Tweets by @buherablog
profile for buherator at IT Security Stack Exchange, Q&A for IT security professionals

A BitBetyár Blog

Túljártál a nagyokosok eszén? Küldd be a mutatványodat! (e-mail a buherator gmailkomra jöhet)

Full-Disclosure / Névjegy / Coming out


Promó

H.A.C.K.

Címkék

0day (110) adobe (87) adobe reader (21) anonymous (26) apple (60) az olvasó ír (49) blackhat (20) botnet (22) bug (200) buherablog (44) buhera sörözés (39) bukta (49) deface (38) dns (22) dos (29) esemény (82) facebook (26) firefox (64) flash (33) gondolat (31) google (59) google chrome (36) hacktivity (37) hírek (117) incidens (224) internet explorer (88) iphone (35) java (50) jog (22) kína (21) kriptográfia (68) kultúra (21) linux (24) malware (43) microsoft (142) móka (48) mozilla (23) office (26) oracle (40) os x (43) patch (197) php (20) politika (31) privacy (58) programozás (22) safari (34) sql injection (62) windows (85) xss (77) Címkefelhő

Licensz

Creative Commons Licenc

Paradigmaváltás

2014.02.21. 13:37 | buherator | 2 komment

FX előadásait, anyagait azért érdemes figyelemmel követni, mert belőlük az ember általában minimális idő alatt megkapja az ismereteknek azt a letisztult, kikristályosodott változatát, amit egyébként csak több hónapnyi tanulás, gyakorlat után ismerne fel (ez egyfajta guru definiciónak is elmenne, de nem akartam nagyon ömlengősre venni a figurát). 

Felix most volt olyan kedves, és közzétette azt a cikket, amit a NATO egyik kiberbiztonsággal foglalkozó kiadványában jelentettek meg Sandro Gaykennel közösen. A "Vissza az alapokhoz: A hálózati higiénián túl" címet viselő tanulmány 10 rövid oldalban foglalja össze, hogy mi a probléma a napjainkban is érvényes biztonsági paradigmákkal, és hogyan változtathatnánk szánalmas helyzetünkön.

Mert hogy a helyzetünk szánalmas, a cikk rögtön azzal indít, hogy a számítógéphálózatok védelme legalább egy évtizeddel le van maradva a támadási módszerek mögött. Ennek okaként a szerzők négy alapvető, de hibás  paradigmát mutatnak be, melyeket megpróbálok néhány mondatban összefoglalni:

  1. Perimeter biztonság: Egyszerű, könnyen megvédhető hálózati komponensekkel dolgozunk, melyek közül elegendő a hálózat határán állókat megvédeni, így a hálózatunk belseje is biztonságos marad - Ennek a nézetnek a helytelenségét talán magyarázni sem kellene, a rendszereink napról napra komplexebbek, a határok pedig egyre kézzelfoghatatlanabbak.
  2. Kiválasztott (támadási) vektor: Ha észlelünk egy lehetséges támadási útvonalat, teszünk ellene, tekintet nélkül a rendszerünk többi részére. - A szerzők jó érzékkel a titkosítást hozták példaként, ami megfelelően alkalmazva hatékony lehet bizonyos támadási formákkal szemben, a támadók azonban adaptívak, így jó kriptó esetén más utat fognak találni rendszerünk kompromittálására (ld. pl. kliens-oldali biztonság).
  3. Észlelés: Detektáljuk a rosszindulatú tevékenységet mialatt az megtörténik. - Ebben a megközelítésben amellett, hogy a védekező félnek eleve ismernie kell az észlelendő tevékenység paramétereit (így meg is akadályozhatná azt),  reménytelen versenyt kell futni a támadóval a hatékony reakció érdekében. 
  4. Sérülékenység azonosítás: Tárjunk fel sérülékenységeket, és kényszerítsük a gyártókat javításra (full-disclosure) - A baj itt az, hogy a hibák feltárása illetve javítása valójában a játék egy szereplőjének sem áll érdekében gazdaságilag. A sérülékenység piac bimbózása mellet a FD is sorvad.

Ezek a paradigmák lecserélésre szorulnak, a szerzők pedig a következőket ajánlják a jövő rendszereinek tervezéséhez:

  1. A Megelőzés-Észlelés-Helyreállítás háromszög: A megelőzési módszereinket folyamatosan fejleszteni kell a támadások fejlődésével összhangban. Felismerve, hogy így sem fogunk minden támadást megelőzni, fektessünk hansúlyt az észlelésre, de az előzőektől eltérő módon, a sérülékenység-kihasználás utáni (post-exploitation) periódusra fókuszálva, mikor a támadónak már a mi pályánkon kell játszania. Végül támaszkodjunk olyan rendszerekre, melyek ismert jó állapota egy sikeres támadást követően könnyedén visszaállítható. (a szerzők itt - talán meglepő módon - a cloud technológiára kacsintanak).
  2. Tiszta lap: Egykor kevésbé praktikusnak, vagy megvalósíthatatlannak tűnő ötleteket érdemes újra górcső alá venni. A rendelkezésünkre álló (egykor elképzelhetetlen) számítási kapacitással sok rendszerelem működése formálisan verifikálható lehet, vagy miért ne építhetnénk Harvard architektúrájú gépeket?
  3. Interfészek védelme LangSec-kel: A különböző rendszerkomponensek kommunikációjához szükséges nyelvek, és az ezeket feldolgozó forráskódok automatikus generálására és verifikálására ma már léteznek alkalmazható módszerek. Mennyivel szebb lenne a világ, ha az X.509 feldolgozókat nem szerencsétlenebb sorsú embertársainknak kellene leprogramozniuk?
  4. Decentralizált és finomhangolható bizalom: A felhasználók jogosultságkezelésétől a PKI infrastruktúráig a bizalmi rendszereket elosztott alapokra kell helyezni. 

Bár ezek az új paradigmák meglévő rendszereinkbe nehezen vagy egyáltalán nem építhetők be, a régi elvek lecserélését mihamarabb meg kell kezdeni, ha nem akarunk még több hátrányt felhalmozni a támadókkal szemben. Ennek első színtere a nagybiztonságú rendszerek, pl. katonaság, repülésirányítás, ipari irányítás lehetnek, de remélhetőleg az újítások (ahogy sok ma is használt megoldás) a civil szférába is átszivárognak majd.

És ugyan ezek a távlatok sokaknak érdektelenül távolinak tűnhetnek, a megfogalmazott elvek, látásmódok alkalmazása a mindennapok során is hasznos lehet, a teljes anyagot nyomatékosan ajánlanám minden IT-biztonságban érdekelt vezető, döntéshozó figyelmébe!

Címkék: policy nato fx sandro gayken

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben.

eax_ 2014.02.21. 19:47:28

"vagy miért ne építhetnénk Harvard architektúrájú gépeket?"

Van barmi elonyuk security szempontbol a sima W^X-hez kepest?

buherator · http://buhera.blog.hu 2014.02.22. 11:18:18

@eax_: A kérdés jó, kellene kérni Dnetéktől egymegfelelő mikrocontrollert, és megnézni lehet-e rajta ROP-olni!

Tetszett a bejegyzés? Kövesd a blogot!

blog.hu