Реагирование на инциденты компьютерной безопасности:Организации, ассоциации и проекты презентация

21-24 июня, 2004

Yuri Demchenko, University of Amsterdam

на компьютерные инциденты безопасности и Ассоциации
TF-CSIRT и Trusted Introducer
FIRST
Проекты TRANSITS, eCSIRT, EISPP
CERT/CC
SANS и SecurityFocus
Стандартизация
IETF: GRIP, IDMEF, IODEF
Примеры CSIRT – CERT-NL, JANET-CERT, RU-CERT
Координация борьбы со спамом
Использование средств наблюдения в сети

развития координации CSIRT:
Начиная с 90-х: Создан FIRST (Forum for Security Incident Response Team)
Место для встречи членов FIRST и заинтересованных организаций
Основан на взаимном доверии и призван содействовать установлению и развитию доверия между CSIRT
Обмен рабочей информацией
Середина 90-х: Попытка создать EuroCERT как координирующий центр:
Не оправдала себя как решение «сверху» без необходимой инфраструктуры «снизу»
2000: создана целевая рабочая группа TF-CSIRT как форум для координации общих действий/проектов и обмена опытом
Работа определяется двухгодичной Программой - Terms of Reference
Никаких членских взносов
Открыта для не-членов TERENA
TERENA обеспечивает организационную поддержку

for CSIRT Coordination in Europe) - http://www.terena.nl/tech/task-forces/tf-csirt/

Миссия: Содействовать развитию сотрудничества между CSIRT в Европе.
Цели:
Форум для обмена информацией, опытом и формирования согласованной политики
Инициировать новые проекты и создавать пилотные сервисы для Европейских CSIRT
Содействовать внедрению общих стандартов и процедур для реагирования на инциденты компьютерной безопасности
Содействовать созданию новых CSIRT и подготовке их персонала
Координировать согласованные инициативы CSIRT и выполнять функцию контактного органа с Европейкой Комиссией
Членами TF-CSIRT могут быть:
Представители действующих CSIRT или находящихся в состоянии становления
CSIRT образовательных сетей и организаций, государственные, региональные, Интернет-провайдеров, а также коммерческие CSIRT
Специалисты и представители организаций и фирм, которые работают в области безопасности компьютерных систем
Участие в совещаниях для членов TF-CSIRT, специалистов или по приглашению

деятельности

Доверительный рекомендатель (Trusted Introducer)
Контакт безопасности для IP-ресурса (совместно с RIPE NCC)
Комплекс средств для описания и регистрации инцидентов безопасности на основе IODEF (Incident Description and Exchange Format)
Формат для описания и обмена информацией об уязвимостях и эксплоитах (VEDEF - Vulnerability and Exploit Description and Exchange Format)
Аннотированная директория средств дя обработки инцидентов (CHIHT - Clearinghouse for Incident Handling Tools)
Тренинг персонала (новых) CSIRT
Содействие созданию новых CSIRTs
Сотрудничество с группой по безопасности проекта GN2 (на базе GEANT)
Регулярная связь с Европейской Комиссией
Регулярная связь с Европейским Форумом защиты пользователей (European Forum of Abuse Teams)

проекты (1)

Законченные проекты и операционные сервисы
Доверительный рекомендатель (Trusted Introducer) и Директория Европейских CSIRT
Формат для описания и обмена информацией об инцидентах – IODEF (Incident Object Description and Exchange Format)
Опубликован RFC 3067 – IODEF Requirements (2001)
Контакт безопасности для IP-ресурса - RIPE IRT Object (2002)
Директория средств дя обработки инцидентов (CHIHT - Clearinghouse for Incident Handling Tools) (2002)
Базовые тренинговые материалы для персонала (новых) CSIRT
В рамках проекта TRANSITS (2002)

проекты (2)

В процессе развития
Формат для описания и обмена информацией об уязвимостях и эксплоитах (VEDEF - Vulnerability and Exploit Description and Exchange Format)
На основе и как дальнейшее развитие проекта EISPP
Комлекс стандартных процедур для обработки инцидентов
Создание центра и инфраструктуры для обмена информацией об инцидентах
На основе и как дальнейшее развитие проекта eCSIRT.net

- http://www.ti.terena.nl/

Trusted Introducer (TI, доверительный рекомендатель) – выполняет роль доверительной третьей стороны, которая вводит новый субьект в «сеть доверия» (“web of trust”)
Доверие – основа эффективной работы сети CSIRT
Не ограниченная регионом TERENA или типом CSIRT
В настоящее время аккредитировано 39 CSIRT на уровне 2 (июнь 2004) http://www.ti.terena.nl/teams/level2.html
Стоимость обслуживания – 720 EUR в год
Организация
В настоящее TI обслуживается предприятием Stelvio, Голландия
Деятельность контролируется Советом с участием представителей TERENA, TF-CSIRT и CSIRT уровня 2

процедура проверки/аккредитации CSIRT до уровня 2 http://www.ti.terena.nl/teams/index.html
Level 0 – известные CSIRT (в настоящее время – более 100 в Европе)
Level 1 – кандидаты
Level 2 – аккредитированные CSIRT или команды включенные в сеть доверия
Услуги для аккредиированных CSIRT
Специальные информационные материалы и оповещения
Создание и обслуживание IRT-обьектов в базе данных RIPE NCC
Опыт TI – в процессе рассмотрения FIRST

(Forum for Incident Response Security Teams)
Более чем 120 членов CSIRT
Нет формальной процедуры принятия в члены и нет специальной процедуры для поддержания «доверительных» отношений
Членские взносы – около 1200 USD
Ежегодные конференции
Участие только для членов FIRST или по приглашению
В Европе – каждый 3-й год
Регистрационный взнос – около 1200 EUR/USD
Технические коллоквиумы – два раза в год только для членов
Не имеет своей технической программы, но содействует обмену опытом между другими проектами и программами

данных RIPE NCC

Поиск контактной информации по IP-адресу – один из компонентов реагирования/расследования инцидента
Используется База данных региональных IP-регистров – RIPE NCC, InterNIC, APNIC, LatNIC
Обычно содержится информация об Интернет сервис-провайдере или организации, обслуживающей блок IP-адресов
IRT-обьект в базе данных RIPE NCC позволяет добавить информацию о том, с кем контактировать по вопросам безопасности или в случае инцидента
Является продуктом совместной работы TF-CSIRT и RIPE NCC Database Group
Цель – поиск контактов безопасности для определенного IP-адресного пространства
RIPE NCC document ripe-254 - http://www.ripe.net/ripe/docs/irt-object.html
Создание обьекта и обслуживание обьекта
Право внесения обьекта в БД принадлежит ИСП, обслуживающего группу IP-адресов или Trusted Introducer (TI)
Все CSIRT уровня 2 - в базе данных TI
Проверка и обслуживание –TI

for Incident Handling Tools) - http://chiht.dfn-cert.de/

Цель – содействовать CSIRT в создании необходимой технической базы
Обслуживаемая директория средств, применяемых для реагирования и расследования инцидентов безопасности, а также поддержания и контроля безопасности компьютерных систем
Средства заносятся по рекомендации CSIRT или специалистов по безопасности на основе их опыта работы с этими средствами
Включают категории:
Evidence gathering & investigation,
System recovery,
CSIRT operations,
Remote access,
Proactive tools

финансировался Европейской Комиссией в 2002-2004 г.г.
Проект направлен на подготовку тренинговых курсов и проведения тренинга персонала CSIRT
Метод – передача знаний и опыта от опытных команд/центров к начинающим
Тренинговые материалы подготовлены специалистами из ведущих CSIRT
Разработанный двухдневный тренинговый курс стоит из модулей
Operational
Legal
Technical
Organisational
Vulnerabilities
Согласно проекту проведено 6 тренинговых курсов в течение 2-х лет
Матералы доступны для членов TF-CSIRT для собственного использования

финансировался Европейской Комиссией в 2002-2004 г.г.
Цель: Создание сети для обмена информацией об инцидентах между Европейскими CSIRT
С целью разрешения инцидентов
Для выявления статистики и трендов
С целью раннего предупреждения
Разработка стандартных процессов и процедур
Использование IDMEF и IODEF
Необходимость определения специальных конфигураций/профилей
Определение базовых понятий для создания доверительной сети обмена информацией об инцидентах
Автоматизация с целью идентификации событий и трендов
Пилотная система опробована между группой доверительных CSIRT с целью будущего расширения

Information Security Promotion Programme (EISPP)
Цель – помощь малому бизнесу в получении регулярной информации по безопасности, в первую очередь, оповещений об уязвимостях и возможных угрозах
Работа с материалами по безопасности требует определенной квалификации, которая часто недоступна малому бизнесу
Осведомленность и профилактические меры должны быть включены в практику всех предприятий, использующих компьютеры и Интернет
Предложена модель услуг для малого бизнеса и модель последующего финансирования
Обеспечение безопасности – в интересах обеих сервис-провайдеров и самих предприятий
Положительные результаты проекта:
Разработана технология и система для анализа документов по безопасности и производства актуальных и необходимых оповещений подписчикам
Разработан формат для оповещений EISPP Common Format v2.0

Description and Exchange Format)

Исторически начат как инициатива TF-CSIRT и передан для дальнейшего развития в рамках рабочей группы INCH WG (Extended Incident Handling) IETF
Опубликован RFC3067 – IODEF Requirements
TF-CSIRT поддерживает связь с INCH WG и обеспечивает обратную связь
INCH WG обеспечивает более широкое участие заинтересованных сторон
Стандартный формат описания инцидентов позволяет
Упростить обмен информацией между Центрами реагирования
Стандартный формат заявок и представления информации об инцидентах
Стандартный формат для сбора статистики и последующего анализа трендов
IODEF становится основой для других форматов описании инфоримационных обьектов в области безопасности, например
RID – Real-time Internetwork Defense (поддерживается US AFC) - IETF
Задача - проследить источник атаки и остановить или уменьшить влияние атаки
VEDEF (Vulnerability and Exploit Description and Exchange Format) – TF-CSIRT

– Extended Incident Handling Working Group http://www.ietf.org/html.charters/inch-charter.html
Цель: Проведение IODEF через формальную процедуру стандартизации IETF
IODEF спецификация в процессе стандартизации
Основные направления работы и результаты
Разработаны документы, определяющие
Требования в формату описания инцидента на основе IODEF
Формальную модель инцидента в формате IODEF
Рекомендации по внедрению
Исторически сохраняется (частичная) совместимость и возможность трансляции с IDMEF (Intrusion Description and Exchange Format)
Важным вопросом в разработке IODEF уделяется интернационализации (много-языковости) и локализации
Неофициальная страничка INCH-WG - http://www.cert.org/ietf/inch/inch.html

IODEF

CERT/CC AirCERT Automated Incident Reporting - http://www.cert.org/kb/aircert/ и http://aircert.sourceforge.net/
JPCERT/CC: Internet Scan Data Acquisition System (ISDAS) - http://www.jpcert.or.jp/isdas/index-en.html
eCSIRT.net: The European CSIRT Network - http://www.ecsirt.net

Detection Working Group) – приостановлена http://www.ietf.org/html.charters/idwg-charter.html
Разработка IDMEF (Intrusion Detection Message Exchange Format) для автоматизации обмена информацией с IDS (Intrusion Detection Systems)
Внедрение IDMEF
В свободно-распространяемой IDS Snort
В рамках проектов AirCERT, eCSIRT
Исторически составил основу для IODEF и сохраняет совместимость

2196 - Site Security Handbook (на замену RFC1244)
Руководство по составлению политики безопасности и поддерживающих методик для систем, подключенных к Интернет
RFC 2350 - Expectation for Security Incident Response Teams
Предоставляет методику как организовать Центр реагирования на компьютерные инциденты безопасности (CSIRT - Computer Security Incident Response Team) и базовые документы: Политика безопасности, Политика реагирования на инциденты безопасности, и другие
RFC2505 - Users' Security Handbook
Руководство пользователям по обеспечению безопасности информации, данных, и телекоммуникаций
RFC3013 - Recommended Internet Service Provider Security Services and Procedures
Описывает в форме рекоммендаций, что пользователи Интернет могут ожидать (и требовать) от Интернет сервис- провайдеров
RFC3227 - Guidelines for Evidence Collection and Archiving
Рекомендации по сбору и хранению улик и другой информации, связанной с компьютерными инцидентами безопасности
RFC 2828 - Internet Security Glossary
Содержит расширенный список терминов по безопасности как из области операционной и реагирования на компьютерные инциденты безопасности, так и из области технологий безопасности данных и приложений

CERT/CC (CERT Coordination Center) раположен в Carnegie Mellon University в Питсбурге, США
Создан при поддержке Defense Advanced Research Projects Agency (DARPA) после инцидента с червем Мориса (Morris worm), который в 1988 парализовал работу окого 10% Интернет

для работы с Интернет сообществом с целью выявления и разрешения компьютерных инцидентов безопасности, а также выработки мер для предотвращения будущих инцидентов. В частности, миссия CERT/CC состоит в следующем:
Обесечивать надежный, доверительный, круглосуточный, единый центр для контактов в случае чрезвычайных ситуаций
Содействовать эффективному взаимодействию экспертов с целью разрешения проблем безопасности
Выполнять роль центра для идентификации и коррекции уязвимостей в компьютерных системах
Поддерживать тесные связи с иследовательскими работами и проводить исследования с целью улучшения безопасности существующих систем
Инициировать профилактические меры с цель увеличения осведомленности и понимания вопросов безопасности информационно-телекомуникационных систем в среде пользователей и сервис-провайдеров

уязвимосей и обработа инцидентов
Развитие технологии построения устойчивых информационно-телекоммуникационных систем, в частности, Survivable Enterprise Management
Технический базис для идентификации и устранения уязвимостей в ИТС с целью защиты критических сервисов в случае, если произошло несанкционированное проникновение в систему
Образование и тренинг
Оповещения/Alerts
Другие информационные услуги по оповещению
Распространение информации
Публикации
Презентации
Отношения с прессой
Участие в ассоциациях и мероприятиях, имеющих дело с вопросами безопасности

Incident Reporting (AirCERT) является распределенной системой обмена данными о событиях безопасности между административными доменами
Проект инициирован и курируется CERT/CC
Цель создания системы – обнаружение вредной активности злоумышленника на основе мониторинга информации с контрольных точек наблюдения
События безопасности могут включать от автоматических оповедений IDS до информации об инцидентах, основанных на заключениях специалистов
Использует стандартные форматы
IDMEF - для оповещений от IDS
IODEF - для информации об инцидентах
SNML - для описания сетевых компонентов и информации о сетевых событиях
Свободно распространяемое ПО на основе C, Perl, PHP
http://aircert.sourceforge.net/

(SysAdmin, Audit, Network, Security) Institute был основан в 1989 как образовательно-исследовательское учреждение
Разрабатывает, поддерживает и распространяет бесплатно многочисленные информационные и образовательные материалы по вопросам безопасности
Предоставляет услуги тренинга и сертификации специалистов
Поддерживает обширную сеть (165,000) специалистов и практиков в области безопасности
Информационные услуги
Internet Storm Center – система раннего предупреждения в Интернет
Weekly vulnerability digest (@RISK)
Weekly news digest (NewsBites)
Библиотека оригинальных статей, научных исследований, методических рекомендаций

в SANS

Information Security Training - более чем 400 многодневных курсов в 90 местах во всем мире
The GIAC Certification Program - для специалистов
Consensus Security Awareness Training – для пользователей
SANS Weekly Bulletins and Alerts – список рассылки о новостях в области безопасности и об уязвимостях
SANS Information Security Reading Room и SANS Step-by-Step Guides
SANS Security Policy Project – свободно доступные образцы написания политики безопасности, разработанные на основе реального опыта
Internet Storm Center – система раннего оповещения
SCORE – форум для специалистов о безопасности ПО и ОС
SANS/FBI Annual Top Twenty Internet Security Vulnerabilities List
Information Security Glossary - слова, акронимы, и другое
Intrusion Detection FAQ – Часто задаваемые вопросы об обнаружении вторжений

информационный центр по широкому кругу вопросов обеспечения безопасности
Открытые форумы для оповещения и обсуждения текущих инцидентов в реальном времени - http://www.securityfocus.com/incidents
Можно запросить помощь и рекомендации в отношении атак и инцидентов
Содержит обслуживаемые директории по различным вопросам безопасности и архивы списков рассылки
Разделы по операционным системам, включая список рассылки BugTraq для Windows систем
Вирусы и анти-вирусная защита
Архив средств для работы с инцидентами и защиты компьютерных систем - http://www.securityfocus.com/tools
Обширнейшая пополняемая коллекция средств с аннотациями и рейтингом
Включает коммерческие средства

разработки CVE (Common Vulnerabilities and Exposures) - стандартизовать названия всех известных уязвимостей и слабостей
Однако регистрация и присвоение идентификационных номеров выполняется без явной классификации, что затрудняет использование директории без специальных средств поиска
Совместимые продукты помещаются в специальный список «CVE-Compatible Products and Services»
"CVE-compatible" ("CVE-совместимый") означает, что продукт или сервис использует CVE таким образом, который позволяет осуществлять перекрестные ссылки между другими CVE-совместими продуктами
Два этапа: Декларирование и Оценка
Две организации (только:-) обьявили о совместимости с CVE форматом -
Trend Micro, Inc. и Security Horizon, Inc.
Спонсируется US-CERT at the U.S. Department of Homeland Security

CSIRT

CERT-NL
JANET-CERT
CERT-RU
Другие примеры – ищите в директории Trusted Introducer http://www.ti.terena.nl/teams/level2.html

http://cert.surfnet.nl/

Согласно классификации – Распределенный CSIRT
Два штатных сотрудника – Jacques Schuurman, Jan Meijer
До 10 других сотрудников работают посменно
Один человек находится на дежурстве с гарантированным временем реакции – не более 2-4-х часов
CERT-NL ведет активную информационную работу
Оповещение своих пользователей об угрозах и рекомендации по безопасности
Некоторые документы сопровождаются комментариями
Отдельные документы переводятся на голландский язык
До 2002 года выполнял также функции государственного центра реагирования на КИБ
Содействовал созданию государственного Центра CERT-NO (CERT Nederlandse Overheid)

об инцидентах,
предоставляемой CERT-NL

классификации – Внутренний CSIRT академической сети JANET с функциями координирующего CSIRT

Ведет реальную работу по реагированию на инциденты в своей сети
Ведет обширную информационную работу
Предоставляет библиографию документов по вопросам безопасности
Советы и средства для улучшения безопасности компьютерных систем
Руководство по расследованию DDoS-инцидентов в организациях и сети UKERNA
Security Software webpage at JANET-CERT http://www.ja.net/CERT/JANET-CERT/software/

реагирования на компьютерные инциденты в сети RBnet
Член FIRST
Описывает регламент реагирования на КИБ
Политика реагирования на инциденты
Имеет стандартную форму реагирования на инциденты
Предоставляет информацию о компьютерных уязвимостях и предупреждениях безопасности

спамом

Спам является всеобщей проблемой в Интернет
Вопрос специально рассматривался правительством США и Европейской комиссией
Имеются соответствующие рекомендации и регламентирующие документы
Европейский центр координации борьбы со спамом http://www.euro.cauce.org/
Анализ государственных анти-спамовских политик http://www.euro.cauce.org/en/countries/
RIPE Anti-Spam Working Group – http://www.ripe.net/ripe/wg/anti-spam/index.html

в сети (1)

Требование по осуществлению мер безопасности в государстве и противодействие терроризму и преступности
Европейское законодательство по этому вопросу
Convention on Cybercrime, ETS No.: 185 http://conventions.coe.int/Treaty/EN/WhatYouWant.asp?NT=185&CM=8&DF=17/07/03
http://europa.eu.int/information_society/eeurope/2005/index_en.htm
Великобритания: The Regulation of Investigatory Powers Act 2000 (см. разделы 12-14 в http://www.legislation.hmso.gov.uk/acts/acts2000/20000023.htm)
Установка оборудования требует Парламентской процедуры (утверждения)
Стоимость оборудования может быть скомпенсирована «заказчиком»
На практике большие провайдеры устанавливают оборудование за свои средства, но потом предоставляют услуги отслеживания трафика за дополнительную плату при наличии судебного ордера

в сети (2)

Вопрос, который часто вызывает горячие дискуссии в среде пользователей и провайдеров Интернет
Обсуждался также в IETF
Презентация “Lawful Intercept in IP Networks” - Fred Baker, бывший председатель IETF, заслуженный инженер Cisco
Cisco Architecture for Lawful Intercept In IP Networks http://www.ietf.org/internet-drafts/draft-baker-slem-architecture-01.txt
С точки зрения производителя оборудование, создание таких средств является требованием потребителей, исходящем из национальных регулирующих актов
Пример, скоординированной реакция Интернет сообщества в Голландии - http://www.opentap.org/