Корпорация Stonesoft, ведущий разработчик продуктов в сфере сетевой
безопасности и непрерывности бизнеса, объявила о доступности
подробных технических спецификаций первого комплекта из 23
динамических техник обхода Advanced Evasion Techniques (AET).
Образцы обнаруженных AET и их технические спецификации были
отправлены в CERT-FI в мае, сентябре и октябре 2010 года. По
правилам CERT, мирового координатора в области защиты от угроз,
производители средств защиты имели шесть месяцев для того, чтобы
исследовать их и выпустить обновления для производимых ими систем
безопасности с целью защиты от вновь найденных угроз. Технические
спецификации из 23 AET доступны на
сайте.
15 декабря 2010 CERT-FI, мировой координатор в области защиты от
новейших угроз, выпустил новое информационное сообщение по
динамическим техникам обхода, которое доступно по ссылке
Первые образцы обнаруженных AET и их подробные технические
спецификации были получены CERT-FI еще в мае 2010 года. Вендорам
систем безопасности был предоставлен срок шесть месяцев для
исследования представленных AET, нахождения способа противодействия
этой новой категории угроз и выпуска соответствующих официальных
заявлений и обновлений производимых ими средств защиты. В
соответствии с выпущенным CERT-FI информационным сообщением,
производители средств сетевой защиты предоставили совсем мало
информации по АЕТ и выпуску соответствующих обновлений.
"Мы, как и все, ожидали, что мировое сообщество производителей
систем безопасности будет четко соблюдать установленные процедуры,
вендоры сделают официальные заявления о том, подтверждены ли
производимые ими средства защиты этим новым атакам или нет. Кроме
того, в случае уязвимости средства защиты к новым атакам, вендор
должен предоставить информацию о сроках выпуска обновлений и
планируемых им способах обеспечения защиты", - отмечает Juha
Kivikoski, главный операционный директор Stonesoft.
"Похоже, что в большинстве случаев, предложенные производителями
патчи для защиты от AET решают проблему просто прекращением
подозрительных соединений, основываясь на специфических параметрах,
используемых в образцах. При этом разрыв соединений все равно не
предотвращает утечку данных в случаях, когда значения параметров
лишь немного отличаются от заданных", - объясняет Mika Jalava,
технический директор компании Stonesoft. "Правильным подходом было
бы, конечно, произвести полный разбор протокола и его нормализацию
перед инспекцией. Недостаточно просто сделать "опечатки" образцов
AET, так как АЕТ обладают способностью динамически изменяться,
подстраиваясь под нужные критерии. Кроме того, такой способ
детектирования приведет к большому количеству "ложных
срабатываний", поскольку многие АET представляют собой легальные
протокольные выражения в соответствии с RFC. Необходимо также
подчеркнуть, что простое детектирование и блокирование любого
подозрительного трафика, который может содержать AET для скрытия
атаки, не поможет администратору выявить истинные эксплойты.
Защита от AET в решении StoneGate
Сетевые системы безопасности при инспекции сетевого трафика
должны "понимать" различные уровни протоколов аналогично тому, как
их декодируют конечные хосты. С появлением и развитием новых техник
обхода параллельно должна развиваться и функция, ответственная за
эту задачу - механизм нормализации. Платформа StoneGate IPS, а
также межсетевые экраны StoneGate Firewall с возможностью глубокой
инспекции трафика, осуществляют нормализацию сетевого трафика на
всех уровнях, при этом обладают возможностью полноценного
удаленного обновления и не привязаны к специфическим аппаратным
конфигурациям, что делает их достаточно гибкими для успешного
противостояния новым угрозам.
В долгосрочной перспективе Stonesoft рекомендует программистам,
дизайнерам и специалистам, занимающимся стандартизацией Интернета,
более строго подойти к вопросу реализации сетевых протоколов.
Сегодняшние проблемы сети больше касаются вопросов информационной
безопасности, чем совместимости с устаревшими системами. Зачастую
вопросы безопасности – особенно связанные с техниками обхода –
вызваны реализациями сетевых протоколов, которые соответствуют
разным техникам кодирования. Безопасность должна являться
неотъемлемой частью дизайна и стандартизации протокола, а не
второстепенным вопросом.
Открытие новых AET
Команда разработчиков Stonesoft продолжает свою совместную
деятельность с CERT-FI по открытию новых динамических техник
обхода. Новый набор AET, по сравнению с первым из 23 AET, будет
включать более усовершенствованные и комбинированные техники,
работающие одновременно на разных уровнях и для разных
протоколов.
Stonesoft полагает, что процесс координации в этот раз займет
гораздо больше времени, поскольку новые АЕТ еще более сложны, и
пока не имплементированы в каком–то общедоступном тестовом
инструменте, а также не включены в список критериев для
сертификации и тестирования.
"Тем временем мы продолжаем наши исследования с целью оставаться
на шаг впереди кибер-преступников и помочь организациям в защите
информации против АЕТ", - резюмирует Kivikoski. "Динамические
техники обхода доказали, что они представляют новый вызов системам
предотвращения вторжений, и что сообщество производителей систем
безопасности больше не может игнорировать эту угрозу".
Более подробную информацию об AET можно получить на www.antievasion.com.
