MXPA01006737A - Metodo y aparato para verificar la vulnerabilidad de seguridad de dispositivos en red - Google Patents

Abstract

Se describe un método y un aparato para determinar vulnerabilidades de un sistema de dispositivos que se pueden compartir, tales como servidores en una red, empezando solamente con una lista de todas las direcciones asignadas utilizadas por el sistema (204). Una petición es enviada consecutivamente a cada dirección en la lista. Aquellas direcciones a partir de las cuales no se recibe una respuesta, son filtradas de la lista y utilizadas para generar una lista"no usada"(210). AI verificar la respuesta recibida de las direcciones restantes, los dispositivos que no se pueden compartir pueden ser determinados y asimismo filtrados de la lista mientras se utilizan para generar una lista de"que no se pueden compartir"(216). Las direcciones restantes de esta manera todas se refieren a dispositivos que se pueden compartir (215), los cuales entonces pueden ser explorados eficientemente para vulnerabilidades de sistema y un reporte generado como los datos revelados cuando se desea un reporte.

Description

MÉTODO Y APARATO PARA VERIFICAR LA VULNERABILIDAD DE SEGURIDAD DE DISPOSITIVOS EN RED DESCRIPCIÓN DE LA INVENCIÓN La presente invención se refiere en general a redes de comunicaciones y, en particular, a un método y a un sistema para verificar una lista de direcciones dentro de una red para verificar los tipos de dispositivos en cada dirección y reportar cual de esos dispositivos puede ser vulnerable a ramificaciones de seguridad por partes no autorizadas a través de la red. Una red de datos transporta información entre un número de varios dispositivos tales como computadoras, terminales de presentación, encaminadores, impresoras, mazas, etc. Cada uno de los dispositivos interconectados mediante una red dada está acoplado a la red, usualmente a través de una conexión eléctrica u óptica. Además, cada dispositivo utiliza un protocolo de comunicaciones uniforme que permite que cualquier dispositivo transmita datos a cualquier otro dispositivo. El Protocolo Internet (IP) es un protocolo de comunicaciones usual que es utilizado a través de la Internet mundial y entre redes corporativas y privadas independientes ahora conocidas como "Intranets". Cada dispositivo conectado a una red condescendiente de protocolo Internet es identificado a través de una dirección o medio de identificación única, tal como una dirección de IP.

Aunque el protocolo Internet proporciona una buena manera para interconectar diversos tipos de equipo de datos, surge un problema ya que los dispositivos que llevan información confidencial o que controlan funciones importantes están conectados a una red. Ya que el IP es un protocolo estándar en dicho uso extendido, los dispositivos unidos a una red de IP quedan significativamente expuestos a un acceso potencial no autorizado a través de la Internet e Intranet. Los dispositivos en red, tales como servidores, usualmente incluyen características de autentificación para evitar el uso no autorizado del servidor a través de la red. Cualquier debilidad en una medida de seguridad del dispositivo probablemente se pueda encontrar finalmente y ser explotada por partes quienes desean obtener acceso no autorizado, alterar o dañar el dispositivo de IP, u obtener información sensible. Para determinar la exposición de dispositivos interconectados a una red, el software de exploración está comercialmente disponible el cual puede ser utilizado para sondear la interfase de IP de un dispositivo dado y determinar si es vulnerable. Como la mayoría del software para detectar virus, el software de exploración de IP es sometido a constantes actualizaciones a medida que nuevos mecanismos de vulnerabilidad son descubiertos. Para probar la vulnerabilidad, el software de exploración opera en un procesador conectado a la red de telecomunicaciones y es invocado por una dirección de IP del dispositivo que será probado. El uso de este software de exploración usualmente es autorizado determinando una carga para cada caso de verificación de una dirección de IP individual, sin considerar el resultado del análisis. No todos los dispositivos conectados a una red ofrecen servicios mediante los cuales puedan ser sometidos a explotación. Los dispositivos de entrada/salida en red, tales como terminales de presentación e impresoras, típicamente no poseen riesgos de seguridad importantes. El análisis de exposición es más apropiado para dispositivos como computadores huéspedes (servidores u otros dispositivos que se pueden compartir) que ofrecen servicios tales como TELNET, FTP, WWW, SMTP mail, SNMP NetBIOS, etc. Esto significa que el análisis de exposición solamente necesita ser dirigido a direcciones que corresponden a dispositivos que pueden ser compartidos, tales como servidores. Para que la exploración sea efectiva, ésta debe ser repetida periódicamente y, por lo tanto, debe ser realizada lo más rápidamente posible y en forma muy eficiente. Una red interna en una corporación grande puede tener más de un millón de direcciones de protocolo IP. El proceso de exploración para todas las direcciones en dicha lista por lo general puede tomar días, semanas o aún meses dependiendo del número de dispositivos de exploración utilizados. Es muy costoso, consumidor de tiempo y antí-económico intentar verificar cada dirección de protocolo IP posible en un dominio dado de direcciones, particularmente si sólo una pequeña proporción de direcciones en realidad corresponde a dispositivos vulnerables. Un problema típico ocurre cuando las direcciones de los dispositivos que se pueden compartir son desconocidas y están dentro de un dominio grande de direcciones de IP. Las direcciones de varios dispositivos en un sistema por lo general cambian por muchas razones. Además, a probado ser difícil rastrear con exactitud los cambios de dirección entre los dispositivos en una red. Meramente la exploración de una lista previamente compilada de dispositivos que se pueden compartir probablemente es proporcionar información de vulnerabilidad del sistema no exacta o incompleta. Además, dicha lista puede no proporcionar más información exacta como los servicios provistos por cada dispositivo que se puede compartir. Una operación de exploración puede quedar incompleta si solamente los servicios previamente listados son verificados para vulnerabilidad del sistema. De esta manera, puede ser deseable proponer un método que pueda reducir significativamente el tiempo y el costo involucrados en la exploración para dispositivos vulnerables en una red de IP. Además, puede ser deseable explorar un dispositivo que se puede compartir dado solamente para aquellos dispositivos provistos por ese dispositivo que se puede compartir en lugar de tomar tiempo para explorar todos los servicios posibles. Finalmente, puede ser deseable obtener reportes resumiendo los resultados de cada exploración en una forma oportuna antes de que se presente un daño a través de cualquier exposición de seguridad. La presente invención obtiene una exploración de vulnerabilidad de sistema efectiva en costo y oportuna de dispositivos que se pueden compartir eliminando primero las direcciones de IP no usadas, así como aquellas que corresponden a dispositivos que no pueden ser compartidos, y después utilizar el software de exploración solamente en aquellos dispositivos en las direcciones ya identificadas que se pueden compartir. La exploración además puede ser restringida solamente a los servicios ofrecidos por cada dispositivo que se puede compartir individual. Después, se pueden generar reportes listando los dispositivos encontrados por la dirección de IP junto con cualquier vulnerabilidad detectada. La presente invención y sus ventajas se entenderán mejor haciendo referencia a la siguiente descripción detallada junto con los dibujos anexos, en donde: La Figura 1 es un diagrama de una modalidad de la presente invención acoplada a una red incluyendo dispositivos que requieren de prueba de vulnerabilidad, La Figura 2 es un diagrama de flujo que describe un proceso para seleccionar y clasificar direcciones de red como candidatos para una prueba de vulnerabilidad profunda, y La Figura 3 es un diagrama de flujo que describe un proceso para realizar la exploración de vulnerabilidad en una dirección dada y reportar los resultados. Haciendo referencia a la Figura 1 de los dibujos, se muestra una red 100 que puede interconectar numerosos dispositivos a lo largo de su periferia. Cada dispositivo está conectado a algún puerto único físico de la red, cada puerto correspondiendo a alguna dirección específica dentro del esquema de dirección de la red. En la Figura 1, los dispositivos 101 que no pueden ser compartidos, tales como terminales de presentación y estaciones de trabajo de computadora solo para clientes, se ilustran ocupando algunos de los puertos de la red 100. Los puertos 103 no utilizados de la red 100 también muestran que no tienen ningún equipo unido, y por lo tanto, no responderán a ninguna señal de la red. Aún otros puertos más se muestran conectados a los dispositivos 102a y 102b que se pueden compartir, los cuales pueden ser, por ejemplo, servidores que realizan acciones o recuperan datos en respuesta a peticiones recibidas a través de la red 100. Como se mencionó anteriormente, estos dispositivos que se pueden compartir son los puntos de vulnerabilidad, mediante los cuales una parte maligna puede ser capaz de obtener datos sensibles u ocasionar daño. Para ilustración, el dispositivo 102b que se puede compartir comprende un proceso de servidor de correo 104 y un proceso de TELNET 106. De esta manera, el dispositivo 102b que se puede compartir es dicha función como servidor para otros dispositivos a través de la red 100 y puede ofrecer por lo menos servicios de correo electrónico y de TELNET. Además, un espacio de "postmaestro" 105 dentro del proceso de servidor de correo 104 es designado como un depósito para artículos de correo, en la forma de archivos de datos en almacenamiento o memoria, destinados para la atención de la persona responsable de administrar ese servidor de correo. La designación de la Figura 1 de esta manera enfatiza la red existente que será probada. La presente invención está representada en la Figura 1 a través de la presencia de un procesador de análisis de exposición 120 conectado a un puerto de la red 100 a través de una tarjeta de interfase de red 127. Para reducir la práctica, el procesador de análisis de exposición 120 es una computadora de propósitos generales, comúnmente disponible, adaptada para modalizar la presente invención como será fácilmente entendido por aquellos expertos en la técnica. El procesador de análisis de exposición 120 ejecuta un sistema operativo 122, el cual a su vez aloja la ejecución de un proceso de filtración de dirección 124 como un elemento funcional de la presente invención. Una estación de trabajo 121 es incluida para la interconexión a un usuario quien puede iniciar, verificar, controlar o revisar el análisis revisado en la red 100 a través del procesador de análisis de exposición 120. La base de datos de dirección 130 contiene una lista de todas las direcciones dentro de la red 100. Como se muestra, los contenidos de la base de datos de dirección 130 son categorizados en direcciones no usadas 132, direcciones de dispositivo que no se comparte 134, y direcciones de dispositivo que se puede compartir 136. El proceso de filtración de dirección 124 recupera la lista de direcciones de la base de datos 130 e intenta comunicarse con cada dirección para verificar la presencia de un dispositivo que se puede compartir o que no se puede compartir. Los hallazgos son utilizados para actualizar la base de datos 130 como la clasificación de cada dirección. El proceso de filtración de dirección 124 también determina las interfases de servicio encontradas en cada dirección y almacena un perfil en el registro de operación 152. El servidor de exploración de vulnerabilidad 160 está conectado a la red 100 a través de la tarjeta de interfase de red 161 y comprende varios procesos de exploración de vulnerabilidad 162, 164, 166, 168, etc., especializados para probar diferentes interfases de servicio. Para cada combinación de perfil de dirección introducida en el registro de exploración 152, el servidor de exploración de vulnerabilidad 160 inicia procesos de exploración apropiados como los indicados en el perfil para comenzar la prueba de la dirección especificada. Los resultados de la exploración de vulnerabilidad son registrados en un registro de operación 150. El procesador de análisis de exposición 120 también incluye un reloj en tiempo real 140 como una referencia, de manera que todas las entradas en el registro de operación 150 y el registro de exploración 152 incluyen una fecha y hora exactas de entrada. En la Figura 1 se muestra el analizador de estadística 170 como un procesador separado para determinar generalmente patrones y tendencias sobre una serie de pasos de análisis de exposición resultados de exploración de recolección de múltiples redes.

La Figura 2 detalla los pasos a través de los cuales el proceso de filtración de dirección 124 clasifica a través de direcciones para la red 100 y encuentra direcciones candidatos para la prueba de vulnerabilidad selectiva. En la Figura 2, el paso 202 representa el inicio de un paso de filtración individual a través de todas las direcciones en la red 100 como se lista en la base de datos de dirección 130. Este proceso puede ser iniciado por un usuario a través de la interfase 121 o a través de un evento pre-programado o activado con el tiempo, por ejemplo. En el paso 204, el proceso de filtración de dirección 124 obtiene las direcciones de la base de datos de dirección 130. El paso 206 involucra la selección de una de las direcciones en la lista como un contexto para los pasos 208-218. En el paso 208, el proceso de filtración de dirección 124 ocasiona un comando de regreso de eco de bajo nivel, conocido como un "ping" (alternativa), que será emitido a la dirección bajo prueba. Normalmente, con cualquier tipo de dispositivo unido al puerto que está siendo dirigido, esto puede dar como resultado una respuesta de eco inmediata que puede ser detectada por el proceso de filtración de dirección 124. Si no se recibe ninguna respuesta en el paso 208, entonces en el paso 210 la dirección es designada como no usada y la base de datos de dirección 130 es actualizada, por consiguiente. Después de esto, la ejecución prosigue al paso 220, en donde el proceso finaliza o se reasume en el paso 206, dependiendo si todas las direcciones han sido filtradas.

Si, en el paso 208, se recibe una respuesta, entonces otras peticiones son enviadas a la dirección intentando ejercitar servicios tales como FTP, TELNET, SMTP, SNMP, WWW, netBIOS, y similares. En el paso 214, si la dirección no responde, como un servidor, entonces en el paso 216 la dirección simplemente es designada como perteneciente a un dispositivo que puede ser compartido y la base de datos de dirección 130, por consiguiente, es actualizada. Después de esto, la ejecución prosigue al paso 220, en donde el proceso termina o se reasume en el paso 206, dependiendo si todas las direcciones han sido filtradas. Al recibir cualquier respuesta a una petición afirmando que la dirección ofrece por lo menos un servicio, entonces en el paso 218, la dirección es designada como correspondiendo aun dispositivo que se puede compartir y la base de datos de dirección 130, por consiguiente, es actualizada. Además, se crea un perfil, el cual es almacenado en el registro de exploración 152, listando todos los dispositivos que fueron detectados en el paso 212 para la dirección particular. Se contempla que cualquiera de la mera presencia de un nuevo perfil o un mecanismo de notificación separado puede ser usado para activar el explorador de vulnerabilidad 160 para actuar sobre un perfil en el registro de exploración 152. La Figura 3 describe los pasos realizador por el servidor de exploración de vulnerabilidad 160 en cada perfil de dirección calificado por el proceso de filtración de dirección 124 durante un paso de filtración. El paso 302 representa el inicio de una exploración de vulnerabilidad en una dirección con un perfil asociado. El paso 304 simplemente obtiene y lee un perfil para una dirección. El paso 206 involucra seleccionar y activar un proceso de exploración para cada servicio listado en el perfil. Ya que los resultados de exploración son recibidos de los varios procesos de exploración, el registro de operación150 acumula un registro de los hallazgos junto con la fecha/hora de las exploraciones. Después de terminar todas las exploraciones, la ejecución prosigue al paso 308, en donde los resultados de la exploración son enviados a un analizador de estadística 170 (opcional). Los pasos 310 y 312 proporcionan un mensaje que será depositado directamente en el "correo" de un servidor de correo para notificar al administrador del servidor de correo que una exploración fue realizada y como obtener los resultados. El proceso de explorar una dirección particular se concluye en el paso 314. En una modalidad preferida de la presente invención, algún elemento de la invención, tal como el procesador de análisis de exposición 120, crea un reporte periódico resumiendo el proceso y los resultados de la red de exploración 100. Este reporte puede ser emitido en un programa por horas, diariamente, semanalmente o mensualmente, y puede tomar la forma de la presentación en una interfase de usuario 121, imprimir el resultado en una impresora, o por correo electrónico. Aquellos expertos en la técnica reconocerán que muchas variaciones en los puntos anteriores son posibles sin afectar el espíritu y alcance de la presente invención. Por ejemplo, el proceso de filtración de dirección y el explorador de vulnerabilidad ciertamente pueden ser combinados para operar dentro del mismo procesador concurrentemente o aún ser integrados como un proceso individual. De otra manera, el proceso de filtración de dirección y el servidor de exploración de vulnerabilidad puede comunicarse entre sí a través de la red en donde ambos están inherentemente unidos. Las variaciones en la aplicación son igualmente posibles. Por ejemplo, la presente invención puede ser aplicada a módems de acceso difundidos alrededor de una red telefónica grande. Al llamar a números y buscar señales de entrada de comunicación específicas, la presente invención puede inventar artículos que no sean MODEM contra un fax-módem contra módems de servidor, y después activar más herramientas de exploración extensas en el último grupo de números. Aunque la presente invención ha sido mostrada y descrita anteriormente en una modalidad ilustrativa, la invención no está destinada a ser limitada por la discusión anterior, sino que más bien puede ser definida por las reivindicaciones anexas.

Claims (17)

REIVINDICACIONES

1.- Una red de datos, que comprende: una pluralidad de dispositivos conectados a una red de datos, en donde cada uno de los dispositivos corresponde a una dirección única en una escala de direcciones; un procesador de análisis de exposición conectado a la red de datos que determina una clasificación de cada una de las direcciones únicas en la escala de direcciones, en donde la clasificación es una en un grupo de clasificaciones consistiendo de direcciones no usadas, direcciones dispositivos que no se pueden compartir y direcciones de dispositivos que se pueden compartir.

2.- La red de datos de acuerdo con la reivindicación 1, en donde el procesador de análisis de exposición determina si una dirección es clasificada como una dirección de dispositivo que se puede compartir determinando la presencia de uno o más tipos de interfases de servicio en dicha dirección.

3.- La red de datos de acuerdo con la reivindicación 2, en donde el procesador de análisis de exposición determina uno o más tipos de interfases de servicio en cada dirección de dispositivo que se puede compartir.

4.- La red de datos de acuerdo con la reivindicación 3, que comprende además: un explorador de vulnerabilidad conectado a la red de datos para explorar selectivamente solo aquellas direcciones clasificadas como direcciones de dispositivo que se pueden compartir a través del procesador de análisis de exposición.

5.- La red de datos de acuerdo con la reivindicación 4, en donde el explorador de vulnerabilidad explora cada dirección de dispositivo que se puede compartir en respuesta a uno o más tipos de interfase de servicio determinadas como presentes por el procesador de análisis de exposición en dichas direcciones de dispositivo que se puede compartir.

6.- La red de datos de acuerdo con la reivindicación 5, que comprende además: una base de datos de registro de operación que almacena un registro que corresponde a cada dirección de dispositivo que se puede compartir, en donde el registro incluye resultados de exploración de uno o más tipos de interfases de servicio en la dirección de dispositivo que se puede compartir.

7.- La red de datos de acuerdo con la reivindicación 6, que comprende además: un analizador de estadística que recibe los resultados de la exploración de las direcciones de dispositivo que se pueden compartir y analiza dichos resultados.

8.- La red de datos de acuerdo con la reivindicación 7, que comprende además: una base de datos de dirección conectada al procesador de análisis de exposición, la cual almacena la clasificación determinada por el procesador de análisis de exposición para cada dirección única en la escala de direcciones posibles.

9.- La red de datos de acuerdo con la reivindicación 8, en donde la escala de direcciones es una escala de direcciones de protocolo Internet.

10.- Un método para explorar vulnerabilidades de una pluralidad de dispositivos en una red de datos, que comprende los pasos de: identificar cual de dicha pluralidad de dispositivos son dispositivos que se pueden compartir; y selectivamente explorar aquellos dispositivos que son identificados como dispositivos que se pueden compartir para vulnerabilidades.

11.- El método de acuerdo con la reivindicación 10, que incluye además los pasos de: identificar tipos de servicios ofrecidos por cada dispositivo; y explorar vulnerabilidades en cada tipo de servicio identificado.

12.- El método de acuerdo con la reivindicación 11, en donde cada dispositivo corresponde a una dirección única en una escala de direcciones y además comprende el paso de: determinar si un dispositivo está presente en cada dirección en la escala de direcciones.

13.- El método de acuerdo con la reivindicación 12, en donde el paso de determinar si un dispositivo está presente en cada dirección en la escala de direcciones, comprende los pasos de: seleccionar una primera dirección en la escala de direcciones; emitir un comando de eco de bajo nivel a la primera dirección; determinar si se recibe una respuesta de eco; y designar la primera dirección como no usada en respuesta para determinar que no se recibió ninguna respuesta de eco y designar que un dispositivo está presente en la primera dirección en respuesta a determinar que se recibió una respuesta de eco.

14.- El método de acuerdo con la reivindicación 10, en donde el paso de identificar que pluralidades de dispositivos son dispositivos que se pueden compartir, comprende el paso de: determinar la presencia de uno o más tipos de interfases de servicio en dicho dispositivo; y designar dicho dispositivo como un dispositivo que se puede compartir en respuesta a determinar la presencia de por lo menos un tipo de interfase de servicio.

15.- El método de acuerdo con la reivindicación 14, que comprende además el paso de: explorar cada dirección de dispositivo que se puede compartir en respuesta a uno o más tipos de interfases de servicio determinadas como presentes por el procesador de análisis de exposición en dicha dirección de dispositivo que se puede compartir.

16.- El método de acuerdo con la reivindicación 15, que comprende además el paso de: almacenar un registro que corresponde a cada dispositivo que se puede compartir, en donde el registro incluye resultados de explorar uno o más tipos de interfases de servicio en el dispositivo que se puede compartir.

17.- El método de acuerdo con la reivindicación 16, que comprende además los pasos de: recibir un resultado de la exploración de los dispositivos que se pueden compartir; analizar los resultados; y generar un reporte de los resultados. 213 3/3 FIG.3