Анализатор поверхности атаки - Attack Surface Analyzer

Анализатор поверхности атаки
Разработчики)	Корпорация Майкрософт
Стабильный выпуск	1.0.0.0 / 2 августа 2012 г.
Операционная система	Майкрософт Виндоус
Платформа	Майкрософт Виндоус
Тип	Безопасность
Интернет сайт	Анализатор поверхности атаки

Анализатор поверхности атаки это инструмент, созданный для анализа изменений, внесенных в поверхность атаки операционных систем с Виндоус виста и дальше. Это инструмент, рекомендованный Microsoft в его руководящих принципах SDL^[1] на стадии верификации разработки.

История

Согласно Команда Microsoft SDL,^[2] у них не было универсального инструмента для проверки изменений, внесенных в поверхность атаки Операционная система Windows до того, как был разработан анализатор поверхности атаки. Проблемой было проверить и проверить влияние различных установок программного обеспечения на систему еще с тех пор, как Windows Server 2003 разрабатывался. Тогда им приходилось использовать несколько инструментов для каждого типа изменения поверхности атаки.^[3] Это был болезненный процесс, когда им приходилось проверять все снова и снова, используя несколько инструментов.

Именно эта проблема заставила Microsoft создать приложение, с помощью которого разработчики могли анализировать изменения, внесенные в поверхность атаки Windows. Сначала его использовали разработчики Microsoft. Позже, 18 января 2011 года, бета-версия (версия 5.1.3.0) инструмента под названием Attack Surface Analyzer была публично выпущена для тестировщиков и ИТ-администраторов. Attack Surface Analyzer может сравнивать данные двух сканирований системы, называемые базовым сканированием.^[4] и сканирование продукта.^[5] Доступны как 32-битные, так и 64-битные версии программного обеспечения.^[6] за Виндоус виста и Windows 7 (и соответствующие серверные редакции). Нет новостей о выпуске версии для Windows XP.

Функции

Анализ различных категорий угроз

Анализатор поверхности атаки - это универсальный инструмент для анализа изменений, внесенных в различные части поверхности атаки в операционной системе Windows 6 (включая Windows Vista и Windows 7). Используя этот инструмент, вы можете анализировать изменения, внесенные в реестр, права доступа к файлам, Windows IIS Server, сборки GAC и многое другое.^[7] По заявлению Microsoft, это тот же самый инструмент, который используют инженеры группы безопасности Microsoft для анализа влияния установки программного обеспечения на операционную систему Windows.

Это было бы невозможно, если бы не было универсального инструмента. Вам пришлось бы использовать разное программное обеспечение для всех различных частей Windows, а затем логически комбинировать эффекты самостоятельно. Инструмент перечисляет различные элементы, которые он перечисляет во время сканирования системы. Элементами являются:

файлы
ключи реестра
информация о памяти
окна
Брандмауэр Windows
Ассамблеи GAC
сетевые ресурсы
Сеансы входа в систему
порты
именованные каналы
автозапуск задач
RPC конечные точки
процессы
потоки
настольные компьютеры
ручки
Microsoft Сервер информационных служб Интернета

Приведенный выше список представляет собой исчерпывающий набор элементов, которые являются как возможными, так и важными, которые могут быть изменены при установке нового программного обеспечения в системе. В то время как какое-то программное обеспечение может изменить только несколько элементов в списке, какое-то другое может изменить еще несколько и различных элементов в системе. Attack Surface Analyzer объединяет их все, что упрощает анализ всех частей.

Привлечение угроз

Хотя Attack Surface Analyzer может точно сказать вам об изменениях, в некоторых случаях он также сможет сказать вам, что конкретное изменение в конфигурации вызывает угрозу. На данный момент инструмент не перечисляет угрозы во всех категориях (или частях операционной системы), которые он сканирует, а только в некоторых, наиболее заметными из которых являются проблемы в конфигурациях служб, списки управления доступом файловой системы и проблемы, связанные с процессы, запущенные в системе.

Определение серьезности угрозы

Получение списка угроз для системы - отличная вещь, когда вы получаете его из программного обеспечения, выпущенного самой Microsoft. В конце концов, никто не знает Windows лучше, чем Microsoft. В связи с улучшенными проблемами безопасности, продемонстрированными Microsoft, важно, чтобы серьезность угрозы также была известна ИТ-отделу предприятия. Анализатор поверхности атаки также показывает серьезность обнаруженных угроз. Однако, похоже, он не сообщает о серьезности каждой угрозы. Вместо этого он показывает серьезность угрозы по ее категории. Например, серьезность угрозы, вызванной «Исполняемые файлы со слабым ACL »(Серьезность угрозы уровня 1) меньше, чем вызванная« процессами с токенами олицетворения »(серьезность угрозы уровня 2). Безусловно, желательно указывать уровень серьезности каждой угрозы, а не категорию, к которой она принадлежит. Однако нет никаких новостей о том, когда это может быть доступно.

Встроенная справка

В каждой организации есть специалисты в различных областях безопасности. Возможен случай, когда специалист по сетевой безопасности в организации не знает деталей и терминологии какого-либо другого домена (например, служб Windows). Однако эти две проблемы могут быть связаны друг с другом. Хотя для экспертов двух групп экспертов по безопасности невозможно (а в некоторых случаях и не важно) знать все об используемых друг другом терминах, в некоторых случаях это может потребоваться. Краткое описание (со ссылкой на технет библиотека с подробным описанием термина) всех угроз и изменений поверхности атаки перечисляются в отчете, создаваемом анализатором поверхности атаки. Хотя краткого описания обычно достаточно для экспертов, оно может понадобиться в других случаях. Microsoft упростила поиск подходящего ресурса для этого термина, вместо того, чтобы полагаться на поисковые системы.

Организация изменений, внесенных в поверхность атаки

Поверхность атаки операционной системы Windows касается различных частей операционной системы. Кому-либо было бы трудно понять отчет, если бы все изменения были перечислены в последовательном порядке. Attack Surface Analyzer позволяет пользователю легко просматривать отчет, перечисляя угрозы по категориям и предоставляя оглавление на странице HTML.

Генерация отчетов

Attack Surface Analyzer может сравнивать данные двух сканирований (сгенерированных им самим при двух разных сканированиях) и генерировать отчет, который затем можно просмотреть в HTML формат. Также можно запустить сканирование в одной системе, а затем сгенерировать в другой системе, используя тот же инструмент. Это хорошо для клиентов Windows Vista, потому что невозможно создать отчет с помощью текущей версии анализатора поверхности атаки в Windows Vista.^[8] В таком случае Attack Surface Analyzer можно использовать для запуска сканирования на клиенте Windows Vista, передачи файлов результатов сканирования на компьютер под управлением Windows 7, а затем создания и просмотра отчета на компьютере под управлением Windows 7.

Системные Требования

Attack Surface Analyzer работает в операционных системах серии Windows 6.X, но создание отчетов возможно только в операционных системах версии 6.1. Ниже приведены системные требования Attack Surface Analyzer (с официальной страницы загрузки):

Устанавливается на: Виндоус виста, Windows 7, Windows Server 2008 и Windows Server 2008 R2

Сбор данных о поверхности атаки: Windows Vista, Windows 7, Windows Server 2008 и Windows Server 2008 R2

Анализ данных Attack Surface и формирование отчетов: Windows 7 или Windows Server 2008 R2 с Microsoft .Net 3.5 SP1

Microsoft не перечисляет отдельно какие-либо требования к оборудованию. Инструмент должен иметь возможность выполнять свою работу на любом компьютере, отвечающем аппаратным требованиям установленной операционной системы. Однако обратите внимание, что время выполнения для генерации данных сканирования и отчета зависит от возможностей оборудования (лучшее оборудование позволит выполнять работу быстрее).

Сканы

Attack Surface Analyzer перечисляет два типа сканирования, а именно базовое сканирование и сканирование продукта. Строго говоря, оба скана одинаковы. Разница между ними логическая, а не техническая.

Базовое сканирование

Это прогон сканирования, который пользователь будет запускать для генерации данных в исходной системе. Затем эти данные сравниваются со сканированием продукта. После запуска базовое сканирование, продукт, влияние которого на поверхность атаки операционной системы необходимо проверить, установлен. При установке изменяется конфигурация системы (возможно) путем установки служб, изменения правил брандмауэра, установки новых .СЕТЬ сборки и тд. Базовое сканирование - это логическое сканирование, выполняемое пользователем с помощью анализатора поверхности атаки, которое создает файл, содержащий конфигурацию системы, перед установкой этого программного обеспечения.

Сканирование продукта

Сканирование продукта показывает состояние системы после установки «продукта». В этом контексте продукт - это программное обеспечение, влияние которого на систему после установки необходимо проверить. Для создания отчета требуется минимум два сканирования. В сканирование продукта будет фиксировать изменения, внесенные в систему при установке тестируемого программного продукта. Данные сканирования, созданные в этом сканировании, сравниваются с данными базового сканирования, чтобы найти изменения, внесенные в конфигурацию системы в различных точках. Стоит отметить, что с помощью анализатора поверхности атаки может быть зафиксировано более одного состояния системы, и любая их комбинация может использоваться для создания отчета. Однако «базовое сканирование» должно быть тем, которое проводилось раньше другого. Другой может автоматически вызываться сканированием продукта.