वर्तमान में, प्रोग्राम की कमजोरियों की खोज को स्वचालित करने के लिए बड़ी संख्या में उपकरण विकसित किए गए हैं। यह लेख उनमें से कुछ पर चर्चा करेगा.
परिचय
स्थैतिक कोड विश्लेषण विश्लेषण है सॉफ़्टवेयर, जो प्रोग्राम के स्रोत कोड पर निर्मित होता है और अध्ययन के तहत प्रोग्राम के वास्तविक निष्पादन के बिना कार्यान्वित किया जाता है।
प्रोग्राम कोड में त्रुटियों के कारण सॉफ़्टवेयर में अक्सर विभिन्न कमजोरियाँ होती हैं। कुछ स्थितियों में प्रोग्राम विकास के दौरान की गई त्रुटियाँ प्रोग्राम विफलता का कारण बनती हैं, और परिणामस्वरूप, प्रोग्राम का सामान्य संचालन बाधित हो जाता है: इसके परिणामस्वरूप अक्सर डेटा में परिवर्तन और क्षति होती है, प्रोग्राम या यहां तक कि सिस्टम भी रुक जाता है। अधिकांश कमजोरियाँ बाहर से प्राप्त डेटा के गलत प्रसंस्करण या उसके अपर्याप्त सख्त सत्यापन से जुड़ी हैं।
कमजोरियों की पहचान करने के लिए विभिन्न उपकरणों का उपयोग किया जाता है, उदाहरण के लिए, स्थैतिक विश्लेषक सोर्स कोडकार्यक्रम, जिसका एक सिंहावलोकन इस आलेख में दिया गया है।
सुरक्षा कमजोरियों का वर्गीकरण
जब आवश्यकता सही संचालनसभी संभावित इनपुट डेटा पर प्रोग्राम का उल्लंघन होता है, तथाकथित सुरक्षा कमजोरियों की उपस्थिति संभव हो जाती है। सुरक्षा कमजोरियों का मतलब यह हो सकता है कि एक प्रोग्राम का उपयोग पूरे सिस्टम की सुरक्षा सीमाओं को दूर करने के लिए किया जा सकता है।
सुरक्षा कमजोरियों का वर्गीकरण इस पर निर्भर करता है सॉफ़्टवेयर त्रुटियाँ:
- बफ़र अधिकता। यह भेद्यता प्रोग्राम निष्पादन के दौरान मेमोरी में आउट-ऑफ-बाउंड सरणी पर नियंत्रण की कमी के कारण होती है। जब डेटा का एक पैकेट जो बहुत बड़ा होता है, सीमित आकार के बफर को ओवरफ्लो कर देता है, तो बाहरी मेमोरी स्थानों की सामग्री ओवरराइट हो जाती है, जिससे प्रोग्राम क्रैश हो जाता है और बाहर निकल जाता है। प्रोसेस मेमोरी में बफर के स्थान के आधार पर, बफर ओवरफ्लो को स्टैक (स्टैक बफर ओवरफ्लो), हीप (हीप बफर ओवरफ्लो) और स्टैटिक डेटा एरिया (बीएसएस बफर ओवरफ्लो) पर प्रतिष्ठित किया जाता है।
- दागी इनपुट भेद्यता. खराब इनपुट कमजोरियाँ तब हो सकती हैं जब उपयोगकर्ता इनपुट पर्याप्त नियंत्रण के बिना किसी बाहरी भाषा (आमतौर पर यूनिक्स शेल या एसक्यूएल) के दुभाषिया को भेज दिया जाता है। इस मामले में, उपयोगकर्ता इनपुट डेटा को इस तरह से निर्दिष्ट कर सकता है कि लॉन्च किया गया दुभाषिया कमजोर प्रोग्राम के लेखकों के इरादे से पूरी तरह से अलग कमांड निष्पादित करेगा।
- प्रारूप स्ट्रिंग भेद्यता. इस प्रकारसुरक्षा कमजोरियाँ "दागी इनपुट" भेद्यता का एक उपवर्ग हैं। यह C मानक लाइब्रेरी के प्रारूप I/O फ़ंक्शंस printf, fprintf, scanf, आदि का उपयोग करते समय मापदंडों के अपर्याप्त नियंत्रण के कारण होता है। ये फ़ंक्शन अपने मापदंडों में से एक के रूप में एक वर्ण स्ट्रिंग लेते हैं जो बाद के फ़ंक्शन तर्कों के इनपुट या आउटपुट प्रारूप को निर्दिष्ट करता है। यदि उपयोगकर्ता फ़ॉर्मेटिंग के प्रकार को निर्दिष्ट कर सकता है, तो यह भेद्यता स्ट्रिंग फ़ॉर्मेटिंग फ़ंक्शंस के असफल उपयोग के परिणामस्वरूप हो सकती है।
- सिंक्रनाइज़ेशन त्रुटियों (दौड़ की स्थिति) के परिणामस्वरूप कमजोरियाँ। मल्टीटास्किंग से जुड़ी समस्याएं "रेस कंडीशन" नामक स्थितियों को जन्म देती हैं: एक प्रोग्राम जिसे मल्टीटास्किंग वातावरण में चलाने के लिए डिज़ाइन नहीं किया गया है, वह यह मान सकता है कि, उदाहरण के लिए, उसके द्वारा उपयोग की जाने वाली फ़ाइलों को किसी अन्य प्रोग्राम द्वारा नहीं बदला जा सकता है। परिणामस्वरूप, एक हमलावर जो समय पर इन कार्यशील फ़ाइलों की सामग्री को बदल देता है, प्रोग्राम को कुछ क्रियाएं करने के लिए बाध्य कर सकता है।
बेशक, सूचीबद्ध के अलावा, सुरक्षा कमजोरियों के अन्य वर्ग भी हैं।
मौजूदा विश्लेषकों की समीक्षा
प्रोग्रामों में सुरक्षा कमजोरियों का पता लगाने के लिए निम्नलिखित उपकरणों का उपयोग किया जाता है:
- गतिशील डिबगर्स. उपकरण जो आपको किसी प्रोग्राम को उसके निष्पादन के दौरान डीबग करने की अनुमति देते हैं।
- स्थैतिक विश्लेषक (स्थैतिक डिबगर्स)। उपकरण जो किसी प्रोग्राम के स्थैतिक विश्लेषण के दौरान संचित जानकारी का उपयोग करते हैं।
स्थैतिक विश्लेषक प्रोग्राम में उन स्थानों को इंगित करते हैं जहाँ त्रुटि स्थित हो सकती है। कोड के इन संदिग्ध टुकड़ों में या तो कोई त्रुटि हो सकती है या ये पूरी तरह से हानिरहित हो सकते हैं।
यह आलेख कई मौजूदा स्थैतिक विश्लेषकों का अवलोकन प्रदान करता है। आइए उनमें से प्रत्येक पर करीब से नज़र डालें।
इस समस्या को देखने का दूसरा तरीका यह है कि जब किसी एप्लिकेशन में कोई भेद्यता हो तो कंपनियों को तुरंत प्रतिक्रिया देनी चाहिए। इसके लिए आईटी विभाग को निश्चित रूप से ट्रैक करने में सक्षम होना आवश्यक है इंस्टॉल किए गए एप्लिकेशन, स्वचालन और मानक उपकरणों का उपयोग करके घटक और पैच। सॉफ़्टवेयर टैग (19770-2) को मानकीकृत करने का एक उद्योग प्रयास है, जो एक एप्लिकेशन, घटक और/या पैच के साथ स्थापित XML फ़ाइलें हैं जो स्थापित सॉफ़्टवेयर की पहचान करती हैं, और एक घटक या पैच के मामले में, वे कौन से एप्लिकेशन हैं का हिस्सा। टैग में प्रकाशक प्राधिकरण की जानकारी, संस्करण की जानकारी, फ़ाइल नाम के साथ फ़ाइलों की एक सूची, फ़ाइल का एक सुरक्षित हैश और आकार होता है, जिसका उपयोग यह पुष्टि करने के लिए किया जा सकता है कि इंस्टॉल किया गया एप्लिकेशन सिस्टम पर है और बायनेरिज़ नहीं हैं किसी तीसरे पक्ष द्वारा संशोधित. ये टैग हस्ताक्षरित हैं अंगुली का हस्ताक्षरप्रकाशक.
जब किसी भेद्यता का पता चलता है, तो आईटी विभाग अपने परिसंपत्ति प्रबंधन सॉफ़्टवेयर का उपयोग करके कमज़ोर सॉफ़्टवेयर वाले सिस्टम की तुरंत पहचान कर सकते हैं और सिस्टम को अद्यतन करने के लिए कदम उठा सकते हैं। टैग पैच या अपडेट का हिस्सा हो सकते हैं जिनका उपयोग यह सत्यापित करने के लिए किया जा सकता है कि पैच स्थापित किया गया है। इस तरह, आईटी विभाग अपने परिसंपत्ति प्रबंधन उपकरणों को प्रबंधित करने के साधन के रूप में एनआईएसटी राष्ट्रीय भेद्यता डेटाबेस जैसे संसाधनों का उपयोग कर सकते हैं, ताकि एक बार किसी कंपनी द्वारा एनवीडी को भेद्यता प्रस्तुत किए जाने पर, आईटी तुरंत नई कमजोरियों की तुलना कर सके।
IEEE/ISTO गैर-लाभकारी संगठन, जिसे TagVault.org (www.tagvault.org) कहा जाता है, के माध्यम से आईएसओ 19770-2 के मानक कार्यान्वयन पर अमेरिकी सरकार के साथ काम करने वाली कंपनियों का एक समूह है जो इस स्तर के स्वचालन की अनुमति देगा। किसी बिंदु पर, इस कार्यान्वयन के अनुरूप ये टैग संभवतः अगले कुछ वर्षों में अमेरिकी सरकार को बेचे जाने वाले सॉफ़्टवेयर के लिए अनिवार्य होंगे।
इसलिए दिन के अंत में, यह अच्छा अभ्यास है कि आप कौन से ऐप्स और सॉफ़्टवेयर के विशिष्ट संस्करणों का उपयोग कर रहे हैं, इसके बारे में पोस्ट न करें, लेकिन यह मुश्किल हो सकता है, जैसा कि पहले कहा गया है। आप यह सुनिश्चित करना चाहते हैं कि आपके पास एक सटीक, अद्यतित सॉफ़्टवेयर सूची है, इसकी नियमित रूप से एनवीडी से एनवीआईडी जैसी ज्ञात कमजोरियों की सूची के साथ तुलना की जाती है, और आईटी खतरे को दूर करने के लिए तत्काल कार्रवाई कर सकता है नवीनतम पहचान घुसपैठ, एंटी-वायरस स्कैनिंग और अन्य पर्यावरण लॉकिंग विधियों के साथ कम से कम आपके पर्यावरण से समझौता करना बहुत मुश्किल हो जाएगा, और यदि/जब ऐसा होता है, तो लंबे समय तक इसका पता नहीं लगाया जाएगा।
भेद्यता प्रबंधन कमजोरियों को दूर करने के लिए समाधान की पहचान, मूल्यांकन, वर्गीकरण और चयन है। भेद्यता प्रबंधन की नींव कमजोरियों के बारे में जानकारी का भंडार है, जिनमें से एक "फॉरवर्ड मॉनिटरिंग" भेद्यता प्रबंधन प्रणाली है।
हमारा समाधान कमजोरियों के बारे में जानकारी की उपस्थिति को नियंत्रित करता है ऑपरेटिंग सिस्टम(विंडोज़, लिनक्स/यूनिक्स-आधारित), कार्यालय और एप्लिकेशन सॉफ़्टवेयर, उपकरण सॉफ़्टवेयर, सूचना सुरक्षा उपकरण।
डेटा स्रोत
पर्सपेक्टिव मॉनिटरिंग सॉफ़्टवेयर भेद्यता प्रबंधन प्रणाली का डेटाबेस निम्नलिखित स्रोतों से स्वचालित रूप से अपडेट किया जाता है:
- सूचना सुरक्षा खतरों का डेटा बैंक (बीडीयू बीआई) रूस का एफएसटीईसी।
- राष्ट्रीय भेद्यता डेटाबेस (एनवीडी) एनआईएसटी।
- लाल टोपीबगज़िला.
- डेबियन सुरक्षा बग ट्रैकर।
- CentOS मेलिंग सूची।
हम अपने भेद्यता डेटाबेस को अद्यतन करने के लिए एक स्वचालित पद्धति का भी उपयोग करते हैं। हमने एक वेब क्रॉलर और असंरचित डेटा पार्सर विकसित किया है जो हर दिन कई देशों में सौ से अधिक विभिन्न विदेशी और रूसी स्रोतों का विश्लेषण करता है। कीवर्ड- सामाजिक नेटवर्क, ब्लॉग, माइक्रोब्लॉग, मीडिया में समूह समर्पित सूचान प्रौद्योगिकीऔर सूचना सुरक्षा सुनिश्चित करना। यदि इन उपकरणों को कुछ ऐसा मिलता है जो खोज मानदंडों से मेल खाता है, तो विश्लेषक मैन्युअल रूप से जानकारी की जांच करता है और इसे भेद्यता डेटाबेस में दर्ज करता है।
सॉफ़्टवेयर भेद्यता निगरानी
भेद्यता प्रबंधन प्रणाली का उपयोग करके, डेवलपर्स अपने सॉफ़्टवेयर के तृतीय-पक्ष घटकों में पाई गई कमजोरियों की उपस्थिति और स्थिति की निगरानी कर सकते हैं।
उदाहरण के लिए, कंपनी के सिक्योर सॉफ्टवेयर डेवलपर लाइफ साइकिल (SSDLC) मॉडल में हेवलेट पैकर्डतृतीय-पक्ष पुस्तकालयों का उद्यम नियंत्रण एक केंद्रीय स्थान रखता है।
हमारा सिस्टम एक ही सॉफ़्टवेयर उत्पाद के समानांतर संस्करणों/बिल्ड में कमजोरियों की उपस्थिति की निगरानी करता है।
यह इस तरह काम करता है:
1. डेवलपर हमें उत्पाद में उपयोग किए जाने वाले तृतीय-पक्ष पुस्तकालयों और घटकों की एक सूची प्रदान करता है।
2. हम प्रतिदिन जांच करते हैं:
बी। क्या पहले से खोजी गई कमजोरियों को दूर करने के तरीके सामने आए हैं।
3. यदि निर्दिष्ट रोल मॉडल के अनुसार भेद्यता की स्थिति या स्कोरिंग बदल गई है तो हम डेवलपर को सूचित करते हैं। यह मतलब है कि विभिन्न समूहएक कंपनी के डेवलपर्स को अलर्ट प्राप्त होंगे और वे केवल उस उत्पाद की कमजोरियों की स्थिति देखेंगे जिस पर वे काम कर रहे हैं।
भेद्यता प्रबंधन प्रणाली अलर्ट आवृत्ति कॉन्फ़िगर करने योग्य है, लेकिन यदि 7.5 से अधिक सीवीएसएस स्कोर वाली भेद्यता का पता चलता है, तो डेवलपर्स को तत्काल अलर्ट प्राप्त होगा।
वीआईपीनेट टीआईएएस के साथ एकीकरण
वीआईपीनेट थ्रेट इंटेलिजेंस एनालिटिक्स सिस्टम सॉफ्टवेयर और हार्डवेयर सिस्टम स्वचालित रूप से कंप्यूटर हमलों का पता लगाता है और विभिन्न स्रोतों से प्राप्त घटनाओं के आधार पर घटनाओं की पहचान करता है। सूचना सुरक्षा. ViPNet TIAS के लिए घटनाओं का मुख्य स्रोत ViPNet IDS है, जो पर्सपेक्टिव मॉनिटरिंग द्वारा विकसित AM नियम निर्णय नियम आधार का उपयोग करके इनकमिंग और आउटगोइंग नेटवर्क ट्रैफ़िक का विश्लेषण करता है। कुछ हस्ताक्षर कमज़ोरियों के शोषण का पता लगाने के लिए लिखे जाते हैं।
यदि ViPNet TIAS एक सूचना सुरक्षा घटना का पता लगाता है जिसमें भेद्यता का शोषण किया गया था, तो नकारात्मक प्रभाव को खत्म करने या क्षतिपूर्ति करने के तरीकों सहित भेद्यता से संबंधित सभी जानकारी, प्रबंधन प्रणाली से स्वचालित रूप से घटना कार्ड में दर्ज की जाती है।
घटना प्रबंधन प्रणाली सूचना सुरक्षा घटनाओं की जांच में भी मदद करती है, विश्लेषकों को समझौते के संकेतकों और घटना से प्रभावित संभावित सूचना अवसंरचना नोड्स के बारे में जानकारी प्रदान करती है।
सूचना प्रणालियों में कमजोरियों की उपस्थिति की निगरानी करना
भेद्यता प्रबंधन प्रणाली का उपयोग करने का एक अन्य परिदृश्य ऑन-डिमांड स्कैनिंग है।
ग्राहक स्वतंत्र रूप से, अंतर्निहित टूल या हमारे द्वारा विकसित स्क्रिप्ट का उपयोग करके, नोड (वर्कस्टेशन, सर्वर, डीबीएमएस, सूचना सुरक्षा सॉफ्टवेयर पैकेज,) पर स्थापित चीज़ों की एक सूची तैयार करता है। नेटवर्क हार्डवेयर) सिस्टम और एप्लिकेशन सॉफ़्टवेयर और घटक, इस सूची को नियंत्रण प्रणाली तक पहुंचाते हैं और पता लगाई गई कमजोरियों और उनकी स्थिति के बारे में आवधिक सूचनाओं पर एक रिपोर्ट प्राप्त करते हैं।
सिस्टम और सामान्य भेद्यता स्कैनर के बीच अंतर:
- नोड्स पर निगरानी एजेंटों की स्थापना की आवश्यकता नहीं है।
- नेटवर्क पर लोड नहीं बनाता है, क्योंकि समाधान आर्किटेक्चर स्वयं स्कैनिंग एजेंट और सर्वर प्रदान नहीं करता है।
- घटकों की सूची बन जाने से उपकरण पर भार नहीं पड़ता है सिस्टम कमांडया एक हल्की ओपन सोर्स स्क्रिप्ट।
- सूचना लीक होने की संभावना समाप्त हो जाती है। "संभावित निगरानी" सूचना प्रणाली में किसी नोड के भौतिक और तार्किक स्थान या कार्यात्मक उद्देश्य के बारे में विश्वसनीय रूप से कुछ नहीं सीख सकती है। ग्राहक की नियंत्रित परिधि से निकलने वाली एकमात्र जानकारी सॉफ़्टवेयर घटकों की सूची वाली एक txt फ़ाइल है। इस फ़ाइल की सामग्री की जाँच की जाती है और ग्राहक द्वारा स्वयं नियंत्रण प्रणाली पर अपलोड की जाती है।
- सिस्टम को संचालित करने के लिए, हमें नियंत्रित नोड्स पर खातों की आवश्यकता नहीं है। जानकारी साइट व्यवस्थापक द्वारा अपनी ओर से एकत्र की जाती है।
- ViPNet VPN, IPsec या https के माध्यम से सुरक्षित सूचना विनिमय।
पर्सपेक्टिव मॉनिटरिंग भेद्यता प्रबंधन सेवा से जुड़ने से ग्राहक को ANZ.1 आवश्यकता "कमजोरियों की पहचान और विश्लेषण" को पूरा करने में मदद मिलती है सूचना प्रणालीऔर रूस के एफएसटीईसी के आदेश संख्या 17 और 21 की नई पहचानी गई कमजोरियों का शीघ्र उन्मूलन। हमारी कंपनी गतिविधियों के लिए रूस के एफएसटीईसी का लाइसेंसधारी है। तकनीकी सुरक्षागोपनीय जानकारी।
कीमत
न्यूनतम लागत - यदि कनेक्शन के लिए वैध अनुबंध है तो सिस्टम से जुड़े 50 नोड्स के लिए प्रति वर्ष 25,000 रूबल
चालू होने पर स्मार्ट स्कैनिंगअवास्ट निम्नलिखित प्रकार की समस्याओं के लिए आपके पीसी की जाँच करेगा और फिर उनके लिए समाधान सुझाएगा।
- वायरस: फ़ाइलें युक्त गलत मंशा वाला कोड, जो आपके पीसी की सुरक्षा और प्रदर्शन को प्रभावित कर सकता है।
- कमज़ोर सॉफ़्टवेयर: ऐसे प्रोग्राम जिन्हें अद्यतन करने की आवश्यकता होती है और हमलावरों द्वारा आपके सिस्टम तक पहुंच प्राप्त करने के लिए उपयोग किया जा सकता है।
- ख़राब प्रतिष्ठा वाले ब्राउज़र एक्सटेंशन: ब्राउज़र एक्सटेंशन जो आमतौर पर आपकी जानकारी के बिना इंस्टॉल किए जाते हैं और सिस्टम प्रदर्शन को प्रभावित करते हैं।
- कमजोर पासवर्ड: पासवर्ड जिनका उपयोग एक से अधिक तक पहुंचने के लिए किया जाता है खाताऑनलाइन और आसानी से हैक या समझौता किया जा सकता है।
- नेटवर्क ख़तरे : आपके नेटवर्क में कमजोरियाँ जो आप पर हमलों की अनुमति दे सकती हैं नेटवर्क उपकरणऔर एक राउटर.
- निष्पादन मुद्दे: वस्तुएं ( अनावश्यक फ़ाइलेंऔर एप्लिकेशन, सेटिंग्स से संबंधित समस्याएं) जो पीसी के संचालन में हस्तक्षेप कर सकती हैं।
- परस्पर विरोधी एंटीवायरस: अवास्ट के साथ आपके पीसी पर एंटीवायरस प्रोग्राम इंस्टॉल किए गए। कई की उपलब्धता एंटीवायरस प्रोग्रामआपके पीसी को धीमा कर देता है और एंटी-वायरस सुरक्षा की प्रभावशीलता को कम कर देता है।
टिप्पणी. स्मार्ट स्कैन द्वारा पता लगाए गए कुछ मुद्दों को हल करने के लिए एक अलग लाइसेंस की आवश्यकता हो सकती है। अनावश्यक समस्या प्रकारों का पता लगाना अक्षम किया जा सकता है।
पाई गई समस्याओं का समाधान
स्कैन क्षेत्र के बगल में एक हरे रंग का चेक मार्क इंगित करता है कि उस क्षेत्र में कोई समस्या नहीं पाई गई। रेड क्रॉस का मतलब है कि स्कैन ने एक या अधिक संबंधित समस्याओं की पहचान की है।
पाई गई समस्याओं के बारे में विशिष्ट विवरण देखने के लिए, क्लिक करें सब कुछ सुलझाओ. स्मार्ट स्कैनप्रत्येक समस्या का विवरण दिखाता है और आइटम पर क्लिक करके इसे तुरंत ठीक करने का विकल्प प्रदान करता है तय करना, या बाद में क्लिक करके ऐसा करें इस स्टेप को छोड़ दें.
टिप्पणी. एंटीवायरस स्कैन लॉग को स्कैन इतिहास में देखा जा सकता है, जिसे चयन करके एक्सेस किया जा सकता है सुरक्षा एंटीवायरस.
स्मार्ट स्कैन सेटिंग्स प्रबंधित करें
स्मार्ट स्कैन सेटिंग्स बदलने के लिए, चुनें सेटिंग्स सामान्य स्मार्ट स्कैनऔर निर्दिष्ट करें कि आप निम्न में से किस प्रकार की समस्या के लिए स्मार्ट स्कैन करना चाहते हैं।
- वायरस
- पुराना सॉफ्टवेयर
- ब्राउज़र ऐड-ऑन
- नेटवर्क ख़तरे
- सुसंगति के मुद्दे
- निष्पादन मुद्दे
- कमजोर पासवर्ड
डिफ़ॉल्ट रूप से, सभी समस्या प्रकार सक्षम हैं। स्मार्ट स्कैन चलाते समय किसी विशिष्ट समस्या की जाँच बंद करने के लिए स्लाइडर पर क्लिक करें शामिलसमस्या प्रकार के आगे ताकि वह स्थिति बदल सके कामोत्तेजित.
क्लिक समायोजनशिलालेख के बगल में वायरस स्कैनिंगस्कैन सेटिंग बदलने के लिए.
