Модели и средства выявления угроз нарушения информационной безопасности штатных механизмов обнаружения скрытых информационных воздействий в ядре OC WINDOWS

• Автор: Левыкин, Михаил Владимирович
• Шифр специальности: 05.13.19
• Научная степень: Кандидатская
• Год защиты: 2010
• Место защиты: Москва
• Количество страниц: 163 с. : ил.

ВВЕДЕНИЕ
ГЛАВА 1. ШТАТНЫЕ МЕХАНИЗМЫ ОБНАРУЖЕНИЯ СКРЫТЫХ ИНФОРМАЦИОННЫХ ВОЗДЕЙСТВИЙ НА УРОВНЕ ЯДРА ОС VI.

1.1. Скрытые информационные воздействия

1.2. Методы обнаружения скрытых информационных воздействий.

1.2.1. Метод перехвата.

1.2.2. Метод обратного вызова

1.2.3. Метод фильтрации

1.3. Штатные механизмы обнаружения скрытых информационных

воздействий
1.4. Архитектура ОС Упк1оу8 и уровень реализации штатных механизмов обнаружения скрытых информационных воздействий в ее иерархии

1.5. Штатные механизмы обнаружения скрытых информационных

воздействий на уровне ядра ОС Мпоиге.
1.6. ВЫВОДЫ
ГЛАВА 2. АНАЛИЗ ШТАТНЫХ МЕХАНИЗМОВ ОБНАРУЖЕНИЯ СКРЫТЫХ ИНФОРМАЦИОННЫХ ВОЗДЕЙСТВИЙ НА УРОВНЕ ЯДРА ОС VI С ЦЕЛЬЮ ПОСТРОЕНИЯ ЛОГИЧЕСКИХ СХЕМ И ПОИСКА УЯЗВИМОСТЕЙ.
2.1. Метод анализа штатных механизмов обнаружения скрытых информационных воздействий на уровне ядра ОС Ут1оУ5, основанный на локализации закрытого программного кода, реализующего эти механизмы
2.1.1. Этап 1 локализация профаммного кода, реализующего штатный механизм обнаружения скрытых информационных воздействий на уровне ядра ОС V.
2.1.2. Этап 2 построение логической схемы штатного механизма обнаружения скрытых информационных воздействий на уровне ядра ОС i
2.1.3. Выводы.
2.2. СИСТЕМНЫЙ РЕЕСТР ОС УТ
2.2.1. Системный реестр.
2.2.2. Логическая схема штатного механизма контроля доступа к реестру на уровне ядра ОС i
2.2.3. Уязвимость штатного механизма контроля доступа к реестру
на уровне ядра ОС УМоуб.
2.2.4. Выводы.
2.3. ПРОЦЕССЫ ОС VI.
2.3.1. Механизм создания нового процесса
2.3.2. Логическая схема штатного механизма контроля создания и удаления процессов на уровне ядра ОС i
2.3.3. Уязвимость штатного механизма контроля создания и удаления процессов на уровне ядра ОС Vi
2.3.4. Выводы.
2.4. СЕТЕВАЯ АРХИТЕКТУРА ОС V
2.4.1. Описание сетевой архитектуры ОС i.
2.4.2. Логическая схема штатного механизма контроля доступа к сети фильтрации пакетов на уровне ядра ОС Vi.
2.4.3. Уязвимость штатного механизма контроля доступа к сети на уровне ядра ОС Vi.
2.4.4. Выводы.
2.5. ВЫВОДЫ.
ГЛАВА 3. ЭКСПЕРИМЕНТАЛЬНОЕ ПОДТВЕРЖДЕНИЕ НОВЫХ УЯЗВИМОСТЕЙ В ШТАТНЫХ МЕХАНИЗМАХ ОБНАРУЖЕНИЯ СКРЫТЫХ ИНФОРМАЦИОННЫХ ВОЗДЕЙСТВИЙ НАУРОВНЕ ЯДРА
ОСУ1ХООУ8
3.1. ЭКСПЕРИМЕНТАЛЬНЫЙ СТЕНД
3.1.1. Линейка ОС семейства i ЫТ
3.1.2. Отладчики ядра i
3.1.3. Использование Виртуальной Машины ВМ УМуаге для отладки ядра ОС
3.1.4. Описание экспериментального стенда
2. Экспериментальное исследование штатного механизма управления
доступом к реестру в ОС Утс1оУ
3.2.1. Экспериментальное обоснование возможности использования штатного механизма контроля реестра
3.2.2. Экспериментальное обоснование уязвимости в штатном механизме контроля реестра
3.2.3. Устранение уязвимости в штатном механизме контроля реестра
3.2.4. Выводы
3. Экспериментальное исследование штатного механизма контроля создания и удаления процессов на уровне ядра ОС Vi
3.3.1. Экспериментальное обоснование возможности использования штатного механизма контроля создания и удаления процессов .
3.3.2. Экспериментальное обоснование уязвимости в штатном механизме контроля создания и удаления процессов.
3.3.3. Устранение уязвимости в штатном механизме контроля создания и удаления процессов
3.3.4. Выводы.
4. Экспериментальное исследование штатного механизма фильтрации сетевого трафика на уровне ядра ОС Vi.
3.4.1. Экспериментальное обоснование возможности использования штатного механизма фильтрации сетевого трафика
3.4.2. Экспериментальное обоснование уязвимости в штатном механизме фильтрации сетевого трафика.
3.4.3. Устранение уязвимости в штатном механизме фильтрации сетевого трафика
3.4.4. Выводы.
3.5. ВЫВОДЫ
ЗАКЛЮЧЕНИЕ
СПИСОК ИСПОЛЬЗУЕМЫХ ИСТОЧНИКОВ


XXXVII Международная конференция и дискуссионный научный клуб Информационные технологии в науке, образовании, телекоммуникациях и бизнесе осенняя сессия, Украина, Крым, ЯлтаГурзуф, г. Публикации Основные положения диссертационной работы опубликованы в 5ти научных статьях , в том числе две из них , опубликованы в журнале, включенном ВАК РФ в перечень ведущих рецензируемых научных журналов и изданий. Структура и объем работы. Диссертация состоит из введения, трех глав, заключения, списка литературы из наименований и приложения. Основная часть работы изложена на 8 страницах с таблицами, рисунками, листингами, протоколами проведенных экспериментов и исходными текстами программ. Содержание работы. В первой главе представлены результаты систематизации выбранной предметной области. Дано определение скрытого информационного воздействия, метода обнаружения скрытых информационных воздействий, штатного механизма обнаружения скрытых информационных воздействий. Выделен тин скрытых информационных воздействий, рассматриваемых далее в работе, а также исследуемые методы и механизмы обнаружения таких воздействий. Представлен краткий обзор архитектуры ядра ОС Vi в контексте реализации и использования штатных механизмов обнаружения скрытых информационных воздействий. По результатам проведенного анализа предметной области дано обоснование актуальности и новизны задач, решенных в диссертационной работе. Во второй главе представлено описание разработанного автором метода анализа штатных механизмов уровня ядра ОС Vi. Применив метод к каждому из рассматриваемых в работе механизмов восстановлены их логические модели. На их основе дано теоретическое обоснование возможности наличия ряда новых уязвимостей в этих механизмах. Представлены гипотезы о практической реализации найденных уязвимостей. В третье главе описан разработанный автором экспериментальный стенд, позволивший, получив доступ к ядру ОС и его интерфейсам, подтвердить наличие найденных новых уязвимостей и, тем самым, экспериментально обосновать возможность использования разработанного автором метода анализа, основанного на локализации закрытого исходного кода уровня ядра ОС. Приводится описание предлагаемых автором способов и средств устранения найденных новых уязвимостей штатных механизмов обнаружения скрытых информационных воздействий. В заключении изложены основные теоретические и практические результаты работы. ГЛАВА 1. ШТАТНЫЕ МЕХАНИЗМЫ ОБНАРУЖЕНИЯ СКРЫТЫХ ИНФОРМАЦИОННЫХ ВОЗДЕЙСТВИЙ НА УРОВНЕ ЯДРА ОС I. В данной главе на основе материалов, изложенных в 3,9,,,,,,, определен тип рассматриваемых далее скрытых информационных воздействий, на отражение которых направлены некоторые механизмы их обнаружения. Далее в главе представлен краткий обзор методов обнаружения скрытых информационных воздействий с использованием механизмов ядра ОС i ,,. Используя ,, описана внутренняя архитектура ядра ОС i. В соответствии с официальной документацией i i iv i I i iv и моделью ядра ОС i, показан уровень в иерархии ОС i, на котором реализованы штатные механизмы. Представлены описанные в , механизмы обнаружения скрытых информационных воздействий. Скрытые информационные воздействия. Под скрытыми информационными воздействиями на уровне ядра ОС i понимаются вредоносные программы или наборы программ, предназначенные для осуществления скрытого от СЗИ несанкционированного воздействия на ресурсы информационной системы, подлежащие защите. Целыо таких воздействий является скрытие от СЗИ деятельности других вредоносных программ. В современной литературе рассматриваемый особый тин вредоносных программ, реализующих скрытые информационные воздействия, носит название ругкитов или руткиттехнологий. Термин руткит существует уже около лет. Представим несколько его определений. Руткит представляет собой группу небольших и полезных программ, позволяющих атакующему сохранять доступ пользователя суперпользователя, администратора наиболее привилегированного пользователя компьютера. Другими словами, руткитэто набор программ, обеспечивающих постоянное, устойчивое и неопределяемое присутствие на компьютере. Руткит это программа или набор программ для скрытого взятия под контроль взломанной системы .