15 декабря 2010 CERT-FI, мировой координатор в области защиты от новейших угроз, выпустил новое информационное сообщение по динамическим техникам обхода, которое доступно по ссылке
Первые образцы обнаруженных AET и их подробные технические спецификации были получены CERT-FI еще в мае 2010 года. Вендорам систем безопасности был предоставлен срок шесть месяцев для исследования представленных AET, нахождения способа противодействия этой новой категории угроз и выпуска соответствующих официальных заявлений и обновлений производимых ими средств защиты. В соответствии с выпущенным CERT-FI информационным сообщением, производители средств сетевой защиты предоставили совсем мало информации по АЕТ и выпуску соответствующих обновлений.
"Мы, как и все, ожидали, что мировое сообщество производителей систем безопасности будет четко соблюдать установленные процедуры, вендоры сделают официальные заявления о том, подтверждены ли производимые ими средства защиты этим новым атакам или нет. Кроме того, в случае уязвимости средства защиты к новым атакам, вендор должен предоставить информацию о сроках выпуска обновлений и планируемых им способах обеспечения защиты", - отмечает Juha Kivikoski, главный операционный директор Stonesoft.
"Похоже, что в большинстве случаев, предложенные производителями патчи для защиты от AET решают проблему просто прекращением подозрительных соединений, основываясь на специфических параметрах, используемых в образцах. При этом разрыв соединений все равно не предотвращает утечку данных в случаях, когда значения параметров лишь немного отличаются от заданных", - объясняет Mika Jalava, технический директор компании Stonesoft. "Правильным подходом было бы, конечно, произвести полный разбор протокола и его нормализацию перед инспекцией. Недостаточно просто сделать "опечатки" образцов AET, так как АЕТ обладают способностью динамически изменяться, подстраиваясь под нужные критерии. Кроме того, такой способ детектирования приведет к большому количеству "ложных срабатываний", поскольку многие АET представляют собой легальные протокольные выражения в соответствии с RFC. Необходимо также подчеркнуть, что простое детектирование и блокирование любого подозрительного трафика, который может содержать AET для скрытия атаки, не поможет администратору выявить истинные эксплойты.
Защита от AET в решении StoneGate
Сетевые системы безопасности при инспекции сетевого трафика должны "понимать" различные уровни протоколов аналогично тому, как их декодируют конечные хосты. С появлением и развитием новых техник обхода параллельно должна развиваться и функция, ответственная за эту задачу - механизм нормализации. Платформа StoneGate IPS, а также межсетевые экраны StoneGate Firewall с возможностью глубокой инспекции трафика, осуществляют нормализацию сетевого трафика на всех уровнях, при этом обладают возможностью полноценного удаленного обновления и не привязаны к специфическим аппаратным конфигурациям, что делает их достаточно гибкими для успешного противостояния новым угрозам.
В долгосрочной перспективе Stonesoft рекомендует программистам, дизайнерам и специалистам, занимающимся стандартизацией Интернета, более строго подойти к вопросу реализации сетевых протоколов. Сегодняшние проблемы сети больше касаются вопросов информационной безопасности, чем совместимости с устаревшими системами. Зачастую вопросы безопасности – особенно связанные с техниками обхода – вызваны реализациями сетевых протоколов, которые соответствуют разным техникам кодирования. Безопасность должна являться неотъемлемой частью дизайна и стандартизации протокола, а не второстепенным вопросом.
Открытие новых AET
Команда разработчиков Stonesoft продолжает свою совместную деятельность с CERT-FI по открытию новых динамических техник обхода. Новый набор AET, по сравнению с первым из 23 AET, будет включать более усовершенствованные и комбинированные техники, работающие одновременно на разных уровнях и для разных протоколов.
Stonesoft полагает, что процесс координации в этот раз займет гораздо больше времени, поскольку новые АЕТ еще более сложны, и пока не имплементированы в каком–то общедоступном тестовом инструменте, а также не включены в список критериев для сертификации и тестирования.
"Тем временем мы продолжаем наши исследования с целью оставаться на шаг впереди кибер-преступников и помочь организациям в защите информации против АЕТ", - резюмирует Kivikoski. "Динамические техники обхода доказали, что они представляют новый вызов системам предотвращения вторжений, и что сообщество производителей систем безопасности больше не может игнорировать эту угрозу".
