Перейти к содержанию
Сергей Ильин

Тест HIPS-компонент антивирусов

Recommended Posts

Сергей Ильин

Коллеги!

Есть еще одна креативная идея :-) Проактивные технологии не заканчиваются только эвристикой, как это не раз обсуждалось, поэтому было бы здорово сделать такой тест антивирусов, по результатам которого можно было бы сравнить возможности и эффективность работы HIPS-компонент (проактивных средст детектирования и предотвращения вторжений).

Например, многие постоянно хвалят Антивирус Касперского 6.0, мол их проактивная способна успешно детектировать почти 100% новых угроз, но о наличии у себя HIPS-компоненты заявляют почти все вендоры. Чтобы узнать, чьи технологии работают лучше, я и хочу сделать данный тест.

Если ли какие-то идеи на этот счет, может уже кто-то проводил подобное?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Илья Рабинович

1. IDS к проактивным средствам относить нельзя ибо они основаны на сигнатурах :)

2. Почему только антивирусы? Как раз наоборот- логично сравнивать интегрированные технологии и отдельные продукты на эффективность и удобство использования!

3. Сразу скажу, что с выработкой методологии будут большие проблемы. Тут два пути:

а) Брать реальные зловреды в количестве Х штук и прогонять каждый на отдельной машине с отдельным HIPS (так делал Андреас Клементи).

б) Выработать набор тестов (типа как leak-tests для файеров) и работать уже с ними.

4. Ну и главное - время. По трудозатратам оно будет посложнее стандартных тестов на детект (типа, из коллекции в Х зловредов найдено Y, ура - продукт Z победил!). Отдельные машины под каждую HIPS, запуск зловредов руками, наблюдение фифектов фикции (ложняки на expert HIPS,к примеру)и прочие вещи.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
1. IDS к проактивным средствам относить нельзя ибо они основаны на сигнатурах

Но с другой стороны IDS может детектировать еще неизвестный вредоносный код или новую модификацию по поведению. HIPS же почти всегда относят к проактивным методам.

а) Брать реальные зловреды в количестве Х штук и прогонять каждый на отдельной машине с отдельным HIPS (так делал Андреас Клементи).

Что если взять актуальные на настоящий момент экспойты, выбрать их в соответствии с определенными критерями, например:

1. активность угрозы

2. опасность эксплойта

3. широта использования

4. Ну и главное - время. По трудозатратам оно будет посложнее стандартных тестов на детект (типа, из коллекции в Х зловредов найдено Y, ура - продукт Z победил!). Отдельные машины под каждую HIPS, запуск зловредов руками, наблюдение фифектов фикции (ложняки на expert HIPS,к примеру)и прочие вещи.

Согласен, нужно будет включитьв тест и некоторые специализированные продукты. По времени все равно такой тест будет менее трудоемкий, чем тот, который я делал по активному заражению.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Николай Головко

Коллега, IDS - не проактивная, а реактивная система... Отдельно следует решить, будете ли вы тестировать IPS-продукты или компоненты.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Коллега, IDS - не проактивная, а реактивная система... Отдельно следует решить, будете ли вы тестировать IPS-продукты или компоненты.

Я в заголовке темы написал IDS/IPS, так как часто грань между этими двумя вещами стирается, часто в описании продуктов так и пишут через слэшь. Если я что-то неверно написал, прошу меня поправить.

их кстати по типам еще масса Smile вы определитесь что вы хотите тестировать

Я лично веду речь о Host-based Intrusion Prevention System, которая IMHO относится к проактивным технологиям и встраивается в современные персональные антивирусные продукты.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Inkogn
...было бы здорово сделать такой тест антивирусов, по результатам которого можно было бы сравнить возможности и эффективность работы ...проактивных средст детектирования и предотвращения вторжений.

Да,будет чему удивляться,я думаю.Тестировать тем путём,каким заражаются,а как ещё?Для тестов против профи"писателей" нужны профитестеры + то,что им надо.Здесь можно поискать проведённые кем-то профитесты и добавить свои,которые все поймут.А прогонять почему нельзя на одной машине,если потом Image исходной ОС переписывать назад?Где взять каждой проге комп и параллельно сравнивать?

Сравнивать и оценивать так же надо,кем надо быть (домохозяйка(ин),инсталлирую Виндовс сам(а) со всеми настройками,...и т.д. или простопобалльная шкала),что бы высокий уровень защиты данной прогой смочь иметь,кроме оценок по другим пунктам.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
А прогонять почему нельзя на одной машине,если потом Image исходной ОС переписывать назад?Где взять каждой проге комп и параллельно сравнивать?

На вируальных машинах можно все это сделать, для каждого антивируса будет отдельная машина.

Сравнивать и оценивать так же надо,кем надо быть (домохозяйка(ин),инсталлирую Виндовс сам(а) со всеми настройками,...и т.д. или простопобалльная шкала),что бы высокий уровень защиты данной прогой смочь иметь,кроме оценок по другим пунктам.

Если после запуска эксплойта будет детектировано вредоносное поведение и выведен алерт, то антивирусу будет засчитываться плюс.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ego1st
Если после запуска эксплойта будет детектировано вредоносное поведение и выведен алерт, то антивирусу будет засчитываться плюс.

а не нужен ли для этого сплоит мало известный? потому что какие-то действие могут и не IDS/IPS блокироваться..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Николай Головко
Я в заголовке темы написал IDS/IPS, так как часто грань между этими двумя вещами стирается, часто в описании продуктов так и пишут через слэшь. Если я что-то неверно написал, прошу меня поправить.

http://www.webopedia.com/TERM/i/intrusion_...ion_system.html У нас принято понимать под IDS набор сигнатур брандмауэра, который он использует для определения сетевых атак. Проактивность здесь вообще не при чем. IPS также не всегда то же самое, что HIPS. Предлагаю говорить о тестировании HIPS-компонентов и продуктов.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
а не нужен ли для этого сплоит мало который неизвестен?

Будем брать свежие экспойты, незакрытые.

говорить о тестировании HIPS-компонентов и продуктов.

Согласен :-) С терминологией разобрались вроде.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

насчет свежих понятно, ну почему только не закрытые?

мне кажется достаточно тока свежих, т.к. даже если те же микрософты закрыли дырку, а продукт тестируемый сигнатуру в свою IDS компоненту так и не за сунул, то это аргумент в пользу выкинуть такой продукт на помойку

Добавлено спустя 4 минуты 26 секунд:

да и потом опять же к вопросу о проактивности

я так и не понял, что в итоге тестировать собираетесь?

т.е. если на примере KIS брать то тестироваться будет:

- IDS Компонента не имеющая никаокго отношения к проактивности

- PDM

-или все вместе? но тогда мне не очень понятно как...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ego1st

я вот тоже малость не представляю как это всё будет проводиться..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Илья Рабинович

Так, господа хорошие! Разруха начинается не с сортиров...

1. IDS==IPS, это реактивная защита, основанная на сигнатурах. Ни о какой проактивности тут не может быть и речи.

2. Если же речь идёт о проактивности, то здесь два варианта:

а) эвристик.

б) HIPS.

Других нет и быть не может (пока, во всяком случае).

Обращает также на себя внимание то, что системы превентивной защиты не занимаются блокированием эксплойтов- это работа специализированных hardening tools. Программы проактивной защиты занимаются блокированием последствий _успешной_ работы эксплойтов.

Если речь идёт о HIPS, то у нас есть три основные вида продуктов: classical HIPS, sandbox HIPS, expert HIPS.

Classical выбрасывают окна на каждом подозрительном движении процесса и ждут реакции пользователя, sandbox ограничивают набор недоверенных процессов в их действиях и не используют окон с вопросами к пользователю вообще, expert анализируют последовательность действий для выбрасывая окна с вопросом пользователю. Так что от некоторых HIPS-продуктов алерта можно не дождаться никогда в жизни- они так работают.

Так что советую понять, что именно будет тестироваться, после этого, основываясь на спецификациях продуктов понять, как именно это будет тестироваться и выполнить тест.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Inkogn
На вируальных машинах можно все это сделать, для каждого антивируса будет отдельная машина.

Я переделывал Виндовс прогой nLite.На виртуалке при тесте он "прошёл",реальная же не акцептировала мой активирующий ключ.В большинстве тесты на виртуалке соответствуют реальности,но не всегда.Искажение может оказаться роковым для продукта,поэтому подчеркнуть,что тесты на виртуалке проводились и что в редких случаях на реальной машине может быть другая реакция.Особенно,если автор оспорит,что на реальной машине данная версия так себя в некоем спорном случае не ведёт,как в тесте на виртуалке.

я так и не понял, что в итоге тестировать собираетесь?

Да,к тестам "простых" антивирустехнологий уже все привыкли.Нету доходчивых тестов,где тестируются технологии,расчитанные на предотвращение вредительных последствий от "в лицо" неизвестных.Я бы сигнатурные технологии исключил,а в направлении HIPS,проактивка и подобное.

Если после запуска эксплойта будет детектировано вредоносное поведение и выведен алерт, то антивирусу будет засчитываться плюс.

В таком случае,что бы не обмануть домохозяек,нужно оценивать,какой нужно иметь уровень знаний,что бы правильно ответить,без фолсов.Так как к проге не прилагается тестер,который говорит:"это окошко от вируса(запрети),а то от нужной проги(разреши)".Не обойдёшся без оценки,насколько просто/сложно или безхлопотно/лучшевыключу можно тестируемой прогой высокий уровень защиты иметь.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Inkogn

Здесь ( http://www.pc-st.com ) находится нам известная тестпрога,тестирущая и несигнатурную защиту.Авторы этой проги имеют АВ,который,судя по описанию, ( http://www.viruskeeper.com/us/info_moteur.htm ,там можно язык на другой иностранный выбрать)) вполне может с KIS сравниться.Почему-то не находятся тесты этой проги.Я хотел сказать,что нужно и её включить,если будем тестировать механизмы защиты от нанесения вреда "неизвестными" вирусами и пр.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

К вопросу по IDS, вот статья ЛКашного спеца. Кстати моего тезки.

Технологии обнаружения вторжений

Автор: Иван Голенков, Источник: Byte/Россия

Дата: 20 февраля 2007 г.

Иван Голенков, аналитик сетевых атак "Лаборатории Касперского"

Системы обнаружения вторжений, их классификация и требования к ним.

В настоящее время большинство производителей программных средств защиты для домашних и корпоративных пользователей предлагают интегрированные решения, куда включены такие компоненты, как антивирус, антиспам, проактивный модуль и межсетевой экран, в сочетании со встроенной системой обнаружения вторжений (СОВ, или Intrusion Detection System, IDS*). В данной статье мы остановимся на системах обнаружения вторжений, заглянув поглубже на "кухню" сетевой защиты.

Общие сведения

Необходимость в IDS возникла еще в те далекие времена, когда Интернет (в ту пору ARPAnet) вышел за пределы военных и исследовательских институтов США и постепенно начал превращаться в столь же привычный инструмент, как телефон. Привилегированный доступ специалистов и ученых к стратегически важным объектам сети уступил место масштабному и практически неконтролируемому подключению случайных людей. Разумеется, первые практические наработки в области IDS появились гораздо позже, чуть более двух десятилетий назад, и заметно уступали по функциональности современным аналогам. Основополагающими документами при их построении считаются труды Джеймса Андерсона "Мониторинг угроз компьютерной безопасности" и Дороти Деннинг "О модели обнаружения вторжения" (опубликованы в 1980-х гг.).

* Intrusion Detection System, IDS - программное средство, предназначенное для выявления фактов неавторизованного доступа в компьютерную систему или сеть либо нарушения их нормального функционирования и иных попыток взлома.

На сегодняшний день IDS принято классифицировать по нескольким параметрам, к числу которых относятся способ сбора информации, метод анализа информации и способ реагирования на угрозы.

Способ сбора информации

По способу сбора информации (перехвату сетевого трафика) системы обнаружения вторжений делят на два типа: host-based IDS (хостовая, или локальная) и network-based IDS (сетевая). Оба типа имеют свои особенности, определяющие в конечном счете всю архитектуру системы IDS. Здесь необходимо упомянуть следующие их принципиальные различия:

• хостовая IDS теоретически может работать с любым типом трафика, включая изначально зашифрованный;

• сетевая IDS не использует ресурсы процессора и память защищаемого объекта.

Исходя из того, что в гетерогенной сети с высокой вероятностью могут присутствовать клиенты с различными ОС, заметным минусом сетевой IDS становится потенциальная уязвимость к атакам, учитывающим особенности реализации различных TCP/IP-стеков, например, при обработке фрагментированно-го сетевого трафика. Известно несколько разновидностей таких атак.

Fragmentation Reassembly Timeout attacks - это атаки, базирующиеся на различии временных интервалов ("тайм-аутов") стеков TCP/IP разных ОС при сборке фрагментов. Если значения тайм-аутов дефрагментатора IDS отличаются от соответствующих значений на стороне атакуемой системы, для последующего анализа будет собран неправильный поток.

TTL Based attacks - в основном такие атаки реализуются путем генерации ложных фрагментов, которые по замыслу не будут получены жертвой, но будут перехвачены и ошибочно учтены дефрагментатором IDS для текущей сессии. Ситуацию легко воспроизвести, если IDS и атакуемый объект расположены в разных сетевых сегментах.

Overlapping Fragments - при такой атаке происходит (либо не происходит) перезапись уже полученных фрагментов вновь поступающими дубликатами, имеющими аналогичный порядковый номер. В результате сессия на стороне IDS может быть дефрагментирована иначе, чем на стороне жертвы атаки.

Таким образом, чтобы обеспечить защищенность всего периметра гетерогенной сети с помощью сетевой IDS, требуется ее тщательная оптимизация, учитывающая, какое сетевое оборудование и ПО используются в каждом конкретном случае. Хостовая IDS лишена этого недостатка благодаря возможности установки программных перехватчиков как на NDIS-, так и на TDI-уровне ОС.

Метод анализа информации

По методу анализа информации IDS делятся на сигнатурные, поведенческие (накопление статистики и обнаружение аномалий), а также смешанные или комбинированного типа. Сигнатурные IDS выигрывают по скорости анализа входного потока и генерируют сравнительно немного отчетов об ошибочном детектировании, но бессильны перед еще неизвестными им уязвимостями - в этом случае как раз достаточно успешно выступают IDS с применением алгоритмов выявления статистических аномалий. Но зато последние дают ощутимое число ложных срабатываний в совершенно безобидных ситуациях повседневной работы.

Самая известная система обнаружения вторжений на основе сигнатурного поиска - это, безусловно, Snort (www. snort.org). Данная IDS завоевала множество почитателей во многом благодаря открытому формату хранения баз (в виде текстовых файлов), легкости их изменения и внесения собственных наборов правил. В Интернете существует некоммерческий проект Bleeding Edge Threats (www.bleedingthreats. net), посвященный методам борьбы с сетевыми угрозами и созданию соответствующих сигнатур для Snort.

Способ реагирования на угрозы

По способам реагирования на обнаруживаемые угрозы системы IDS можно разделить на два типа: пассивные и активные. Пассивные системы в случае идентификации вторжения обычно создают детальный отчет о произошедшем, включающий лог сетевой атаки, оповещают службу безопасности, например, по электронной почте, и предоставляют рекомендации по устранению выявленной уязвимости. Активные IDS помимо всего вышеперечисленного пытаются противостоять вторжению. Их действия могут включать в себя как разрыв текущего злонамеренного соединения, так и полное блокирование атакующего путем изменения конфигурации межсетевого экрана или иным способом.

На сегодняшний день самый распространенный тип подобных систем - активные IDS. Идеология пассивных IDS более подходит к существующим проектам типа систем-ловушек (honeypot) либо сетей на их основе (honeynet), задача которых - как можно более правдоподобно эмулировать уязвимую систему и сервисы, при этом сохраняя полную историю происходящего (включая сетевую сессию в raw-формате), не выдавая себя и не создавая дополнительной преграды для нарушителя. В итоге с высокой долей вероятности удается определить новые методы компрометации системы.

Требования к IDS

Существует принципиальная разница в программировании логики вынесения вердикта у детекторов, входящих в состав network-based IDS и host-based IDS. Основная причина - различный уровень подготовленности персонала, от которого требуется проанализировать ситуацию и однозначно отреагировать на случившееся. Часто для правильной оценки рисков необходима достаточно высокая квалификация. В связи с этим к хостовым IDS предъявляют повышенные требования по технологиям детектирования и фильтрации шумов. Для сетевых IDS без дополнительной оптимизации приемлемым уровнем false alarms (ложных срабатываний) принято считать цифру 90%, т. е. всего 10% срабатываний действительно относятся к попыткам нарушения безопасности систем. На практике за счет дополнительных усовершенствований процент ложных тревог понижается до 60% и менее, что считается очень хорошим показателем. Для современных host-based IDS аналогичный показатель не может превышать нескольких процентов, другими словами, пользователь должен быть оповещен лишь в случае реальной атаки.

Для обнаружения атак, потенциально реализуемых на любом из уровней стека TCP/IP (от сетевого до прикладного), ядро системы обнаружения вторжений должно быть построено в виде драйвера ОС, с возможностью низкоуровневого перехвата поступающих на интерфейс пакетов, которые далее будут обработаны внутренним анализатором протоколов, входящим в IDS, и непосредственно движком-детектором, окончательно определяющим характер соединения. Важный критерий здесь - скорость сканирования трафика, ведь при работе за компьютером, полностью загруженным только проверкой, не может идти речи ни о какой комфортности. Существенную оптимизацию в такого рода задачах повышения быстродействия обеспечивают математические алгоритмы, в частности, методы хеширования.

Обязательное требование к современным IDS - модульность архитектуры, учитывающая расширяемость и возможность обновления баз, состоящих как из сигнатур атак, так и из дополнительных объектных модулей ядра-детектора, содержащих программный код. Это позволяет оперативно реагировать на обнаруживаемые угрозы любого типа и выпускать критические патчи безопасности в минимальные сроки, тем самым предотвращая глобальные эпидемии сетевых червей. Немаловажен здесь и размер обновлений IDS: в идеальном случае он должен предоставляться по инкремент-ному принципу, в зависимости от текущей базы клиента, и скачиваться в минимальном объеме.

Традиционно в качестве защиты от появившегося эксплойта** пользователям предлагается установить "заплатку", выпущенную производителем соответствующего ПО. Однако проблема в том, что между обнаружением эксплойта и выпуском патча всегда существует временной разрыв. Его продолжительность зависит от многих факторов, например, от того, сколько времени потребует тестирование и отладка патча. Фактически в этот период пользователь остается уязвимым. Один из возможных способов сократить этот опасный период - сбор подозрительной сетевой активности и дальнейшее взаимодействие с экспертами в области информационной безопасности

Например, "Лаборатория Касперско-го" разработала специальную утилиту KLDump (ftp://ftp.kaspersky.ru/utils/KL Dump/KLDump.exe), позволяющую сохранять полный лог сетевой активности в файл, который затем можно отправить по электронной почте экспертам для анализа. Если вредоносность присланного файла подтвердится, пользователь получит от разработчика срочное антивирусное обновление.

Остановимся немного подробнее на вопросе возникновения уязвимостей, их классификации и сути проблемы в целом.

** Эксплойт уязвимости (от англ. exploit - использовать) - это обобщенное наименование компьютерных программ особого типа (обычно небольшого размера), которые используют возможности, предоставляемые ошибкой (уязвимостью) в других программных продуктах, чтобы совершить незапланированные автором этих программных продуктов действия: например, выполнение произвольного кода в контексте уязвимого приложения и т. п.

Использование уязвимостей

Первопричиной программных ошибок и некачественного кода смело можно назвать неизбежную циркуляцию программистской рабочей силы. Текучка в крупных ИТ-компаниях, создающих сложное многокомпонентное ПО, приводит к тому, что количество конструктивных просчетов в технических заданиях и процент однотипных логических ошибок поддерживаются практически на постоянном уровне. Просчетами в данном случае можно считать несоблюдение неких общепринятых стандартов, например, требований RFC (www. ietf.org/rfc.html), и низкий уровень доку-ментированности разрабатываемого проекта. В свою очередь, среди критических с точки зрения информационной безопасности ошибок можно выделить два типа:

• отсутствие проверок выхода за границы массива;

• небезопасная работа с функциями, которые не контролируют корректность переданных им параметров.

К первым относят так называемые ошибки переполнения - buffer overflow, heap overflow, integer overflow и другие, менее известные; исторически значимое упоминание о возможности совершения незапланированных действий при возникновении таких ситуаций зафиксировано еще в 1980-х гг. Из ошибок второго типа назовем нашумевшие ошибки форматной строки, или format string vulnerabilities, которые получили широкую огласку в конце 1990-х и изначально использовались как брешь в защите систем Unix. Одним из первых публичных экс-плойтов подобной уязвимости был WuFTPd 2.6.0 Remote Root Exploit, датируемый серединой 2000 г.

Из-за растущей популярности и повсеместного внедрения разнообразных сервисов на основе Web-технологий появились новые потенциальные векторы атак, привлекающие повышенное внимание злоумышленников. Стал четко формироваться отдельный подкласс уязвимостей в сетевых приложениях, полностью написанных на скриптовых языках и активно использующих в своей работе базы данных. Для них определились новые жаргонные названия, такие, как PHP Inclusions, CrosSite Scripting, SQL Injections. Сегодняшние новостные сводки Bugtraq полны отчетов, шутливо озаглавленных: Summary Daily Web-Based Applications Security Vulnerabilities.

Когда хакер-исследователь изучает исходные тексты интересующего его прило жения или, если таковые недоступны, листинги дизассемблера, найденные места, содержащие перечисленные ошибки, подвергаются тщательному анализу для оценки вероятности их использования.

Часто по ряду причин детальный разбор внутренностей абстрактной системы невозможен (понятие "система" трактуется здесь как программный код либо иное программно-аппаратное решение), и для исследователя она представляет лишь "черный ящик" с множеством входов/выходов (рис. 2). Но и даже в таком, с виду тупиковом, варианте беспроигрышной тактикой, позволяющей выявить наличие брешей, остается универсальная схема "запрос - ответ", или получение слепков реакций изучаемой системы на специально сформированные входные данные, с дальнейшим их накоплением, систематизацией и скрупулезным анализом на финальной стадии. Бинарная структура самих запросов, в частности, определяется типом прощупываемого объекта и иной спецификой, зависящей от изначально сформулированных требований к проводимому исследованию.

На основании собранной информации и построенной с ее помощью статистической модели в ряде случаев есть все шансы написать полнофункциональный "эксплойт" под конкретную уязвимую систему. Разумеется, подобная методика много сложнее, чем анализ запутанных исходных кодов, и помимо больших временных затрат и терпения требует высочайшей профессиональной подготовки.

В современном динамичном мире глобальная Сеть стала тем связующим звеном, каким в XIX веке был междугородный телеграф, с той лишь разницей, что теперь в единое целое объединены сотни мегаполисов, гигантские объемы информации ежесекундно пульсируют по искусственным артериям планеты, а влияние этого технологического эксперимента ощущает на себе каждый человек. Как любой живой организм не обходится без паразитирующих вирусов, так и неосязаемое пространство Сети невозможно без злокачественных образований в том или ином виде.

Сегодня криминальная активность виртуального мира все чаще нацелена на обычных пользователей, не подозревающих, что против них совершается нечто противозаконное. Но подобная тенденция нисколько не уменьшает количества попыток проникновения на защищенные серверы крупных корпораций, где самое ценное - это промышленная информация и внутренний документооборот компании. Отчетливо наблюдается разделение труда в сообществе андергра-унда: специализация одних - уязвимости серверного ПО, для других объектом повышенного внимания становится клиентское ПО, такое, как Web-браузеры, популярные почтовые агенты, разнообразные сетевые службы Windows как самой распространенной пользовательской ОС и, разумеется, самый лакомый кусок - стек TCP/IP (рис. 3). Цена критических ошибок, нелегально предлагаемых в Интернете, достигает 5000 долл.

По заверениям Microsoft (www. microsoft, com/technet/community/columns/ cableguy/cg0905.mspx), с выходом ОС следующего поколения Windows Vista произойдет смена сетевого ядра, отлаженного временем и миллионами компьютеров, на абсолютно новое под кодовым названием Next Generation TCP/IP stack, существенным нововведением в котором будет полная поддержка протокола IPv6. Однако не стоит надеяться, что при подобном подходе общая архитектура системы станет более безопасной и избавится от старых ошибок, даже пройдя многочасовые лабораторные тесты.

В подтверждение этой точки зрения уместно привести некоторые выдержки из Bugtraq, датированные периодом весна-лето 2006 г. В них упоминаются (MS06-025) Microsoft Windows RRAS Buffer Overflow Vulnerability, критическая уязвимость в службе Windows Routing and Remote Access, по степени опасности сопоставимая с печально известными "дырами" в DCOM RPC (MS03-026) и LSASS (MS04-011), а также (MS06-036) Vulnerability in DHCP Client Service Could Allow Remote Code Execution, критическая уязвимость в TCP/IP-стеке Windows (и это спустя пять лет после релиза!).

Соответствующие эксплойты не получили дальнейшего масштабного распространения (в виде составной части червей либо "троянцев") лишь из-за технических сложностей реализации успешной атаки.

Вывод напрашивается сам собой: в отшлифованных годами внутренностях Windows критические ошибки встречаются до сих пор! Что же преподнесет нам релиз Vista?

Тестирование систем IDS

На сегодняшний день не существует общепринятых методик тестирования "действительных" способностей IDS-подсистем, аналогичных антивирусным тестам EICAR. Наиболее показательным, на наш взгляд, могло бы быть тестирование в условиях воздействия реальных угроз на стендах под защитой соответствующих продуктов.

Осенью 2006 г. в "Лаборатории Касперского" было проведено внутреннее тестирование различных средств обеспечения безопасности. В нем использовались наиболее актуальные эксплойты, воздействующие на самые разные приложения, от сервисов Windows (рис. 4) и серверных компонентов для сетевых игр.

***

Модель OSI

Международная организация по стандартизации (International Standards Organization, ISO) спроектировала эталонную модель, определяющую семь различных уровней взаимодействия систем (рис. 1). Каждый из уровней имеет собственное стандартизованное наименование (например, сетевой, транспортный и т. д.) и перечень документов, регламентирующих список протоколов, которые используются на данном уровне. Сама модель получила название "модель взаимодействия открытых систем" (Open System Interconnection, 0SI) или сокращенно модель IS0/0SI.

***

Источники дополнительной информации

I.Arpanet history 1957-1990, http:// www.jmusheneaux.com/21 bb.htm.

2. Sumit Siddharth. Evading NIDS, revisited. SecurityFocus.com, 2005-12-06. http:// www.securityfocus.com/infocus/1852.

3. Kevin Timm. Strategies to Reduce False Positives and False Negatives in NIDS. SecurityFocus.com, 2001-09-11, http:// www.securityfocus.com/infocus/1463.

4. Андрей Беляев, Сергей Петренко. Системы обнаружения аномалий: новые идеи в защите информации. Экспресс-Электроника, 2004-02, http://www.cit-forum.ru/security/articles/anomalis.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Коллеги!

Предлагаю вернуться к обсуждению постановки данного теста HIPS.

Вопросы на повестке следующие:

1. Какие конкретно технологии (варианты реализации HIPS) будут тестироваться?

2. На какие этапы можно разбить такой тест?

3. Какие продукты можно взять для теста на каждом этапе?

4. Как оценивать результаты теста?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Илья Рабинович

Как я и предлагал на Infosecurity- для каждого базового типа HIPS (всего их четыре) выработать отдельные методологии ибо реакции на внешние раздражители у каждого типа HIPS'ок своя.

Этапов проверок две. Первая- концептуальные тесты. Запись в автозагрузку, чувствительные объекты реестра (куда обычно зловреды пишутся), установка/модификация/удаление драйвера/сервиса, снятие скриншотов, кейлоггинг, внедрение в процессы. Вторая- тесты на отобранных реальных зловредах по группам: trojans, spyware, adware, rootkits, keylogers, ransomeware.

Все умные мысли- велкам сюда!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

я лучше глупые мысли

вы сначала определите что такое в вашем понимании HIPS, а то выше в топике одни метания и неясности. А потом еще сделайте так, чтоб с вашими определениями согласились.

лучше уж тестировать поведенческий блокиратор+эвристик на

зловредах, которые отсутсвуют в базах сигнатур. Такое вот примитивая цель теста на мой взгляд большинству понятна будет.

оценивать грубо так

Запускаем зловредов на машине.

Эвристик дает вердикт типа: BehavesLike:Trojan.

Downloader, probably a variant of Win32/TrojanDownloader.Delf.ACC, Downloader (модификация) оцениваем детект в 1 бал (полноценное обнаружение)

-эвристик дает вердикт просто Suspicious file (Panda такое любит) - даем 0,5 балла, т.к. при таком вердикте пользователь с большой вероятностью не поверит антивирю

-поведенческий блокиратор дает вердикт типа: Trojan.generic или Keylogger, Invader, Hidden object (rootkit) и т.д. оцениваем детект в 1 бал

-поведенческий блокиратор просто сообщает всякую ерунду вроде Registry access или Hidden install не давая никаких вердиктов - только 0,5 бала.

как я уже сказал мысли абсолютно глупые

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ice-berg

HIPS компонентом нереально защитить обычных пользователей...

Если будут плавать постоянные окошки тревоги... это хочет туда, тут что-то так то... (а функции фаирвольной защиты антивируса...)

Как профессионально к этому не подойти, как это не обсуждать, и как только не строить эти "летучие корабли"... всё будет на уровне: есть вирус, его ловит антивирус

HIPS работает, когда хотя бы пользователь - дебаг

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Илья Рабинович

Согласен, глупые. Начнём с того, что эвристик не участвует- только HIPS-компоненты. Далее- классический HIPS будет выдавать только конкретные действия (типа записи в автозагрузку) без всяких там "Trojan.Generic", whitelisting просто будет выкидывать окна при старте исполеянмых файлов вне локальной базы разрешённых, sandbox молча или зарубит зловреда или перенаправит его действия в виртуализационный контейнер. Так как оценивать прикажешь? Norton Antibot (оно же Sana Security Primary Responce), кстати, может выдвинуть совсем иной вердикт, нежели PDM (и с какой стати ты ориентируешься именно на этот blacklisting HIPS и его вердикты как на эталон? Оно ведь нигде так не сказано!).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitry Perets
оценивать грубо так

Запускаем зловредов на машине.

Эвристик дает вердикт типа: BehavesLike:Trojan.

Downloader, probably a variant of Win32/TrojanDownloader.Delf.ACC, Downloader (модификация) оцениваем детект в 1 бал (полноценное обнаружение)

-эвристик дает вердикт просто Suspicious file (Panda такое любит) - даем 0,5 балла, т.к. при таком вердикте пользователь с большой вероятностью не поверит антивирю

-поведенческий блокиратор дает вердикт типа: Trojan.generic или Keylogger, Invader, Hidden object (rootkit) и т.д. оцениваем детект в 1 бал

-поведенческий блокиратор просто сообщает всякую ерунду вроде Registry access или Hidden install не давая никаких вердиктов - только 0,5 бала.

как я уже сказал мысли абсолютно глупые

Согласен с глупыми мыслями Ивана =) Нужно сделать общий тест на умение антивирусов противостоять неизвестным угрозам. Подобных тестов как таковых нету. Обычно тестируют лишь какие-то конкретные компоненты (только эмулятор, только HIPS и т.п.). А хочется увидеть именно общий тест.

По-поводу вердиктов здесь есть некоторые проблемы. Допустим, у НОДа вердикты эмулятора выглядят как "NewHeur_PE". Это в принципе аналогично Пандовому "Suspicious file" по информативности. Тем не менее, имхо за такой вердикт они оба вполне заслуживают полный балл. Действие подозрительное, файл похож на зловреда, эвристика сделала своё дело.

А 0.5 балла нужно давать только за реакцию на "информационные" действия, свойственные классическому HIPS. К примеру, это алерты монитора реестра КАВ.

К слову, Hidden Install так же заслуживает полного балла имхо. Юзеру сообщается о попытке скрытой установки чего-либо. Это подозрительно, пользователь должен об этом знать! Понятно, что тот, кто это делает, не обязательно ворует пароли. Но, пардон, троян-даунлоадер тоже может чисто по приколу скачать мне на комп безобидный eicar, это не значит, что не нужно детектить поведение, свойственное троян-даунлоадерам.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Согласен с глупыми мыслями Ивана =) Нужно сделать общий тест на умение антивирусов противостоять неизвестным угрозам. Подобных тестов как таковых нету. Обычно тестируют лишь какие-то конкретные компоненты (только эмулятор, только HIPS и т.п.). А хочется увидеть именно общий тест.

А.Маркс

in proccess

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitry Perets
Начнём с того, что эвристик не участвует- только HIPS-компоненты.

Не стоит того... Мы получим ещё один тест, который не говорит ни о чём... Вот недавно был тест эмуляторов. Ну провели тест, ну посмотрели результаты... Ну специалистам интересно, они могут сравнить качество реализации конкретных методов детекта... А практическая польза какая? Я могу, глядя на эти результаты, ответить на вопрос "Кто лучше справляется с 0-day угрозами?" А зная, что продукт Х ловит 39% эмулятором, 54% поведенческим анализатором первого поколения, 34% поведенческим анализатором второго поколения и ещё 8% статическим эвристиком, могу ли я прикинуть какой примерно процент 0day-угроз будет пойман?

Добавлено спустя 1 минуту 25 секунд:

А.Маркс

in proccess

Гуд =)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • Harlison
      А насчёт транспорта, свой нужен или только на служебном? И можно ли свои аксессуары ставить на ваши машины, к примеру подобные оплетки рулевого колеса https://lazebra.ru/shop/opletki/opletki-dlya-rulya/ ? Привык к ним сильно, уж очень удобные, поэтому хочется заранее подобные моменты все узнать, для лучшей продуктивности работы.
      заранее спасибо
    • Viktorr
      Спасибо за обзор, очень подробно и понятно. Из своего же опыта могу сказать, что мы для офиса заказали лицензионный Symantec Endpoint Protection. Причем на мой взгляд, это один из самых лучших вариантов. Поначалу пытались бесплатными программами пользоваться, но они явно не подходят для обеспечения корпоративной безопасности. А потом начальник поручил здесь https://softmap.ru/think-cell/think-cell-chart/ купить think cell на 20 пользователей, так как этот софт нам нужен для составления таблиц и диаграмм, и я заодно убедил его купить ПО для корпоративной защиты. Ведь это возможно, даже более важный вопрос, учитывая что у нас есть собственные наработки, которых пока нет ни у одной другой компании.
    • grak
      Я кредиты не беру вовсе, нету в них надобности так как в деньгах не нуждаюсь, а все потому что я зарабатываю на http://vulkanvip-casino.com/ этом портале. Хотите и вы так? Значить переходите на тот сайт и зарабатывайте.
    • AM_Bot
      Какие проблемы безопасности связаны с использованием наиболее популярных браузеров? Что следует понимать под защищенными браузерами и каковы их отличительные черты? В каких направлениях развивается сегмент рынка защищенных браузеров? Ответы на эти и другие вопросы содержатся в аналитическом обзоре рынка защищенных браузеров.    ВведениеПроблемы безопасности браузеровЧто такое защищенный браузер?Защищенные браузеры4.1. Tor Browser4.2. Waterfox4.3. Iron4.4. Comodo Dragon4.5. Brave4.6. Opera4.7. Epic4.8. Dooble Web BrowserВыводы ВведениеБраузер, пожалуй, одна из наиболее востребованных программ среди всех пользователей, независимо от возраста, профессии, социального положения. С момента появления первого браузера было разработано множество программ этого рода, и число только наиболее известных измеряется в десятках. Разработчики программ идут на всевозможные ухищрения для того чтобы привлечь внимание публики именно к своему детищу. Опыт же показывает, что легче всего завоевать сердце пользователя, предоставив ему максимально комфортные условия работы. Для этого нужно поддержать как можно больше операционных систем, веб-технологий, форматов данных и протоколов, а также реализовать как можно больше различных удобных функций. Высокая скорость загрузки страниц тоже очень нравится пользователям.В большинстве случаев браузер выбирается на основе именно этих критериев. А кто-то вообще экономит силы и либо пользуется тем, что уже есть, либо устанавливает самое популярное решение. Осознанным такой выбор назвать трудно, поскольку не все браузеры одинаково безопасны. Проблемы безопасности браузеровУпотребление признака «защищенный» в теме данного обзора может вызвать закономерный вопрос: разве не все браузеры защищенные? Без большого риска ошибиться можно предположить, что если вы прямо сейчас откроете окно настроек браузера, в котором читаете этот обзор, то легко сможете отыскать раздел вида «безопасность», «конфиденциальность» или что-то подобное.Функции безопасности, такие как защита скачиваний, фильтрация URL, запрет слежения, приватный режим, стали «мейнстримом» и взяты на вооружение Google Chrome, Internet Explorer и Mozilla Firefox. Что же в таком случае мешает рассматривать в качестве защищенных все существующие браузеры?Из ряда свидетельств в прошлом широкой общественности стало известно, что использование наиболее распространенных браузеров сопряжено с рисками безопасности. В первую очередь, подпадают под подозрение продукты, которыми владеют крупные компании. Google, Microsoft, Apple, по-видимому, принимают активное участие в программе негласного сбора информации, передаваемой по сетям электросвязи (PRISM). Браузеры по своей природе очень удобный инструмент для того, чтобы собирать данные о поведении, привычках и предпочтениях пользователей, по крайней мере, в маркетинговых целях. Разумеется, чем более широко используется браузер, тем большую ценность он представляет для корпораций и правительственных организаций в качестве поставщика сведений. Но самая большая неприятность состоит в том, что мы даже не можем получить полное представление о том, как и для чего собранные данные могут быть использованы сейчас и в будущем. Мы имеем дело с миной замедленного действия, и игнорировать факт ее существования довольно легкомысленно. Что такое защищенный браузер?Для неискушенного пользователя большинство браузеров может казаться защищенными. Но специалисты в области ИБ хорошо знают, что истинная безопасность подразумевает отказ от многих зависимостей, связанных с платформами, плагинами и любыми иными избыточными элементами для получения как можно более простого и прозрачного инструмента.Защищенным разумно считать специализированный браузер, который скорее нацелен на решение проблем конфиденциальности пользователей, предоставление ему всех возможностей по управлению, исключение сбора данных, пусть даже в ущерб комфортной работе в интернете. Теперь становится понятно, что популярность браузера ни в коей мере не свидетельствует о высоком уровне его защищенности. Более того, эти два качества скорее противоречат друг другу.В рамках обзора невозможно и нецелесообразно рассматривать все существующие решения, которые могут претендовать на право называться защищенными. Мы отобрали наиболее типичных и ярких представителей сегмента, чтобы сформировать целостную картину. Защищенные браузеры Tor BrowserВряд ли полноценный обзор защищенных браузеров может обойтись без упоминания решения Tor. Разработка браузера Tor стала своеобразным ответом на лавинообразное увеличение числа инцидентов безопасности при использовании интернета.Браузер Tor в сущности представляет собой лишь вершину айсберга. За ним кроется защищенная распределенная сеть из множества прокси-серверов, создаваемая с целью обеспечить анонимность и конфиденциальность пользователя в интернете.Работа браузера основана на простом для понимания принципе «луковичной маршрутизации» (Tor — это акроним от Onion Router). Над данными множество раз выполняется процедура шифрования по мере передачи от сервера к серверу (три выбираемых случайным образом сервера сети Tor — те самые «луковичные слои») защищенной сети Tor, а затем передаются по виртуальному каналу. И точно так же данные расшифровываются очередным «слоем» при получении.Трафик между сетью Tor и целевым ресурсом не шифруется. Поэтому если пользователь хочет передавать по интернету чувствительную информацию, по-прежнему нужно позаботиться о конфиденциальности за счет использования https или иного протокола сквозного шифрования, а также механизмов аутентификации.Кроме того, при использовании сети Tor у пользователя остается возможность посещать заблокированные сайты. Рисунок 1. Схема работы Tor  Давайте рассмотрим концепцию браузера подробнее. Tor Browser основан на специальной версии Mozilla Firefox с расширенным сроком поддержки (Extended Support Release (ESR)). Повышенный по сравнению с Firefox уровень безопасности достигается за счет следующих нововведений:применения ряда патчей для усиления конфиденциальности;изменение настроек Firefox, задаваемых по умолчанию, с акцентом на безопасность (в целом состав настроек с некоторыми исключениями совпадает с теми, что реализованы в Firefox); Рисунок 2. Настройки приватности Tor Browser по умолчанию усиление безопасности за счет использования различных расширений для безопасного просмотра веб-сайтов: HTTPS-Everywhere, NoScript, Torbutton (кстати, в настоящее время ведется работа по перенесению функциональности последнего расширения непосредственно на уровень патчей); Рисунок 3. Стандартные расширения Tor Browserиспользование подключаемых транспортных модулей (Pluggable Transports) для противодействия цензуре в интернете, которая направлена на блокирование сетей Tor по IP или с помощью механизмов фильтрации потоков трафика: Obfs3proxy, Obfs4proxy, meek, FTE. Рисунок 4. Подключаемые транспортные модули Tor Browser Актуальная на момент написания обзора версия Tor Browser 7.5.6 основана на Firefox 52.9 ESR, но уже готовится к официальному выходу версия на основе Firefox ESR 60. Поддерживаются Microsoft Windows, macOS, GNU/Linux.Очевидно, что браузер Tor особенно востребован в тех случаях, когда возникают попытки ограничить свободу в интернете. За примерами далеко ходить нет нужды, они на слуху.По умолчанию Tor Browser не сохраняет историю посещений, а cookies хранятся и используются только на время сеанса.При первом запуске Tor Browser отображается окно настроек сети Tor. Можно выполнить подключение к ней или предварительно задать настройки для подключения. Рисунок 5. Окно подключения к сети Tor В большинстве случаев достаточно нажать кнопку «Соединиться», чтобы установить подключение без конфигурирования. После этого появится полоса загрузки, наглядно отображающая текущее состояние процесса подключения. Рисунок 6. Подключение к сети Tor Кнопку «Настроить» следует нажать, если подключения к интернету подвергаются цензуре или используется прокси. Для разрешения первой проблемы браузер позволяет выбрать подключаемый транспортный модуль, а во втором случае в настройках нужно будет указать параметры прокси-сервера.Веб-сайты часто задействуют множество сторонних сервисов для взаимоувязывания и сопоставления активности пользователя на различных ресурсах. Сюда можно отнести кнопки «Нравится» в социальных сетях, аналитические трекеры, рекламные маяки и т. п. Браузер Tor включает несколько дополнительных механизмов контроля за перемещениями информации, ассоциированной с пользователем. По сути он ограничивает интерфейс взаимодействия пользователя с сервисами интернета исключительно тем веб-сайтом, что задан в адресной строке. И даже если пользователь подключается к двум разным сайтам, которые используют один и тот же сторонний сервис-трекер, браузер обеспечивает прохождение содержимого сайтов через две различные цепочки серверов. Благодаря этому трекер не будет знать, что оба подключения были установлены из браузера одного пользователя.Некоторые веб-сайты требуют вводить логин и пароль пользователя при входе. В случае с незащищенным браузером, помимо логина и пароля, зачастую раскрывается информация об IP-адресе и местоположении пользователя. С браузером Tor можно в явном виде выбирать, какая информация будет раскрыта при использовании того или иного веб-сайта.Опция «Новая личность» пригодится, если нужно предотвратить увязывание деятельности в браузере с той, что была предпринята ранее. При выборе этой опции будут закрыты все открытые вкладки и окна, очищена вся личная информация (cookies и история посещения сайтов), а также будут созданы новые цепочки для всех соединений. Рисунок 7. Управление цепочками Tor для сайтов Опция «Новая цепочка» может быть полезна, если выходной сервер не может подключиться к веб-сайту или загрузить его корректным образом. В этом случае активная вкладка или окно будут перезагружены в новой цепочке Tor.Tor Browser имеет элемент управления «Уровень безопасности», который позволяет повышать и снижать степень защищенности посредством управления набором потенциально опасных параметров. Повышение уровня может привести к тому, что некоторые страницы будут отображаться некорректно. Это своего рода плата за повышенную безопасность. Оценить приемлемый уровень безопасности достаточно просто, поскольку соответствующее окно настройки содержит всю необходимую информацию о возможных последствиях. Рисунок 8. Уровни безопасности Tor Browser Кроме того, в Tor Browser реализованы оперативные механизмы, направленные на информирование и предупреждение пользователя о потенциальных опасностях, связанных с использованием тех или иных веб-сайтов. WaterfoxУже из названия Waterfox видно, что он основан на Mozilla Firefox. Пожалуй, это наиболее известный браузер подобного рода, именно по этой причине он попал в настоящий обзор. Кроме него можно еще отметить альтернативные браузеры, основанные на коде Firefox, — Pale Moon и Basilisk.Waterfox принадлежит к числу довольно незатейливых браузеров с открытым исходным кодом. Разработчики видели одну из своих целей в создании самого быстрого браузера для 64-битных компьютеров. Waterfox  заслужил свою популярность как раз благодаря тому, что в нем была реализована поддержка 64-битных операционных систем еще в то время, когда Mozilla Firefox был 32-битным.Waterfox основан на Firefox ESR и потому поддерживает традиционные XUL-расширения Firefox и NPAPI-плагины. По сравнению с Firefox в нем изменен ряд настроек безопасности по умолчанию, в частности:отключена интеграция с веб-сервисом Pocket;отключена автоматическая отправка телеметрических данных в компанию Mozilla;отключены расширения Encrypted Media Extensions, которые требуются для работы некоторых сайтов.Следует отметить, что ощутимого прироста скорости эти улучшения на данный момент не приносят, а с точки зрения безопасности аналогичный эффект может быть получен посредством конфигурирования Firefox вручную. Рисунок 9. Настройки приватности Waterfox по умолчанию Разработчики Waterfox заявляют следующие основные преимущества браузера перед конкурентными решениями:просмотр веб-страниц без оставления следов. Waterfox автоматически удаляет с компьютера оперативную информацию пользователя (пароли, cookies, историю посещения страниц);противодействие скрытым трекерам. Waterfox оснащен защитными механизмами для автоматического блокирования скрытых трекеров, которые собирают информацию о просмотренных страницах. Это позволяет сохранить конфиденциальность пользователя и ускорить загрузку страниц. Рисунок 10. Защитные механизмы Waterfox Как это ни парадоксально, с использованием Waterfox и подобных ему браузеров связана существенная проблема безопасности. Дело в том, что обновления безопасности, выпускаемые для Firefox ESR, появляются в Waterfox с некоторым запозданием. Это объяснимо, поскольку разработчикам требуется время для того, чтобы интегрировать эти обновления в Waterfox. Однако практика показывает, что задержка может достигать двух недель. IronSRWare Iron — это основанный на Chromium браузер для защищенной работы в интернете. Создатели Iron противопоставляют свое детище Google Chrome как инструмент, впитавший в себя все лучшие качества последнего и лишенный проблем безопасности для пользователя. Основная проблема безопасности Chrome, от которой решили избавиться в Iron, заключается в отправке сведений о действиях пользователя в Google и создании идентификатора, облегчающего опознание пользователя.В свете этой позиции не должно удивлять, что в целом интерфейс Iron практически не отличается от Chrome.Проект до настоящего времени поддерживается разработчиками, новые версии выходят с небольшими перерывами каждый месяц. Последняя на момент написания статьи версия 67.0.3500.0 увидела свет 28.06.2018.Для решения проблем безопасности браузер предлагает соответствующий набор настроек конфиденциальности, расширения и настраиваемые средства разработчика.На рисунке ниже для наглядности сопоставлены настройки конфиденциальности, предоставляемые Google Chrome и SRWare Iron. Можно легко заметить, что из Iron удалены все параметры, в той или иной степени связанные со сбором и отправкой в Google информации о работе пользователя с браузером. В остальном настройки идентичны. Рисунок 11. Сравнение настроек конфиденциальности Google Chrome (слева) и SRWare Iron (справа) На официальном сайте Iron заявлено, что в отличие от Chrome, «Iron имеет встроенный блокировщик рекламы, который легко настроить с помощью конфигурационного файла». На практике явных следов наличия этого инструмента в Iron обнаружить не удалось, по умолчанию реклама не блокируется. Да и подход с настройкой браузера через конфигурационный файл представляется сомнительным.В Iron отключена служба обновления в фоновом режиме и механизмы, предположительно позволяющие каким-либо образом идентифицировать пользователя.С учетом заявленной ориентации Iron на исключение избыточных элементов вызывает удивление наличие в браузере ряда предустановленных расширений, не связанных с обеспечением безопасности. Рисунок 12. Предустановленные расширения Iron Хотя Iron позиционируется как программное обеспечение с открытым исходным кодом, тексты программ на протяжении 10 лет существования браузера так и не были опубликованы. Comodo DragonБраузер Comodo Dragon, как и Iron, основан на технологии Chromium. При этом в отличие от решения SRWare, помимо улучшений технологии Chromium в части обеспечения конфиденциальности, Comodo реализует ряд любопытных механизмов безопасности собственной разработки:валидация доменов (Domain Validation), которая идентифицирует и изолирует внешние сертификаты SSL от внутренних;отказ от использования cookies и других механизмов, потенциально опасных с точки зрения отслеживания действий пользователя;предотвращение возможности отслеживания пользовательских скачиваний.Компания Comodo достаточно широко известна в качестве разработчика различных средств защиты информации, включая антивирус и межсетевой экран, что заставляет относиться и к механизмам безопасности браузера ее разработки с должным вниманием.Уже начальное окно установки браузера выглядит очень многообещающе для всех, кто всерьез заботится о безопасности личных данных: пользователь сразу может воспользоваться предложением использовать собственные бесплатные DNS-серверы Comodo для повышения уровня защиты и даже скорости работы с интернет-ресурсами. Рисунок 13. Окно установки Comodo Dragon Пользовательский интерфейс Comodo Dragon, разумеется, очень напоминает Google Chrome.На рисунке ниже для наглядности сопоставлены параметры конфиденциальности, предоставляемые Google Chrome (слева) и Comodo Dragon (справа). Можно заметить, что в целом состав настроек совпадает. При этом обращает на себя внимание знакомый подход, связанный с исключением ряда механизмов передачи различных данных в Google. Любопытно, что в отличие от разработчиков браузера Iron, команда Comodo не считает предосудительной возможность использования веб-службы для разрешения проблем навигации. Рисунок 14. Сравнение настроек конфиденциальности Google Chrome (слева) и Comodo Dragon (справа) Помимо упоминавшейся ранее функции защищенного DNS, в Comodo Dragon добавлены опции автоматического запуска браузера в режиме инкогнито и запрета раскрытия веб-сайтам данных о том, откуда на них был осуществлен переход. Рисунок 15. Режим инкогнито в Comodo Dragon Браузер также оснащен инструментом для информирования о потенциальных утечках информации об IP/DNS. Специальный детектор позволяет понять, какая пользовательская информация может быть раскрыта при посещении веб-сайтов. Очевидно, что в общем случае эта информация впоследствии может быть использована владельцами веб-сайтов, рекламодателями, трекерами и т. п. Рисунок 16. Информирование о потенциальных утечках информации об IP/DNS в Comodo Dragon Наряду с привлекательными механизмами безопасности, подход Comodo на безальтернативной основе предусматривает также ряд сомнительных обязательств для пользователя.Во-первых, при установке браузера без ведома и, возможно, желания пользователя устанавливается антивирусное программное обеспечение, а также модуль Comodo Internet Security Essentials, призванный защитить пользователей от атак типа «человек посередине».Кстати, в этом отношении можно отметить схожий подход Яндекс.Браузера, который реализует технологию активной защиты пользователей Protect. Одним из элементов этой технологии является встроенный в браузер антивирусный модуль для проверки загружаемых файлов, позволяющий как устранять угрозы автоматически в фоновом режиме, так и отправлять информацию о подозрительных файлах и сайтах в Яндекс. Рисунок 17. Технология активной защиты пользователей Protect в Яндекс.Браузере Во-вторых, лицензия Comodo предполагает возможность сбора различных данных о пользовательской системе в целях «повышения производительности и функциональности», включая информацию об операционной системе пользователя, установленных плагинах, а также метаданные файлов, сведения о браузерах по умолчанию и многое другое. В свете борьбы с утечками информации в Google такой подход выглядит неоднозначно. BraveВ этом разделе нам предстоит кратко познакомиться со сравнительно новым (актуальная на момент написания обзора версия — 0.23.31!), но весьма многообещающим решением. Brave — это продукт с открытым исходным кодом, основанный на Chromium.Его отличительная черта, которая бросается в глаза даже при минимальном опыте использования, — высокий уровень визуализации эффектов от применения механизмов безопасности. На стартовой странице Brave отображается наглядная статистика в форме специальных счетчиков заблокированных трекеров, рекламных модулей, выполненных перенаправлений с http на https, а также сэкономленное в результате время (создатели Brave обещают загружать веб-страницы от 2 до 8 раз быстрее, чем Chrome и Safari). Рисунок 18. Счетчики Brave Кроме того, подобную статистику можно посмотреть и отдельно для каждой веб-страницы по щелчку на кнопке с изображением льва в правом верхнем углу. В этом же окне можно применительно к текущему веб-сайту оперативно управлять различными встроенными в браузер механизмами защиты (так называемыми «щитами»): параметрами блокировки рекламы и cookies, защитой отпечатка браузера др. Рисунок 19. Параметры «щита» Brave для сайта Если нужно изменить настройки «щитов» по умолчанию для всех сайтов сразу, следует внести соответствующие изменения в панели настроек браузера. Рисунок 20. Настройки «щитов» Brave для всех сайтов по умолчанию В Brave также реализованы интересные механизмы создания вкладок:от имени «новых личностей» из набора;«приватных»;«приватных» с использованием Tor.Вкладки с «новой личностью» эмулируют загрузку сайта со стороны совершенно нового пользователя. При этом для такой вкладки создается отдельный набор cookies и внутренних параметров, не доступный для остальных открытых вкладок. Использование такого механизма позволяет, например, удобно работать с несколькими учетными записями в социальных сетях или почте, и в целом препятствует предоставлению веб-сайтам информации о различных видах деятельности пользователя.«Приватные» вкладки отличаются тем, что в них не ведется история посещения страниц, а cookies очищаются при закрытии браузера.«Приватные» вкладки с Tor позволяют передавать информацию через сеть Tor. Рисунок 21. Защищенные вкладки в Brave На рисунке ниже показан набор основных настроек безопасности Brave. Особый интерес вызывает, пожалуй, экспериментальная функция повышения безопасности за счет загрузки каждого сайта в рамках отдельного процесса. Рисунок 22. Основные настройки безопасности Brave Что касается сбора персональных данных, Brave реализует технологию Anonize, которая допускает выполнение транзакций, основанных на принципе «анонимного учета». Для организации этой технологии используются криптографические методы доказательств с нулевым разглашением. OperaВозможно, включение браузера Opera в обзор кому-то покажется неочевидным шагом. Действительно, его возможности в целом хорошо известны, и он не позиционируется на рынке браузеров как решение с акцентом на безопасность.Подавляющее число настроек безопасности выглядят вполне привычно. Однако Opera все же выделяется из множества «традиционных» браузеров благодаря встроенному механизму блокировки рекламы, а самое главное — наличию VPN. Именно эти особенности заслуживают отдельного рассмотрения и во многом позволяют Opera выдерживать конкуренцию со стороны многочисленных браузеров на базе Chromium.Ранее мы уже видели пример добавления в браузер нетипичной защитной функциональности в виде антивирусного элемента в Comodo Dragon. Но если установка браузером антивируса без ведома пользователя многими воспринимается скорее как сомнительная мера и навязывание лишних услуг, то добавление возможности по желанию включать и выключать VPN смотрится вполне органично. Рисунок 23. Настройка VPN в Opera После включения VPN обращения к веб-сайтам производятся из виртуального местоположения. Для изменения виртуального местоположения можно выбрать необходимую страну из списка. Если выбрано неподходящее виртуальное местоположение, автоматически назначается оптимальное. После этого назначается новый IP-адрес.После включения VPN становится доступен флаг «обходить VPN в поисковых системах». Использование такого защитного механизма значительно проще, чем в Tor Browser, но и уровень обеспечения безопасности ниже. Рисунок 24. Виртуальное местоположение в Opera Наличие встроенных средств удаления рекламных блоков и предотвращения отслеживания действий пользователя также довольно приятная неожиданность, более свойственная узко специализированным браузерам. На сайтах, где блокировать рекламу не надо, можно в два нажатия мыши отключить блокировщик. Правда, стоит отметить, что в качестве своего рода компенсации за проявленную заботу по ограждению пользователя от избыточной информации после установки в браузере уже содержится некоторый объем рекламы в виде закладок на различные популярные ресурсы.Напомним, что в браузере поддерживается приватный режим: при закрытии приватных окон Opera удаляет связанные с ними данные, включая историю посещений, элементы в кэше, файлы cookies. Кроме того, Opera предупреждает о подозрительных страницах, проверив запрашиваемые по базе известных фишинговых и вредоносных сайтов.Наконец, при просмотре страниц через зашифрованное соединение (https://) Opera проверяет, все ли части сайта зашифрованы. Если обнаруживается, что какой-либо активный элемент на странице, например, скрипт, плагин или фрейм, обслуживается через открытое соединение (http://), всё небезопасное содержимое блокируется. Конечно, при этом страница может отображаться некорректным образом. EpicБраузер Epic, как и большинство включенных в обзор решений, основан на технологии Chromium. Разработчики видят предназначение Epic в противодействии скрытой слежке за действиями пользователей и отмечают недостатки многих распространенных на сегодняшний день механизмов защиты, включая режим «инкогнито», расширения браузера, средства VPN.Предлагаемая нашему вниманию статистика неутешительна: около 80% веб-сайтов используют один или более трекеров. В результате посещения пятидесяти наиболее популярных ресурсов на компьютер пользователя может быть установлено свыше 3000 файлов-трекеров. Рисунок 25. Статистика Epic по масштабам слежения за пользователем для популярных браузеров Решение Epic состоит в блокировании наиболее критичных каналов утечки личных данных пользователя:подсказок в адресной строке браузера и модулей отслеживания URL;информации, связанной с инсталляцией браузера;модулей отслеживания и оповещения о возникающих ошибках в работе браузера.Кроме того, Epic защищает данные о поисковых запросах, для чего в него встроено защищенное ядро поисковой системы, и блокирует множество различных видов трекеров, в том числе скрипты, cookies, агенты и т. д. Настройки конфиденциальности по умолчанию заданы таким образом, чтобы отключить все избыточные и потенциально опасные механизмы браузера, включая ведение истории, сохранение паролей, кэширование страниц, синхронизацию с серверами Google, автозаполнение и др. Рисунок 26. Настройки конфиденциальности Epic Если включить в настройках встроенный Epic-прокси, при работе в браузере скрывается IP-адрес и шифруется трафик. DNS-запросы также маршрутизируются через зашифрованный прокси. Помимо защиты истории посещений страниц, этот метод позволяет получать доступ к заблокированным веб-сайтам. Рисунок 27. Управление встроенным прокси Epic По закрытии браузера производится удаление всего массива информации, связанного с сеансом работы пользователя в интернете.Таким образом, Epic предлагает комбинированное решение по обеспечению конфиденциальности, состоящее в выборе оптимальных настроек и реализации дополнительных механизмов защиты. Dooble Web BrowserНапоследок рассмотрим, пожалуй, самое необычное из представленных в настоящем обзоре решений — кроссплатформенный браузер Dooble. 5 ноября 2017 года вышел первый релиз поколения 2.0 браузера Dooble, в котором по сравнению с предыдущими версиями было переработано практически все, начиная от логики функционирования и заканчивая иконками.Как мы уже убедились, сейчас большинство интернет-обозревателей базируются либо на Chromium, либо, в меньшей степени, на Firefox, что делает их весьма похожими между собой. Так вот, Dooble — это самостоятельный и оригинальный программный продукт, который, тем не менее, мало в чем уступает по функциональности законодателям мод. Не слишком высокий уровень популярности Dooble объясняется тем, что первые версии вызывали много нареканий, и, хотя с момента старта проекта в 2009 году утекло много воды, «осадочек остался». Основой Dooble является движок WebKit, и пользовательский интерфейс браузера следует признать довольно необычным. Рисунок 28. Пользовательский интерфейс Dooble В браузере реализовано множество полезных механизмов защиты:управление cookies, включая возможность автоматического и периодического их удаления; Рисунок 29. Управление cookies в Dooble встроенные блокировщики различного содержимого веб-страниц (кстати, плагины в браузере не поддерживаются вовсе);поддержка прокси-серверов;поддержка возможности хранения пользовательской информации в зашифрованных базах данных (при этом выбор алгоритма шифрования предоставляется пользователю, а реализация алгоритмов шифрования выполнена авторами Dooble). Рисунок 30. Настройки защищенного хранилища пользовательских данных в Dooble В целом, можно отметить, что данный продукт, по крайней мере, заслуживает большего внимания, чем ему уделяется сейчас. ВыводыВ данном материале мы познакомились с наиболее заметными представителями сегмента защищенных браузеров. При этом мы не преследовали цель провести детальное сравнение с окончательными выводами по каждому продукту.Абсолютно безопасного браузера не существует, как не существует абсолютной безопасности в принципе. Каждое из представленных решений обладает известными достоинствами и недостатками и имеет своих почитателей и критиков. Это закономерно, поскольку цели, ожидания, образ жизни людей отличаются, и, соответственно, уровень необходимой защищенности тоже не является постоянной величиной. Основной вывод состоит в том, что набор критериев выбора подходящего браузера нужно расширить, принимая во внимание риски нарушения конфиденциальности.При этом нужно отдавать себе отчет, что повышение уровня безопасности зачастую может быть сопряжено с потерей в удобстве и скорости работы в интернете. Функции автозаполнения логинов и паролей, синхронизации пользовательских данных с внешними серверами, ведения истории посещений облегчают жизнь, но отрицательно сказываются на безопасности.Как мы увидели, в настоящее время отсутствует единый подход к построению архитектуры защищенного браузера. В основном усилия разработчиков предпринимаются в следующих направлениях:взять за основу распространенное решение и удалить из него все лишние, потенциально опасные компоненты;взять за основу распространенное решение и задать в нем безопасные настройки по умолчанию;создать браузер с минимально необходимыми прикладными функциями и набором встроенных механизмов защиты.Зачастую на практике можно наблюдать различные комбинации данных подходов.Можно отметить, что рассмотренные нами продукты обеспечивают более высокий уровень безопасности по сравнению с наиболее популярными браузерами. И в связи с этим имеет смысл держать защищенные браузеры под рукой в качестве альтернативы для выполнения хотя бы наиболее чувствительных с точки зрения безопасности операций в интернете. Читать далее
    • Ego Dekker
      Антивирусы были обновлены до версии 11.2.49.
×