Безопасность в Веб-разработке

17.1.2.2. Авторизация (Authorization)

Данный раздел посвящен атакам, направленным на методы, которые используются Веб-сервером для определения того, имеет ли пользователь, служба или приложение необходимые для совершения действия разрешения.

17.1.2.2.1. Предсказуемое значение идентификатора сессии (Credential/Session Prediction)

Описание

Предсказуемое значение идентификатора сессии позволяет перехватывать сессии других пользователей. Подобные атаки выполняются путем предсказания или угадывания уникального идентификатора сессии пользователя.

Пример

Многие серверы генерируют идентификаторы сессии, используя алгоритмы собственной разработки. Подобные алгоритмы могут просто увеличивать значение идентификатора для каждого запроса пользователя. Другой распространенный вариант – использование функции от текущего времени или других специфичных для компьютера данных.

Решение

Средствами борьбы являются правильное конфигурирование Веб-сервера, и более надежный способ – создание собственного механизма сессий.

17.1.2.2.2. Недостаточная авторизация (Insufficient Authorization)

Описание

Возникает, когда Веб-сервер позволяет атакующему получать доступ к важной информации или функциям, доступ к которым должен быть ограничен. То, что пользователь прошел аутентификацию не означает, что он должен получить доступ ко всем функциям и содержимому сервера.

Пример

В прошлом многие Веб-серверы сохраняли важные ресурсы в "скрытых" директориях, таких как "/admin" или "/log". Если атакующий запрашивал эти ресурсы напрямую, он получал к ним доступ и мог перенастроить сервер, получить доступ к важной информации либо полностью скомпрометировать систему.

Некоторые серверы, после аутентификации, сохраняют в cookie или скрытых полях идентификатор "роли" пользователя в рамках Веб-приложения. Если разграничение доступа основывается на проверке данного параметра без верификации принадлежности к роли при каждом запросе, злоумышленник может повысить свои привилегии, просто модифицировав значение cookie.

Решение

Методы борьбы – четкое разграничение прав пользователей и их возможностей.

17.1.2.2.3. Отсутствие таймаута сессии (Insufficient Session Expiration)

Описание

В случае если для идентификатора сессии или учетных данных не предусмотрен таймаут или его значение слишком велико, злоумышленник может воспользоваться старыми данными для авторизации.

Пример

При использовании публичного компьютера, когда несколько пользователей имеют неограниченный физический доступ к машине, отсутствие таймаута сессии позволяет злоумышленнику просматривать страницы, посещенные другим пользователем.

Решение

Метод борьбы – ограничение таймаута сессии.

17.1.2.2.4. Фиксация сессии (Session Fixation)

Описание

Используя данный класс атак, злоумышленник присваивает идентификатору сессии пользователя заданное значение.

К сожалению, системы, использующие cookie, являются наиболее уязвимыми. Большинство известных на настоящий момент вариантов фиксации сессии направлены именно на значение cookie.

В отличие от кражи идентификатора, фиксация сессии предоставляет злоумышленнику гораздо больший простор для творчества. Это связанно с тем, что активная фаза атаки происходит до входа пользователя в систему.

17.1.2.3. Атаки на клиентов (Client-side Attacks)

Этот раздел описывает атаки на пользователей со стороны Веб-сервера.

17.1.2.3.1. Подмена содержимого (Content Spoofing)

Описание

Используя эту технику, злоумышленник заставляет пользователя поверить, что страницы сгенерированы Веб-сервером, а не переданы из внешнего источника.

Решение

Для защиты от данного вида атак нужно лишь отказать от использования фреймов и самое главное никогда не передавать в параметрах абсолютные или локальные пути, к каким бы то ни было файлам.

17.1.2.3.2. Межсайтовое выполнение сценариев (Cross-site Scripting, XSS)

Описание

Наличие уязвимости Cross-site Scripting позволяет атакующему передать серверу исполняемый код, который будет перенаправлен браузеру пользователя. Этот код обычно создается на языках HTML/JavaScript, но могут быть использованы VBScript, ActiveX, Java, Flash, или другие поддерживаемые браузером технологии.

Переданный код исполняется в контексте безопасности (или зоне безопасности) уязвимого сервера. Используя эти привилегии, код получает возможность читать, модифицировать или передавать важные данные, доступные с помощью браузера.

Существует два типа атак, приводящих к межсайтовому выполнению сценариев: постоянные (сохраненные) и непостоянные (отраженные). Основным отличием между ними является то, что в отраженном варианте передача кода серверу и возврат его клиенту осуществляется в рамках одного HTTP-запроса, а в хранимом – в разных.

Осуществление непостоянной атаки требует, чтобы пользователь перешел по ссылке, сформированной злоумышленником (ссылка может быть передана по email, ICQ и т.д.). В процессе загрузки сайта код, внедренный в URL или заголовки запроса, будет передан клиенту и выполнен в его браузере. Сохраненная разновидность уязвимости возникает, когда код передается серверу и сохраняется на нем на некоторый промежуток времени. Наиболее популярными целями атак в этом случае являются форумы, почта с Веб-интерфейсом и чаты. Для атаки пользователю не обязательно переходить по ссылке, достаточно посетить уязвимый сайт.

Решение

На данный момент самый распространенный вид атаки, в связи с ростом популярности Веб 2.0 интернет наполнился различными формами обратной связи, к сожалению многие из них не фильтруются должным образом, особую сложность представляют формы, в которых разрешены некоторые теги или какие-либо конструкции форматирования, защитится же от XSS можно только путем тщательного анализа и фильтрации пришедших в запросах данных.

17.1.2.3.3. Расщепление HTTP-запроса (HTTP Response Splitting)

Описание

При использовании данной уязвимости злоумышленник посылает серверу специальным образом сформированный запрос, ответ на который интерпретируется целью атаки как два разных ответа. Второй ответ полностью контролируется злоумышленником, что дает ему возможность подделать ответ сервера.

В результате успешной реализации этой атаки злоумышленник может выполнить следующие действия:

17.1.2.4. Выполнение кода (Command Execution)

Эта секция описывает атаки, направленные на выполнение кода на Веб-сервере. Все серверы используют данные, преданные пользователем при обработке запросов. Часто эти данные используются при составлении команд, применяемых для генерации динамического содержимого. Если при разработке не учитываются требования безопасности, злоумышленник получает возможность модифицировать исполняемые команды.

17.1.2.4.1. Переполнение буфера (Buffer Overflow)

Описание

Эксплуатация переполнения буфера позволяет злоумышленнику изменить путь исполнения программы путем перезаписи данных в памяти системы.

Переполнение буфера может вызывать отказы в обслуживании, приводя к повреждению памяти и вызывая ошибки в программах. Более серьезные ситуации позволяют изменить путь исполнения программы и выполнить в ее контексте различные действия. Это может происходить в нескольких случаях.

Решение

Тщательно проверять входные параметры CGI скриптов написанных на С++ или С, а также позаботится для защиты от атак подобного типа, это своевременное обновление программ серверов, будь-то Веб-Сервер или СУБД.

17.1.2.4.2. Атака на функции форматирования строк (Format String Attack)

Описание

При использовании этих атак путь исполнения программы модифицируется методом перезаписи областей памяти с помощью функций форматирования символьных переменных. Уязвимость возникает, когда пользовательские данные применяются в качестве аргументов функций форматирования строк, таких как fprintf, printf, sprintf, setproctitle, syslog и т.д.

Решение

Не применять передаваемые данные в качестве параметров данных функций, а лучше вообще отказаться от использования этих функций в связи с их потенциальной опасностью.

17.1.2.4.3. Внедрение операторов LDAP (LDAP Injection)

Описание

Атаки этого типа направлены на Веб-серверы, создающие запросы к службе LDAP на основе данных, вводимых пользователем. Упрощенный протокол доступа к службе каталога (Lightweight Directory Access Protocol, LDAP) – открытый протокол для создания запросов и управления службами каталога совместимыми со стандартом X.500. Протокол LDAP работает поверх транспортных протоколов Internet (TCP/UDP). Веб-приложение может использовать данные, предоставленные пользователем для создания запросов по протоколу LDAP при генерации динамических Веб-страниц. Если информация, полученная от клиента, должным образом не верифицируется, атакующий получает возможность модифицировать LDAP-запрос.

Запрос будет выполняться с тем же уровнем привилегий, с каким работает компонент приложения, выполняющий запрос (сервер СУБД, Веб-сервер и т.д). Если данный компонент имеет права на чтение или модификацию данных в структуре каталога, злоумышленник получает те же возможности.

17.1.2.4.4. Выполнение команд ОС (OS Commanding)

Описание

Атаки этого класса направлены на выполнение команд операционной системы на Веб-сервере путем манипуляции входными данными. Если информация, полученная от клиента, должным образом не верифицируется, атакующий получает возможность выполнить команды ОС. Они будут выполняться с тем же уровнем привилегий, с каким работает компонент приложения, выполняющий запрос (сервер СУБД, Веб-сервер и т.д).

Решение

Решение данной проблемы – правильно настроенный сервер.

17.1.2.4.5. Внедрение операторов SQL (SQL Injection)

Описание

Эти атаки направлены на Веб-серверы, создающие SQL запросы к серверам СУБД на основе данных, вводимых пользователем.

Если информация, полученная от клиента, должным образом не верифицируется, атакующий получает возможность модифицировать запрос к SQL-серверу, отправляемый приложением. Запрос будет выполняться с тем же уровнем привилегий, с каким работает компонент приложения, выполняющий запрос (сервер СУБД, Веб-сервер и т.д). В результате злоумышленник может получить полный контроль на сервере СУБД и даже его операционной системой. С точки зрения эксплуатации SQL Injection очень походит на LDAP Injection.

Решение

Еще один из наиболее эксплуатируемых видов атак, средства борьбы – грамотная фильтрация получаемых данных.

17.1.2.4.6. Внедрение серверных расширений (SSI Injection)

Описание

Атаки данного класса позволяют злоумышленнику передать исполняемый код, который в дальнейшем будет выполнен на Веб-сервере. Уязвимости, приводящие к возможности осуществления данных атак, обычно заключаются в отсутствии проверки данных, предоставленных пользователем, перед сохранением их в интерпретируемом сервером файле.

Перед генерацией HTML страницы сервер может выполнять сценарии, например Server-site Includes (SSI). В некоторых ситуациях исходный код страниц генерируется на основе данных, предоставленных пользователем. Если атакующий передает серверу операторы SSI, он может получить возможность выполнения команд операционной системы или включить в нее запрещенное содержимое при следующем отображении.

Решение

Противодействие такое же, как и при SQL инъекции.

17.1.2.4.7. Внедрение операторов XPath (XPath Injection)

Описание

Эти атаки направлены на Веб-серверы, создающие запросы на языке XPath на основе данных, вводимых пользователем.

Язык XPath 1.0 разработан для предоставления возможности обращения к частям документа на языке XML. Он может быть использован непосредственно либо в качестве составной части XSLT-преобразования XML-документов или выполнения запросов XQuery.

Решение

Противодействие такое же, как и при SQL инъекции.

17.1.2.5. Разглашение информации (Information Disclosure)

Атаки данного класса направлены на получение дополнительной информации о Веб-приложении. Используя эти уязвимости, злоумышленник может определить используемые дистрибутивы ПО, номера версий клиента и сервера и установленные обновления. В других случаях, в утекающей информации может содержаться расположение временных файлов или резервных копий.

17.1.2.5.1. Индексирование директорий (Directory Indexing)

Описание

Предоставление списка файлов в директории представляет собой нормальное поведение Веб-сервера, если страница, отображаемая по умолчанию (index.html/home.html/default.htm) отсутствует.

В этой ситуации злоумышленник может получить доступ к данным, не предназначенным для свободного доступа. Довольно часто администраторы полагаются на "безопасность через сокрытие", предполагая, что раз гиперссылка на документ отсутствует, то он недоступен. Современные сканеры уязвимостей, такие как Nikto, могут динамически добавлять файлы и папки к списку сканируемых в зависимости от результатов запросов. Используя содержимое /robots.txt или полученного списка директорий сканер может найти спрятанное содержимое или другие файлы.

Таким образом, внешне безопасное индексирование директорий может привести к утечке важной информации, которая в дальнейшем будет использована для проведения атак на систему.

Решение

Решение достаточно просто – все директории должны содержать файл страницы по умолчанию, хотя бы в виде заглушки, либо для директории должны быть установлены надлежащие права доступа.

17.1.2.5.2. Идентификация приложений (Web Server/Application Fingerprinting)

Описание

Определение версий приложений используется злоумышленником для получения информации об используемых сервером и клиентом операционных системах, Веб-серверах и браузерах. Также эта атака может быть направлена на другие компоненты Веб-приложения, например, службу каталога или сервер баз данных или используемые технологии программирования.

Для определения версий клиентских приложений обычно используется анализ HTTP-запросов (порядок следования заголовков, значение User-agent и т.д.). Однако для этих целей могут применяться и другие техники. Так, например, анализ заголовков почтовых сообщений, созданных с помощью клиента Microsoft Outlook, позволяет определить версию установленного на компьютере браузера Internet Explorer.

Решение

Что бы защитится от данной ошибки – необходимо минимизировать, а лучше полностью исключить системную информацию выдаваемую пользователю.

17.1.2.5.3. Утечка информации (Information Leakage)

Описание

Эти уязвимости возникают в ситуациях, когда сервер публикует важную информацию, например, комментарии разработчиков или сообщения об ошибках, которая может быть использована для компрометации системы.

17.1.2.5.4. Обратный путь в директориях (Path Traversal)

Описание

Данная техника атак направлена на получения доступа к файлам, директориям и командам, находящимся вне основной директории Веб-сервера. Злоумышленник может манипулировать параметрами URL с целью получить доступ к файлам или выполнить команды, располагаемые в файловой системе Веб-сервера.

Решение

Средством противодействия является тщательная настройка Веб-сервера.

17.1.2.5.5. Предсказуемое расположение ресурсов (Predictable Resource Location)

Описание

Предсказуемое расположение ресурсов позволяет злоумышленнику получить доступ к скрытым данным или функциональным возможностям. Путем подбора злоумышленник может получить доступ к содержимому, не предназначенному для публичного просмотра. На эту атаку часто ссылаются как на перечисление файлов и директорий (Forced Browsing, File Enumeration, Directory Enumeration).

17.1.2.6. Логические атаки (Logical Attacks)

Атаки данного класса направлены на эксплуатацию функций приложения или логики его функционирования. В качестве примеров можно привести восстановление пролей, регистрацию учетных записей, аукционные торги, транзакции в системах электронной коммерции. Приложение может требовать от пользователя корректного выполнения нескольких последовательных действий для выполнения определенной задачи. Злоумышленник может обойти или использовать эти механизмы в своих целях.

17.1.2.6.1. Злоупотребление функциональными возможностями (Abuse of Functionality)

Описание

Данные атаки направлены на использование функций Веб-приложения с целью обхода механизмов разграничение доступа. Некоторые механизмы Веб-приложения, включая функции обеспечения безопасности, могут быть использованы для этих целей. Наличие уязвимости в одном из, возможно, второстепенных компонентов приложения может привести к компрометации всего приложения. Уровень риска и потенциальные возможности злоумышленника в случае проведения атаки очень сильно зависят от конкретного приложения.

Пример

Примеры злоупотребления функциональными возможностями включают в себя:

17.1.2.6.2. Отказ в обслуживании (Denial of Service)

Описание

Данный класс атак направлен на нарушение доступности Веб-сервера. Обычно атаки, направленные на отказ в обслуживании реализуются на сетевом уровне, однако они могут быть направлены и на прикладной уровень. Используя функции Веб-приложения, злоумышленник может исчерпать критичные ресурсы системы, или воспользоваться уязвимостью, приводящий к прекращению функционирования системы.

Обычно DoS атаки направлены на исчерпание критичных системных ресурсов, таких как вычислительные мощности, оперативная память, дисковое пространство или пропускная способность каналов связи. Если какой-то из ресурсов достигнет максимальной загрузки, приложение целиком будет недоступно.

Атаки могут быть направлены на любой из компонентов Веб-приложения, например, такие как сервер СУБД, сервер аутентификации и т.д.

Решение

Очень распространенный вид атак, средствами защиты является, оптимизация кода, и, что более действенно при наличии у злоумышленника неких мощностей, ввод ограничений на количество посылаемых данных в единицу времени.

17.1.2.6.3. Недостаточное противодействие автоматизации (Insufficient Anti-automation)

Описание

Недостаточное противодействие автоматизации возникает, когда сервер позволяет автоматически выполнять операции, которые должны проводиться вручную. Автоматизированные программы могут варьироваться от безобидных роботов поисковых систем до систем автоматизированного поиска уязвимостей и регистрации учетных записей. Подобные роботы генерируют тысячи запросов в минуту, что может привести к падению производительности всего приложения.

Решение

Противодействие автоматизации заключается в ограничении возможностей подобных утилит. Например, файл "robots" может предотвращать индексирование некоторых частей сервера, а дополнительные средства идентификации предотвращать автоматическую регистрацию сотен учетных записей системы электронной почты.

Стандартным средство борьбы с роботами сейчас является CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart).

17.1.2.6.4. Недостаточная проверка процесса (Insufficient Process Validation)

Описание

Уязвимости этого класса возникают, когда сервер не достаточно проверяет последовательность выполнения операций приложения. Если состояние сессии пользователя и приложения должным образом не контролируется, приложение может быть уязвимо для мошеннических действий.

Пример

Система электронной торговли может предлагать скидку на продукт B, в случае покупки продукта A. Пользователь, не желающий покупать продукт A, может попытаться приобрести продукт B со скидкой. Заполнив заказ на покупку обоих продуктов, пользователь получат скидку. Затем пользователь возвращается к форме подтверждения заказа и удаляет продукт A из покупаемых, путем модификации значений в форме. Если сервер повторно не проверит возможность покупки продукта B по указанной цене без продукта A, будет осуществлена закупка по низкой цене.

Решение

Для обеспечения корректной работы подобных функций Веб-приложение должно четко отслеживать состояние сессии пользователя и отслеживать ее соответствие текущим операциям. В большинстве случаев это осуществляется путем сохранения состояния сессии в cookie или скрытом поле формы HTML. Но поскольку эти значения могут быть модифицированы пользователем, обязательно должна проводиться проверка этих значений на сервере. Если этого не происходит, злоумышленник получает возможность обойти последовательность действий, и как следствие – логику приложения.

17.1.2.7. Вирусы и приложения типа "троянский конь"

Описание

Рабочие станции конечных пользователей очень уязвимы для вирусов и троянских коней. Вирусами называются вредоносные программы, которые внедряются в другие программы для выполнения определенной нежелательной функции на рабочей станции конечного пользователя. В качестве примера можно привести вирус, который прописывается в файле command.com (главном интерпретаторе систем Windows) и стирает другие файлы, а также заражает все другие найденные им версии command.com. "Троянский конь" – это не программная вставка, а настоящая программа, которая выглядит как полезное приложение, а на деле выполняет вредную роль. Примером типичного "троянского коня" является программа, которая выглядит, как простая игра для рабочей станции пользователя. Однако пока пользователь играет в игру, программа отправляет свою копию по электронной почте каждому абоненту, занесенному в адресную книгу этого пользователя. Все абоненты получают по почте игру, вызывая ее дальнейшее распространение.

Решение

Борьба с вирусами и "троянскими конями" ведется с помощью эффективного антивирусного программного обеспечения, работающего на пользовательском уровне и, возможно, на уровне сети. Антивирусные средства обнаруживают большинство вирусов и "троянских коней" и пресекают их распространение. Получение самой свежей информации о вирусах поможет эффективнее бороться с ними. По мере появления новых вирусов и "троянских коней" предприятие должно устанавливать новые версии антивирусных средств и приложений.

17.1.3. Ключевые термины

Безопасность информации, Информационная безопасность, Политика безопасности, Политика безопасности информационно-телекоммуникационных технологий, Средства защиты от несанкционированного доступа, Системы мониторинга сетей, Анализаторы протоколов, Антивирусные средства, Межсетевые экраны, Криптографические средства, Системы аутентификации, Сетевые атаки.

17.2. XSS Filter

17.2.1. Общее описание

XSS ( Сross Site Sсriрting – "межсайтовый скриптинг") – тип уязвимости интерактивных информационных систем в Интернете [14]. XSS возникает, когда в генерируемые сервером страницы по какой-то причине попадают пользовательские скрипты. Специфика подобных атак заключается в том, что вместо непосредственной атаки сервера они используют уязвимый сервер в качестве средства атаки на клиента.

По данным securitylab.ru за второй квартал 2008 XSS составляют около 15 % всех обнаруженных уязвимостей [15]. Долгое время программисты не уделяли им должного внимания, считая их неопасными. Однако это мнение ошибочно: на странице или в HTTP-Cookie могут быть весьма уязвимые данные (например, идентификатор сессии администратора). На популярном сайте скрипт может устроить DoS-атакy.

По данным исследования Web Application Security Consortium за 2007 год [16] самой распространенной уязвимостью является Cross-Site Scripting, эта уязвимость присутствует почти в 60% проанализированных сайтов (рис. 17.2).

Источник: Security Statistics Projects [16]

Поскольку XSS относятся к классу атак, направленных на клиента (т.е. на браузер пользователя), логичным является решение сконцентрировать защитные механизмы, противодействующие атаке, также на стороне клиента.

Так в новой версии Internet Explorer 8 появился XSS -фильтр, который делает реализацию XSS -атаки в нем намного более сложной задачей для злоумышленника [16].

Архитектура XSS Filter в Internet Explorer 8 показана на рис. 17.3.

Источник: IE 8 XSS Filter Architecture / Implementation [17]

Логика работы XSS Filter в Internet Explorer 8 показана на рис. 17.4.

Источник: IE 8 XSS Filter Architecture / Implementation [17]

XSS -фильтр работает как компонент IE8, который просматривает все запросы и ответы, проходящие через браузер [18]. Когда фильтр обнаруживает XSS в межсайтовом запросе, он нейтрализует атаку, если она зависит от ответа сервера.

С XSS -фильтром пользователи IE8, которые столкнутся с Type-1 XSS -атакой, увидят приблизительно такое предупреждение, как на рис. 17.5.

Источник: IE8 Security Part IV: The XSS Filter [19]

В данном случае XSS -фильтр обнаружил атаку межсайтового скриптинга в URL, страница была модифицирована и XSS -атака была заблокирована. Фильтр нейтрализировал атаку, так как идентифицированный скрипт отсылал данные на страницу ответа. В данном случае фильтр эффективен без модификации первоначального запроса к серверу или блокировки всего запроса.

Как можно понять, есть множество сценариев, которые фильтр должен обрабатывать правильно. Вот некоторые из них [18]:

17.2.2. Исследование эффективности XSS Filter

Большинство исследователей выделяет три типа уязвимостей и атак, связанных с XSS: постоянные (сохраненные, persistent, stored, Type-2), непостоянные (отраженные, non-persistent, reflected, Type-1) [12] и DOM-based XSS (Type-3) [20]. Основным отличием между ними заключается в том, что в отраженном варианте передача кода серверу и возврат его клиенту осуществляется в рамках одного HTTP-запроса, а в сохраненном – может происходить и в разных запросах. Осуществление непостоянной атаки требует, чтобы пользователь перешел по ссылке, сформированной злоумышленником (ссылка может быть передана по email, ICQ и т.д.). В процессе загрузки сайта код, внедренный в URL или в заголовки запроса, будет передан клиенту и выполнен в его браузере. Сохраненная разновидность уязвимости возникает, когда код передается серверу и сохраняется на нем на некоторый промежуток времени. Наиболее п опулярными целями атак в этом случае являются форумы, почта с Веб-интерфейсом и чаты. Для атаки пользователю не обязательно переходить по ссылке, достаточно посетить уязвимый сайт. Третий тип XSS (DOM-based) может присутствовать как в сохраненном, так и в отраженном варианте, но выделяется тем, что внедрение кода осуществляется с использованием AJAX-технологий (например, JavaScript document.write и т.д.).

В ходе исследования анализировалась применимость механизмов противодействия XSS, встроенных в Internet Explorer 8, для всех трех вариантов атаки [21].

17.2.2.1. Сохраненный вариант

Согласно логике работы, клиентский фильтр Internet Explorer не может противостоять сохраненному варианту атаки. Это связанно с тем, что фильтр работает на основе сравнения данных, переданных в запросе, и возвращенной страницы. Поскольку эксплуатация сохраненного варианта может происходить в разных сессиях запрос-ответ, пользователи остаются уязвимы для данного типа атак.

Эксперименты показали, что даже в случае сохраненного варианта атаки, фильтр Internet Explorer может заблокировать выполнения атаки в первой паре запрос-ответ (например, при создании сообщения в форуме). Однако все последующие запросы (например, просмотр форума), а, соответственно, и атаки проходят успешно.

17.2.2.2. DOM-based XSS

DOM-based XSS уязвимость данного типа возникает, когда внедрение кода динамически осуществляется с использованием Javascript и AJAX-технологий. Эксперименты показали, что фильтр XSS в Intenet Explorer 8 реализует защиту от большинства сценариев данного типа атак, но в некоторых случаях логику фильтра можно обойти. Примерами являются операторы выполнения скриптов напрямую (eval), изменение URL документа (document.location) и т.д. На рис. 17.6 приведен пример уязвимого приложения, использующего клиентский Javascript для выполнения кода напрямую через метод eval().

Источник: Защита Internet Explorer 8. Анализ эффективности [21]

Тогда, несмотря на фильтр XSS в IE8, возможно успешно провести атаку Cross-Site Scripting (рис. 17.7).

Источник: Защита Internet Explorer 8. Анализ эффективности [21]

В других распространенных случаях, когда Javascript используется для записи в код HTML-страницы или изменения DOM-объектов напрямую, атака блокируется фильтром.

17.2.2.3. Отраженный вариант

Можно выделить четыре основных ситуации, в которых возможен отраженный вариант атаки Межсайтовое выполнение сценариев:

Далее рассмотрено противодействие Internet Explorer в каждом их этих случаев.

17.2.2.3.1. Внедрение кода в Javascript

Данная ситуация очень схожа с DOM-based XSS. Однако код внедряется непосредственно в блок Javascript без использования функций AJAX. Пример уязвимого кода приведен на рис. 17.8.

Источник: Защита Internet Explorer 8. Анализ эффективности [21]

В этом случае злоумышленник может передать в качестве значения параметра XSS -значение:

500); alert(document.cookie);//

В результате код в странице приобретет вид:

setTimeout("writetitle()", 500); alert(document.cookie);//)

Два символа обратного слеша является комментарием в языке Javascript, поэтому, с точки зрения синтаксиса, здесь все верно. Таким образом, несмотря на фильтр XSS в IE8, возможно успешно провести классическую атаку Cross-Site Scripting.

17.2.2.3.2. Внедрение кода в тег

Данный вариант уязвимости встречается редко, но сбрасывать его со счетов не стоит. Фильтр XSS в Internet Explorer пропускает конструкции, когда уязвимый параметр к Cross-Site Scripting встречается в следующих вариациях:

<img… $XSS ….>
<font… $XSS ….>
и т.п.

То есть в ситуациях, когда уязвимое значение включено в тег и не является параметром этого тега. В этом случае можно использовать обработчики событий Javascript (onClick(), onMouseover()) для передачи управления коду, используемому для атаки.

17.2.2.3.3. Внедрение кода в параметр тега

Данная ситуация является одним из самых распространенных случаев XSS. Она возникает, когда уязвимый параметр к Cross-Site Scripting встречается в параметре тега:

<img… src=$XSS ….>
<font… size=$XSS ….>
<a… href=$XSS ….>
и т.п.

Тестирование показало, что фильтр Internet Explorer прекрасно справляется с данным видом атак.

17.2.2.3.4. Внедрение кода в HTML

Классическая ситуация, в которой внедрение происходит непосредственно в HTML, и для проведения атаки необходимо открыть тег. И в этом случае фильтр Internet Explorer показал себя с лучшей стороны, отфильтровав все опробованные комбинации и кодировки.

17.2.2.3.5. Использование расщепления HTTP-ответа

Для тех разработчиков Веб-приложений, которые захотят отключить фильтр XSS на своих сайтах, в Internet Explorer подобная возможность предусмотрена путем установки HTTP-заголовка "X-XSS-Protection: 0" в возвращаемом Веб-сервером ответе.

Однако это можно использовать для обхода фильтра XSS. Такая возможность возникает, когда приложение уязвимо для XSS и для уязвимости типа "Расщепление HTTP-ответа" (HTTP Response Splitting). Используя расщепление, злоумышленник может внедрить дополнительный HTTP-заголовок, который будет отключать фильтр XSS, и эксплуатировать уязвимость.

Не смотря на то, что подобная ситуация встречается не часто, ее тоже необходимо учитывать. По статистике Web Application Security Consortsium, ручной анализ позволяет идентифицировать HTTP Response Splitting в 7,75% всех приложений.

17.2.2.4. Заключение

Исследование механизма противодействия атакам "Межсайтовое выполнение сценариев", встроенного в браузер Internet Explorer 8, показало, что подход защиты от Cross-Site Scripting на стороне клиента может быть достаточно эффективным в борьбе с отраженным вариантом XSS. К сожалению, решить проблему с сохраненным типом атаки лишь на стороне клиента в настоящее время не представляется возможным (отключение Javascript и прочих активных объектов – это не решение проблемы), поэтому это тема лежит за рамками поддерживаемого функционала XSS -фильтра в IE8. Кроме того, не поддерживается фильтрация некоторых DOM-based атак, которые весьма актуальны в современном мире AJAX и Веб 2.0. Неплохим расширением функций фильтра была бы фильтрация атак типа HTTP Response Splitting, что позволило бы избежать некоторых методов обхода фильтра.

Сводная таблица возможностей Internet Explorer 8 в части фильтрации XSS приведена в табл. 17.1 [21].

Учитывая, что отраженный вариант XSS является самым распространенным типом уязвимостей этого типа, возможности Internet Explorer позволяют значительно снизить количество успешных атак с использованием данного вектора.

17.2.3. Ключевые термины

XSS, Сross Site Sсriрting, XSS Filter.

17.3. SmartScreen Filter

17.3.1. Общие сведения

Фишинг (phishing, от fishing – рыбная ловля, выуживание) – вид интернет-мошенничества, целью которого является получение доступа к конфиденциальным данным пользователей – логинам и паролям [22]. Это достигается путём проведения массовых рассылок электронных писем от имени популярных брендов, а также личных сообщений внутри различных сервисов, например, от имени банков (Ситибанк, Альфа-банк), сервисов (Rambler, Mail.ru) или внутри социальных сетей (Facebook, Вконтакте). В письме часто содержится прямая ссылка на сайт, внешне неотличимый от настоящего, либо на сайт с редиректом. Оказавшись на таком сайте, пользователь может сообщить мошенникам ценную информацию, позволяющую получить доступ к аккаунтам и банковским счетам.

Фишинг – одна из разновидностей социальной инженерии, основанная на незнании пользователями основ сетевой безопасности: в частности, многие не знают простого факта: сервисы не рассылают писем с просьбами сообщить свои учётные данные, пароль и прочее.

В Internet Explorer 7 компания Microsoft представили фильтр фишинга, который предупреждает пользователя при попытке посетить сайт, находящийся в так называемом "черном списке" [23].

На основе успеха фильтра, который блокирует миллион фишинговых атак еженедельно, для Internet Explorer 8 Microsoft разработали фильтр SmartScreen, который впитал в себя сам фишинг-фильтр, а также ряд новых особенностей [24, 25]:

Улучшенный пользовательский интерфейс.

SmartScreen страница блокировки объясняет, как избежать попадания на известные небезопасные сайты (рис. 17.9).

(рис 17.9) Предупреждение одного из фишинг-сайтов

Источник: IE8 Security Part VIII: SmartScreen Filter Release Candidate Update [26]

По умолчанию страница имеет всего одну ссылку – "Вместо этого перейти на домашнюю страницу". Данное решение облегчает принятие очевидного решения, не предоставляя пользователю выбора из нескольких вариантов. Заинтересованные могут щелкнуть по ссылке дополнительной информации.

Также пользователь может проигнорировать предупреждение фильтра SmartScreen и щелкнуть по ссылке "Отказаться и продолжить" (находится в дополнительной информации).

Администраторы домена также могут использовать групповые политики, чтобы убрать ссылку "Отказаться и продолжить" и в принудительном порядке запретить пользователям переход на сайты, заблокированные фильтром SmartScreen.

Если пользователь обнаружил новый фишинг-сайт, он может добавить его для анализа через функцию "Сообщить о небезопасном веб-сайте" в меню Сервис.

Улучшенная производительность.

Обнаружение небезопасных сайтов происходит параллельно с перемещением, следовательно, пользователь может конфиденциально ходить по сайтам, не ища компромисса между производительностью и безопасностью.

Новые эвристики и усиленная телеметрия.

Новые эвристики способны оценить больше аспектов каждой веб-страницы и с большей долей вероятности обнаружить подозрительное поведение. Эти новые эвристики в сочетании с улучшенной телеметрией позволяют сервису URL-репутаций идентифицировать и блокировать фишинговые сайты быстрее, чем раньше.

В редких случаях SmartScreen запросит обратную связь на сайте с сомнительной репутацией (рис. 17.10).

(рис 17.10) Обратная связь SmartScreen

Источник: IE8 Security Part III: SmartScreen Filter [27]

Ответ пользователя про неизвестный сайт будет сохранен веб-сервисом SmartScreen, который быстро распознает, нужно его блокировать или нет.

Поддержка анти-Malware.

SmartScreen-фильтр помогает блокировать сайты, которые распространяют вредоносные программы и другое опасное ПО, которое пытается атаковать компьютер пользователя и украсть личную информацию. Существуют множество видов вредоносного ПО, при этом большинство из подобных программ могут значительно влиять на пользовательскую конфиденциальность и безопасность. SmartScreen анти-malware основано на URL-репутации – это означает, что он оценивает серверы, ответственные за загрузки и определяет, числятся ли они в списках распространителей небезопасного содержимого. Основанный на репутации, SmartScreen-анализ действует слажено с другими анти-malware технологиями как Malicious Software Removal Tool, Windows Defender и Windows Live OneCare, для предоставления исчерпывающей защиты от вредоносного ПО.

Если попал на сайт с вредоносным ПО, SmartScreen заблокирует страницу и проинформирует пользователя о небезопасном ПО (рис. 17.11).

(рис 17.11) Информирование пользователя о небезопасном П

Источник: IE8 Security Part III: SmartScreen Filter [27]

С другой стороны, если пользователь пройдет прямой ссылке для загрузки, расположенной на уже известном системе опасном сайте, диалог загрузки Internet Explorer прервет закачку для предупреждения пользователя (рис. 17.12).

(рис 17.12) Прерывание закачки по прямой ссылки

Источник: IE8 Security Part VIII: SmartScreen Filter Release Candidate Update [26]

Улучшенная поддержка групповой политики.

Групповая политика может быть использована для включения или отключения SmartScreen-фильтра для пользователей Internet Explorer в контроллере домена Windows. Возможность групповой политики позволяет администраторам домена запрещать пользователям отвергать предупреждения SmartScreen-фильтра. Когда ограничения групповой политики включены, пункт отказа от предупреждения SmartScreen-фильтра отсутствует на странице блокировки и в окне загрузки (рис. 17.13).

(рис 17.13) Применение групповых политик

Источник: IE8 Security Part III: SmartScreen Filter [27]

Атаки вредоносного ПО в браузере.

На сегодняшний день существует два способа, которые могут использовать вредоносные сайты для заражения компьютера. Первый способ – использование уязвимостей браузера для автоматической установки вредоносной программы без участия пользователя, также известный как drive-by download. А второй – привлечь или обмануть пользователя, заставив скачать и установить программу, которая является вредоносной, как было уже приведено в примере выше. Для полной безопасности мы должны защищать пользователя от обоих типов атак.

Несколько дополнительных функций IE8 и Windows Vista (Windows 7) помогают защититься от drive-by download атак, которые пытаются запуститься без согласия или уведомления пользователя. В этот список входит защита памяти DEP/NX, улучшения в безопасности ActiveX, а также User Account Control в сочетании с Protected Mode в IE. Но ни один из этих механизмов не может защитить пользователя от программы, которую он самостоятельно загрузил и запустил. И здесь важное место занимает фильтр SmartScreen.

В преддверии запуска IE8 команда инженеров Microsoft поручила провести исследование эффективности фильтра SmartScreen независимой компании NSS Labs [28]. Целью было собрать точные и независимые расчеты защиты SmartScreen-фильтра против вредоносного кода, использующих методы социальной инженерии.

NSS Labs завершила часть исследований об атаках вредоносного ПО, использующих методы социальной инженерии. В этих тестах NSS обнаружила увеличение уровня защиты SmartScreen на 12% (рис. 17.14) [28].

Источник: Real-World Protection With IE8's SmartScreen Filter [29]

Также исследование от NSS включает в себя тесты по блокировкам фишинг-атак. NSS Labs предоставили рейтинг блокировок для разных браузеров (рис. 17.15) [28].

Источник: Real-World Protection With IE8's SmartScreen Filter [29]

17.3.2. Ключевые термины

Фишинг, SmartScreen Filter.

17.4. Data Execution Prevention

17.4.1. Общие сведения

Data Execution Prevention (DEP) (Предотвращение выполнения данных) – функция безопасности, встроенная в семейство операционных систем Windows, которая не позволяет приложению исполнять код из области памяти, помеченной как "только для данных" [30]. Она позволит предотвратить некоторые атаки, которые, например, сохраняют код в такой области с помощью переполнения буфера. DEP работает в двух режимах: аппаратном, для процессоров, которые могут помечать страницы как "не для исполнения кода", и программном, для остальных процессоров. Эта функция впервые появилась во втором пакете обновлений для Windows XP.

С выходом в свет нового браузера Internet Explorer 8, пользователи все чаще и чаще стали встречаться с проблемами установки или работы ActiveX-компонентов. Все дело в технологии защиты памяти DEP (NX), которая призвана заблокировать потенциальные уязвимости в браузере [31, 32, 33].

В Internet Explorer 7 в Windows Vista была впервые представлена (выключенная по умолчанию) функция защиты памяти DEP, которая помогала избегать атаки из Интернета. В Internet Explorer 8 в Windows Server 2008, Windows Vista SP1 и Windows 7 данная функция по умолчанию включена.

DEP помогает избежать атак путем предотвращения запуска кода, размещенного в участке памяти, помеченном как неисполняемый. DEP в комбинации с другими технологиями, как ASLR, делает процесс использования взломщиками разнообразных уязвимостей, связанных с памятью (например, переполнение буфера) намного более сложным. Лучше всего данная технология работает для Internet Explorer и для загружаемых аддонов. Для обеспечения всех этих функций безопасности от пользователя не требуется никаких дополнительных действий и никаких запросов ему показано не будет.

В Internet Explorer 7 по причинам совместимости DEP по умолчанию был отключен. Несколько популярных аддонов были несовместимы с DEP и могли вызвать завершение работы Internet Explorer при включенном DEP. Чаще всего проблема состояла в том, что эти дополнения были скомпилированы с использованием старой библиотеки ATL. До версии 7.1 SP1 ATL полагалась на динамически сгенерированный код, который несовместим с DEP.

Новые DEP API были добавлены в Windows Server 2008 и Vista SP1, чтобы позволить использование DEP, сохраняя совместимость со старыми версиями ATL. Новые API позволяют Internet Explorer использовать DEP, при этом старые аддоны, использующие старые версии ATL, не станут причиной завершения работы Internet Explorer.

В редких случаях, когда дополнение несовместимо с DEP по какой-либо иной причине, отличной от использования старой версии ATL, опция в групповых политиках позволит организациям выключать DEP для Internet Explorer до тех пор, пока обновленная версия дополнения не будет развернута [34]. Локальные администраторы могут контролировать использование DEP, запустив Internet Explorer как администраторы и выключив опцию защиты памяти.

Это можно сделать, используя меню Сервис – пункт Свойства обозревателя – закладка Дополнительно [34]. Необходимо убрать галочку с пункта " Включить защиту памяти для снижения риска атаки из Интернета ", как показано на рис. 17.16.

Источник: Безопасность IE8: технология защиты памяти DEP (NX) [34]

Другой способ отключения данной опции заключается в изменении параметра реестра DEPOff, который может, в зависимости от разрядности ОС Windows, располагаться в разных местах:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main]
"DEPOff"=dword:00000001

или

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Main]
"DEPOff"=dword:00000001

Если значение параметра "DEPOff"=dword:00000001, то опция "Включить защиту памяти для снижения риска атаки из Интернета" – отключена.

Увидеть, какие именно процессы в Windows Vista защищены DEP, можно увидеть во вкладке диспетчера задач [34]. Для более ранних версий Windows можно использовать Process Explorer. В обоих случаях необходимо отметить опцию Data Execution Prevention в выборе отображаемых колонок.

17.4.2. Ключевые термины

Data Execution Prevention.

17.5. HTTPS

17.5.1. SSL

SSL (Secure Sockets Layer, уровень защищенных сокетов) – криптографический протокол, который обеспечивает установление безопасного соединения между клиентом и сервером [35].

Протокол обеспечивает конфиденциальность обмена данными между клиентом и сервером, использующими TCP/IP, причем для шифрования используется асимметричный алгоритм с открытым ключом. При шифровании с открытым ключом используется два ключа, причем любой из них может использоваться для шифрования сообщения. Тем самым, если мы используем один ключ для шифрования, то соответственно для расшифровки нужно использовать другой ключ. В такой ситуации мы можем получать защищенные сообщения, публикуя открытый ключ, и храня в тайне секретный ключ.

Протокол SSL состоит из двух под-протоколов: протокол SSL записи и рукопожатия. Протокол SSL записи определяет формат, используемый для передачи данных. Протокол SSL включает рукопожатие с использованием протокола SSL записи для обмена сериями сообщений между сервером и клиентом, во время установления первого соединения. Для работы SSL требуется, чтобы на сервере имелся SSL -сертификат.

SSL предоставляет канал, имеющий 3 основные свойства:

В протоколе SSL все данные передаются в виде записей, объектов, состоящих из заголовка и передаваемых данных. Передача начинается с заголовка. Заголовок содержит либо два, либо три байта кода длины. Причем, если старший бит в первом байте кода равен единице, то запись не имеет заполнителя и полная длина заголовка равна двум байтам, иначе запись содержит заполнитель и полная длина заголовка равна трем байтам. Код длины записи не включает в себя число байт заголовка.

Протокол SSL был изначально разработан компанией Netscape. Версия протокола 1.0 публично не выпускалась. Версия 2.0 была выпущена в феврале 1995 года, но "содержала много недостатков по безопасности, которые, в конечном счете, привели к созданию версии 3.0", которая была выпущена в 1996 году. Тем самым версия SSL 3.0 послужила основой для создания протокола TLS 1.0, стандарт протокола Internet Engineering Task Force (IETF) впервые был определен в RFC 2246 в январе 1999 года. Visa, Master Card, American Express и многие другие организации, работающие с интернет деньгами, имеют лицензию на использование протокола SSL, для коммерческих целей в сети Интернет.

Изначально виртуальные частные сети (VPN) на основе SSL разрабатывались как дополнительная и альтернативная технология удаленного доступа на основе IPsec VPN. Но в виду ряда факторов: достаточная надежность и недороговизна – сделали эту технологию привлекательной для организации VPN. Также SSL получил широкое применение в электронной почте.

Основными целями протокола SSL являются (в порядке приоритетности) [35, 36]:

SSL поддерживает три типа аутентификации: аутентификация обеих сторон (клиент – сервер), аутентификация сервера с неаутентифицированным клиентом и полная анонимность. Всякий раз, когда сервер аутентифицируется, канал безопасен против атаки человек посредине, но полностью анонимная сессия по своей сути уязвима к такой атаке. Анонимный сервер не может аутентифицировать клиента. Если сервер аутентифицирован, то его сообщение сертификации должно обеспечить верную сертификационную цепочку, ведущую к приемлемому центру сертификации. Проще говоря, аутентифицированный клиент должен предоставить допустимый сертификат серверу. Каждая сторона отвечает за проверку того, что сертификат другой стороны еще не истек и не был отменен. Главная цель процесса обмена ключами – это создание секрета клиента (pre_master_secret), известного только клиенту и серверу. Секрет (pre_master_secret) используется для создания общего секрета (master_secret). Общий секрет необходим для того чтобы создать сообщение для проверки сертификата, ключей шифрования, секрета MAC (message authentication code) и сообщения "finished". При посылке верного сообщения "finished", тем самым стороны докажут что они знают верный секрет (pre_master_secret).

В несколько упрощенном варианте диалог SSL представлен на рис. 17.17 [36].

Источник: Процедуры, диагностики и безопасность в Интернет [36]

В SSL используются следующие алгоритмы:

Опишем ряд атак, которые могут быть предприняты против протокола SSL. Однако, SSL устойчив к этим атакам [35, 36]:

17.5.2. HTTPS

HTTPS (Hypertext Transfer Protocol Secure) – расширение протокола HTTP, поддерживающее шифрование [37]. Данные, передаваемые по протоколу HTTP, "упаковываются" в криптографический протокол SSL или TLS, тем самым обеспечивается защита этих данных.

HTTPS был разработан компанией Netscape Communications Corporation, чтобы обеспечить аутентификацию и защищенное соединение. HTTPS широко используется в мире Веб для приложений, в которых важна безопасность соединения, например, в платежных системах.

В настоящее время HTTPS поддерживается наиболее популярными браузерами и используется в почтовом сервисе GMail.

Строго говоря, HTTPS не является отдельным протоколом. По сути это обычный HTTP, работающий через шифрованные транспортные механизмы SSL и TLS. Он обеспечивает приемлемую защиту от атак, основанных на прослушивании сетевого соединения – от снифферских атак и атак типа man-in-the-middle при условии, что будут использоваться адекватные шифрующие средства, сертификат сервера проверен и ему доверяют.

По умолчанию HTTPS URL использует 443 TCP-порт (для незащищенного HTTP – 80). Чтобы подготовить веб-сервер для обработки https-соединений, администратор должен получить и установить в систему сертификат для этого веб-сервера. Сертификат состоит из двух частей (двух ключей) – public и private. Public-часть сертификата используется для зашифровывания трафика от клиента к серверу в защищенном соединении, private-часть – для расшифровывания полученного от клиента зашифрованного трафика на сервере. Сертификат можно получить в компании-сертификаторе (например, VeriSign) – это платная услуга. Сертификат должен быть подписан уполномоченной стороной (компанией-сертификатором – Certificate authority), которая будет гарантировать клиентам, что держатель сертификата является тем, за кого себя выдает.

Некоторые сайты используют собственные сертификаты. Существует возможность создать такой сертификат, не обращаясь в компанию-сертификатор. Такие сертификаты могут быть созданы для серверов, работающих под Unix, с помощью таких утилит, как ssl-ca от OpenSSL или gensslcert от SuSE. Подписываются такие сертификаты этим же сертификатом и называются self-signed. Такие сертификаты менее надежны, чем сертификаты, подписанные компаниями-сертификаторами. Такое использование защищает от пассивного прослушивания, но без проверки сертификата каким-то другим способом (например, звонок владельцу и проверка контрольной суммы сертификата) этот метод не будет являться вполне безопасным.

Эта система также может использоваться для аутентификации клиента, чтобы обеспечить доступ к серверу только авторизированным пользователям. Для этого администратор обычно создает сертификаты для каждого пользователя и загружает их в браузер каждого пользователя. Также будут приниматься все сертификаты, подписанные организациями, которым доверяет сервер. Такой сертификат обычно содержит имя и адрес электронной почты авторизованного пользователя, которые проверяются при каждом соединении, чтобы проверить личность пользователя без ввода пароля.

В HTTPS для шифрования используется длина ключа 40, 56, или 128 бит. Некоторые старые версии браузеров используют длину ключа 40 бит (пример тому – IE, версий до 4.0), что связано с экспортными ограничениями в США. Длина ключа 40 бит не является сколько-нибудь надежной. Многие современные сайты требуют использования новых версий браузеров, поддерживающих шифрование с длиной ключа 128 бит, с целью обеспечить достаточный уровень безопасности. Такое шифрование значительно затрудняет злоумышленнику поиск паролей и другой личной информации.

17.5.3. Настройка HTTPS

Для того чтобы веб-запросы/ответы передавались по безопасному протоколу передачи данных HTTPS в ОС Windows необходимо настроить работу сайта через SSL ( HTTPS ) в IIS.

17.5.3.1. Пример настройки для IIS 6

Пример:

17.5.3.3. Пример настройки для IIS 7

17.5.4. Ключевые термины

SSL, HTTPS.

17.6. Краткие итоги

Безопасность информации (данных) – состояние защищенности информации (данных), при котором обеспечены ее (их) конфиденциальность, доступность и целостность.

Информационная безопасность – защита конфиденциальности, целостности и доступности информации.

Системный подход к описанию информационной безопасности предлагает выделить следующие составляющие информационной безопасности:

Политика безопасности (информации в организации) – совокупность документированных правил, процедур, практических приемов или руководящих принципов в области безопасности информации, которыми руководствуется организация в своей деятельности.

Политика безопасности информационно-телекоммуникационных технологий – правила, директивы, сложившаяся практика, которые определяют, как в пределах организации и ее информационно-телекоммуникационных технологий управлять, защищать и распределять активы, в том числе критичную информацию.

Виды угроз и способы борьбы с ними:

XSS ( Сross Site Sсriрting ) – тип уязвимости интерактивных информационных систем в Интернете, возникающий, когда в генерируемые сервером страницы по какой-то причине попадают пользовательские скрипты.

XSS -фильтр работает как компонент IE8, который просматривает все запросы и ответы, проходящие через браузер.

Фишинг – вид интернет-мошенничества, целью которого является получение доступа к конфиденциальным данным пользователей – логинам и паролям.

Internet Explorer 8 имеет фильтр SmartScreen.

Data Execution Prevention – функция безопасности, встроенная в семейство операционных систем Windows, которая не позволяет приложению исполнять код из области памяти, помеченной как "только для данных".

DEP в Internet Explorer 8 помогает избежать атак путем предотвращения запуска кода, размещенного в участке памяти, помеченном как неисполняемый.

SSL – криптографический протокол, который обеспечивает установление безопасного соединения между клиентом и сервером.

SSL предоставляет канал, имеющий 3 основные свойства:

HTTPS – расширение протокола HTTP, поддерживающее шифрование. Данные, передаваемые по протоколу HTTP, "упаковываются" в криптографический протокол SSL или TLS, тем самым обеспечивается защита этих данных.