирования

Анализ Анализ результатов результатов для повышения для повышения уровня уровня безопасностибезопасности

Эшелонированная Эшелонированная оборонаоборона Всегда планируйте как минимум два Всегда планируйте как минимум два

уровня защитыуровня защиты Защита должна работать Защита должна работать

последовательно, а не параллельнопоследовательно, а не параллельно; ; атакующий должен преодолеть атакующий должен преодолеть A A ии B – B – а не а не A A илиили B B

Безопасность коммуникаций

К банковской системе нельзя подключиться по Интернет/модему

Физическая безопасность Система требует ключа/смарт-карты для работы

Безопасность логики Список доступа ограничивает кто может переводить деньги

Организацион-ная безопас-ть

Все переводы более 100000 рублей должны подтверждаться менеджером

Пример:Пример:

Ров Ров // Главные ворота Главные воротаОборона внешнего Оборона внешнего

периметра крепостипериметра крепости

АрсеналАрсенал((Последнее зданиеПоследнее здание

в крепости для сдачив крепости для сдачи))

Внутренний периметрВнутренний периметр Высокие, крепкие стены Высокие, крепкие стены

создают дополнительнуюсоздают дополнительную зону защиты крепости зону защиты крепости

Оборона КрепостиОборона Крепости

ПротиводействиеПротиводействие Применяйте все способы Применяйте все способы

противодействия противодействия – – технологические, технологические, организационные, человеческий факторорганизационные, человеческий фактор

Процессы

Люди

Библиотеки антивирусного ПО постоянно обновляются. Трафик и производительность постоянно анализируются

Сотрудники обучены безопасной работе с почтовыми клиентами и уведомлены о риске, связанном с открытием вложенных файлов

Технологии

На почтовых серверах и клиентах установлено антивирусное ПО. На клиентах реализован запрет запуска исполняемых файлов-вложений и доступ к адресной книге

Стратегия Стратегия MicrosoftMicrosoft

в области обеспечения в области обеспечения безопасности безопасности информационных системинформационных систем

Microsoft Microsoft и и безопасностьбезопасность – – слухи и слухи и мифымифы IIS IIS «полон дыр в безопасности»«полон дыр в безопасности» Microsoft Microsoft не занимается не занимается

безопасностьюбезопасностью Другие платформы лучшеДругие платформы лучше

Поэтому:Поэтому: Если мы уйдем от Если мы уйдем от IIS, IIS, всевсе

проблемы с безопасностьюпроблемы с безопасностьюрешаться сами собойрешаться сами собойGartner FirstTake, 9/19/01, John PescatoreGartner FirstTake, 9/19/01, John Pescatore

“Enterprises …should start to investigate “Enterprises …should start to investigate less-vulnerable Web server products.”less-vulnerable Web server products.”

IIS (IIS (сам серверсам сервер) ) не более уязвим чем любая не более уязвим чем любая другая платформа ОС или веб-сервердругая платформа ОС или веб-сервер CERT advisories for 2001CERT advisories for 2001 DataReturn “proof point”DataReturn “proof point”

Microsoft Microsoft занимается безопасностьюзанимается безопасностью Ничего не скрываетНичего не скрывает Поправки выпускаются максимально быстроПоправки выпускаются максимально быстро

Другие не обязательно лучшеДругие не обязательно лучше Почитаем прессу: кто помнит Почитаем прессу: кто помнит “sadmind”“sadmind”илиили CARKO? CARKO?

Недавний вирус под Недавний вирус под ApacheApache показал, что на 75% показал, что на 75% серверов под серверов под UNIXUNIX не были установлены поправки, не были установлены поправки, Два известных брандмауэра и такой продукт как Два известных брандмауэра и такой продукт как OpenView OpenView имели проблемы с безопасностьюимели проблемы с безопасностью

Это системная, а не «платформенная» Это системная, а не «платформенная» проблемапроблема И это то, на что нацелена программа И это то, на что нацелена программа

Программа Стратегической Защиты Программа Стратегической Защиты ТехнологийТехнологий

Microsoft Microsoft и и безопасность безопасность – – реальностьреальность

CERT Advisories* CERT Advisories* Больше уязвимостей в Больше уязвимостей в UNIXUNIX-серверах-серверах чем в чем в

IIS IIS Две уязвимости в брандмауэрахДве уязвимости в брандмауэрах

Выдержки из списка ошибок Выдержки из списка ошибок BugtraqBugtraq в в 20012001 Mandrake Linux 7.2 – 33 (v7.1 Mandrake Linux 7.2 – 33 (v7.1 ещееще 27) 27) Red Hat Linux 7.0 – 28Red Hat Linux 7.0 – 28 Sun Solaris 8.0 – 24 (v7.0 Sun Solaris 8.0 – 24 (v7.0 ещееще 24) 24) Windows 2000 – 24Windows 2000 – 24

Отчет Отчет Netcraft uptimeNetcraft uptime

*For more info/details see *For more info/details see http://cert.orghttp://cert.org **(as of 10/01)**(as of 10/01)

““CERT-CERT-ифицированныеифицированные” ” фактыфакты

Уязвимости в разных ОСУязвимости в разных ОС

0 5 10 15 20 25 30 35

MandrakeSoft Linux Mandrake 7.2

RedHat Linux 7.0

MandrakeSoft Linux Mandrake 7.1

Debian Linux 2.2

Sun Solaris 8.0

Sun Solaris 7.0

Microsoft Windows 2000

MandrakeSoft Linux Mandrake 7.0

SCO Open Server 5.0.6

RedHat Linux 6.2 i386

Недостаточно хорошоНедостаточно хорошо

Источник: Security Focus http://www.securityfocus.com/vulns/stats.shtml

Почему вопросы Почему вопросы безопасности так важны безопасности так важны для для Microsoft?Microsoft? Атаки становятся все более частымиАтаки становятся все более частыми

Простои и потери данных обходятся все Простои и потери данных обходятся все дорожедороже Microsoft играет важную роль в электронной Microsoft играет важную роль в электронной

коммерции (более 50% сайтов с SSL в Интернет), а коммерции (более 50% сайтов с SSL в Интернет), а это требует инвестиций и действийэто требует инвестиций и действий

Microsoft хочет быть лидеромMicrosoft хочет быть лидером ““Code Red” и “Nimda” дорого обошлись Code Red” и “Nimda” дорого обошлись

заказчикам, которые не были к ним готовызаказчикам, которые не были к ним готовы Заказчики ждут руководства к действию от Заказчики ждут руководства к действию от

MicrosoftMicrosoft Установка из коробки нацелена на удобство Установка из коробки нацелена на удобство

использования, а не на высокую использования, а не на высокую безопасностьбезопасность Это уязвимость номер одинЭто уязвимость номер один Важно донести эту идею до заказчиков и помочь Важно донести эту идею до заказчиков и помочь

им исправить положениеим исправить положение

ЗащищенныеЗащищенныеинформационные системыинформационные системы

Trustworthy ComputingTrustworthy Computing

СтратегическСтратегическаяая программ программаазащиты технологийзащиты технологий

Strategic TechnologyStrategic TechnologyProtection ProgramProtection Program

Инициатива «обеспечениеИнициатива «обеспечение безопасности безопасности WindowsWindows»»

Secure Windows InitiativeSecure Windows Initiative

Стратегия Стратегия MicrosoftMicrosoft по обеспечению по обеспечению безопасностибезопасности

Обязательство Обязательство MicrosoftMicrosoft перед перед заказчикамизаказчиками::Делать все возможное, чтобы Делать все возможное, чтобы быть уверенными, что каждый быть уверенными, что каждый заказчик может безопасно заказчик может безопасно работать и обмениваться работать и обмениваться информацией через Интернетинформацией через Интернет

Инициатива Инициатива «обеспечение «обеспечение безопасности безопасности WindowsWindows»»““Создано с мыслью о Создано с мыслью о безопасностибезопасности””ЦельЦель: : Устранить уязвимости Устранить уязвимости системы до начала продаж системы до начала продаж продуктапродукта

ЛюдиЛюди ПроцессПроцесс ТехнологиТехнологиии

Инициатива Инициатива «обеспечение «обеспечение безопасности безопасности WindowsWindows»»

ЛюдиКурсы повышения квалификации в области безопасности для каждого разработчика, тестера и менеджера для создания более безопасных продуктов

Процесс

Выделение проблем безопасности в качестве критического фактора при разработке, кодировании и тестировании любого продукта Microsoft Просмотр кода и дизайна другими людьмиАнализ угроз по каждой спецификации на разработкуСпециальная «Красная Команда» тестирует кодНе только поиск переполнения буферовЦикл работы над ошибками и подписания кодаИзучение кода и тестирование сторонними консультантамиТехнологии

Разработка автоматизированных инструментов для улучшения качества кода там, где это возможноГарантированное обнаружение переполнение буферовНовые компиляторы и отладчикиСтресс-тесты

Инициатива «обеспечениеИнициатива «обеспечениебезопасности безопасности WindowsWindows»» Сертификация безопасностиСертификация безопасности

Испытания по Испытания по FIPS 140-1 FIPS 140-1 для подсистемы для подсистемы криптографии криптографии Cryptographic Service Provider Cryptographic Service Provider (CSP) – (CSP) – ЗавершеныЗавершены Реализация базовых крипто алгоритмов в Реализация базовых крипто алгоритмов в WindowsWindows

проверено государственными органами СШАпроверено государственными органами США Международная сертификация Международная сертификация Common Criteria– Common Criteria–

Завершена!Завершена! Исследование исходного кода Исследование исходного кода Windows Windows по по

международным критериям безопасности кода для международным критериям безопасности кода для получения международного сертификатаполучения международного сертификата

Передача ключевых компонент третьим лицам Передача ключевых компонент третьим лицам для исследования, изучениядля исследования, изучения

Исходные коды лицензированы более чем для Исходные коды лицензированы более чем для 80 80 университетов, лабораторий и университетов, лабораторий и правительственных агентствправительственных агентств

Инициатива Инициатива «обеспечение «обеспечение

безопасности безопасности WindowsWindows»» Сертификация Сертификация Windows 2000 Windows 2000

по по Common CriteriaCommon Criteria for for Information Technology Security Information Technology Security

EvaluationEvaluation(ISO-IEC 15408(ISO-IEC 15408)) Сертификацией Сертификацией WindowsWindows 2000 занималась  2000 занималась

специализирующаяся в области тестирования специализирующаяся в области тестирования независимая компания независимая компания Science Applications Science Applications International Corporation (SAIC)International Corporation (SAIC)

Соответствие по профилю защиты Соответствие по профилю защиты Controlled Access Protection ProfileControlled Access Protection Profile уровню уровню Evaluation Assurance Level Evaluation Assurance Level 4 (4 (EAL4) + ALC FLREAL4) + ALC FLR 3 3 (Systematic Flaw Remediation)(Systematic Flaw Remediation)

В В России стандарт ГОСТ Р ИСО/МЭК 15408–2002России стандарт ГОСТ Р ИСО/МЭК 15408–2002

Government Security Government Security ProgramProgram 1144 января 2003 года корпорация января 2003 года корпорация

Microsoft Microsoft объявила новую программу объявила новую программу GSP GSP (Government Security Program)(Government Security Program) Задача программы – повышения доверия к Задача программы – повышения доверия к

технологиям технологиям Microsoft Microsoft с точки зрения с точки зрения информационной безопасностиинформационной безопасности

Программа адресована национальным Программа адресована национальным правительствам и международным правительствам и международным организацияморганизациям

В рамках программы В рамках программы GSP Microsoft GSP Microsoft предоставляет доступ к исходному коду предоставляет доступ к исходному коду WindowsWindows и другой технической и другой технической информации, необходимой для создания информации, необходимой для создания защищенных систем на платформе защищенных систем на платформе Microsoft WindowsMicrosoft Windows

Инициатива Инициатива «обеспечение «обеспечение безопасности безопасности WindowsWindows»» В настоящее времяВ настоящее время Фокус на безопасности Фокус на безопасности WindowsWindows

Мобилизованы ВСЕМобилизованы ВСЕ Обязательные курсы по Обязательные курсы по

безопасностибезопасности Фокусировка на все источники Фокусировка на все источники

уязвимостей, снижение уязвимостей, снижение возможностей для атак, установка возможностей для атак, установка всех параметров по умолчанию и всех параметров по умолчанию и функций в безопасное состояниефункций в безопасное состояние

Первоочередное исправление Первоочередное исправление ошибок и уязвимостейошибок и уязвимостей

ЦельЦель: : Помочь заказчикам Помочь заказчикам обезопасить их системы на базе обезопасить их системы на базе Windows Windows

ЛюдиЛюди ПроцессПроцесс ТехнологиТехнологиии

Стратегическая Стратегическая программапрограммазащиты технологий защиты технологий

Стратегическая программаСтратегическая программа защиты технологий – защиты технологий – Заказчикам Заказчикам нужна помощьнужна помощь

Я не знаю какие заплатки мне Я не знаю какие заплатки мне нужнынужны

Я не знаю где взять заплаткиЯ не знаю где взять заплатки Я не знаю какие машины лататьЯ не знаю какие машины латать Мы обновили наши «боевые» Мы обновили наши «боевые»

сервера, но сервера разработки и сервера, но сервера разработки и тестовые были инфицированытестовые были инфицированы

Более 50% пораженных червем Code Red не установили заплатки и пострадали от червя Nimda

Стратегическая программаСтратегическая программазащиты технологий защиты технологий

ЛюдиЛюди ПроцессПроцесс ТехнологииТехнологии

Enterprise Security ToolsMicrosoft Baseline Security AnalyzerSMS security patch rollout toolWindows Update Auto-update client

Microsoft Security ToolkitМатериалы по настройке серверовНовые инструменты и исправления, Windows Update клиент для Windows 2000

Курсы по безопасностиПартнеры, готовые провести аудит

Стратегическая Стратегическая программапрограммазащиты технологийзащиты технологий

ЗащищаемЗащищаемMicrosoft Security ToolkitMicrosoft Security Toolkit Повышает безопасность систем на Повышает безопасность систем на

Windows NT Windows NT и и 20002000,, даже если они не даже если они не подключены к Интернетподключены к Интернет

Автоматизирует обновление Автоматизирует обновление серверовсерверов Программы «мастер» для установки Программы «мастер» для установки

одной кнопкой и скрипты для одной кнопкой и скрипты для SMS SMS Обновления и заплаткиОбновления и заплатки

ВключаетВключает всевсе Сервис Паки и Сервис Паки и критическиекритические исправления для ОС и исправления для ОС и IISIIS

HFNetchk: HFNetchk: программа проверки программа проверки уровня установки заплатокуровня установки заплаток

IIS Lockdown & URLScanIIS Lockdown & URLScan

Стратегическая Стратегическая программапрограммазащиты технологий защиты технологий

Улучшение защиты в продуктахВсе новые продукты, включая Windows 2003 Server имеют гораздо более строгие политики защиты

Corporate Windows Update ProgramПозволяет компаниям разместить внутри сервер для Windows Update

Windows 2000 Service Pack (SP3)/Windows XP SP1Устанавливает все исправления с одной перезагрузкой

ЗащищенныеЗащищенныеинформационные информационные системысистемы(Trustworthy (Trustworthy Computing)Computing)ЦельЦель: : Сделать компьютеры и Сделать компьютеры и программное обеспечение программное обеспечение столь же надежными, как столь же надежными, как бытовые электроприборыбытовые электроприборы

Задачи концепции Задачи концепции ««ЗащищенныеЗащищенныеинформационные системыинформационные системы»» В краткосрочном периодеВ краткосрочном периоде

улучшенный дизайнулучшенный дизайн реализация технологийреализация технологий политик безопасностиполитик безопасности

Среднесрочная перспективаСреднесрочная перспектива новые механизмы управления новые механизмы управления

системамисистемами новые стратегии предоставления новые стратегии предоставления

услугуслуг В долгосрочном планеВ долгосрочном плане

десятилетиедесятилетие фундаментальных фундаментальных исследованийисследований

Продукты и Продукты и технологии технологии MicrosoftMicrosoft

Для управления Для управления безопасностьюбезопасностью

Доступные инструменты Доступные инструменты

(бесплатно!)(бесплатно!)

IIS Lockdown ToolIIS Lockdown Tool Настраивает параметры Настраивает параметры IIS 4.0/5.0IIS 4.0/5.0 на на

противодействие различным типам атакпротиводействие различным типам атак Выключает ненужные системные сервисыВыключает ненужные системные сервисы Закрывает доступ к системным командамЗакрывает доступ к системным командам

URLscan ToolURLscan Tool Фильтр Фильтр ISAPIISAPI, который работает в , который работает в IIS 4.0/5.0IIS 4.0/5.0 Блокирует потенциально опасные Блокирует потенциально опасные URLURL Полностью настраиваетсяПолностью настраивается

Microsoft Baseline Security Analyzer Проводит комплексный анализ безопасности Проводит комплексный анализ безопасности

серверов и рабочих станций в сетисерверов и рабочих станций в сети http://www.microsoft.com/securityhttp://www.microsoft.com/security

Corporate Update ServerCorporate Update Server (бесплатно!)(бесплатно!) Клиент автоматического обновленияКлиент автоматического обновления

Автоматически сгружает и устанавливает Автоматически сгружает и устанавливает критические заплаткикритические заплатки Заплатки для: безопасности, особо серьезных Заплатки для: безопасности, особо серьезных

ошибок и драйвера для устройств, когда никаких ошибок и драйвера для устройств, когда никаких драйверов не установлено для этого устройствадрайверов не установлено для этого устройства

Проверяет сайт Проверяет сайт Windows Update Windows Update или сервер или сервер Corporate Update Corporate Update каждый денькаждый день

Устанавливает обновления по расписанию после Устанавливает обновления по расписанию после загрузкизагрузки

Настройка через политику безопасностиНастройка через политику безопасности Поддерживаются Поддерживаются Windows .NET Server, Windows XP Windows .NET Server, Windows XP ии

Windows 2000Windows 2000 Сервер обновлений - Сервер обновлений - Update serverUpdate server

Вы можете разместить свой собственный Вы можете разместить свой собственный Windows Windows Update Server Update Server внутри предприятиявнутри предприятия

Сервер самостоятельно синхронизируется с сервером Сервер самостоятельно синхронизируется с сервером Windows Update Windows Update и локально хранит все обновления и локально хранит все обновления для тех версий, которые есть на предприятиидля тех версий, которые есть на предприятии

Простой интерфейс управления через Простой интерфейс управления через IE IE Обновления становятся доступны только после Обновления становятся доступны только после

разрешения администратораразрешения администратора Работает на Работает на Windows .NET Server Windows .NET Server и и Windows 2000 Windows 2000

ServerServer

Источники информацииИсточники информации Сайт по безопасностиСайт по безопасности

http://msdn.microsoft.com/security/http://msdn.microsoft.com/security/ OfficeOffice

http://office.microsoft.com/http://office.microsoft.com/ SQL ServerSQL Server

http://www.microsoft.com/sqlserver/http://www.microsoft.com/sqlserver/ Exchange ServerExchange Server

http://www.microsoft.com/exchange/http://www.microsoft.com/exchange/

ИнтернетБезопасная инфраструктураБезопасная инфраструктура

Безопасность в Безопасность в Windows:Windows: АутентификацияАутентификация ACLACL Active DirectoryActive Directory

ISA Server:ISA Server:Брандмауэр уровня Брандмауэр уровня предприятия и предприятия и фильтрация на уровне фильтрация на уровне приложенийприложений

Серверные продуктыСерверные продукты работают с безопас-работают с безопас-ностью ностью Windows Windows

Безопасность это Безопасность это путьпуть……А не конечная А не конечная станциястанцияОбучение и подготовка персоналаОбучение и подготовка персонала Пройдите обучение на курсахПройдите обучение на курсах

Возможность противостоятьВозможность противостоять Проанализируйте политики безопасности и Проанализируйте политики безопасности и

измените их для соответствия реалиям измените их для соответствия реалиям сегодняшнего днясегодняшнего дня

Изучите и используйте Изучите и используйте Microsoft Operations Microsoft Operations FrameworkFramework

Технологии, чтобы работать прощеТехнологии, чтобы работать проще STPP STPP для васдля вас Microsoft Microsoft продолжает инвестировать в свои продолжает инвестировать в свои

продукты, а также в разработку новых методик продукты, а также в разработку новых методик их использованияих использования

Используйте инструменты и новые технологииИспользуйте инструменты и новые технологии

Вопросы?Вопросы?

MicrosoftMicrosofthttp://www.http://www.microsoft.com/rusmicrosoft.com/rus

Андрей КрючковАндрей Крючков[email protected]@microsoft.com

Телефон: Телефон: ((095095) ) 967-8585967-8585