Процесс под названием сканирование уязвимостей представляет собой проверку отдельных узлов или сетей на потенциальные угрозы.
А необходимость проверить безопасность возникает у ИТ-специалистов достаточно часто – особенно, если речь идёт о крупных организациях, обладающих ценной информацией, которая может понадобиться злоумышленникам.
Не стоит пренебрегать таким сканированием и администраторам небольших сетей – тем более что в 2017-м году серьёзным атакам со стороны запущенных хакерами масштабных вирусов-шифровальщиков подверглись сотни тысяч компьютеров.
Применение сканеров уязвимости
Для сканирования сетей на слабые места в системах их безопасности специалисты по информационной безопасности применяют соответствующее программное обеспечение.
Принцип их работы заключается в проверке приложений, которые работают на компьютерах сети, и поиске так называемых «дыр», которыми могли бы воспользоваться посторонние для получения доступа к важным сведениям.
Грамотное использование программ, способных обнаружить уязвимость в сети, позволяет ИТ-специалистам избежать проблем с украденными паролями и решать такие задачи:
- поиск попавшего на компьютер вредоносного кода;
- инвентаризация ПО и других ресурсов системы;
- создание отчётов, содержащих информацию об уязвимостях и способах их устранения.
Рис. 2. Объекты сети, подлежащие проверке на уязвимости.
Механизмы сканирования
Сканирование на уязвимости выполняется при помощи двух основных механизмов – сканирования и зондирования.
Первый вариант предполагает, что программа-сканер выполняет пассивный анализ, определяя наличие проблем с безопасностью только по ряду косвенных признаков, но без фактических доказательств.
Эту методику называют «логическим выводом», а её принципы заключаются в выполнении следующих шагов:
1 Идентификация портов, открытых на каждом из устройств в сети;
2 Сбор заголовков, связанных с портами и найденных в процессе сканирования;
3 Сравнение полученных заголовков со специальной таблицей, содержащей правила определения уязвимостей;
4 Получение выводов о наличии или отсутствии в сети проблем с безопасностью.
Процесс под названием «зондирование» представляет собой методику активной проверки, позволяющую практически со стопроцентной гарантией убедиться в том, есть ли в сети уязвимости или нет.
Метод, который также называется «подтверждением», применяет полученную во время предварительной проверки информацию для того чтобы ещё более эффективно проанализировать каждое сетевое устройство, подтвердив или опровергнув наличие угроз.
Проверка заголовков
Механизм, название которого на английском языке звучит как «banner check», состоит из целого ряда сканирований и даёт возможность получить определённые выводы на основе данных, передаваемых программе-сканеру в ответ на его запрос.
Примером такой проверки может стать сканирование заголовков с помощью приложения Sendmail, позволяющее и определить версии программного обеспечения, и убедиться в наличии или отсутствии проблем.
Методика считается самой простой и быстрой, но имеет целый ряд недостатков:
- Не слишком высокую эффективность проверки. Тем более что злоумышленники могут изменять информацию в заголовках, удалив номера версий и другие сведения, которые используются сканером для получения выводов. С одной стороны, вероятность такого изменения не слишком высокая, с другой – пренебрегать ею не стоит.
- Невозможность точно определить, являются ли данные, которые содержатся в заголовке, доказательством уязвимости. В первую очередь, это касается программ, которые поставляются вместе с исходным текстом. При устранении их уязвимостей номера версий в заголовках приходится изменять вручную – иногда разработчики просто забывают это сделать.
- Вероятность появления уязвимости в следующих версиях программы, даже после того как она была устранена из предыдущих модификаций.
Активные зондирующие проверки
Методика, известная ещё и как «active probing check», основана не на проверках версий ПО в заголовках, а на анализе и сравнении цифровых «слепков» программ с информацией об уже известных уязвимостях.
Принцип её работы немного похож на алгоритм антивирусных приложений, которые предполагает сравнение отсканированных фрагментов с вирусными базами.
К той же группе методик относится и проверка даты создания сканируемого ПО или контрольных сумм, позволяющая убедиться в подлинности и в целостности программ.
Для хранения сведений об уязвимостях применяются специализированные базы данных, содержащие ещё и сведения, позволяющие устранить проблему и снизить риск угрозы постороннего доступа к сети.
Рис. 3. Быть готовым к атаке через уязвимости в сети – одна из основных задач администратора.
Имитация атак
Ещё один метод на английском языке называется «exploit check», что можно перевести на русский как «имитация атак».
Выполняемая с его помощью проверка тоже является одним из вариантов зондирования и основана на поиске дефектов программ с помощью их усиления.
- некоторые «дыры» в безопасности нельзя обнаружить до тех пор, пока не сымитировать настоящую атаку против подозрительных сервисов и узлов;
- программы-сканеры проверяют заголовки программного обеспечения во время фальшивой атаки;
- при сканировании данных уязвимости обнаруживаются значительно быстрее, чем в обычных условиях;
- имитируя атаки, можно найти больше уязвимостей (если они были изначально), чем при помощи двух предыдущих методик – при этом скорость обнаружения достаточно высокая, однако пользоваться таким способом не всегда целесообразно;
- ситуации, которые не позволяют запускать «имитацию атак», делятся на две группы – угроза появления проблем с обслуживанием проверяемого программного обеспечения или принципиальная невозможность атаковать систему.
Рис. 4. Имитация атаки – один из самых эффективных способов найти «дыру».
Атака таких компьютеров может привести к серьёзным потерям данных и выходу из строя важных элементов сети, а расходы на восстановление работоспособности могут оказаться слишком серьёзными, даже с учётом повышения безопасности системы.
В этом случае желательно воспользоваться другими способами проверки – например, активным зондированием или проверкой заголовков.
По умолчанию, такие методы проверки отключены в системе.
Пользователю придётся включать их самостоятельно.
Основные этапы проверки уязвимостей
Большинство программ, выполняющих сканирование на уязвимости, работает следующим образом:
1 Собирает о сети всю необходимую информацию, сначала определяя все активные устройства в системе и работающее на них программное обеспечение. Если анализ проводится только на уровне одного ПК с уже установленным на нём сканером, этот шаг пропускают.
2 Пытается найти потенциальные уязвимости, применяя специальные базы данных для того чтобы сравнить полученную информацию с уже известными видами «дыр» в безопасности. Сравнение выполняется с помощью активного зондирования или проверки заголовков.
3 Подтверждает найденные уязвимости, применяя специальные методики – имитацию определённого типа атак, способных доказать факт наличия или отсутствия угрозы.
4 Генерирует отчёты на базе собранных при сканировании сведений, описывая уязвимости.
Рис. 5. Отчёт одного из сканеров уязвимостей.
Отличия в работе разных программ
Некоторые сканеры разделяют уязвимости по уровню угрозы.
Например, система NetSonar делит их на сетевые, способные воздействовать на роутеры, поэтому более серьёзные, и локальные, влияющие на рабочие станции.
Internet Scanner разделяет угрозы на три степени – низкую, высокую и среднюю.
С их помощью отчёты не только создаются, но и разбиваются на несколько групп, каждая из которых предназначена для конкретных пользователей – от администраторов сети до руководителей организации.
Причём, для первых выдаётся максимальное количество цифр, для руководства – красиво оформленные графики и диаграммы с небольшим количеством деталей.
Больше всего такой информации содержится в данных, которые выдаются программой Internet Scanner, выдающей пошаговые инструкции по решению проблемы с учётом особенностей разных операционных систем.
Иногда в тексте отчётов содержатся ссылки на web- или ftp-сервера, которые содержат дополнения и патчи, позволяющие избавиться от угроз.
Действия администратора по обнаружению уязвимостей
Для поиска «дыр» в безопасности администратор может руководствоваться тремя алгоритмами.
Возможности современных сканеров
Основными требованиями к программе-сканеру, обеспечивающей проверку системы и её отдельных узлов на уязвимости, являются:
- Кроссплатформенность или поддержка нескольких операционных систем. При наличии такой особенности можно выполнять проверку сети, состоящей из компьютеров с разными платформами. Например, с несколькими версиями Windows или даже с системами типа UNIX.
- Возможность сканировать одновременно несколько портов – такая функция заметно уменьшает время на проверку.
- Сканирование всех видов ПО, которые обычно подвержены атакам со стороны хакеров. К такому программному обеспечению относят продукцию компании Adobe и Microsoft (например, пакет офисных приложений MS Office).
- Проверку сети в целом и отдельных её элементов без необходимости запускать сканирование для каждого узла системы.
Большинство современных сканирующих программ имеют интуитивно понятное меню и достаточно легко настраиваются в соответствии с выполняемыми задачами.
Так, практически каждый такой сканер позволяет составить список проверяемых узлов и программ, указать приложения, для которых будут автоматически устанавливаться обновления при обнаружении уязвимостей, и задать периодичность сканирования и создания отчётов.
Сканеры уязвимостей сети
Ассортимент программ-сканеров на современном рынке ПО достаточно большой.
Для оценки возможностей таких приложений стоит рассмотреть характеристики и особенности пяти самых популярных вариантов.
GFI LanGuard
Производитель GFI Software считается одним из лидеров на мировом рынке информационной безопасности, а его продукция входит в рейтинги самых удобных и эффективных при проверке на уязвимости программ.
Одним из таких приложений, обеспечивающих безопасность сети и отдельных компьютеров, является GFI LanGuard, к особенностям которого относят:
- быструю оценку состояния портов в системе;
- поиск небезопасных настроек на компьютерах сети и запрещённых для установки программ, дополнений и патчей;
- возможность сканирования не только отдельных компьютеров и серверов, но и входящих в систему виртуальных машин и даже подключённых смартфонов;
- составление по результатам сканирования подробного отчёта с указанием уязвимостей, их параметров и способов устранения;
- интуитивно понятное управление и возможность настройки автоматической работы – при необходимости, сканер запускается в определённое время, а все исправления выполняются без вмешательства администратора;
- возможность быстрого устранения найденных угроз, изменения настроек системы, обновления разрешённого ПО и удаления запрещённых программ.
Рис. 6. Приложение для поиска угроз GFI LanGuard.
К отличиям этого сканера от большинства аналогов можно назвать установку обновлений и патчей практически для любой операционной системы.
Эта особенность и другие преимущества GFI LanGuard позволяют ему находиться на верхних строчках рейтингов программ для поиска сетевых уязвимостей.
При этом стоимость использования сканера сравнительно небольшая и доступна даже небольшим компаниям.
Nessus
Программу Nessus впервые выпустили 20 лет назад, но только с 2003-го года она становится платной.
Монетизация проекта не сделала его менее популярным – благодаря эффективности и скорости работы каждый шестой администратор в мире применяет именно этот сканер.
- постоянно обновляемую базу уязвимостей;
- простую установку и удобный интерфейс;
- эффективное обнаружение проблем с безопасностью;
- использование плагинов, каждый из которых выполняет свою задачу – например, обеспечивает сканирование ОС Linux или запускает проверку только заголовков.
Рис. 7. Программа Nessus.
Symantec Security Check
Среди её функций стоит отметить поиск не только уязвимостей, но и вирусов – включая макровирусы, трояны и интернет-черви. Фактически, приложение состоит из 2 частей – сканера Security Scan, обеспечивающего безопасность сети, и антивируса Virus Detection.
Рис. 8. Работа приложения Security Check прямо из браузера.
XSpider
Сканер XSpider выпускается компанией Positive Technologies, представители которой утверждают, что программа не только обнаруживает уже известные уязвимости, но способна найти ещё не созданные угрозы.
К особенностям приложения относят:
- эффективное обнаружение «дыр» в системе;
- возможность удалённой работы без установки дополнительного программного обеспечения;
- создание подробных отчётов с советами по устранению проблем;
- обновление базы уязвимостей и программных модулей;
- одновременное сканирование большого количества узлов и рабочих станций;
- сохранение истории проверок для дальнейшего анализа проблем.
Рис. 9. Демо-версия сканера XSpider.
Также стоит отметить, что стоимость использования сканера более доступна по сравнению с программой Nessus. Хотя и выше, чем у GFI LanGuard.
QualysGuard
Сканер считается многофункциональным и позволяет получить подробный отчёт с оценкой уровня уязвимости, времени на их устранение и уровень воздействия «угрозы» на бизнес.
Разработчик продукта, фирма Qualys, Inc., поставляет программу сотням тысяч потребителей, в том числе и половине крупнейших компаний мира.
Рис. 10. Приложение QualysGuard.
Результатом сканирования становится отчёт, автоматически отсылаемый администратору и содержащий рекомендации по устранению уязвимостей.
Выводы
С учётом широкого ассортимента приложений для сканирования сети и её узлов на уязвимости, существенно облегчается работа администратора.
Теперь от него не требуется самостоятельно запускать все механизмы сканирования вручную – достаточно просто найти подходящее приложение, выбрать способ проверки, настроить и воспользоваться рекомендациями полученного отчёта.
