Реагирование на инциденты компьютерной безопасности: Организации, ассоциации и проекты

Реагирование на инциденты компьютерной безопасности:

Организации, ассоциации и проекты

Silk Security Workshop 2004 21-24 июня, 2004

Yuri Demchenko, University of Amsterdam

<[email protected]>

June 21-24, 2004 Silk Security Workshop

CERTs/CSIRTs: Communities and Projects Slide_2

Содержание

Известные Центры реагирования на компьютерные инциденты безопасности и Ассоциации

TF-CSIRT и Trusted Introducer FIRST Проекты TRANSITS, eCSIRT, EISPP CERT/CC SANS и SecurityFocus

Стандартизация IETF: GRIP, IDMEF, IODEF

Примеры CSIRT – CERT-NL, JANET-CERT, RU-CERT Координация борьбы со спамом Использование средств наблюдения в сети



TF-CSIRT: Историческая справка

Этапы развития координации CSIRT:Начиная с 90-х: Создан FIRST (Forum for Security Incident Response Team)

Место для встречи членов FIRST и заинтересованных организаций Основан на взаимном доверии и призван содействовать установлению и

развитию доверия между CSIRT Обмен рабочей информацией

Середина 90-х: Попытка создать EuroCERT как координирующий центр: Не оправдала себя как решение «сверху» без необходимой

инфраструктуры «снизу»

2000: создана целевая рабочая группа TF-CSIRT как форум для координации общих действий/проектов и обмена опытом Работа определяется двухгодичной Программой - Terms of Reference Никаких членских взносов Открыта для не-членов TERENA TERENA обеспечивает организационную поддержку



TF-CSIRT (Task Force for CSIRT Coordination in Europe) - http://www.terena.nl/tech/task-forces/tf-csirt/

Миссия: Содействовать развитию сотрудничества между CSIRT в Европе.

Цели:a. Форум для обмена информацией, опытом и формирования согласованной политики

b. Инициировать новые проекты и создавать пилотные сервисы для Европейских CSIRT

c. Содействовать внедрению общих стандартов и процедур для реагирования на инциденты компьютерной безопасности

d. Содействовать созданию новых CSIRT и подготовке их персонала

e. Координировать согласованные инициативы CSIRT и выполнять функцию контактного органа с Европейкой Комиссией

Членами TF-CSIRT могут быть: Представители действующих CSIRT или находящихся в состоянии становления

CSIRT образовательных сетей и организаций, государственные, региональные, Интернет-провайдеров, а также коммерческие CSIRT

Специалисты и представители организаций и фирм, которые работают в области безопасности компьютерных систем

Участие в совещаниях для членов TF-CSIRT, специалистов или по приглашению



TF-CSIRT: основные направления деятельности

Доверительный рекомендатель (Trusted Introducer) Контакт безопасности для IP-ресурса (совместно с RIPE NCC) Комплекс средств для описания и регистрации инцидентов безопасности на

основе IODEF (Incident Description and Exchange Format) Формат для описания и обмена информацией об уязвимостях и эксплоитах

(VEDEF - Vulnerability and Exploit Description and Exchange Format) Аннотированная директория средств дя обработки инцидентов (CHIHT -

Clearinghouse for Incident Handling Tools) Тренинг персонала (новых) CSIRT Содействие созданию новых CSIRTs Сотрудничество с группой по безопасности проекта GN2 (на базе GEANT) Регулярная связь с Европейской Комиссией Регулярная связь с Европейским Форумом защиты пользователей

(European Forum of Abuse Teams)



TF-CSIRT: Результаты и проекты (1)

Законченные проекты и операционные сервисы Доверительный рекомендатель (Trusted Introducer) и Директория

Европейских CSIRT Формат для описания и обмена информацией об инцидентах –

IODEF (Incident Object Description and Exchange Format) Опубликован RFC 3067 – IODEF Requirements (2001)

Контакт безопасности для IP-ресурса - RIPE IRT Object (2002) Директория средств дя обработки инцидентов (CHIHT -

Clearinghouse for Incident Handling Tools) (2002) Базовые тренинговые материалы для персонала (новых) CSIRT

В рамках проекта TRANSITS (2002)



TF-CSIRT: Результаты и проекты (2)

В процессе развития Формат для описания и обмена информацией об уязвимостях и

эксплоитах (VEDEF - Vulnerability and Exploit Description and Exchange Format)

На основе и как дальнейшее развитие проекта EISPP

Комлекс стандартных процедур для обработки инцидентов Создание центра и инфраструктуры для обмена информацией об

инцидентах На основе и как дальнейшее развитие проекта eCSIRT.net



Trusted Introducer (1) - http://www.ti.terena.nl/

Trusted Introducer (TI, доверительный рекомендатель) – выполняет роль доверительной третьей стороны, которая вводит новый субьект в «сеть доверия» (“web of trust”)

Доверие – основа эффективной работы сети CSIRT Не ограниченная регионом TERENA или типом CSIRT В настоящее время аккредитировано 39 CSIRT на уровне 2 (июнь 2004)

http://www.ti.terena.nl/teams/level2.html Стоимость обслуживания – 720 EUR в год

Организация В настоящее TI обслуживается предприятием Stelvio, Голландия Деятельность контролируется Советом с участием представителей TERENA,

TF-CSIRT и CSIRT уровня 2



Trusted Introducer (2)

Формализованная процедура проверки/аккредитации CSIRT до уровня 2http://www.ti.terena.nl/teams/index.html

Level 0 – известные CSIRT (в настоящее время – более 100 в Европе) Level 1 – кандидаты Level 2 – аккредитированные CSIRT или команды включенные в сеть доверия

Услуги для аккредиированных CSIRT Специальные информационные материалы и оповещения Создание и обслуживание IRT-обьектов в базе данных RIPE NCC

Опыт TI – в процессе рассмотрения FIRST



FIRST - http://www.first.org/

FIRST (Forum for Incident Response Security Teams) Более чем 120 членов CSIRT Нет формальной процедуры принятия в члены и нет специальной

процедуры для поддержания «доверительных» отношений Членские взносы – около 1200 USD

Ежегодные конференции Участие только для членов FIRST или по приглашению В Европе – каждый 3-й год Регистрационный взнос – около 1200 EUR/USD

Технические коллоквиумы – два раза в год только для членов Не имеет своей технической программы, но содействует обмену опытом

между другими проектами и программами



IRT-контакт в базе данных RIPE NCC

Поиск контактной информации по IP-адресу – один из компонентов реагирования/расследования инцидента

Используется База данных региональных IP-регистров – RIPE NCC, InterNIC, APNIC, LatNIC

Обычно содержится информация об Интернет сервис-провайдере или организации, обслуживающей блок IP-адресов

IRT-обьект в базе данных RIPE NCC позволяет добавить информацию о том, с кем контактировать по вопросам безопасности или в случае инцидента

Является продуктом совместной работы TF-CSIRT и RIPE NCC Database Group Цель – поиск контактов безопасности для определенного IP-адресного

пространства RIPE NCC document ripe-254 - http://www.ripe.net/ripe/docs/irt-object.html

Создание обьекта и обслуживание обьекта Право внесения обьекта в БД принадлежит ИСП, обслуживающего группу IP-

адресов или Trusted Introducer (TI)– Все CSIRT уровня 2 - в базе данных TI

Проверка и обслуживание –TI



CHIHT (Clearing House for Incident Handling Tools) - http://chiht.dfn-cert.de/

Цель – содействовать CSIRT в создании необходимой технической базы Обслуживаемая директория средств, применяемых для реагирования и

расследования инцидентов безопасности, а также поддержания и контроля безопасности компьютерных систем

Средства заносятся по рекомендации CSIRT или специалистов по безопасности на основе их опыта работы с этими средствами

Включают категории: – Evidence gathering & investigation, – System recovery, – CSIRT operations, – Remote access, – Proactive tools



TRANSITS - http://www.ist-transits.org/

Проект финансировался Европейской Комиссией в 2002-2004 г.г. Проект направлен на подготовку тренинговых курсов и проведения

тренинга персонала CSIRT Метод – передача знаний и опыта от опытных команд/центров к

начинающим Тренинговые материалы подготовлены специалистами из ведущих CSIRT

Разработанный двухдневный тренинговый курс стоит из модулей Operational Legal Technical Organisational Vulnerabilities

Согласно проекту проведено 6 тренинговых курсов в течение 2-х лет Матералы доступны для членов TF-CSIRT для собственного использования



eCSIRT.net - http://www.ecsirt.net/

Проект финансировался Европейской Комиссией в 2002-2004 г.г. Цель: Создание сети для обмена информацией об инцидентах между

Европейскими CSIRT С целью разрешения инцидентов Для выявления статистики и трендов С целью раннего предупреждения

Разработка стандартных процессов и процедур Использование IDMEF и IODEF

– Необходимость определения специальных конфигураций/профилей Определение базовых понятий для создания доверительной сети обмена

информацией об инцидентах Автоматизация с целью идентификации событий и трендов

Пилотная система опробована между группой доверительных CSIRT с целью будущего расширения



EISPP - http://www.eispp.org/

European Information Security Promotion Programme (EISPP) Цель – помощь малому бизнесу в получении регулярной информации по

безопасности, в первую очередь, оповещений об уязвимостях и возможных угрозах

Работа с материалами по безопасности требует определенной квалификации, которая часто недоступна малому бизнесу

Осведомленность и профилактические меры должны быть включены в практику всех предприятий, использующих компьютеры и Интернет

Предложена модель услуг для малого бизнеса и модель последующего финансирования

Обеспечение безопасности – в интересах обеих сервис-провайдеров и самих предприятий

Положительные результаты проекта: Разработана технология и система для анализа документов по безопасности и

производства актуальных и необходимых оповещений подписчикам Разработан формат для оповещений EISPP Common Format v2.0



IODEF (Incident Object Description and Exchange Format)

Исторически начат как инициатива TF-CSIRT и передан для дальнейшего развития в рамках рабочей группы INCH WG (Extended Incident Handling) IETF

Опубликован RFC3067 – IODEF Requirements TF-CSIRT поддерживает связь с INCH WG и обеспечивает обратную связь INCH WG обеспечивает более широкое участие заинтересованных сторон

Стандартный формат описания инцидентов позволяет Упростить обмен информацией между Центрами реагирования Стандартный формат заявок и представления информации об инцидентах Стандартный формат для сбора статистики и последующего анализа трендов

IODEF становится основой для других форматов описании инфоримационных обьектов в области безопасности, например

RID – Real-time Internetwork Defense (поддерживается US AFC) - IETF– Задача - проследить источник атаки и остановить или уменьшить влияние атаки

VEDEF (Vulnerability and Exploit Description and Exchange Format) – TF-CSIRT



IETF INCH-WG

IETF INCH-WG – Extended Incident Handling Working Group http://www.ietf.org/html.charters/inch-charter.html

Цель: Проведение IODEF через формальную процедуру стандартизации IETF

– IODEF спецификация в процессе стандартизации

Основные направления работы и результаты Разработаны документы, определяющие

– Требования в формату описания инцидента на основе IODEF– Формальную модель инцидента в формате IODEF– Рекомендации по внедрению

Исторически сохраняется (частичная) совместимость и возможность трансляции с IDMEF (Intrusion Description and Exchange Format)

Важным вопросом в разработке IODEF уделяется интернационализации (много-языковости) и локализации

Неофициальная страничка INCH-WG - http://www.cert.org/ietf/inch/inch.html



Практический опыт внедрения IODEF

CERT/CC AirCERT Automated Incident Reporting - http://www.cert.org/kb/aircert/ и http://aircert.sourceforge.net/

JPCERT/CC: Internet Scan Data Acquisition System (ISDAS) - http://www.jpcert.or.jp/isdas/index-en.html

eCSIRT.net: The European CSIRT Network - http://www.ecsirt.net



IETF IDWG

IDWG (Intrusion Detection Working Group) – приостановленаhttp://www.ietf.org/html.charters/idwg-charter.html

Разработка IDMEF (Intrusion Detection Message Exchange Format) для автоматизации обмена информацией с IDS (Intrusion Detection Systems)

Внедрение IDMEF В свободно-распространяемой IDS Snort В рамках проектов AirCERT, eCSIRT Исторически составил основу для IODEF и сохраняет совместимость



IETF GRIP (1998-2001)

RFC 2196 - Site Security Handbook (на замену RFC1244) Руководство по составлению политики безопасности и поддерживающих методик для систем,

подключенных к Интернет

RFC 2350 - Expectation for Security Incident Response Teams Предоставляет методику как организовать Центр реагирования на компьютерные инциденты

безопасности (CSIRT - Computer Security Incident Response Team) и базовые документы: Политика безопасности, Политика реагирования на инциденты безопасности, и другие

RFC2505 - Users' Security Handbook Руководство пользователям по обеспечению безопасности информации, данных, и

телекоммуникаций

RFC3013 - Recommended Internet Service Provider Security Services and Procedures Описывает в форме рекоммендаций, что пользователи Интернет могут ожидать (и требовать)

от Интернет сервис- провайдеров

RFC3227 - Guidelines for Evidence Collection and Archiving Рекомендации по сбору и хранению улик и другой информации, связанной с компьютерными

инцидентами безопасности

RFC 2828 - Internet Security Glossary Содержит расширенный список терминов по безопасности как из области операционной и

реагирования на компьютерные инциденты безопасности, так и из области технологий безопасности данных и приложений



CERT/CC - http://www.cert.org/

CERT/CC (CERT Coordination Center) раположен в Carnegie Mellon University в Питсбурге, США

Создан при поддержке Defense Advanced Research Projects Agency (DARPA) после инцидента с червем Мориса (Morris worm), который в 1988 парализовал работу окого 10% Интернет



CERT/CC Программа

CERT/CC создан для работы с Интернет сообществом с целью выявления и разрешения компьютерных инцидентов безопасности, а также выработки мер для предотвращения будущих инцидентов. В частности, миссия CERT/CC состоит в следующем: Обесечивать надежный, доверительный, круглосуточный, единый центр для

контактов в случае чрезвычайных ситуаций Содействовать эффективному взаимодействию экспертов с целью

разрешения проблем безопасности Выполнять роль центра для идентификации и коррекции уязвимостей в

компьютерных системах Поддерживать тесные связи с иследовательскими работами и проводить

исследования с целью улучшения безопасности существующих систем Инициировать профилактические меры с цель увеличения

осведомленности и понимания вопросов безопасности информационно-телекомуникационных систем в среде пользователей и сервис-провайдеров



CERT/CC: Направления деятельности

Анализ уязвимосей и обработа инцидентов Развитие технологии построения устойчивых информационно-

телекоммуникационных систем, в частности, Survivable Enterprise Management

Технический базис для идентификации и устранения уязвимостей в ИТС с целью защиты критических сервисов в случае, если произошло несанкционированное проникновение в систему

Образование и тренинг

Оповещения/Alerts Другие информационные услуги по оповещению

Распространение информации Публикации Презентации Отношения с прессой

Участие в ассоциациях и мероприятиях, имеющих дело с вопросами безопасности



AirCERT - http://www.cert.org/kb/aircert/

Automated Incident Reporting (AirCERT) является распределенной системой обмена данными о событиях безопасности между административными доменами Проект инициирован и курируется CERT/CC Цель создания системы – обнаружение вредной активности

злоумышленника на основе мониторинга информации с контрольных точек наблюдения

События безопасности могут включать от автоматических оповедений IDS до информации об инцидентах, основанных на заключениях специалистов

Использует стандартные форматы IDMEF - для оповещений от IDS IODEF - для информации об инцидентах SNML - для описания сетевых компонентов и информации о сетевых событиях

Свободно распространяемое ПО на основе C, Perl, PHP http://aircert.sourceforge.net/



SANS - http://www.sans.org/

SANS (SysAdmin, Audit, Network, Security) Institute был основан в 1989 как образовательно-исследовательское учреждение

Разрабатывает, поддерживает и распространяет бесплатно многочисленные информационные и образовательные материалы по вопросам безопасности

Предоставляет услуги тренинга и сертификации специалистов Поддерживает обширную сеть (165,000) специалистов и практиков в

области безопасности Информационные услуги

Internet Storm Center – система раннего предупреждения в Интернет Weekly vulnerability digest (@RISK) Weekly news digest (NewsBites) Библиотека оригинальных статей, научных исследований, методических

рекомендаций



Проекты и программы в SANS

Information Security Training - более чем 400 многодневных курсов в 90 местах во всем мире

The GIAC Certification Program - для специалистов Consensus Security Awareness Training – для пользователей SANS Weekly Bulletins and Alerts – список рассылки о новостях в области

безопасности и об уязвимостях SANS Information Security Reading Room и SANS Step-by-Step Guides SANS Security Policy Project – свободно доступные образцы написания

политики безопасности, разработанные на основе реального опыта Internet Storm Center – система раннего оповещения SCORE – форум для специалистов о безопасности ПО и ОС SANS/FBI Annual Top Twenty Internet Security Vulnerabilities List Information Security Glossary - слова, акронимы, и другое Intrusion Detection FAQ – Часто задаваемые вопросы об обнаружении

вторжений



SecurityFocus - http://www.securityfocus.com/

Известный информационный центр по широкому кругу вопросов обеспечения безопасности

Открытые форумы для оповещения и обсуждения текущих инцидентов в реальном времени - http://www.securityfocus.com/incidents

Можно запросить помощь и рекомендации в отношении атак и инцидентов

Содержит обслуживаемые директории по различным вопросам безопасности и архивы списков рассылки

Разделы по операционным системам, включая список рассылки BugTraq для Windows систем

Вирусы и анти-вирусная защита Архив средств для работы с инцидентами и защиты компьютерных систем -

http://www.securityfocus.com/tools Обширнейшая пополняемая коллекция средств с аннотациями и рейтингом

– Включает коммерческие средства



CVE - http://www.cve.mitre.org/

Цель разработки CVE (Common Vulnerabilities and Exposures) - стандартизовать названия всех известных уязвимостей и слабостей

Однако регистрация и присвоение идентификационных номеров выполняется без явной классификации, что затрудняет использование директории без специальных средств поиска

Совместимые продукты помещаются в специальный список «CVE-Compatible Products and Services»

"CVE-compatible" ("CVE-совместимый") означает, что продукт или сервис использует CVE таким образом, который позволяет осуществлять перекрестные ссылки между другими CVE-совместими продуктами

Два этапа: Декларирование и Оценка Две организации (только:-) обьявили о совместимости с CVE форматом -

– Trend Micro, Inc. и Security Horizon, Inc.

Спонсируется US-CERT at the U.S. Department of Homeland Security



Опыт работы известных CSIRT

CERT-NL JANET-CERT CERT-RU Другие примеры – ищите в директории Trusted Introducer

http://www.ti.terena.nl/teams/level2.html



CERT-NL (1) - http://cert.surfnet.nl/

Согласно классификации – Распределенный CSIRT Два штатных сотрудника – Jacques Schuurman, Jan Meijer До 10 других сотрудников работают посменно Один человек находится на дежурстве с гарантированным временем

реакции – не более 2-4-х часов

CERT-NL ведет активную информационную работу Оповещение своих пользователей об угрозах и рекомендации по

безопасности– Некоторые документы сопровождаются комментариями

– Отдельные документы переводятся на голландский язык

До 2002 года выполнял также функции государственного центра реагирования на КИБ

Содействовал созданию государственного Центра CERT-NO (CERT Nederlandse Overheid)



CERT-NL (2)

Пример статистики об инцидентах, предоставляемой CERT-NL



JANET-CERT - http://www.ja.net/CERT/cert.html

Согласно классификации – Внутренний CSIRT академической сети JANET с функциями координирующего CSIRT

Ведет реальную работу по реагированию на инциденты в своей сети Ведет обширную информационную работу

Предоставляет библиографию документов по вопросам безопасности Советы и средства для улучшения безопасности компьютерных систем Руководство по расследованию DDoS-инцидентов в организациях и сети

UKERNA Security Software webpage at JANET-CERT

http://www.ja.net/CERT/JANET-CERT/software/



CERT-RU - http://www.cert.ru/

• Центр реагирования на компьютерные инциденты в сети RBnet Член FIRST

• Описывает регламент реагирования на КИБ Политика реагирования на

инциденты

• Имеет стандартную форму реагирования на инциденты

• Предоставляет информацию о компьютерных уязвимостях и предупреждениях безопасности



Координация борьбы со спамом

Спам является всеобщей проблемой в Интернет Вопрос специально рассматривался правительством США и Европейской

комиссией– Имеются соответствующие рекомендации и регламентирующие документы

Европейский центр координации борьбы со спамомhttp://www.euro.cauce.org/

Анализ государственных анти-спамовских политикhttp://www.euro.cauce.org/en/countries/

RIPE Anti-Spam Working Group – http://www.ripe.net/ripe/wg/anti-spam/index.html



Использование средств наблюдения в сети (1)

Требование по осуществлению мер безопасности в государстве и противодействие терроризму и преступности

Европейское законодательство по этому вопросу Convention on Cybercrime, ETS No.: 185

http://conventions.coe.int/Treaty/EN/WhatYouWant.asp?NT=185&CM=8&DF=17/07/03

http://europa.eu.int/information_society/eeurope/2005/index_en.htm

Великобритания: The Regulation of Investigatory Powers Act 2000 (см. разделы 12-14 в http://www.legislation.hmso.gov.uk/acts/acts2000/20000023.htm)

Установка оборудования требует Парламентской процедуры (утверждения) Стоимость оборудования может быть скомпенсирована «заказчиком» На практике большие провайдеры устанавливают оборудование за свои

средства, но потом предоставляют услуги отслеживания трафика за дополнительную плату при наличии судебного ордера



Использование средств наблюдения в сети (2)

Вопрос, который часто вызывает горячие дискуссии в среде пользователей и провайдеров Интернет

Обсуждался также в IETF Презентация “Lawful Intercept in IP Networks” - Fred Baker, бывший председатель

IETF, заслуженный инженер Cisco Cisco Architecture for Lawful Intercept In IP Networks

http://www.ietf.org/internet-drafts/draft-baker-slem-architecture-01.txt С точки зрения производителя оборудование, создание таких средств является

требованием потребителей, исходящем из национальных регулирующих актов

Пример, скоординированной реакция Интернет сообщества в Голландии - http://www.opentap.org/



Вопросы и комментарии?

Documents

Реагирование на инциденты компьютерной безопасности: Организации, ассоциации и проекты