Реагирование на инциденты компьютерной безопасности: Организации, ассоциации и проекты

1. Реагирование на инциденты компьютерной безопасности:Организации, ассоциации и проекты Silk Security Workshop 200421-24 июня, 2004 Yuri Demchenko, University of Amsterdam <demch@science.uva.nl>

2. Содержание • Известные Центры реагирования на компьютерные инциденты безопасности и Ассоциации • TF-CSIRT и Trusted Introducer • FIRST • Проекты TRANSITS, eCSIRT, EISPP • CERT/CC • SANS и SecurityFocus • Стандартизация • IETF: GRIP, IDMEF, IODEF • Примеры CSIRT – CERT-NL, JANET-CERT, RU-CERT • Координация борьбы со спамом • Использование средствнаблюдения в сети CERTs/CSIRTs: Communities and Projects

3. TF-CSIRT: Историческая справка • Этапы развития координации CSIRT: • Начинаяс 90-х: Создан FIRST (Forum for Security Incident Response Team) • Место для встречи членов FIRST и заинтересованных организаций • Основан на взаимном доверии и призван содействовать установлению и развитию доверия между CSIRT • Обмен рабочей информацией • Середина 90-х: Попытка создать EuroCERT как координирующий центр: • Не оправдала себя как решение «сверху» без необходимой инфраструктуры «снизу» • 2000: создана целевая рабочая группа TF-CSIRT как форум для координации общих действий/проектов и обмена опытом • Работа определяетсядвухгодичной Программой - Terms of Reference • Никаких членских взносов • Открыта для не-членов TERENA • TERENA обеспечивает организационную поддержку CERTs/CSIRTs: Communities and Projects

4. TF-CSIRT (Task Force for CSIRT Coordination in Europe) - http://www.terena.nl/tech/task-forces/tf-csirt/ • Миссия: Содействовать развитию сотрудничества между CSIRT в Европе. • Цели: • Форум для обмена информацией, опытом и формирования согласованной политики • Инициировать новые проекты и создавать пилотные сервисы для Европейских CSIRT • Содействовать внедрению общих стандартов и процедур для реагирования на инциденты компьютерной безопасности • Содействовать созданию новых CSIRT и подготовке их персонала • Координировать согласованные инициативы CSIRT и выполнять функцию контактного органа с Европейкой Комиссией • Членами TF-CSIRT могут быть: • Представители действующих CSIRT или находящихся в состоянии становления • CSIRT образовательных сетей и организаций, государственные, региональные, Интернет-провайдеров, а также коммерческие CSIRT • Специалисты и представители организаций и фирм, которые работают в области безопасности компьютерных систем • Участие в совещаниях для членов TF-CSIRT, специалистов или по приглашению CERTs/CSIRTs: Communities and Projects

5. TF-CSIRT:основные направления деятельности • Доверительный рекомендатель (Trusted Introducer) • Контакт безопасности для IP-ресурса (совместно с RIPE NCC) • Комплекс средств для описания и регистрации инцидентов безопасности на основе IODEF (Incident Description and Exchange Format) • Формат для описания и обмена информацией об уязвимостях и эксплоитах (VEDEF - Vulnerability and Exploit Description and Exchange Format) • Аннотированная директория средств дя обработки инцидентов (CHIHT - Clearinghouse for Incident Handling Tools) • Тренинг персонала (новых) CSIRT • Содействие созданию новых CSIRTs • Сотрудничество с группой по безопасности проекта GN2 (на базе GEANT) • Регулярная связь с Европейской Комиссией • Регулярная связь с Европейским Форумом защиты пользователей (European Forum of Abuse Teams) CERTs/CSIRTs: Communities and Projects

6. Законченные проекты и операционные сервисы Доверительный рекомендатель (Trusted Introducer) и Директория Европейских CSIRT Формат для описания и обмена информацией об инцидентах – IODEF (Incident Object Description and Exchange Format) Опубликован RFC 3067 – IODEF Requirements (2001) Контакт безопасности для IP-ресурса - RIPE IRT Object (2002) Директория средств дя обработки инцидентов (CHIHT - Clearinghouse for Incident Handling Tools) (2002) Базовые тренинговые материалы для персонала (новых) CSIRT В рамках проекта TRANSITS (2002) TF-CSIRT:Результаты и проекты (1) CERTs/CSIRTs: Communities and Projects

7. TF-CSIRT:Результаты и проекты (2) • В процессе развития • Формат для описания и обмена информацией об уязвимостях и эксплоитах (VEDEF - Vulnerability and Exploit Description and Exchange Format) • На основе и как дальнейшее развитие проекта EISPP • Комлекс стандартных процедур для обработки инцидентов • Создание центра и инфраструктуры для обмена информацией об инцидентах • На основе и как дальнейшее развитие проекта eCSIRT.net CERTs/CSIRTs: Communities and Projects

8. Trusted Introducer(1) - http://www.ti.terena.nl/ • Trusted Introducer (TI, доверительный рекомендатель) – выполняет роль доверительной третьей стороны, которая вводит новый субьект в «сеть доверия» (“web of trust”) • Доверие – основа эффективной работы сети CSIRT • Не ограниченная регионом TERENA или типом CSIRT • В настоящее время аккредитировано 39 CSIRT на уровне 2 (июнь 2004)http://www.ti.terena.nl/teams/level2.html • Стоимость обслуживания – 720 EUR в год • Организация • В настоящее TI обслуживается предприятием Stelvio, Голландия • Деятельность контролируется Советом с участием представителей TERENA, TF-CSIRT и CSIRT уровня 2 CERTs/CSIRTs: Communities and Projects

9. Trusted Introducer(2) • Формализованная процедура проверки/аккредитации CSIRT до уровня 2http://www.ti.terena.nl/teams/index.html • Level 0 – известные CSIRT (в настоящее время – более100в Европе) • Level 1 – кандидаты • Level 2 – аккредитированные CSIRT или команды включенные в сеть доверия • Услуги для аккредиированных CSIRT • Специальные информационные материалы и оповещения • Создание и обслуживание IRT-обьектов в базе данных RIPE NCC • Опыт TI – в процессе рассмотрения FIRST CERTs/CSIRTs: Communities and Projects

10. FIRST - http://www.first.org/ • FIRST (Forum for Incident Response Security Teams) • Более чем 120 членов CSIRT • Нет формальной процедуры принятия в члены и нет специальной процедуры для поддержания «доверительных» отношений • Членские взносы – около 1200 USD • Ежегодные конференции • Участие только для членов FIRST или по приглашению • В Европе – каждый 3-й год • Регистрационный взнос – около 1200 EUR/USD • Технические коллоквиумы – два раза в год только для членов • Не имеет своей технической программы, но содействует обмену опытом между другими проектами и программами CERTs/CSIRTs: Communities and Projects

11. IRT-контакт в базе данных RIPE NCC • Поиск контактной информации по IP-адресу – один из компонентов реагирования/расследования инцидента • Используется База данных региональных IP-регистров – RIPE NCC, InterNIC, APNIC, LatNIC • Обычно содержится информация об Интернет сервис-провайдере или организации, обслуживающей блок IP-адресов • IRT-обьект в базе данных RIPE NCC позволяет добавить информацию о том, с кем контактировать по вопросам безопасности или в случае инцидента • Является продуктом совместной работы TF-CSIRT и RIPE NCC Database Group • Цель – поиск контактов безопасности для определенного IP-адресного пространства • RIPE NCC document ripe-254 - http://www.ripe.net/ripe/docs/irt-object.html • Создание обьекта и обслуживание обьекта • Право внесения обьекта в БД принадлежит ИСП, обслуживающего группу IP-адресов или Trusted Introducer (TI) • Все CSIRT уровня 2 - в базе данных TI • Проверка и обслуживание –TI CERTs/CSIRTs: Communities and Projects

12. CHIHT (Clearing House for Incident Handling Tools) - http://chiht.dfn-cert.de/ • Цель – содействовать CSIRT в создании необходимой технической базы • Обслуживаемая директория средств, применяемых для реагирования и расследования инцидентов безопасности, а также поддержания и контроля безопасности компьютерных систем • Средства заносятся по рекомендации CSIRT или специалистов по безопасности на основе их опыта работы с этими средствами • Включают категории: • Evidence gathering & investigation, • System recovery, • CSIRT operations, • Remote access, • Proactive tools CERTs/CSIRTs: Communities and Projects

13. TRANSITS - http://www.ist-transits.org/ • Проект финансировался Европейской Комиссией в 2002-2004 г.г. • Проект направлен на подготовку тренинговых курсов и проведения тренинга персонала CSIRT • Метод – передача знаний и опыта от опытных команд/центров к начинающим • Тренинговые материалы подготовлены специалистами из ведущих CSIRT • Разработанный двухдневный тренинговый курс стоит из модулей • Operational • Legal • Technical • Organisational • Vulnerabilities • Согласно проекту проведено 6 тренинговых курсов в течение 2-х лет • Матералы доступны для членов TF-CSIRT для собственного использования CERTs/CSIRTs: Communities and Projects

14. eCSIRT.net - http://www.ecsirt.net/ • Проект финансировался Европейской Комиссией в 2002-2004 г.г. • Цель: Создание сети для обмена информацией об инцидентах между Европейскими CSIRT • С целью разрешения инцидентов • Для выявления статистики и трендов • С целью раннего предупреждения • Разработка стандартных процессов и процедур • Использование IDMEF и IODEF • Необходимость определения специальных конфигураций/профилей • Определение базовыхпонятий для создания доверительной сети обмена информацией об инцидентах • Автоматизация с целью идентификации событий и трендов • Пилотная система опробована между группой доверительных CSIRT с целью будущего расширения CERTs/CSIRTs: Communities and Projects

15. EISPP - http://www.eispp.org/ • European Information Security Promotion Programme (EISPP) • Цель – помощь малому бизнесу в получении регулярной информации по безопасности, в первую очередь, оповещений об уязвимостях и возможных угрозах • Работа с материалами по безопасности требует определенной квалификации, которая часто недоступна малому бизнесу • Осведомленность и профилактические меры должны быть включены в практику всех предприятий, использующих компьютеры и Интернет • Предложена модель услуг для малого бизнеса и модель последующего финансирования • Обеспечение безопасности – в интересах обеих сервис-провайдеров и самих предприятий • Положительные результаты проекта: • Разработана технология и система для анализа документов по безопасности и производства актуальных и необходимых оповещений подписчикам • Разработан формат для оповещений EISPP Common Format v2.0 CERTs/CSIRTs: Communities and Projects

16. IODEF (Incident Object Description and Exchange Format) • Исторически начат как инициатива TF-CSIRT и передан для дальнейшего развития в рамках рабочей группы INCHWG (Extended Incident Handling) IETF • Опубликован RFC3067 – IODEF Requirements • TF-CSIRT поддерживает связь с INCHWG и обеспечивает обратную связь • INCHWGобеспечивает более широкое участие заинтересованных сторон • Стандартный формат описания инцидентов позволяет • Упростить обмен информацией между Центрами реагирования • Стандартный формат заявок и представления информации об инцидентах • Стандартный формат для сбора статистики и последующего анализа трендов • IODEFстановится основой для других форматов описании инфоримационных обьектов в области безопасности, например • RID – Real-time Internetwork Defense (поддерживается US AFC) - IETF • Задача - проследить источник атаки и остановить или уменьшить влияние атаки • VEDEF (Vulnerability and Exploit Description and Exchange Format) – TF-CSIRT CERTs/CSIRTs: Communities and Projects

17. IETF INCH-WG • IETF INCH-WG – Extended Incident Handling Working Grouphttp://www.ietf.org/html.charters/inch-charter.html • Цель: Проведение IODEF через формальную процедуру стандартизации IETF • IODEF спецификация в процессе стандартизации • Основные направления работы и результаты • Разработаны документы, определяющие • Требования в формату описания инцидента на основе IODEF • Формальную модель инцидента в формате IODEF • Рекомендации по внедрению • Исторически сохраняется (частичная) совместимость и возможность трансляции с IDMEF (Intrusion Description and Exchange Format) • Важным вопросом в разработке IODEF уделяется интернационализации (много-языковости) и локализации • Неофициальная страничка INCH-WG - http://www.cert.org/ietf/inch/inch.html CERTs/CSIRTs: Communities and Projects

18. Практический опыт внедрения IODEF • CERT/CC AirCERT Automated Incident Reporting - http://www.cert.org/kb/aircert/ и http://aircert.sourceforge.net/ • JPCERT/CC: Internet Scan Data Acquisition System (ISDAS) - http://www.jpcert.or.jp/isdas/index-en.html • eCSIRT.net: The European CSIRT Network - http://www.ecsirt.net CERTs/CSIRTs: Communities and Projects

19. IETF IDWG • IDWG (Intrusion Detection Working Group)– приостановленаhttp://www.ietf.org/html.charters/idwg-charter.html • Разработка IDMEF (Intrusion Detection Message Exchange Format) для автоматизации обмена информацией с IDS (Intrusion Detection Systems) • Внедрение IDMEF • В свободно-распространяемой IDS Snort • В рамках проектов AirCERT, eCSIRT • Исторически составил основу для IODEF и сохраняет совместимость CERTs/CSIRTs: Communities and Projects

20. IETF GRIP (1998-2001) • RFC 2196 - Site Security Handbook (на замену RFC1244) • Руководство по составлению политики безопасности и поддерживающих методик для систем, подключенных к Интернет • RFC 2350 - Expectation for Security Incident Response Teams • Предоставляет методику как организовать Центр реагирования на компьютерные инциденты безопасности (CSIRT- Computer Security Incident Response Team) и базовые документы: Политика безопасности, Политика реагирования на инциденты безопасности, и другие • RFC2505 - Users' Security Handbook • Руководство пользователям по обеспечению безопасности информации, данных, и телекоммуникаций • RFC3013 - Recommended Internet Service Provider Security Services and Procedures • Описывает в форме рекоммендаций, что пользователи Интернет могут ожидать (и требовать) от Интернет сервис- провайдеров • RFC3227 - Guidelines for Evidence Collection and Archiving • Рекомендации по сбору и хранению улик и другой информации, связанной с компьютерными инцидентами безопасности • RFC 2828 - Internet Security Glossary • Содержит расширенный список терминов по безопасности как из области операционной и реагирования на компьютерные инциденты безопасности, так и из области технологий безопасности данных и приложений CERTs/CSIRTs: Communities and Projects

21. CERT/CC - http://www.cert.org/ • CERT/CC (CERT Coordination Center) раположен в Carnegie Mellon University вПитсбурге, США • Создан при поддержке Defense Advanced Research Projects Agency (DARPA) после инцидента с червем Мориса (Morris worm), который в 1988 парализовал работу окого 10% Интернет CERTs/CSIRTs: Communities and Projects

22. CERT/CC Программа • CERT/CC создан для работы с Интернет сообществом с целью выявления и разрешения компьютерных инцидентов безопасности, а также выработки мер для предотвращения будущих инцидентов. В частности, миссия CERT/CC состоит в следующем: • Обесечивать надежный, доверительный, круглосуточный, единый центр для контактов в случае чрезвычайных ситуаций • Содействовать эффективному взаимодействию экспертов с целью разрешения проблем безопасности • Выполнять роль центра для идентификации и коррекции уязвимостей в компьютерных системах • Поддерживать тесные связи с иследовательскими работами и проводить исследования с целью улучшения безопасности существующих систем • Инициировать профилактические меры с цель увеличения осведомленности и понимания вопросов безопасности информационно-телекомуникационных систем в среде пользователей и сервис-провайдеров CERTs/CSIRTs: Communities and Projects

23. CERT/CC: Направления деятельности • Анализ уязвимосей и обработа инцидентов • Развитие технологии построения устойчивых информационно-телекоммуникационных систем, в частности, Survivable Enterprise Management • Технический базис для идентификации и устранения уязвимостей в ИТС с целью защиты критических сервисов в случае, если произошло несанкционированное проникновение в систему • Образование и тренинг • Оповещения/Alerts • Другие информационные услуги по оповещению • Распространение информации • Публикации • Презентации • Отношения с прессой • Участие в ассоциациях и мероприятиях, имеющих дело с вопросами безопасности CERTs/CSIRTs: Communities and Projects

24. AirCERT - http://www.cert.org/kb/aircert/ • Automated Incident Reporting (AirCERT)является распределенной системой обмена данными о событиях безопасности между административными доменами • Проект инициирован и курируется CERT/CC • Цель создания системы – обнаружение вредной активности злоумышленника на основе мониторинга информации с контрольных точек наблюдения • События безопасности могут включать от автоматических оповедений IDS до информации об инцидентах, основанных на заключениях специалистов • Использует стандартные форматы • IDMEF - для оповещений от IDS • IODEF - для информации об инцидентах • SNML - для описания сетевых компонентов и информации о сетевых событиях • Свободно распространяемое ПО на основе C, Perl, PHP • http://aircert.sourceforge.net/ CERTs/CSIRTs: Communities and Projects

25. SANS - http://www.sans.org/ • SANS (SysAdmin, Audit, Network, Security) Institute был основан в 1989 как образовательно-исследовательское учреждение • Разрабатывает, поддерживает и распространяет бесплатно многочисленные информационные и образовательные материалы по вопросам безопасности • Предоставляет услуги тренинга и сертификации специалистов • Поддерживает обширную сеть (165,000) специалистов и практиков в области безопасности • Информационные услуги • Internet Storm Center – система раннего предупреждения в Интернет • Weekly vulnerability digest (@RISK) • Weekly news digest (NewsBites) • Библиотека оригинальных статей, научных исследований, методических рекомендаций CERTs/CSIRTs: Communities and Projects

26. Проекты и программы в SANS • Information Security Training - более чем 400 многодневных курсов в 90 местах во всем мире • The GIAC Certification Program - для специалистов • Consensus Security Awareness Training – для пользователей • SANS Weekly Bulletins and Alerts – список рассылки о новостях в области безопасности и об уязвимостях • SANS Information Security Reading Room и SANS Step-by-Step Guides • SANS Security Policy Project – свободно доступные образцы написания политики безопасности, разработанные на основе реального опыта • Internet Storm Center – система раннего оповещения • SCORE – форум для специалистов о безопасности ПО и ОС • SANS/FBI Annual Top Twenty Internet Security Vulnerabilities List • Information Security Glossary - слова, акронимы, и другое • Intrusion Detection FAQ – Часто задаваемые вопросы об обнаружении вторжений CERTs/CSIRTs: Communities and Projects

27. SecurityFocus - http://www.securityfocus.com/ • Известный информационный центр по широкому кругу вопросов обеспечения безопасности • Открытые форумы для оповещения и обсуждения текущих инцидентов в реальном времени - http://www.securityfocus.com/incidents • Можно запросить помощь и рекомендации в отношении атак и инцидентов • Содержит обслуживаемые директории по различным вопросам безопасности и архивы списков рассылки • Разделы по операционным системам, включая список рассылки BugTraq для Windows систем • Вирусы и анти-вирусная защита • Архив средств для работы с инцидентами и защиты компьютерных систем - http://www.securityfocus.com/tools • Обширнейшая пополняемая коллекция средств с аннотациями и рейтингом • Включает коммерческие средства CERTs/CSIRTs: Communities and Projects

28. CVE - http://www.cve.mitre.org/ • Цель разработки CVE (Common Vulnerabilities and Exposures) - стандартизовать названия всех известных уязвимостей и слабостей • Однако регистрация и присвоение идентификационных номеров выполняется без явной классификации, что затрудняет использование директории без специальных средств поиска • Совместимые продукты помещаются в специальный список «CVE-Compatible Products and Services» • "CVE-compatible" ("CVE-совместимый")означает, что продукт или сервис использует CVE таким образом, который позволяет осуществлять перекрестные ссылки между другими CVE-совместими продуктами • Два этапа: Декларирование и Оценка • Две организации (только:-) обьявили о совместимости с CVE форматом - • Trend Micro, Inc. и Security Horizon, Inc. • Спонсируется US-CERT at the U.S. Department of Homeland Security CERTs/CSIRTs: Communities and Projects

29. Опыт работы известных CSIRT • CERT-NL • JANET-CERT • CERT-RU • Другие примеры – ищите в директории Trusted Introducer http://www.ti.terena.nl/teams/level2.html CERTs/CSIRTs: Communities and Projects

30. CERT-NL (1) - http://cert.surfnet.nl/ • Согласно классификации – Распределенный CSIRT • Два штатных сотрудника – Jacques Schuurman, Jan Meijer • До 10 других сотрудников работают посменно • Один человек находится на дежурстве с гарантированным временем реакции – не более 2-4-х часов • CERT-NL ведет активную информационную работу • Оповещение своих пользователей об угрозах и рекомендации по безопасности • Некоторые документы сопровождаются комментариями • Отдельные документы переводятся на голландский язык • До 2002 года выполнял также функции государственного центра реагирования на КИБ • Содействовал созданию государственного Центра CERT-NO (CERT Nederlandse Overheid) CERTs/CSIRTs: Communities and Projects

31. CERT-NL (2) Пример статистики об инцидентах, предоставляемой CERT-NL CERTs/CSIRTs: Communities and Projects

32. JANET-CERT - http://www.ja.net/CERT/cert.html • Согласно классификации – Внутренний CSIRT академической сети JANET с функциями координирующего CSIRT • Ведет реальную работу по реагированию на инциденты в своей сети • Ведет обширную информационную работу • Предоставляет библиографию документов по вопросам безопасности • Советы и средства для улучшения безопасности компьютерных систем • Руководство по расследованию DDoS-инцидентовв организациях и сети UKERNA • Security Software webpage at JANET-CERThttp://www.ja.net/CERT/JANET-CERT/software/ CERTs/CSIRTs: Communities and Projects

33. CERT-RU - http://www.cert.ru/ • Центр реагирования на компьютерные инциденты в сети RBnet • Член FIRST • Описывает регламент реагирования на КИБ • Политика реагирования на инциденты • Имеет стандартную форму реагирования на инциденты • Предоставляет информацию о компьютерных уязвимостях и предупреждениях безопасности CERTs/CSIRTs: Communities and Projects

34. Координация борьбы со спамом • Спам является всеобщей проблемой в Интернет • Вопрос специально рассматривался правительством США и Европейской комиссией • Имеются соответствующие рекомендации и регламентирующие документы • Европейский центр координации борьбы со спамомhttp://www.euro.cauce.org/ • Анализ государственных анти-спамовских политикhttp://www.euro.cauce.org/en/countries/ • RIPE Anti-Spam Working Group – http://www.ripe.net/ripe/wg/anti-spam/index.html CERTs/CSIRTs: Communities and Projects

35. Использование средствнаблюдения в сети (1) • Требование по осуществлению мер безопасности в государстве и противодействие терроризму и преступности • Европейское законодательство по этому вопросу • Convention on Cybercrime, ETS No.: 185 http://conventions.coe.int/Treaty/EN/WhatYouWant.asp?NT=185&CM=8&DF=17/07/03 • http://europa.eu.int/information_society/eeurope/2005/index_en.htm • Великобритания: The Regulation of Investigatory Powers Act 2000 (см.разделы 12-14 вhttp://www.legislation.hmso.gov.uk/acts/acts2000/20000023.htm) • Установка оборудования требует Парламентской процедуры (утверждения) • Стоимость оборудования может быть скомпенсирована «заказчиком» • На практике большие провайдеры устанавливают оборудование за свои средства, но потом предоставляют услуги отслеживания трафика за дополнительную плату при наличии судебного ордера CERTs/CSIRTs: Communities and Projects

36. Использование средствнаблюдения в сети (2) • Вопрос, который часто вызывает горячие дискуссии в среде пользователей и провайдеров Интернет • Обсуждался также в IETF • Презентация “Lawful Intercept in IP Networks” - Fred Baker, бывший председатель IETF, заслуженный инженер Cisco • Cisco Architecture for Lawful Intercept In IP Networks http://www.ietf.org/internet-drafts/draft-baker-slem-architecture-01.txt • С точки зрения производителя оборудование, создание таких средств является требованием потребителей, исходящем из национальных регулирующих актов • Пример, скоординированной реакция Интернет сообщества в Голландии - http://www.opentap.org/ CERTs/CSIRTs: Communities and Projects

37. Вопросы и комментарии? CERTs/CSIRTs: Communities and Projects