Сложностные характеристики статистических скрытых каналов

1. Сложностные характеристики статистических скрытых каналов Автор: Свинцицкий Антон Игоревич Факультет вычислительной математики и кибернетики Московского Государственного Университета им. М. В. Ломоносова Научный руководитель: д.ф.-м.н. Грушо Александр Александрович 25 сентября 2012 года

2. План презентации Анализ и классификация существующих моделей скрытых каналов передачи данных в компьютерных системах. Постановка задачи. Модель статистического скрытого канала и ее свойства. Практические аспекты, связанные с существованием скрытых каналов в компьютерных системах

3. Анализ и классификация существующих моделей скрытых каналов

4. Анализ и классификация Определение (Lampson B.W. A note of the Confinement Problem): Скрытый канал - канал связи (коммуникационный канал) изначально не предназначенный для передачи информации, нарушающих установленную политику информационной безопасности.

5. Анализ и классификация Основные классы скрытых каналов (традиционное разделение): Скрытые каналы по памяти. Скрытые каналы по времени. Статистические скрытые каналы.

6. Анализ и классификация Анализ современных моделей скрытых каналов позволяет выделить следующие классы (практическая классификация): Стеганографические скрытые каналы. Статистические скрытые каналы.

7. Стеганографические скрытые каналы Общая схема скрытого канала

8. Стеганографические скрытые каналы в современных сетевых протоколах Протокол IP (заголовок) Протокол DNS (DNS запросы)

9. Стеганографический скрытый канал в протоколе DNS

10. Стеганографические скрытые каналы в современных сетевых протоколах Протокол HTTP (использование get запросов) Использование «cookies»

11. Стеганографические скрытые каналы в современных сетевых протоколах Использование «cookies»

12. Использование перестановок Основная идея: отслеживание последовательностей обращений к определенным ресурсам сети Интернет Например, если злоумышленник контролирует сайты (определенные разделы сайтов) , то сформированная последовательность обращений , являющаяся перестановкой, является кодом передаваемого сообщения. Также могут использоваться текстовые гиперссылки внутри определенного документа на другие разделы сайта.

13. Статистические скрытые каналы. Примеры Основная идея: изменение последовательности пакетов в сети. Все адреса сегментов сети разбиты на два непересекающихся множества . Тогда последовательности пакетов длины адресов из множества означает, что передается «1», последовательность длины адресов из множества означает, что передается «0». Если сформирована последовательность длины меньше , то передачи нет.

14. Выводы Скрытые каналы существуют практически в любом протоколе сетевого взаимодействия. Скрытые каналы представляют для нарушителем возможности получения доступа к информационным активам компании. Стеганографические скрытые каналы наиболее исследованы в отечественной и зарубежной литературе.

15. Выводы. Сравнение скрытых классов скрытых каналов

16. Постановка задачи

17. Постановка задачи Необходимо описать модель статистического скрытого канала передачи информации, для обеспечения передачи информационных активов из защищаемого сегмента корпоративной сети на сервер нарушителя (злоумышленника), расположенный в сети Интернет.

18. Постановка задачи На пограничном маршрутизаторе сегмента установлена программная или программно-аппаратная закладка А, взаимодействующая с сервером нарушителя В, расположенном в сети Интернет так, что пакеты из сегмента , адресованные , проходят через узел сети, на котором расположен этот сервер.

19. Модель статистического скрытого канала и ее свойства

20. Описание модели Закладка А и сервер В знают некоторый секретный ключ: • – длина эксперимента; • , где – время эксперимента; • – интервал единичного эксперимента; • – константа

21. Описание модели Закладка формирует специальную последовательность исходящих пакетов, адресованных . Сервер отслеживает, какие пакеты проходят через него в каждый момент времени и вычисляет следующие величины: где .

22. Описание модели Если , то сервер делает предположение, что закладка передает «1». Если , то делается предположение, что передается «0». Иначе: нет передачи данных.

23. Оценка параметров модели Для того чтобы сервер мог отделить наличие передачи по данных от нормальной работы сети необходимо оценить длину эксперимента . : нормальная работа сети, скрытой передачи нет ; : идет передача информации с использованием статистического скрытого канала ;

24. Оценка параметров модели Оценим константу исходя из предположения, что вероятность ошибки первого рода ( неверно отвергнута) не должна быть выше чем , то есть:

25. Оценка параметров модели Из полученной оценки для величины , получим оценку для из предположения, что вероятность ошибки второго рода не должна быть выше :

26. Оценка параметров модели Утверждение 1: Для того, чтобы B мог выделить скрытую передачу информации в сетевом трафике при заданных значениях и необходимо, чтобы длина эксперимента была не меньше где (передачи нет) (передача идет)

27. Передача k бит информации Пусть в каждый момент времени сервер наблюдает за пакетами, адресованными получателям , и вычисляет величины: Все множество разбивается на два непересекающихся подмножества:

28. Передача k бит информации Всего существует вариантов разбиения на множества мощности и , существует вариантов разбиения на 2 непересекающихся множества, что соответствует мощности . Можно построить взаимно-однозначное соответствие между всевозможными разбиениями на множества и и векторами длины .

29. Пропускная способность статистического скрытого канала Определим – общее время, необходимое для передачи 1 () бит информации. В соответствии с предложенным алгоритмом , так как для поиска одного пакеты, адресованному определенному узлу рассматривается интервал , всего таких интервалов . Откуда можно определить скорость передачи (бит/единицу времени): – для модели передачи 1 бита; – для модели передачи бит.

30. Защита от скрытого канала Модель использует предположение, что время на закладке синхронизировано с сервером синхронизации и соответствует времени на узле злоумышленника. Использовать дополнительное перемешивание пакетов. Использование различных маршрутов передачи информации между территориально удаленными сегментами корпоративной информационной системы. Использование выделенных каналов связи между территориальной удаленными сегментами.

31. Использование модели на разных уровнях модели OSI

32. Практические аспекты, связанные с существованием скрытых каналов в компьютерных системах

33. Протокол синхронизации времени Сервер в заранее определенные моменты времени посылает пакеты, адресованный определенному узлу сети (содержащие определенный признак). Данные пакеты являются «метками синхронизации» (например, пакеты адресованные ) Ключ известен серверу и клиенту и формируется следующим образом: – определенные моменты эталонного времени Время на сервере синхронизировано с эталонным значением Задача: синхронизировать время на клиенте

34. Протокол синхронизации времени Шаг 1. Сервер в моменты времени отправляет «метки» синхронизации (моменты времени вычислены в системе отсчета сервера ). Шаг 2. Клиент получает первую «метку» синхронизации в момент времени (вычисленный в системе отсчета клиента ). Следовательно, время соответствует глобальному времени . Если , то сдвига нет. Если нет, то на клиенте есть сдвиг, равный .

35. Протокол синхронизации времени Шаг 3. Клиент получает вторую «метку» синхронизации в момент времени (вычисленный в системе отсчета клиента ). Если равно , то на клиенте есть только сдвиг равный , на который его время отличается от времени на сервере . Если неравно , значит необходимо изменить алгоритм вычисления времени на клиенте (необходимо изменить количество тактов длины в единицу времени). Если нет, то

36. Протокол синхронизации времени. Исправление ошибок Возможные ошибки при передаче пакетов: Лишние пакеты, обладающие свойства «меток» синхронизации. Ошибки, связанные с задержкой сетевых пакетов на узлах компьютерной сети. Ошибки, связанные с отбрасыванием пакетов на узлах компьютерной сети.

37. Протокол синхронизации времени. Исправление ошибок Утверждение 2. Для синхронизации времени между сервером и клиентом количество полученных меток синхронизации должно быть не меньше 3.

38. Протокол синхронизации времени. Исправление ошибок • Любой пакет, в том числе и «метка» синхронизации может прийти с задержкой – случайная величина, имеющая геометрическое распределение с вероятностью успеха . (обозначение) • Любой пакет может быть отброшен/потерян при передаче с вероятностью (схема Бернулли из испытаний с вероятностью успеха ).

39. Протокол синхронизации времени. Исправление ошибок – число «меток», которые дошли до клиента – число «меток», для которых задержка не превышает предопределенного значения Утверждение 3. При .

40. Протокол синхронизации времени. Выводы: В предложенном алгоритме показана возможность асимптотически точной синхронизации времени на клиенте со временем сервера синхронизации при условии постоянных величин такта и сдвига . Также показано, что возможно получить любой порядок точности синхронизации несмотря на возможные ошибки в сети, связанные с задержкой и(или) потерей определенных пакетов.

41. Модель скрытого канала под ОС Windows. 1. Исполняемый код. Основная задача исполняемого кода состоит в интерпретации стандартных потоков входа/выхода консоли (stdin/stdout) [92], в которой работает cmd.exe в последовательность DNS-запросов

42. Модель скрытого канала под ОС Windows. 2. Модуль состояния. Основная задача состоит в реализации протокола жизни, который мог бы передать информацию на сервер управления о состоянии модуля управления

43. Модель скрытого канала под ОС Windows. 3. Транспортный модуль. Основная задача транспортного модуля состоит в построение доверенного соединения с сервером управления с использованием протокола UDP Для этого используются уникальные идентификаторы (ID), которые получаются с помощью стандартных вызовов в операционной системе Windows: • A=GetUserName () – функция, возвращающая имя пользователя, от имени которого запущен модуль удаленного управления; • B=GetComputerName () – функция, возвращающая NetBIOS имя узла корпоративной информационной системы, на котором запущен модуль удаленного управления; • ID=Hash(A+B) – функция, реализующая получения хэш-значения по описанному алгоритму (может использоваться любой алгоритм, например MD5

44. Модель скрытого канала под ОС Windows. 4. Операционная система В операционной системе используется встроенный сервис svchost.exe/resolver Используются стандартные WinAPI: • GetHostByName (); • DnsQuary(); • IcmpSendEcho (); • IcmpSendEcho2Ex ().

45. Модель скрытого канала под ОС Windows. Основными задачами, которые реализует сервер управления, являются: • получение DNS-запросов по порту 53/udp; • разворачивание/сворачивание команд и(или) результатов выполнения таких команд в DNS-запросы/DNS-ответы. Модуль парсер предназначен для интерпретации полученной последовательности UDP-пакетов в выход stdoutдля каждого уникального ID

46. Оценка возможности существования скрытых каналов Общая схема оценки возможности существования скрытых каналов в компьютерных системах

47. Оценка возможности существования скрытых каналов Типы скрытых каналов: Стеганографический Статистический

48. Оценка возможности существования скрытых каналов Уровень реализации скрытого канала: • уровень передачи данных; • сетевой уровень; • транспортный уровень; • уровень прикладного программного обеспечения (прикладной уровень).

49. Оценка возможности существования скрытых каналов Уязвимости, связанные с архитектурой компьютерной системой: • наличие подключений к сетям общего доступа; • структура корпоративной информационной системы (локальная, распределенная, автономное автоматизированное рабочее место); • режим обработки информации (однопользовательский, многопользовательский); • протоколы, разрешенные к использованию; • использование беспроводных технологий предоставления доступа к ресурсам корпоративной информационной системы.

50. Оценка возможности существования скрытых каналов Априорные меры обеспечения информационной безопасности, которые могут влиять на возможность существования скрытых каналов: • использование средств защиты от вредоносного программного обеспечения; • использование средств анализа защищенности узлов корпоративной информационной системы; • использование межсетевых экранов; • использование средств мониторинга и контроля сетевого трафика; • использование механизмов прокси-серверов для предоставление доступа к сетями общего доступа; • обучение работников вопросам обеспечения информационной безопасности.