2.1. Виды противников или «нарушителей»

Существуют четыре атакующих средства информационного воздействия:

1. Компьютерные вирусы, способные размножаться, прикрепляться к программам, передаваться по линиям связи и сетям передачи данных, проникать в электронные телефонные станции и системы управления и выводить их из строя.

2. Логические бомбы, так называемые программные закладные устройства, заранее внедряемые в информационно-управля– ющие центры военной и гражданской инфраструктуры, которые по сигналу или в установленное время приводятся в действие, уничтожая или искажая информацию или дезорганизуя работу программно-технических средств. Одна из разновидностей такой бомбы – «троянский конь» – программа, позволяющая осуществить скрытый НСД к информационным ресурсам противника для добывания разведывательной информации.

3. Средства подавления информационного обмена в телекоммуникационных сетях, его фальсификация, передача по каналам государственного и военного управления, а также по каналам массовой информации нужной с позиции противодействующей стороны информации.

4. Способы и средства, позволяющие внедрять компьютерные вирусы и логические бомбы в государственные и корпоративные информационные сети и системы и управлять ими на расстоянии (от внедрения микропроцессоров и других компонентов в электронную аппаратуру, продаваемую на мировом рынке, до создания международных информационных сетей и систем, курируемых НАТО и США).

Средства ведения информационной войны предусматривают использование всего диапазона возможностей воздействия на информационные системы противника: проведение психологических операций, огневое уничтожение элементов инфраструктуры, активное подавление каналов связи, применение специальных средств воздействия на информационно-программный ресурс информационных систем.

Основной проблемой защиты информации является полнота выявления угроз информации, потенциально возможных в автоматизированных системах обработки данных (АСОД). Даже один неучтенный (невыявленный или непринятый во внимание) дестабилизирующий фактор может в значительной мере снизить эффективность защиты.

Причины нарушения целостности информации (ПНЦИ) – это дестабилизирующие факторы, следствием проявления которых может быть нарушение физической целостности информации, т. е. ее искажение или уничтожение.

Каналы несанкционированного получения информации (КНПИ) – это дестабилизирующие факторы, следствием которых может быть получение (или опасность получения) защищаемой информации лицами или процессами, не имеющими на это законных полномочий.

Сформированные перечни КНПИ представляются следующим образом.

КНПИ 1-го класса – каналы, проявляющиеся безотносительно к обработке информации и без доступа злоумышленника к элементам ЭВТ:

1) хищение носителей информации;

2) подслушивание разговоров лиц, имеющих отношение к АСОД; 3) провоцирование на разговоры лиц, имеющих отношение к АСОД; 4) использование злоумышленником визуальных средств;

5) использование злоумышленником оптических средств;

6) использование злоумышленником акустических средств.

КНПИ 2-го класса – каналы, проявляющиеся в процессе обработки информации без доступа злоумышленника к элементам АСОД:

1) электромагнитные излучения устройств наглядного отображения; 2) электромагнитные излучения процессоров;

3) электромагнитные излучения внешних запоминающих устройств; 4) электромагнитные излучения аппаратуры связи;

5) электромагнитные излучения линий связи;

6) электромагнитные излучения вспомогательной аппаратуры;

7) электромагнитные излучения групповых устройств ввода-вывода информации;

8) электромагнитные излучения устройств подготовки данных;

9) паразитные наводки в коммуникациях водоснабжения;

10) паразитные наводки в системах канализации;

11) паразитные наводки в сетях теплоснабжения;

12) паразитные наводки в системах вентиляции;

13) паразитные наводки в шинах заземления;

14) паразитные наводки в цепях часофикации;

15) паразитные наводки в цепях радиофикации;

16) паразитные наводки в цепях телефонизации;

17) паразитные наводки в сетях питания по цепи 50 Гц;

18) паразитные наводки в сетях питания по цепи 400 Гц;

19) подключение генераторов помех;

20) подключение регистрирующей аппаратуры;

21) осмотр отходов производств, попадающих за пределы контролируемой зоны.

КНПИ 3-го класса – каналы, проявляющиеся безотносительно к обработке информации с доступом злоумышленника к элементам АСОД, но без изменения последних:

1) копирование бланков с исходными данными;

2) копирование перфоносителей;

3) копирование магнитных носителей;

4) копирование с устройств отображения;

5) копирование выходных документов;

6) копирование других документов;

7) хищение производственных отходов.

КНПИ 4-го класса – каналы, проявляющиеся в процессе обработки информации с доступом злоумышленника к элементам АСОД, но без изменения последних:

1) запоминание информации на бланках с исходными данными; 2) запоминание информации с устройств наглядного отображения; 3) запоминание информации на выходных документах;

4) запоминание служебных данных;

5) копирование (фотографирование) информации в процессе обработки;

6) изготовление дубликатов массивов и выходных документов;

7) копирование распечатки массивов;

8) использование программных закладок;

9) маскировка под зарегистрированного пользователя;

10) использование недостатков языков программирования;

11) использование недостатков операционных систем;

12) использование пораженности программного обеспечения вредоносными закладками.

КНПИ 5-го класса – каналы, проявляющиеся безотносительно к обработке информации с доступом злоумышленника к элементам ЭВТ с изменением последних:

1) подмена или хищение бланков;

2) подмена или хищение перфоносителей;

3) подмена или хищение магнитных носителей;

4) подмена или хищение выходных документов;

5) подмена аппаратуры;

7) подмена элементов программ;

8) подмена элементов баз данных;

9) хищение других документов;

10) включение в программы блоков типа «троянский конь», «бомба» и т. п.;

11) чтение остаточной информации в ОЗУ после выполнения санкционированных запросов.

КНПИ 6-го класса – каналы, проявляющиеся в процессе обработки информации с доступом злоумышленника к элементам ЭВТ с изменением последних:

1) незаконное подключение к аппаратуре;

2) незаконное подключение к линиям связи;

3) снятие информации на шинах питания устройств наглядного отображения;

4) снятие информации на шинах питания процессора;

5) снятие информации на шинах питания аппаратуры связи;

6) снятие информации на шинах питания линий связи;

7) снятие информации на шинах питания печатающих устройств; 8) снятие информации на шинах питания внешних запоминающих устройств;

9) снятие информации на шинах питания вспомогательной аппаратуры.

Мотивы совершения компьютерных преступлений распределяются следующим образом: корыстные соображения – 66 %; шпионаж, диверсия – 17 %; исследовательский интерес – 7 %; хулиганство – 5 %; месть – 5 %.

Специфика проблемы компьютерной преступности в РФ характеризуется:

1. Отсутствием отлаженной системы правового и организационно-технического обеспечения законных интересов граждан, государства и общества в области информационной безопасности.

2. Ограниченными возможностями бюджетного финансирования работ по созданию правовой, организационной и технической базы информационной безопасности.

3. Недостаточным сознанием органами государственной власти на федеральном и региональном уровнях возможных политических, экономических, моральных и юридических последствий компьютерных преступлений.

4. Слабостью координации усилий правоохранительных органов, органов суда и прокуратуры в борьбе с компьютерными правонарушениями и неподготовленностью их кадрового состава к эффективному предупреждению, выявлению и расследованию таких деяний.

5. Неналаженностью системы единого учета правонарушений, совершаемых с использованием средств информатизации.

6. Серьезным отставанием отечественной индустрии средств и технологий информатизации и ИБ от развитых стран мира.

7. Ухудшением экономического положения научно-технической интеллигенции, непосредственно связанной с созданием информационных систем, что создает предпосылки для утечки научных кадров, осуществления разного рода информационных диверсий и т. д.

К основным способам НСД относятся: 1. Непосредственное обращение к объектам доступа.

2. Создание программных и технических средств, выполняющих обращение к объектам доступа в обход средств защиты.

3. Модификация средств защиты, позволяющая осуществить НДС.

4. Внедрение в технические средства СВТ и АС программных и технических механизмов, нарушающих предполагаемую структуру и функции СВТ или АС и позволяющих осуществить НСД.

Утечки информации могут быть связаны с работой персонала, имеющий непосредственный контакт с циркулирующей информацией, а также может быть организован путем проведения разведывательных мероприятий, реализующих съем информации с технических каналов утечки информации.

Под техническим каналом понимают систему, в состав которой входят:

1) объект разведки;

2) техническое средство, используемое для НСД к информации; 3) физическая среда, в которой распространяется информационный сигнал.

Объектом разведки могут быть помещение, группа помещений или здание с хранящимися материалами ограниченного пользования, технические каналы связи, используемые для передачи сведений, отнесенных к различным видам тайн.

Технические средства по перехвату информации – это средства фото– и видеодокументирования, специальные микрофоны, стетоскопы и лазерные акустические системы, системы радиоперехвата, средства съема информации с проводных линий связи и др.

Физическая среда – это строительные конструкции зданий и сооружений, токопроводящие линии, среда распространения акустических сигналов, электромагнитные поля, технические средства обработки информации (СВТ, автоматические телефонные станции, системы звукозаписи).

Группы технических каналов утечки информации:

1) электромагнитные;

2) электрические;

3) каналы утечки видовой информации;

4) каналы утечки акустической информации.

Электромагнитные каналы утечки информации

К ним относятся каналы утечки информации, возникающие за счет побочных электромагнитных излучений технических средств обработки информации. Вся работающая аппаратура и электронные системы создают электромагнитные поля, называемые побочными электромагнитными излучениями. Они способны создавать электромагнитные наводки в расположенных рядом слаботочных, силовых и осветительных сетях, линиях и аппаратуре охранно-пожарной сигнализации, проводных линиях связи, различных приемниках электромагнитных излучений. Канал утечки основан на законе Ленца. В результате побочных электромагнитных излучений возникают каналы утечки информации. Специальные широкополосные приемники считывают электромагнитные излучения, а затем восстанавливают и отображают содержащуюся в них информацию.

При обработке информации на ЭВМ диапазон побочных электромагнитных излучений доходит до нескольких гигагерц. Они возникают за счет работы монитора, дисководов (в меньшей степени), матричного принтера, за счет коротких фронтов импульсов, поступающих на электромагниты печатающей головки. Информативные сигналы могут быть считаны с кабелей компьютера, прежде всего с кабелей питания.

Сравнительно мощные побочные электромагнитные излучения создаются монитором с электроннолучевой трубкой (ЭЛТ). Напряжение на втором аноде ЭЛТ составляет 27 000 В, что непосредственно определяет возникновение электростатического и электромагнитного полей. Электромагнитное излучение модулируется сигналами яркости и цветности, которые несут сведения об информации, обрабатываемой на ЭВМ и отображаемой на экране монитора. Максимальное излучение находится в диапазоне 100…350 МГц. Дальность перехвата до 150 м. При этом возможно считывание с нескольких одновременно работа ющих компьютеров. Даже проведение по существующим стандартам экранирование служебных помещений от электромагнитных излучений не исключает возможности такого перехвата и распознавания.

Электрические каналы утечки информации

Они могут возникать за счет: 1) наводок электромагнитных излучений технических средств обработки информации на коммутационные линии вспомогательных технических систем и средств;

2) утечек информационных сигналов в цепях электропитания технических средств обработки информации;

3) утечек информационных сигналов в цепь заземления электрических устройств.

Например, работающая ЭВМ производит наводки на близко расположенные коммутационные линии вспомогательных технических систем и средств (охранно-пожарная сигнализация, телефонные провода, сети электропитания, металлические трубопроводы). Наводимая на них ЭДС существенна и распознаваема на частотах от десятков кГц до десятков МГц. В этом случае возможен съем информации путем подключения специальной аппаратуры к коммуникационным линиям за пределами контролируемой территории.

Использование соответствующей измерительной аппаратуры, средств технической разведки позволяет несанкционированный перехват информационных сигналов от технических средств обработки информации, просачивающихся как в цепи электропитания, так и в разветвленную цепь заземления.

Каналы утечки видовой информации

Несанкционированное получение видовой или графической информации осуществляется путем наблюдения за объектом. При необходимости могут быть осуществлены фото– или видеосъемка. Технические средства: бинокли, приборы ночного видения, фото– и видео– техника.

Метод съема информации. Миниатюрная аппаратура с дистанционным управлением для передачи как изображения, так и звука по радиоканалу в различных частотных диапазонах снимает видовую информацию. При этом технические средства позволяют осуществить маскировку амплитудно– и частотно-модулированных радиосигналов телевизионного изображения. В случае необходимости может быть осуществлена ретрансляция информационных сигналов либо их передача по проводным линиям.

Каналы утечки акустической информации

Они классифицируются на: 1) электроакустические;

2) виброакустические;

3) оптико-электронные;

4) акустические;

5) проводные;

6) электромагнитные.

Электроакустический канал утечки информации . Ряд элементов технических систем – громкоговорители трансляционных сетей, звонки телефонных аппаратов – меняют свои электрические параметры (емкость, индуктивность, сопротивление) под действием акустического сигнала. Изменение названных параметров вызывает модуляцию электрических токов. Такие электроакустические преобразователи получили название «микрофонного эффекта».

Звонковая цепь телефонного аппарата при положенной на рычаг трубке обладает «микрофонным эффектом». Подвижные части звонка вибрируют под действием речевых сигналов, что приводит к появлению в нем электрического тока малой амплитуды. Это позволяет провести соответствующую обработку сигнала в цепи и выделить из него звуковую составляющую за пределами контролируемого помещения.

Другим способом снятия информации с телефона является использование высокочастотного навязывания. К одному из проводов телефонной линии подключают высокочастотный генератор, работающий в диапазоне 50…300 кГц. Правильный подбор частоты генератора и частоты резонанса телефонного аппарата позволяет при положенной трубке добиться модуляции высокочастотных колебаний микрофоном, который улавливает звуковые сигналы в прослушиваемом помещении.

Виброакустический канал несанкционированного снятия информации . Он реализуется путем использования электронных стетоскопов. Они снимают результаты воздействия акустических речевых сигналов на строительные конструкции и сооружения (панели перегородок стен, пол, потолок, воздуховоды, вентиляционные шахты, трубы и батареи отопления, оконные стекла и т. д.). Под воздействием акустических волн строительные конструкции подвергаются микродеформированию, в результате которого возникают упругие механические колебания, хорошо передающиеся в твердых однородных средах. Эти колебания воздействуют на чувствительный элемент электронного стетоскопа (вибродатчик) и преобразуются в электрический сигнал. Этот метод эффективен, так как не требует проникновения в контролируемые помещения. Электронный стетоскоп устанавливают за пределами контролируемой зоны – на элементы строительных конструкций, на трубы водоснабжения и отопления.

Оптико-электронный канал утечки информации . Акустический контроль удаленных помещений, имеющих окна, может быть осуществлен с использованием оптико-электронных или лазерных систем (лазерных микрофонов). Лазерные системы позволяют прослушивать разговоры на расстоянии от 100 м до 1 км. Дальность действия зависит от качества оконного стекла (величины микронеровностей), а также от степени его загрязненности и состояния атмосферной среды. Для повышения дальности лазерного съема информации стекло покрывается специальным материалом либо на нем наклеиваются небольшие отражатели либо используются элементы интерьера и мебели – стеклянные поверхности и зеркала внутри помещения.

Лазерные системы состоят из источника когерентного излучения и приемника отраженного луча. Передатчик формирует луч и направляет в определенную точку оконного стекла помещения. Отраженный луч модулируется речевым или акустическим сигналом, который возникает в помещении, улавливается приемником, демодулируется с последующим шумоподавлением и усилением. Процессу съема информации предшествует определенная работа по выбору наилучшего места установки системы, после чего проводится грубая и точная наводка передатчика и приемника.

Недостаток данных систем является их зависимость от гидрометеорологических условий – дождь, снег, туман, порывистый ветер.

Акустический канал утечки информации . Основывается на подслушивании переговоров. Неплотно прикрытая дверь в кабинеты должностного лица, обсуждение сведений ограниченного распространения в курительной комнате или за пределами служебных помещений, конфиденциальное совещание, проводимое в помещении с открытыми окнами – реальные каналы утечки информации. Если используются технические средства как направленный микрофон, портативный диктофон, тогда возможно зафиксировать контролиру емую беседу.

Существуют четыре типа направленных микрофона: 1) параболические;

2) трубчатые;

3) плоские акустические фазированные решетки;

4) градиентные. Параболический микрофон состоит из отражателя звука параболической формы, в фокусе которого расположен обычный микрофон. Звуковые волны, отражаясь от параболического зеркала, фокусируются на микрофоне. Чем больше диаметр зеркала, тем выше эффект усиления. Диаметр звукоулавливающего отражателя 200…500 мм и более.

Трубчатые микрофоны (микрофон «бегущей волны») по размерам существенно меньше, более удобны при транспортировке и маскировке. Он основан на использовании звуковода диаметром 10…30 мм (жесткая полая трубка с щелевыми отверстиями). Длина микрофона 15…230 мм, реже до 1 м. Увеличение трубы подавляет боковые и тыльные помехи.

В акустических фазированных решетках реализован принцип размещения на плоскости большого количества микрофонов или открытых торцов акустопроводов, звук от которых стекается к суммирующему микрофону. Такой микрофон хорошо маскируется.

Все рассмотренные микрофоны имеют дальность приема до 100 м.

Проводные каналы утечки акустической информации . В зданиях и сооружениях акустические каналы возникают как за счет имеющихся воздуховодов, вентиляционных шахт, некачественного строительства, так и за счет специально сделанных отверстий в потолках, стенах, полах.

В этом случае для снятия акустической информации могут использоваться проводные микрофоны, которые через линии связи, силовую и осветительную сеть, оптический инфракрасный канал подключаются к звукоусилительной и звукозаписывающей аппаратуре.

Электромагнитные каналы утечки акустической информации . Это каналы, основанные на использовании скрытно устанавливаемых акустических закладных устройств – радиомикрофонов. Они могут быть камуфлированными и без камуфляжа. Они скрытно устанавливаются как во вторичных технических средствах и системах, так и в технических средствах обработки информации. Местом для установки могут быть телефонный аппарат, электрические розетки и выключатели. Также осуществляется их маскировка в настольных предметах (пепельницы, письменные приборы, вазы для цветов), предметах мебели и интерьера, в элементах конструкции здания и др.

Источники питания радиомикрофонов – электрический ток силовой, осветительной или телефонной сети за счет гальванического подключения или использования специальных блоков питания, а также детектора СВЧ-энергии, иметь независимый источник питания (химический, радиоизотопный, солнечная батарея и др.).

Радиомикрофоны бывают непрерывного действия (постоянно включенные), дистанционно управляемые (включаются по команде оператора), а также с акустопуском (система VOX) – при появлении речевого сигнала в контролируемом помещении происходит самовключение устройства.

Радиомикрофоны состоят из модулей – передатчика, микрофона, выносной антенны и блока питания. Часто используют электретные, малогабаритные микрофоны (размером 4 × 3 × 2,5 мм), как встроенные в блок передатчика, так и вынесенные на расстояние от нескольких миллиметров до нескольких метров.

Чувствительность электретного микрофона позволяет оптимально контролировать акустику помещения площадью до 20 м2. При камуфлировании используется отверстие не менее 0,5мм. Для передачи сигнала используется диапазон 300…500 МГц.

Выходная мощность передатчика выбирается из условий эксплуатации и требуемой дальности (табл. 3).

Таблица 3 

В радиомикрофонах используют гибкие внешние антенны в виде отрезка многожильного провода (длиной в четверть волны).

Иногда применяют рамочные и направленные антенны, которые используются в составе сложных радиокомплексов и ретрансляторов. Достоинство рамочной антенны являются простота и малые габариты при двух недостатках: малая эффективность и направленность.

Направленные антенны увеличивают дальность передачи сигнала без увеличения мощности излучения. Недостатки: сложность конструкции, высокая стоимость, узкая полоса сигнала, большие габариты.

 

2.2. Понятия о видах вирусов

Вирус, как программа, состоит из двух частей: механизма размножения и начинки. Механизм размножения определяет способ, которым копии вируса создаются, распространяются и запускаются.

Начинка представляет собой дополнительное поведение вируса (помимо размножения) на зараженном компьютере.

Все компьютерные вирусы могут быть классифицированы по следующим признакам:

1) по среде обитания;

2) по способу заражения;

3) по степени опасности деструктивных (вредительских) воздействий; 4) по алгоритму функционирования.

По среде обитания компьютерные вирусы делятся на:

1) сетевые;

2) файловые;

3) загрузочные;

4) комбинированные.

Средой обитания сетевых вирусов являются элементы компьютерных сетей. Файловые вирусы размещаются в исполняемых файлах. Загрузочные вирусы находятся в загрузочных секторах областях внешних запоминающих устройств (boot-секторах). Иногда загрузочные вирусы называют бутовыми. Комбинированные вирусы размещаются в нескольких средах обитания. Примером таких вирусов являются загрузочно-файловые вирусы. Эти вирусы могут размещаться в загрузочных секторах накопителей на магнитных дисках и в теле загрузочных файлов.

По способу заражения среды обитания компьютерные вирусы делятся на:

1) резидентные;

2) нерезидентные.

Резидентные вирусы после их активизации полностью или частично перемещаются из среды обитания (сеть, загрузочный сектор, файл) в оперативную память ЭВМ. Эти вирусы, используя, как правило, привилегированные режимы работы, разрешенные только операционной системе, заражают среду обитания и при выполнении определенных условий реализуют деструктивную функцию. В отличие от резидентных нерезидентные вирусы попадают в оперативную память ЭВМ только на время их активности, в течение которого выполняют деструктивную функцию и функцию заражения. Затем вирусы полностью покидают оперативную память, оставаясь в среде обитания. Если вирус помещает в оперативную память программу, которая не заражает среду обитания, тогда такой вирус считается нерезидентным.

По степени опасности для информационных ресурсов пользователя компьютерные вирусы делятся на:

1) безвредные вирусы;

2) опасные вирусы;

3) очень опасные вирусы.

Безвредные компьютерные вирусы создаются авторами, которые не ставят себе цели нанести какой-либо ущерб ресурсам компьютерной системы. Деструктивное воздействие таких вирусов сводится к выводу на экран монитора невинных текстов и картинок, исполнению музыкальных фрагментов и т. п.

Однако при всей кажущейся безобидности таких вирусов они наносят определенный ущерб компьютерной системе. Во-первых, такие вирусы расходуют ресурсы компьютерной системы, в той или иной мере снижая ее эффективность функционирования. Во-вторых, компьютерные вирусы могут содержать ошибки, вызывающие опасные последствия для информационных ресурсов компьютерных систем.

Кроме того, при модернизации операционной системы или аппаратных средств компьютерной системы вирусы, созданные ранее, могут приводить к нарушениям штатного алгоритма работы системы.

К опасным относятся вирусы, которые вызывают существенное снижение эффективности компьютерной системы, но не приводящие к нарушению целостности и конфиденциальности информации, хранящейся в запоминающих устройствах. Последствия таких вирусов могут быть ликвидированы без особых затрат материальных и временных ресурсов. Примерами таких вирусов являются вирусы, занимающие память ЭВМ и каналы связи, но не блокирующие работу сети; вирусы, вызывающие необходимость повторного выполнения программ, перезагрузки операционной системы или повторной передачи данных по каналам связи и т. п.

Очень опасными следует считать вирусы, вызывающие нарушение конфиденциальности, уничтожение, необратимую модификацию (в том числе и шифрование) информации, а также вирусы, блокирующие доступ к информации, приводящие к отказу аппаратных средств и наносящие ущерб здоровью пользователям. Такие вирусы стирают отдельные файлы, системные области памяти, форматируют диски, получают несанкционированный доступ к информации, шифруют данные и т. п.

Некоторые вирусы, вызывают неисправности аппаратных средств. На резонансной частоте движущиеся части электромеханических устройств, например в системе позиционирования накопителя на магнитных дисках, могут быть разрушены. Именно такой режим и может быть создан с помощью программы-вируса. Возможно задание режимов интенсивного использования отдельных электронных схем (например, больших интегральных схем), при которых наступает их перегрев и выход из строя.

Использование в современных ЭВМ постоянной памяти с возможностью перезаписи привело к появлению вирусов, изменяющих программы BIOS, что приводит к необходимости замены постоянных запоминающих устройств.

Возможны также воздействия на психику человека – оператора ЭВМ с помощью подбора видеоизображения, выдаваемого на экран монитора с определенной частотой (каждый двадцать пятый кадр). Встроенные кадры этой видеоинформации воспринимаются человеком на подсознательном уровне.

В соответствии с особенностями алгоритма функционирования вирусы можно разделить на два класса:

1) вирусы, не изменяющие среду обитания (файлы и секторы) при распространении;

2) вирусы, изменяющие среду обитания при распространении. В свою очередь, вирусы, не изменяющие среду обитания , могут быть разделены на две группы:

1) вирусы-«спутники» (companion);

2) вирусы-«черви» (worm).

Вирусы-«спутники» не изменяют файлы. Механизм их действия состоит в создании копий исполняемых файлов. Например, в MSDOS такие вирусы создают копии для файлов, имеющих расширение *.ЕХЕ.

Копии присваивается то же имя, что и исполняемому файлу, но расширение изменяется на *.СОМ. При запуске файла с общим именем операционная система первым загружает на выполнение файл с расширением *.СОМ, который является программой-вирусом. Файл-вирус запускает затем и файл с расширением *.ЕХЕ.

Вирусы-«черви» попадают в рабочую станцию из сети, вычисляют адреса рассылки вируса по другим абонентам сети и осуществляют передачу вируса. Вирус не изменяет файлов и не записывается в загрузочные секторы дисков. Некоторые вирусы-«черви» создают рабочие копии вируса на диске, другие – размещаются только в оперативной памяти ЭВМ.

По сложности, степени совершенства и особенностям маскировки алгоритмов вирусы, изменяющие среду обитания , делятся на:

1) студенческие;

2) «стелс»-вирусы (вирусы-невидимки);

3) полиморфные.

К студенческим вирусам относят вирусы, создатели которых имеют низкую квалификацию. Такие вирусы, как правило, являются нерезидентными, часто содержат ошибки, довольно просто обнаруживаются и удаляются.

«Стелc»-вирусы и полиморфные вирусы создаются квалифицированными специалистами, хорошо знающими принцип работы аппаратных средств и операционной системы, а также владеющими навыками работы с машиноориентированными системами программирования.

«Стелс»-вирусы маскируют свое присутствие в среде обитания путем перехвата обращений операционной системы к пораженным файлам, секторам и переадресуют операционной системе к незараженным участкам информации. Вирус является резидентным, маскируется под программы операционной системы, может перемещаться в памяти. Такие вирусы активизируются при возникновении прерываний, выполняют определенные действия, в том числе и по маскировке, и только затем управление передается на программы операционной системы, обрабатывающие эти прерывания. «Стелс»-вирусы обладают способностью противодействовать резидентным антивирусным средствам.

Полиморфные вирусы не имеют постоянных опознавательных групп – сигнатур. Обычные вирусы для распознавания факта заражения среды обитания размещают в зараженном объекте специальную опознавательную двоичную последовательность или последовательность символов (сигнатуру), которая однозначно идентифицирует зараженность файла или сектора. Сигнатуры используются на этапе распространения вирусов для того, чтобы избежать многократного заражения одних и тех же объектов, так как при многократном заражении объекта значительно возрастает вероятность обнаружения вируса. Для устранения демаскирующих признаков полиморфные вирусы используют шифрование тела вируса и модификацию программы шифрования. За счет такого преобразования полиморфные вирусы не имеют совпадений кодов.

Любой вирус независимо от принадлежности к определенным классам должен иметь три функциональных блока:

1) блок заражения (распространения);

2) блок маскирования;

3) блок выполнения деструктивных действий.

Разделение на функциональные блоки означает, что к определенному блоку относятся команды программы вируса, выполняющие одну из трех функций, независимо от места нахождения команд в теле вируса.

После передачи управления вирусу, как правило, выполняются определенные функции блока маскировки. Например, осуществляется расшифровывание тела вируса. Затем вирус осуществляет функцию внедрения в незараженную среду обитания. Если вирусом должны выполняться деструктивные воздействия, тогда они выполняются либо безусловно, либо при выполнении определенных условий.

Завершает работу вируса всегда блок маскирования. При этом выполняются, например, следующие действия: шифрование вируса (если функция шифрования реализована), восстановление старой даты изменения файла, восстановление атрибутов файла, корректировка таблиц операционной системы и др.

Последней командой вируса выполняется команда перехода на выполнение зараженных файлов или на выполнение программ операционной системы.

Для удобства работы с известными вирусами используются каталоги вирусов. В каталог помещаются следующие сведения о стандартных свойствах вируса: имя, длина, заражаемые файлы, место внедрения в файл, метод заражения, способ внедрения в оперативную память для резидентных вирусов, вызываемые эффекты, наличие (отсутствие) деструктивной функции и ошибки. Наличие каталогов позволяет при описании вирусов указывать только особые свойства, опуская стандартные свойства и действия.

Файловые вирусы

Структура файлового вируса . Файловые вирусы могут внедряться только в исполняемые файлы:

1) командные файлы (файлы, состоящие из команд операционной системы);

2) саморазархивирующиеся файлы, пользовательские и системные программы в машинных кодах, а также в документы (таблицы), имеющие макрокоманды.

Макрокоманды или макросы представляют собой исполняемые программы для автоматизации работы с документами (таблицами). Поэтому такие документы (таблицы) можно рассматривать как исполняемый файл.

Для IВМ и совместимых ПЭВМ вирус может внедряться в файлы следующих типов: командные файлы (ВАТ), загружаемые драйверы (SYS), программы в машинных (двоичных) кодах (ЕХЕ, СОМ), документы Word (DОС, DOCX) с версии 6.0 и выше, таблицы ЕХСЕL (XLS, XLSX). Макровирусы могут внедряться и в другие файлы, содержащие макрокоманды.

Файловые вирусы могут размещаться в начале, середине и конце заражаемого файла.

Независимо от места расположения вируса в теле зараженного файла, после передачи управления файлу первыми выполняются команды вируса.

В начало файла вирус внедряется одним из трех способов. Первый из них заключается в переписывании начала файла в его конец, а на освободившееся место записывается вирус. Второй способ предполагает считывание вируса и зараженного файла в оперативную память, объединение их в один файл и запись его на место файла. При третьем способе заражения вирус записывается в начало файла без сохранения содержимого. В этом случае зараженный файл становится неработоспособным.

В середину файла вирус может быть записан также различными способами. Файл может «раздвигаться», а в освободившееся место может быть записан вирус. Вирус может внедряться в середину файла без сохранения участка файла, на место которого помещается вирус. Также применяется метод сжатия отдельных участков файла, при этом длина файла после внедрения вируса может не измениться.

Чаще всего вирус внедряется в конец файла. Первые команды файла заменяются командами перехода на тело вируса.

Алгоритм работы файлового вируса . При реализации большинства вирусов обобщенный алгоритм может быть представлен в виде следующей последовательности шагов:

Шаг 1. Резидентный вирус проверяет, заражена ли оперативная память, и при необходимости заражает ее. Нерезидентный вирус ищет незараженные файлы и заражает их.

Шаг 2. Выполняются действия по сохранению работоспособности программы, в файл которой внедряется вирус (восстановление первых байт программы, настройка адресов программ и т. д.).

Шаг 3. Осуществляется деструктивная функция вируса, если выполняются соответствующие условия.

Шаг 4. Передается управление программе, в файле которой находится вирус.

При реализации конкретных вирусов состав действий и их последовательность могут отличаться от приведенных в алгоритме.

Макровирусы

Макровирусы представляют собой вредительские программы, написанные на макроязыках, встроенных в текстовые редакторы, электронные таблицы и др.

Для существования вирусов в конкретной системе (редакторе) необходимо, чтобы встроенный в нее макроязык имел следующие возможности:

1) привязку программы на макроязыке к конкретному файлу;

2) копирование макропрограмм из одного файла в другой;

3) получение управления макропрограммой без вмешательства пользователя.

Таким условиям отвечают редакторы МS Word, МS Office, Ami Pro, табличный процессор МS Ехсеl. В этих системах используются макроязыки Word Basic и Visual Basic.

При выполнении определенных действий над файлами, содержащими макропрограммы (открытие, сохранение, закрытие и т. д.), автоматически выполняются макропрограммы файлов. При этом управление получают макровирусы, которые сохраняют активность до тех пор, пока активен соответствующий редактор (процессор). Поэтому при работе с другим файлом в «зараженном редакторе (процессоре)», он также заражается. Здесь прослеживается аналогия с резидентными вирусами по механизму заражения. Для получения управления макровирусы, заражающие файлы МS Оfficе, как правило, используют один из приемов:

1) в вирусе имеется автомакрос (выполняется автоматически, при открытии документа, таблицы);

2) в вирусе переопределен один из стандартных макросов, который выполняется при выборе определенного пункта меню;

3) макрос вируса автоматически вызывается на выполнение при нажатии определенной клавиши или комбинаций клавиш.

Загрузочные вирусы

Загрузочные вирусы заражают загрузочные (Вoot) сектора гибких дисков и Вооt-сектора или Master Boot Sector (МВR) жестких дисков. Загрузочные вирусы являются резидентными. Заражение происходит при загрузке операционной системы с дисков.

После включения ЭВМ осуществляется контроль ее работоспособности с помощью программы, записанной в постоянном запоминающем устройстве. Если проверка завершилась успешно, то осуществляется считывание первого сектора с гибкого или жесткого диска. Порядок использования дисководов для загрузки задается пользователем при помощи программы Setup. Если диск, с которого производится загрузка операционной системы, заражен загрузочным вирусом, тогда обычно выполняются следующие шаги:

Шаг 1. Считанный из 1-го сектора диска загрузочный вирус (часть вируса) получает управление, уменьшает объем свободной оперативной памяти и считывает с диска тело вируса.

Шаг 2. Вирус переписывает сам себя в другую область оперативной памяти, чаще всего в старшие адреса памяти.

Шаг 3. Устанавливаются необходимые вектора прерываний (вирус резидентный).

Шаг 4. При выполнении определенных условий производятся деструктивные действия.

Шаг 5. Копируется Вооt-сектор в оперативную память и передается ему управление.

Вирусы и операционные системы

Программы-вирусы создаются для ЭВМ определенного типа, работающих с конкретными операционными системами.

Привлекательность операционной системы для создателей вирусов определяется следующими факторами:

1) распространенность операционных систем;

2) отсутствие эффективных встроенных антивирусных механизмов;

3) относительная простота;

4) продолжительность эксплуатации.

Наличие антивирусных механизмов, сложность систем и относительно малые сроки эксплуатации делают задачу создания вирусов трудно решаемой.

Значительно лучше защищена от вирусов операционная система IВМ ОS/2. Все программы, выполняемые в ОS/2, работают в отдельных адресных пространствах, что полностью исключает возможность взаимного влияния программ. Существует возможность запретить рабочим программам (несистемным) иметь доступ к портам периферийных устройств.

Хорошую защиту от вирусов имеют сетевые операционные системы на базе Microsoft Windows NT и Novell Netware.

Методы и средства борьбы с вирусами

Антивирусные средства применяются для решения следующих задач:

1) обнаружение вирусов в компьютерных системах;

2) блокирование работы программ-вирусов;

3) устранение последствий воздействия вирусов.

Обнаружение вирусов желательно осуществлять на стадии их внедрения или до начала осуществления деструктивных функций вирусов. Не существует антивирусных средств, гарантирующих обнаружение всех возможных вирусов. При обнаружении вируса необходимо сразу же прекратить работу программы-вируса, чтобы минимизировать ущерб от его воздействия на систему. Устранение последствий воздействия вирусов ведется в двух направлениях:

1) удаление вирусов;

2) восстановление (при необходимости) файлов, областей памяти.

Восстановление системы зависит от типа вируса, а также от элемента времени обнаружения вируса по отношению к началу деструктивных действий. Восстановление информации без использования дублирующей информации может быть невыполнимым, если вирусы при внедрении не сохраняют информацию, на место которой они помещаются в память, а также, если деструктивные действия уже начались, и они предусматривают изменения информации.

Известны следующие методы обнаружения вирусов:

1) сканирование;

2) обнаружение изменений;

3) эвристический анализ;

4) использование резидентных сторожей;

5) вакцинирование программ;

6) аппаратно-программная защита от вирусов.

Сканирование — один из самых простых методов обнаружения вирусов. Сканирование осуществляется программой-сканером, которая просматривает файлы в поисках опознавательной части вируса – сигнатуры. Программа фиксирует наличие уже известных вирусов, за исключением полиморфных вирусов, которые применяют шифрование тела вируса, изменяя при этом каждый раз и сигнатуру. Программы-сканеры могут хранить не сигнатуры известных вирусов, а их контрольные суммы. Программы-сканеры часто могут удалять обнаруженные вирусы. Такие программы называются полифагами.

Метод сканирования применим для обнаружения вирусов, сигнатуры которых выделены и являются постоянными. Для эффективного использования метода необходимо регулярное обновление сведений о новых вирусах.

Метод обнаружения изменений базируется на использовании программ-ревизоров. Эти программы определяют и запоминают характеристики всех областей на дисках, в которых обычно размещаются вирусы. При периодическом выполнении программ-ревизоров сравниваются хранящиеся характеристики и характеристики, получаемые при контроле областей дисков. По результатам ревизии программа выдает сведения о предположительном наличии вирусов.

Обычно программы-ревизоры запоминают в специальных файлах образы главной загрузочной записи, загрузочных секторов логических дисков, характеристики всех контролируемых файлов, каталогов и номера дефектных кластеров. Могут контролироваться также объем установленной оперативной памяти, количество подключенных к компьютеру дисков и их параметры.

Главным достоинством метода является возможность обнаружения вирусов всех типов, а также новых неизвестных вирусов.

Совершенные программы-ревизоры обнаруживают даже «стелс»-вирусы.

Имеются у этого метода и недостатки. С помощью программ-ревизоров невозможно определить вирус в файлах, которые поступают в систему уже зараженными. Вирусы будут обнаружены только после размножения в системе.

Программы-ревизоры непригодны для обнаружения заражения макровирусами, так как документы и таблицы очень часто изменяются.

Эвристический анализ позволяет определять неизвестные вирусы, но не требует предварительного сбора, обработки и хранения информации о файловой системе.

Сущность эвристического анализа заключается в проверке возможных сред обитания вирусов и выявление в них команд (групп команд), характерных для вирусов. Такими командами могут быть команды создания резидентных модулей в оперативной памяти, команды прямого обращения к дискам, минуя операционную систему. Эвристические анализаторы при обнаружении «подозрительных» команд в файлах или загрузочных секторах выдают сообщение о возможном заражении. После получения таких сообщений необходимо тщательно проверить предположительно зараженные файлы и загрузочные сектора всеми имеющимися антивирусными средствами.

Метод использования резидентных сторожей основан на применении программ, которые постоянно находятся в оперативной памяти ЭВМ и отслеживают все действия остальных программ.

В случае выполнения какой-либо программой подозрительных действий (обращение для записи в загрузочные сектора, помещение в оперативную память резидентных модулей, попытки перехвата прерываний и т. п.) резидентный сторож выдает сообщение пользователю. Программа-сторож может загружать на выполнение другие антивирусные программы для проверки «подозрительных» программ, а также для контроля всех поступающих извне файлов (со сменных дисков, по сети).

Существенным недостатком данного метода является значительный процент ложных тревог, что мешает работе пользователя.

Под вакцинацией программ понимается создание специального модуля для контроля ее целостности. В качестве характеристики целостности файла обычно используется контрольная сумма. При заражении вакцинированного файла модуль контроля обнаруживает изменение контрольной суммы и сообщает об этом пользователю. Метод позволяет обнаруживать все вирусы, в том числе и незнакомые, за исключением «стелс»-вирусов.

Самым надежным методом защиты от вирусов является использование аппаратно-программных антивирусных средств . В настоящее время для защиты ЭВМ используются специальные контроллеры и их программное обеспечение. Контроллер устанавливается в разъем расширения и имеет доступ к общей шине. Это позволяет ему контролировать все обращения к дисковой системе. В программном обеспечении контроллера запоминаются области на дисках, изменение которых в обычных режимах работы не допускается. Таким образом, можно установить защиту на изменение главной загрузочной записи, загрузочных секторов, файлов конфигурации, исполняемых файлов и др.

При выполнении запретных действий любой программой контроллер выдает соответствующее сообщение пользователю и блокирует работу ЭВМ.

Аппаратно-программные антивирусные средства обладают достоинствами перед программными средствами:

1) работают постоянно;

2) обнаруживают все вирусы, независимо от механизма их действия;

3) блокируют неразрешенные действия, являющиеся результатом работы вируса или неквалифицированного пользователя.

Недостатком является зависимость от аппаратных средств ЭВМ. Изменение аппаратных средств ведет к необходимости замены контроллера.

Методы удаления последствий заражения вирусами

В процессе удаления последствий заражения вирусами осуществляется удаление вирусов, а также восстановление файлов и областей памяти, в которых находился вирус. Существует два метода удаления последствий воздействия вирусов антивирусными программами.

Первый метод предполагает восстановление системы после воздействия известных вирусов. Разработчик программы-фага, удаляющей вирус, должен знать структуру вируса и его характеристики размещения в среде обитания.

Второй метод позволяет восстанавливать файлы и загрузочные сектора, зараженные неизвестными вирусами. Для восстановления файлов программа восстановления должна заблаговременно создать и хранить информацию о файлах, полученную в условиях отсутствия вирусов. Имея информацию о незараженном файле и используя сведения об общих принципах работы вирусов, осуществляется восстановление файлов. Если вирус подверг файл необратимым изменениям, тогда восстановление возможно только с использованием резервной копии или с дистрибутива. При их отсутствии существует только один выход – уничтожить файл и восстановить его вручную.

Если антивирусная программа не может восстановить главную загрузочную запись или загрузочные сектора, то можно попытаться это сделать вручную. В случае неудачи следует отформатировать диск и установить операционную систему.

Существуют вирусы, которые, попадая в ЭВМ, становятся частью его операционной системы. Если просто удалить такой вирус, то система становится неработоспособной.

Одним из таких вирусов является вирус One Half. При загрузке ЭВМ вирус постепенно зашифровывает жесткий диск. При обращении к уже зашифрованным секторам резидентный вирус One Half перехватывает обращения и расшифровывает информацию. Удаление вируса приведет к невозможности использовать зашифрованную часть диска. При удалении такого вируса необходимо сначала расшифровать информацию на диске. Для этого необходимо знать механизм действия вируса.

Профилактика заражения вирусами компьютерных систем

Чтобы обезопасить ЭВМ от воздействия вирусов, пользователь должен иметь представление о механизме действия вирусов, адекватно оценивать возможность и последствия заражения компьютерной системы. Главным же условием безопасной работы в компьютерной системе является соблюдение ряда правил, которые апробированы на практике и показали свою высокую эффективность.

Правило первое . Использование программных продуктов, полученных законным официальным путем. Вероятность наличия вируса в пиратской копии во много раз выше, чем в официально полученном программном обеспечении.

Правило второе . Дублирование информации. Необходимо сохранять дистрибутивные носители программного обеспечения. При этом запись на носители, допускающие выполнение этой операции, должна быть по возможности заблокирована. Следует особо позаботиться о сохранении рабочей информации. Предпочтительнее регулярно создавать копии рабочих файлов на съемных машинных носителях информации с защитой от записи.

Если создается копия на несъемном носителе, то желательно ее создавать на других внешних запоминающих устройствах или ЭВМ.

Копируется либо весь файл, либо только вносимые изменения. Последний вариант применим, например, при работе с базами данных.

Правило третье . Регулярно использовать антивирусные средства. Перед началом работы целесообразно выполнять программы-сканеры и программы-ревизоры. Антивирусные средства должны регулярно обновляться.

Правило четвертое . Особую осторожность следует проявлять при использовании новых съемных носителей информации и новых файлов. Новые носители обязательно должны быть проверены на отсутствие загрузочных и файловых вирусов, а полученные файлы – на наличие файловых вирусов. Проверка осуществляется программами-сканерами и программами, осуществляющими эвристический анализ. При первом выполнении исполняемого файла используются резидентные сторожа. При работе с полученными документами и таблицами целесообразно запретить выполнение макрокоманд средствами, встроенными в текстовые и табличные редакторы (MS Word, MS Excel), до завершения полной проверки этих файлов.

Правило пятое . При работе в распределенных системах или в системах коллективного пользования целесообразно новые сменные носители информации и вводимые в систему файлы проверять на специально выделенных для этой цели ЭВМ. Целесообразно для этого использовать автоматизированное рабочее место администратора системы или лица, отвечающего за безопасность информации. Только после всесторонней антивирусной проверки дисков и файлов они могут передаваться пользователям системы.

Правило шестое . Если не предполагается осуществлять запись информации на носитель, тогда необходимо заблокировать выполнение этой операции.

В особо ответственных системах для борьбы с вирусами необходимо использовать аппаратно-программные средства (например, Sheriff).

 

2.3. Виды нарушений информационной системы

Организационно-правовые виды нарушений – это нарушения, связанные отсутствием единой согласованной политики компании в сфере защиты информации, невыполнением требований нормативных документов, нарушением режима доступа, хранением и уничтожения информации.

Информационные виды нарушений включают несанкционированное получение полномочий доступа к базам и массивам данных, несанкционированный доступ к активному сетевому оборудованию, серверам доступа, некорректное применение средств защиты и ошибки в управлении ими, нарушения в адресности рассылки информации при ведении информационного обмена.

Физические виды нарушений включают физическое повреждение аппаратных средств автоматизированных систем, линий связи и коммуникационного оборудования, кражи или несанкционированное ознакомление с содержимым носителей информации, хранящихся в неположенных местах, хищение носителей информации, отказы аппаратных средств и др.

К радиоэлектронным видам нарушений относятся такие нарушения, как внедрение электронных устройств перехвата информации, получение информации путем перехвата и дешифрования информационных потоков, дистанционная видеозапись (фотографирование) мониторов, компьютерных распечаток, клавиатуры, навязывание ложной информации в локальных вычислительных сетях, сетях передачи данных и линиях связи.

Самые распространенные электронные атаки. Во-первых, это вирусы. Далее следуют программы типа «троянский конь», которые могут быть незаметно для владельца установлены на его компьютер и также незаметно функционировать на нем. Самые распространенные варианты «троянского коня» выполняют всего лишь одну функцию – кража паролей, но есть и более «продвинутые» экземпляры, которые реализуют весь спектр функций для удаленного управления компьютером, включая просмотр содержимого экрана, перехват всех вводимых с клавиатуры клавиш, кража и изменение файлов.

Другим распространенным типом атак являются действия, направленные на выведение из строя того или иного узла сети. Эти атаки получили название «отказ в обслуживании». Например, неисправность сервера платежной системы банка приведет к невозможности осуществления платежей и, как следствие, к большим прямым и косвенным финансовым потерям.

Одной из наиболее распространенных из существующих классификаций преступлений в сфере компьютерной информации является кодификатор рабочей группы Интерпола, который был положен в основу автоматизированной информационно-поисковой системы, созданной в начале 90-х годов XX в. В соответствии с названным кодификатором все компьютерные преступления классифицированы следующим образом:

QА – несанкционированный доступ и перехват:

QAH – компьютерный абордаж (несанкционированный доступ);

QAI – перехват с помощью специальных технических средств;

QAT – кража времени (уклонение от платы за пользование АИС);

QAZ – прочие виды несанкционированного доступа и перехвата.

QD – Изменение компьютерных данных:

QDL – логическая бомба;

QDT – троянский конь;

QDV – компьютерный вирус;

QDW – компьютерный червь;

QDZ – прочие виды изменения данных.

QF – Компьютерное мошенничество:

QFC – мошенничество с банкоматами;

QFF – компьютерная подделка;

QFG – мошенничество с игровыми автоматами;

QFM – манипуляции с программами ввода-вывода;

QFP – мошенничества с платежными средствами;

QFT – телефонное мошенничество;

QFZ – прочие компьютерные мошенничества.

QR – незаконное копирование:

QRG – компьютерные игры;

QRS – прочее программное обеспечение;

QRT – топология полупроводниковых устройств;

QRZ – прочее незаконное копирование.

QS – Компьютерный саботаж:

QSH – с аппаратным обеспечением (нарушение работы компьютера);

QSS – с программным обеспечением (уничтожение, блокирование информации);

QSZ – прочие виды саботажа.

QZ – Прочие компьютерные преступления:

QZB – с использованием компьютерных досок объявлений;

QZE – хищение информации, составляющей коммерческую тайну;

QZS – передача информации, подлежащая судебному рассмотрению.

QZZ – Иные компьютерные преступления.

Данная классификация применяется при отправлении запросов или сообщений о компьютерных преступлениях по телекоммуникационной сети Интерпола. Одним из ее достоинств является введение литеры «Z», отражающей прочие виды преступлений и позволяющей совершенствовать и дополнять используемую классификацию.

Определенный интерес представляет классификация, предложенная В.А. Мещеряковым:

1. Неправомерное завладение информацией или нарушение исключительного права ее использования.

1.1. Неправомерное завладение информацией как совокупностью сведений, документов (нарушение исключительного права владения).

1.2. Неправомерное завладение информацией как товаром.

1.3. Неправомерное завладение информацией как идеей (алгоритмом, методом решения задачи).

2. Неправомерная модификация информации.

2.1. Неправомерная модификация информации как товара с целью воспользоваться ее полезными свойствами (снятие защиты).

2.2. Неправомерная модификация информации как идеи, алгоритма и выдача за свою (подправка алгоритма).

2.3. Неправомерная модификация информации как совокупности фактов, сведений.

3. Разрушение информации.

3.1. Разрушение информации как товара.

3.2. Уничтожение информации.

4. Действие или бездействие по созданию (генерации) информации с заданными свойствами.

4.1. Распространение по телекоммуникационным каналам информационно-вычислительных сетей информации, наносящей ущерб государству, обществу и личности.

4.2. Разработка и распространение компьютерных вирусов и прочих вредоносных программ для ЭВМ.

4.3. Преступная халатность при разработке (эксплуатации) программного обеспечения, алгоритма в нарушение установленных технических норм и правил.

5. Действия, направленные на создание препятствий пользования информацией законным пользователям.

5.1. Неправомерное использование ресурсов автоматизированных систем (памяти, машинного времени и т. п.).

5.2. Информационное «подавление» узлов телекоммуникационных систем (создание потока ложных вызовов).

Опишем кратко основные особенности выделенных выше типов нарушений информационной безопасности.

Неправомерное завладение информацией как совокупностью сведений, фактов (нарушение исключительного права владения), т. е. ознакомление, а в некоторых случаях и распоряжение информацией субъектом, не имеющим на это законного права. Это наиболее часто встречающийся класс простейших преступных деяний, к которым относятся, как правило, без должного внимания. Примером данного вида деяний является ознакомление служащего банка с записью в базе данных о размере вклада того или иного клиента, его адресе, видах сделок и т. п. Результаты данного действия могут быть записаны на машинный носитель информации (магнитный или лазерный диск, магнитную ленту и т. п.), бумагу или просто остаться в памяти человека.

Неправомерное завладение информацией как товаром (незаконное копирование информации как товара). Это наиболее распространенный вид преступных деяний, который заключается в копировании программ или целой информационной системы (банка данных, электронного архива и т. п.) без согласия (разрешения) владельца или собственника. Еще более усложнилась задача защиты авторских прав в условиях развития глобальных сетей. Если на физических носителях правонарушители создают и распространяют хотя и большое, но все же конечное количество контрафактных экземпляров, то с публикацией в Интернет информация сразу становится доступной миллионам потребителей. Затруднено и установление фактических обстоятельств дела – субъектов, места совершения преступления, – информация может быть размещена нарушителем на сервере, находящемся на территории другого государства.

Неправомерное завладение информацией как идеей, алгоритмом (методом преобразования информации). Данный вид преступления заключается в ознакомлении с использующимся методом расчета каких-либо оценок, алгоритмом принятия решений в экспертной системе или другой автоматизированной системе принятия решений. Примером такого деяния может быть ознакомление с методом расчета вероятности преодоления противоракетной обороны средствами воздушно-космического нападения вероятного противника, ознакомление с использующимся типом (механизмом) системы защиты информации в электронной системе платежей банка.

Неправомерная модификация информации как товара. Данный вид деятельности, так же как и неправомерное завладение информацией как товаром, получил большое распространение в России, однако ни в уголовном, ни в административно-правовом порядке ненаказуем. Многие фирмы-производители программного обеспечения, стараясь защитить себя от компьютерного пиратства, разрабатывают и используют различные методы защиты от копирования и анализа своих разработок. Однако экономические условия, а также принципиальная невозможность создания абсолютных средств защиты информации приводят к тому, что в программное обеспечение или базу данных, полученную однажды законным (или «полузаконным» путем), вносится модификация, позволяющая делать неограниченное количество копий и использовать полезные свойства информации как товара без каких-либо ограничений (временных или по числу раз запуска), наложенных разработчиком.

Неправомерная модификация информации как идеи. Данный вид преступного деяния встречается гораздо реже и заключается не только в получении какого-либо программного обеспечения, но и его обязательный предварительный анализ. Примером такого рода действий могут служить широко известные случаи преступления в банковской сфере, когда в алгоритмы выполнения действий с записями на счетах, взимания процентов вносились незапланированные модификации, при которых с каждой операции на заранее подготовленный счет делались отчисления. Практически все известные на сегодняшний день преступления такого рода совершены разработчиками программного обеспечения и чаще всего теми же, которые его эксплуатируют.

Неправомерная модификация информации как совокупности фактов. Данный вид преступлений широкое распространение получил в автоматизированных банковских системах, так как именно в них записи в полях баз данных отражают определенные денежные суммы или другие сведения, которые имеют конкретное денежное или иное экономическое выражение.

Разработка и распространение компьютерных вирусов. Этот вид деяний является очень распространенным в настоящее время и может соперничать по количеству зарегистрированных фактов только с неправомерным завладением информацией как товаром.

Преступная халатность при разработке программного обеспечения, алгоритма в нарушение установленных технических норм и правил. Развитие вычислительной техники и информатики привело к тому, что автоматизированные системы управления находят свое применение практически во всех отраслях техники и экономики. Не являются исключением и вооружение, объекты атомной энергетики, непрерывные химические производства, системы управления воздушным движением, а также другие объекты, аварии и неисправности которых могут причинить огромный ущерб и непоправимые последствия. В связи с этим разработаны стандарты, инструкции и рекомендации, определяющие порядок разработки, испытания, эксплуатации и сопровождения программных средств критического приложения. Таким образом, здесь под составом преступления следует понимать нарушение этих установленных правил, которые повлекли за собой тяжкие последствия.

Неправомерное использование ресурсов автоматизированных систем. Развитие вычислительной техники, появление сетей привело к возможности их коллективного использования различными субъектами. При этом потребители запрашивают и оплачивают определенный вычислительный или временной ресурс. Под составом преступного деяния здесь следует понимать скрытый неправомерный захват вычислительного ресурса коллективного пользования каким-либо субъектом с намерениями минимизации либо полного исключения своих затрат за время его использования.

Информационное подавление узлов телекоммуникационных систем. Появление доступных информационных систем коллективного пользования, построенных на основе стандартных телефонных каналов взаимосвязанной системы связи России, позволило решать задачи информационного обеспечения самых широких кругов потребителей. В частности, с использованием этой информационной технологии разрабатывались системы электронных торгов на биржах, передачи ценовой информации, проведения электронных платежей. Большую роль в этом играет оперативность получения информации с использованием систем такого рода. Преднамеренная чрезмерная загрузка коммутирующих узлов делает оперативное получение информации невозможным.

 

2.4. Защита информационных систем

Средства защиты в автоматизированных системах обработки данных:

1. Пароли.

2. Голос человека.

3. Отпечатки пальцев.

4. Геометрия рук.

5. Рисунок сетчатки глаза.

6. Личная подпись человека. Идентифицируемые характеристики – графика написания букв, динамика подписи, давление пишущего инструмента.

7. Фотография человека.

8. Персональные карточки, содержащие идентифицирующую информацию.

Защита компьютерных систем подразделяется на: законодательные (правовые), административные (организационные), процедурные и программно-технические.

К законодательным мерам защиты относятся действующие в стране нормативно-правовые акты, регламентирующие правила обращения с информацией, закрепляющие права и обязанности участников информационных отношений в процессе ее обработки и использования, а также устанавливающие ответственность за нарушения этих правил. Важное значение имеют стандарты «Оранжевая книга», рекомендации X.800 и «Общие критерии оценки безопасности информационных технологий» (Common Criteria for IT Security Evaluation).

Осенью 2006 г. в России был принят национальный стандарт ГОСТ Р ИСО/МЭК 17799-2005 «Информационная технология – Практические правила управления информационной безопасностью», соответствующий международному стандарту ИСО 17799. Стандарт представляет собой перечень мер, необходимых для обеспечения информационной безопасности организации, включая действия по созданию и внедрению системы управления информационной безопасности, которая строится таким же образом и на тех же принципах, что и система менеджмента качества, и совместима с ней.

Административные меры защиты — меры организационного характера, регламентирующие процессы функционирования автоматизированных ИС, деятельность персонала, а также порядок взаимодействия пользователей с системой таким образом, чтобы в наибольшей степени затруднить или исключить возможность реализации угроз безопасности. Они включают:

1. Подбор и подготовку персонала системы.

2. Организацию охраны и пропускного режима.

3. Организацию учета, хранения, использования и уничтожения документов и носителей с информацией.

4. Распределение реквизитов разграничения доступа (паролей, ключей шифрования и т. д.).

В составе административных мер защиты важную роль играет формирование программы работ в области информационной безопасности и обеспечение ее выполнения (для этого необходимо выделять необходимые ресурсы и контролировать состояние дел). Основой программы является политика безопасности организации — совокупность руководящих принципов, правил, процедур и практических приемов в области безопасности, которыми руководствуется организация в своей деятельности. Разработка политики безопасности включает определение следующих основных моментов:

1) какие данные и насколько серьезно необходимо защищать;

2) кто и какой ущерб может нанести организации в информационном аспекте;

3) основные риски и способы их уменьшения до приемлемой величины.

Политику безопасности условно делят на три уровня: верхний, средний и нижний.

К верхнему уровню относятся решения, затрагивающие организацию в целом (как правило, носят общий характер и исходят от руководства). Например, цели организации в области информационной безопасности, программа работ в области информационной безопасности (с назначением ответственных за ее реализацию).

К среднему уровню относятся вопросы, касающиеся отдельных аспектов информационной безопасности, но важные для различных систем, эксплуатируемых организацией (например, использование на работе персональных ноутбуков, установка непроверенного программного обеспечения, работа с Интернетом и т. д.).

Политика безопасности нижнего уровня касается конкретных сервисов и должна быть наиболее детальной. Часто правила достижения целей политики безопасности нижнего уровня заложены в эти сервисы на уровне реализации.

Меры процедурного уровня — отдельные мероприятия, выполняемые на протяжении всего жизненного цикла автоматизированных ИС. Они ориентированы на людей (а не на технические средства) и подразделяются на:

1) управление персоналом;

2) физическая защита;

3) поддержание работоспособности;

4) реагирование на нарушения режима безопасности;

5) планирование восстановительных работ. Программно-технические меры защиты основаны на использовании специальных аппаратных средств и программного обеспечения, входящих в состав автоматизированных ИС и выполняющих функции защиты: шифрование, аутентификацию, разграничение доступа к ресурсам, регистрацию событий, поиск и удаление вирусов и т. д.

Парольная защита

Роль парольной защиты в обеспечении безопасности автоматизированных ИС. Криптографические методы, в частности шифрование, хорошо обеспечивают защиту информации (конфиденциальности, целостности, аутентичности и т. д.) от внешнего нарушителя. Такой нарушитель, возможно, может перехватывать сообщения, передающиеся по каналу связи, а в некоторых случаях модифицировать их и даже вставлять в сеанс связи собственные сообщения (зачастую стараясь выдать их за сообщения другого источника). Однако информация в канале связи предварительно подвергается криптографическим преобразованиям и передается в соответствии с криптографическими протоколами, специально разработанными для того, чтобы помешать нарушителю реализовать угрозы безопасности. Для того чтобы нарушить безопасность информации, циркулирующей в системе, ему необходимо найти уязвимость в системе защиты, либо в использованных в ней криптографических алгоритмах. Аналогичные трудности встают перед нарушителем, получившим доступ к защищенной автоматизированной ИС в качестве пользователя, не обладающего привилегиями, необходимыми для доступа к интересующим его данным.

Однако ситуация меняется, если нарушитель получает доступ в систему от имени пользователя, уполномоченного выполнять операции с интересующими его данными (например, копирование конфиденциальных файлов, уничтожение критически важных данных и т. д.). В этом случае вся криптографическая защита оказывается бесполезной. Таким образом – самое уязвимое место автоматизированной информационной системы – точки доступа к ней. Эти точки доступа защищаются протоколами аутентификации (проверки подлинности пользователя). А самая удобная для пользователя и наиболее используемая форма аутентификации – парольная защита.

Существует ряд стандартных приемов, применяемых злоумышленниками с целью обойти парольную защиту. Для каждого из этих приемов выработан механизм противодействия.

Способы атаки на пароль. обеспечение безопасности пароля.

Существуют следующие приемы обхода парольной защиты и методы противодействия им.

1. Полный перебор (метод грубой силы, bruteforce). Самая простая (с технической точки зрения) атака на пароль – перебор всех комбинаций допустимых символов (начиная от односимвольных паролей). Современные вычислительные мощности позволяют перебрать все пароли длиной до пяти-шести символов за несколько секунд.

Некоторые системы не позволяют реализовать атаки, основанные на переборе, поскольку реагируют на несколько попыток неправильно набранного пароля подряд.

Однако существует множество систем, позволяющих бесконечный перебор. Например, к защищенному паролем файлу (архив rar или zip, документ Microsoft Office и т. д.) можно пробовать разные пароли бесконечно. Существует множество программ, которые позволяют автоматизировать эту процедуру: Advan ced RAR Password Recovery, Advan ced PDF Password Recovery, Advan ced Office XP Password Recovery. Кроме того, многие программы хранят хэш пароля в доступном файле. Например, клиент для работы с электронной почтой (работающий на общедоступном компьютере) может хранить пароли пользователей. Существуют способы похитить файл, содержащий хэши паролей доступа к операционной системе. После этого можно заниматься подбором паролей уже в обход системы, с помощью специальных программ.

Важной характеристикой пароля, затрудняющей полный перебор, является его длина. Современный пароль должен иметь длину не менее 12 символов.

Два лишних символа в пароле увеличивают время перебора в 40 000 раз, а четыре символа – уже в 1 600 000 000 раз. Однако вычислительные мощности компьютеров постоянно растут (еще несколько лет назад безопасным считался пароль длиной 8 символов).

2. Перебор в ограниченном диапазоне. Известно, что многие пользователи, составляя пароль, используют символы, находящиеся в определенном диапазоне. Например, пароль, состоящий только из русских букв или только из латинских букв или только из цифр. Такой пароль значительно легче запомнить, однако задача противника, осуществляющего перебор, неимоверно упрощается.

Пусть N = 70 – количество символов, из которых можно составить пароль, причем 10 из них – цифры, 30 – буквы одного языка и 30 – буквы другого языка. Пусть мы составляем пароль длиной m = 4 символа.

Если пароль составляется абсолютно случайно, то количество возможных комбинаций (которые необходимо перебрать) составляет 704 = 24 010 000. Однако противник может сделать предположение, что пароль состоит из символов одного диапазона (пусть даже, неизвестно, какого). Всего таких паролей 104 + 304 + 304 = 10 000 + 810 000 + 810 000 = = 163 000. Если он оказался прав, то количество комбинаций (а следовательно, время, которое необходимо затратить на перебор) уменьшилось в 147 раз. Это число резко возрастает, когда увеличивается длина пароля и число диапазонов символов, из которых он может быть составлен.

Как следствие, надежный пароль должен содержать в себе символы из различных диапазонов. Рекомендуется использовать русские и английские, прописные и строчные буквы, цифры, а также прочие символы (знаки препинания, подчеркивание и т. д.).

3. Атака по словарю. В качестве пароля очень часто выбирается какое-то слово. Программа автоматического перебора паролей проверяет слова, содержащиеся в заданном файле со словарем (существует огромное количество доступных словарей такого рода для разных языков). Словарь из двухсот тысяч слов проверяется такой программой за несколько секунд.

Многие пользователи считают, что если применить к задуманному слову некоторое простое преобразование, например, написать его задом наперед или русскими буквами в английской раскладке или намеренно сделать ошибку, то это обеспечит безопасность. На самом деле, по сравнению с подбором случайного пароля подбор пароля по словарю с применением различных преобразований (сделать первую букву заглавной, сделать все буквы заглавными, объединить два слова и т. д.) делает невыполнимую задачу вполне возможной.

Надежный пароль не должен строиться на основе слов естественного языка.

4. Атака по персональному словарю. Если атака по словарю и перебор паролей небольшой длины либо составленных из символов одной группы не помогает, злоумышленник может воспользоваться тем фактом, что для облегчения запоминания многие пользователи выбирают в качестве пароля личные данные (номер сотового телефона, дату рождения, записанную наоборот, кличку собаки и т. д.).

В том случае, если цель злоумышленника – обойти парольную защиту именно этого пользователя, он может составить для него персональный словарь личных данных, после чего использовать программу автоматического перебора паролей, которая будет генерировать пароли на основе этого словаря.

Надежный пароль должен быть полностью бессмысленным.

5. Сбор паролей, хранящихся в общедоступных местах. Во многих организациях пароли создает и распределяет системный администратор, который использует приведенные выше правила. Пользователи обязаны пользоваться выданным им паролем. Однако, поскольку этот пароль сложно запомнить, он часто хранится под рукой в записанном виде. Нередки случаи, когда пароль записывается на стикер и приклеивается к монитору, либо содержится в записной книжке.

Пользователи зачастую несерьезно относятся к вопросам обеспечения безопасности своего служебного пароля. Между тем, проникнуть в помещение организации и провести визуальный осмотр – достаточно простая задача для злоумышленника.

Пароль не должен храниться в общедоступном месте. Идеальный вариант – запомнить его и не хранить нигде. Если пароль содержится в записной книжке, она не должна оставляться без присмотра, а при вводе пароля не должно присутствовать посторонних, которые могут заглянуть в книжку через плечо.

6. Социальный инжиниринг. Социальный инжиниринг – манипулирование людьми с целью проникновения в защищенные системы пользователя или организации. Если подобрать или украсть пароль не удается, можно попытаться обманом заставить пользователя отдать пароль самому. Классическая тактика социального инжиниринга – телефонный звонок жертве от имени того, кто имеет право знать запрашиваемую информацию. Например, злоумышленник может представиться системным администратором и попросить сообщить пароль (или другие сведения) под убедительным предлогом. Склонение пользователя к открытию ссылки или вложения, которые открывать не следует или заманивание его на подставной сайт также относят к методам социального инжиниринга.

Необходимо помнить правило: сообщать пароль посторонним лицам ни в коем случае нельзя. Даже если эти лица имеют право его знать. Единственным исключением может являться требование суда или правоохранительных органов выдать пароль под угрозой ответственности за отказ от дачи показаний. Но и в этом случае необходимо убедиться, что сотрудники правоохранительных органов – именно те, за кого они себя выдают.

7. Фишинг. Фишинг – это процедура «выуживания» паролей случайных пользователей Интернета. Обычно заключается в создании «подставных» сайтов, которые обманом вынуждают пользователя ввести свой пароль.

Например, чтобы получить пароль к банковскому счету, может быть создан сайт с дизайном, идентичным сайту некоторого банка. Адрес этого сайта, естественно, будет другим, но чаще всего злоумышленник регистрирует доменное имя, отличающееся от банковского на один символ. В результате пользователь, сделав опечатку, попадет на подставной сайт и не заметит своей ошибки. Для заманивания пользователей клиентам банка могут также рассылаться электронные письма с содержанием типа «проверьте свой счет» или «ознакомьтесь с новыми акциями», причем в письме содержится ссылка, ведущая на подставной сайт.

Когда клиенты банка попадают на сайт злоумышленника, им (как и на настоящем сайте) предлагается ввести логин и пароль для доступа к счету. Эта информация сохраняется в базе данных злоумышленника, после чего клиент перенаправляется на главную страницу настоящего сайта. Пользователь видит, что ввод пароля «не сработал» и думает, что совершил ошибку или сайт просто «глючит». Он пробует ввести пароль заново и на этот раз успешно входит в систему. Это рассеивает его подозрения. Между тем утечка пароля уже произошла.

Другая разновидность фишинга основана на том факте, что многие пользователи используют один и тот же пароль для разных ресурсов. В результате, произведя успешную атаку на менее защищенный ресурс, можно получить доступ к более защищенному.

Например, создается сайт, потенциально интересный некоторому кругу пользователей. Если цель атаки – конкретный человек, то предварительно изучаются его интересы и увлечения. Информация об этом сайте доносится до потенциальных жертв. Пользователю, зашедшему на сайт, предлагается зарегистрироваться, в частности придумать себе пароль. Теперь остается только посмотреть, не подходит ли введенный пароль к другим ресурсам этого пользователя (например, к электронной почте, адрес которой был указан при регистрации).

Чтобы противостоять угрозе фишинга, необходимо внимательно проверять адрес сайта, прежде чем вводить важный пароль. Лучше всего поместить этот адрес в закладки браузера и пользоваться исключительно этими закладками, ни в коем случае не переходя по ссылкам из электронных писем. Следует пользоваться разными паролями для доступа к разным сервисам.

Соблюдение всех семи перечисленных выше рекомендаций достаточно сложно. Трудно запомнить несколько надежных (длинных и бессмысленных) паролей, а вероятность забыть пароль выше вероятности подвергнуться взлому. Однако существует ряд средств, облегчающих эту задачу, в частности программы для хранения паролей.

В программе KeePass Portable все пароли хранятся в зашифрованном файле, для доступа к которому необходимо ввести пароль (единственный, который придется по-настоящему запомнить). При этом программа не отображает эти пароли на экране в явном виде. Чтобы ввести пароль для доступа к ресурсу (например, определенному сайту или электронной почте), необходимо выбрать ресурс из списка и выбрать в контекстном меню команду Copy Password To Clipboard. Пароль будет помещен в буфер обмена. Даже внимательно отслеживая действия пользователя, противник не увидит пароля, который не набирается на клавиатуре и не появляется в явном виде на экране. Далее необходимо просто перейти в окно программы, требующей пароль, и поместить его из буфера обмена в поле для ввода (нажатием Ctrl + V или командой Вставить контекстного меню). Пароль сразу будет отображаться в виде звездочек. Спустя несколько секунд он будет автоматически удален из буфера. Программа позволяет также генерировать случайные пароли заданной длины, причем пользователь может даже не знать, какой пароль создала ему программа – важно, чтобы она предоставляла этот пароль каждый раз, когда необходимо авторизоваться. Наконец, KeePass Portable не требует установки в системе: программа может переноситься на флешносителе и запускаться непосредственно с него.

Средства защиты сети

Если локальная сеть организации или персональный компьютер пользователя имеют выход в сеть Интернет, количество угроз безопасности увеличивается в десятки раз по сравнению с изолированной сетью или компьютером. Сетевые вирусы, попытки проникновения в систему извне (используя подобранный или украденный пароль, уязвимости программного обеспечения и т. д.), перехват и подмена данных, передаваемых в сеть или получаемых из сети – это перечень наиболее распространенных угроз.

Существует ряд средств, методов и технологий защиты информации, учитывающих специфику сетевых атак. К ним, в частности, относятся межсетевые экраны (брандмауэры), виртуальные частные сети (VPN) и системы обнаружения вторжений.

Межсетевые экраны

Межсетевой экран (брандмауэр, файрвол) – комплекс аппаратных и/или программных средств, осуществляющий контроль и фильтрацию проходящих через него сетевых пакетов на различных уровнях модели OSI в соответствии с заданными правилами.

Межсетевой экран обладает несколькими интерфейсами, по одному на каждую из сетей, к которым он подключен. Набор правил политики определяет, каким образом трафик передается из одной сети в другую. Если в правиле отсутствует явное разрешение на пропуск трафика, межсетевой экран отклоняет или аннулирует пакеты.

Межсетевой экран может выступать в роли proxy-сервера. Proxy-сервер – это программа или узел сети, играющий роль посредника между внутренней сетью организации и внешней сетью (например,

Интернет). В этом случае он может также скрывать внутренние адреса компьютеров организации. Эта функция называется трансляцией сетевых адресов (NAT – Network Address Translation). Когда какой-то узел внутренней сети хочет передавать информацию вовне, он отправляет ее proxy-серверу (одновременно являющемуся межсетевым экраном). Проверив передаваемые пакеты на соответствие политике фильтрации, межсетевой экран инициирует новое соединение и передает пакеты уже от своего имени. В результате скрывается схема внутренней адресации сети и тем самым существенно затрудняется ее анализ злоумышленником (с целью обнаружения уязвимостей).

Существует ряд классификаций межсетевых экранов по различным критериям:

1. В зависимости от охвата контролируемых потоков данных.

• Традиционный межсетевой экран – программа, установленная на шлюзе (сервере переедающем трафик между сетями) или аппаратное решение, контролирующие входящие и исходящие потоки данных между подключенными сетями. Основная задача такого брандмауэра – предотвращение несанкционированного доступа во внутреннюю сеть организации.

• Персональный межсетевой экран – программа, установленная на пользовательском компьютере и предназначенная для защиты от несанкционированного доступа только этого компьютера.

2. В зависимости от уровня модели OSI, на котором происходит контроль доступа.

• Работающие на сетевом уровне – фильтрация происходит на основе адресов отправителя и получателя пакетов, номеров портов транспортного уровня модели OSI и статических правил, заданных администратором.

• Работающие на сеансовом уровне – отслеживаются сеансы между приложениями и не пропускаются пакеты, нарушающие спецификации TCP/IP. Такие пакеты часто используются в злонамеренных операциях: сканировании ресурсов, взломах через неправильные реализации TCP/IP, обрыв/замедление соединений и т. д.

• Работающие на уровне приложений – фильтрация на основании анализа данных приложения, передаваемых внутри пакета. Передача потенциально опасной и нежелательной информации блокируется на основании политик и настроек.

3. В зависимости от отслеживания активных соединений.

• Stateless (простая фильтрация) – не отслеживают текущие соединения (например, TCP), а фильтруют поток данных исключительно на основе статических правил.

• Stateful (фильтрация с учетом контекста) – отслеживают текущие соединения и пропускают только такие пакеты, которые удовлетворяют логике и алгоритмам работы соответствующих протоколов и приложений.

Популярные брандмауэры, реализованные в виде прикладных программ.

1. Outpost Firewall Pro. Персональный брандмауэр, обладает следующими функциональными возможностями:

• предотвращение несанкционированного доступа к данным;

• сокрытие присутствия защищаемой системы в сети (таким образом она делается «невидимой» для взломщиков);

• анализ входящих почтовых сообщений и блокировка потенциально опасных;

• мониторинг и анализ сетевой активности системы;

• блокировка доступа к «запрещенным» сайтам.

2. Zone Alarm Pro. Брандмауэр с гибко настраиваемыми функциональными возможностями, включающими:

• фильтр приложений, позволяющий устанавливать права для каждой программы, используемой в сети;

• поддержку цифровой подписи;

• подробный лог-файл событий и средства для его анализа, с последующей выдачей текстовых и графических отчетов;

• настраиваемый контроль cookies;

• механизм мгновенной автоматической или ручной блокировки доступа приложений к Интернет;

• автоматическую проверку вложений электронной почты.

Виртуальные частные сети (VPN)

Виртуальная частная сеть (VPN) – логическая сеть, создаваемая поверх другой сети, чаще всего Интернет. Все данные, передающиеся между узлами этой сети, шифруются. Поэтому, хотя физически данные передаются по публичным сетям с использованием небезопасных протоколов, по сути, VPN представляет собой закрытые от посторонних каналы обмена информацией.

Канал между двумя узлами, защищенный за счет шифрования проходящего по нему трафика, называется туннелем.

Выделяют два основных класса VPN:

1. Защищенные. Наиболее распространенный вариант. C его помощью на основе ненадежной сети (как правило, Интернета) создается надежная и защищенная подсеть. Примером защищенных VPN являются: IPSec, OpeN VPN и PPTP (протокол тунеллирования от точки к точке).

2. Доверительные. Используются для создания виртуальной подсети в рамках другой, надежной и защищенной сети, т. е. задача обеспечения безопасности информации не ставится. К доверительным VPN относятся протоколы MPLS и L2TP.

По архитектуре технического решения выделяют следующие классы VPN:

1. Внутрикорпоративные. Предназначены для обеспечения защищенного взаимодействия между подразделениями внутри предприятия или между группой предприятий, объединенных корпоративными связями, включая выделенные линии.

2. VPN с удаленным доступом. Предназначены для обеспечения защищенного удаленного доступа мобильных или удаленных сотрудников компаний к корпоративным информационным ресурсам.

3. Межкорпоративные (extran et VPN). Обеспечивают прямой защищенный доступ из сети одной компании к сети другой компании (партнера, клиента и т. д.).

По способу технической реализации различают VPN на основе маршрутизаторов (задача шифрования трафика ложится на маршрутизаторы, через которые проходит вся исходящая из локальных сетей информация), на основе межсетевых экранов, на основе программного обеспечения и на основе специализированных аппаратных средств.

Рассмотрим набор протоколов IPSec, предназначенный для обеспечения защиты данных, передаваемых по протоколу IP. Он позволяет осуществлять подтверждение подлинности и шифрование IP-пакетов, а также включает протоколы для защищенного обмена ключами через Интернет.

Протоколы IPsec работают на сетевом уровне модели OSI. Они подразделяются на два класса: протоколы, отвечающие за защиту потока передаваемых пакетов (ESP, AH), и протоколы обмена ключами (IKE). Протоколы защиты передаваемого потока могут работать в двух режимах – в транспортном режиме и в режиме туннелирования. В транспортном режиме шифруется (или подписывается) только информативная часть IP-пакета, а заголовок не затрагивается (поэтому процедура маршрутизации не изменяется). В туннельном режиме IP-пакет шифруется целиком. Для того чтобы его можно было передать по сети, он помещается в другой IP-пакет. Именно этот режим используется для организации виртуальной частной сети.

Режим IPSec-тунеллирования работает следующим образом:

1. IP-пакет посылается на отправляющее IPSec-устройство (межсетевой экран или маршрутизатор), где он должен быть зашифрован и направлен в конечную систему по локальной сети.

2. Отправляющее IPSec-устройство проводит аутентификацию принимающего устройства.

3. Два IPSec-устройства «договариваются» о шифре и алгоритме аутентификации, которыми будут пользоваться.

4. Отправляющее IPSec-устройство шифрует IP-пакет с информацией и помещает его в другой пакет с AH (аутентифицирующим заголовком).

5. Пакет пересылается по сети (по протоколам TCP/IP).

6. Принимающее IPSec-устройство читает IP-пакет, проверяет его подлинность и извлекает зашифрованное вложение для расшифровки.

7. Принимающее устройство отправляет исходный пакет в пункт его назначения.

Системы обнаружения вторжений (IDS)

Система обнаружения вторжений (Intrusion Detection System – IDS) – программное или аппаратное средство, предназначенное для выявления фактов неавторизованного доступа в компьютерную систему или сеть либо несанкционированного управления ими (в основном через Интернет).

Системы обнаружения вторжений используются для обнаружения некоторых типов вредоносной активности, нарушающие безопасность системы или сети. К ним относятся сетевые атаки против уязвимых сервисов, атаки, направленные на повышение привилегий, неавторизованный доступ к важным файлам, а также действия вредоносного программного обеспечения (вирусов, «троянских коней»).

Структурно IDS состоит из следующих компонентов: 1. Сенсорная подсистема отслеживает события, которые могут затрагивать безопасность защищаемой системы.

2. Подсистема анализа выявляет среди этих событий те, которые представляют угрозу или нарушения безопасности (атаки, подозрительные действия). В пассивных IDS при обнаружении такого события информация о нем помещается в хранилище, после чего сигнал опасности по определенному каналу направляется администратору системы. Активные IDS (системы предотвращения вторжений) могут также предпринять ответные действия (например, прервать соединение или автоматически настроить межсетевой экран для блокирования трафика от злоумышленника).

3. Хранилище обеспечивает накопление и хранение данных сенсорной подсистемы и результатов их анализа.

4. Консоль управления используется для настройки IDS, наблюдения за состоянием защищаемой системы, просмотра выявленных подсистемой анализа инцидентов.

Разновидности современных систем обнаружения вторжений.

1. Системы обнаружения вторжений, защищающие сегмент сети. Развертываются на специализированном сервере, на котором не работают никакие другие приложения. Поэтому сервер может быть особенно надежно защищен от нападения. Кроме того, этот сервер может быть сделан «невидимым» для нападающего. Для защиты сети устанавливаются несколько таких серверов, которые анализируют сетевой трафик в различных сегментах сети. Несколько удачно расположенных систем могут контролировать большую сеть.

К недостаткам таких систем относят проблемы распознавания нападений в момент высокой загрузки сети, и неспособность анализировать степень проникновения. Система просто сообщает об инициированном нападении.

2. Системы обнаружения вторжений, защищающие отдельный сервер. Собирают и анализируют информацию о процессах, происходящих на конкретном сервере. Благодаря узкой направленности, могут проводить высоко детализированный анализ и точно определять, кто из пользователей выполняет злонамеренные действия. Некоторые IDS этого класса могут управлять группой серверов, подготавливая централизованные обобщающие отчеты о возможных нападениях. В отличие от предыдущих систем могут работать даже в сети, использующей шифрование данных, когда информация находится в открытом виде на сервере до ее отправки потребителю. Однако системы этого класса не способны контролировать ситуацию во всей сети, так как видят только пакеты, получаемые «своим» сервером. Снижается эффективность работы сервера вследствие использования его вычислительных ресурсов.

3. Системы обнаружения вторжений на основе защиты приложений. Контролируют события, проявляющиеся в пределах отдельного приложения. Знания о приложении, а также возможность анализировать его системный журнал и взаимодействовать с ним посредством API, позволяет таким системам контролировать деятельность пользователей, работающих с данным приложением, с очень высокой степенью детализации.

Аналогично антивирусным программам системы обнаружения вторжений используют два основных подхода к методам обнаружения подозрительной активности.

1. Подход на основе сигнатуры выявляет деятельность, которая соответствует предопределенному набору событий, уникально описывающему известное нападение. Эта методика чрезвычайно эффективна и является основным методом, используемым в коммерческих программах. Однако такая система обнаружения вторжений не может бороться с новыми видами нападений, а также с видоизмененными вариантами традиционных нападений, сигнатура которых незначительно отличается от имеющейся в базе.

2. Система обнаружения вторжений на основе аномалий обнаруживают нападения, идентифицируя необычное поведение на сервере или в сети. Они способны обнаруживать нападения, заранее не запрограммированные в них, но производят большое количество ложных срабатываний.

 

Контрольные вопросы к главе 2

1. Какие существуют виды атакующих средств информационного воздействия?

2. Дайте краткую характеристику перечням каналам несанкционированного получения информации.

3. Дайте развернутую характеристику КНПИ 1-го и 2-го классов.

4. Сформулируйте основные положения КНПИ 3-го и 4-го классов.

5. Назовите основные положения КНПИ 5-го и 6-го классов.

6. Охарактеризуйте специфику проблемы компьютерной преступности в РФ.

7. Какие основные способы НСД существуют?

8. Назовите группы технических каналов утечки информации и характеризуйте их.

9. Дайте подробную характеристику каналам утечки акустической информации.

10. Назовите основные классификации вирусов.

11. Дайте характеристику функциональным блокам вируса.

12. Какова структура, алгоритм работы файлового вируса?

13. Опишите функционирование макровируса и загрузочного вируса. 14. Назовите методы и средства борьбы с вирусами.

15. Каковы методы удаления последствий заражения вирусами?

16. Сформулируйте основные правила профилактики заражения вирусами компьютерных систем.

17. Назовите виды нарушений информационной системы.

18. Опишите кодификатор рабочей группы Интерпола.

19. В чем сущность классификации информационной безопасности, предложенная В.А. Мещеряковым?

20. Какие существуют средства защиты в автоматизированных системах обработки данных?

21. Дайте пояснения политики безопасности организации.

22. В чем сущность парольной защиты компьютерных систем?

23. Дайте характеристику защиты компьютерных сетей с использованием межсетевых экранов.

24. Назовите основные положения защиты компьютерных сетей с использованием виртуальных частных сетей (VPN).

25. Какие существуют системы обнаружения вторжений? Дайте им развернутую характеристику.