Соответствие стандартам информационной безопасности

Главная задача стандартов ИБ – создать основу для взаимодействия между производителями, потребителями и экспертами по квалификации продуктов информационных технологий.

Потребители заинтересованы в методике, позволяющие быстро выбирать необходимый продукт, для чего требуется шкала оценки безопасности и инструмент формулирования требований предприятия. Потребитель желает иметь максимальную степень защиты, но за безопасность необходимо платить. Требования безопасности противоречат обязательно-функциональным требованиям, накладывая ограничения на совместимость и как правило вынуждая отказаться от широко распространенных и не защищенных программных средств.

Предприятие нуждается в стандартах как средстве сравнения продуктов, процедуры верификации, как механизмов объективной оценки их свойств, а также в стандартизации определенного набора требований безопасности. С точки зрения производителя, требования должны быть максимально конкретными и регламентировать необходимость применения тех, или иных средств, механизмов, алгоритмов и т.д. Требования не должны противоречить существующим правилам обработки информации и технологиям создания информационных продуктов.

Эксперты по квалификации и специалисты по сертификации рассматривают стандарты как инструмент, позволяющий оценить уровень безопасности, обеспечиваемый продуктами информационных технологий, и предоставить потребителям возможность сделать объективный выбор. Предприятие в результате квалификации уровня безопасности получают объективную оценку уровней своего продукта. Эксперты по квалификации находятся в двойственном положении: с одной стороны они как и предприятие заинтересованы в четких простых критериях применения к конкретному продукту, а с другой стороны они должны дать объективный ответ пользователям – удовлетворит ли продукт их требованиям.

Типичные приемы атак на локальные и удаленные компьютерные системы.

1. Сканирование файловой системы. Злоумышленник пытается просматривать файловую систему и прочесть, скопировать или удалить файлы. Если доступ к файлу закрыт, сканирование продолжается. Если объем файловой системы велик, то рано или поздно обнаружится хотя бы одна ошибка администратора. Такая атака проводится с помощью специальной программы, которая выполняет эти действия в автоматическом режиме.

2. Кража ключевой информации. Пароль может быть подсмотрен по движению рук на клавиатуре или снят видеокамерой. Некоторые программы входа в КС удаленного сервера допускают набор пароля в командной строке, где пароль отображается на экране, а иногда для ввода используются пакетные файлы для упрощения входа в ОС. Кража такого файла компрометирует пароль. Известны случаи, когда для кражи пароля использовался съем отпечатков пальцев пользователя с клавиатуры. Кража внешнего носителя с ключевой информацией: диски или Touch Memory.

3. Сборка мусора. Информация, удаляемая пользователем, не удаляется физически, а только помечается к удалению и помещается в сборщик мусора. Если получить доступ к этой программе, можно получить и доступ к удаляемым файлам. Сборка мусора может осуществляться и из памяти. В этом случаи программа, запускаемая злоумышленником, выделяют себе всю допустимо возможную память и читает из нее информацию, выделяя заранее определенные ключевые слова.

4. Превышение полномочий. Используя ошибки в системном программном обеспечении и/или политики безопасности, пользователь пытается получить полномочия, превышающие те, которые были ему выделены. Это воздействие может быть также результатом входа в систему под именем другого пользователя или заменой динамической библиотекой, которая отвечает за выполнение функций идентификации пользователя.

5. Программные закладки. Программы, выполняющие хотя бы одно из следующих действий:

• Внесение произвольных искажений в коды программ, находящихся в оперативной памяти (программная закладка первого типа);

• Перенос фрагментов информации из одних областей оперативной или внешней памяти в другие (программная закладка второго типа);

• Искажение информации выводимой другими программами на внешние устройства или каналы связи (программная закладка третьего типа).

6. Жадные программы. Программы, преднамеренно захватывающие значительную часть ресурсов КС, в результате чего другие программы работают значительно медленнее или не работают вовсе. Часто запуск такой программы приводит к краху ОС.

7. Атаки на отказ в обслуживании (deny – of – service – DOS). Атаки DoS являются наиболее распространенными в компьютерных сетях и сводятся к выведению из строя объекта, а не к получению несанкционированного доступа. Они классифицируются по объекту воздействия:

• Перегрузка пропускной способности сети – автоматическая генерация, возможно из нескольких узлов, большого сетевого трафика, которое полностью занимает возможности данного узла;

• Перегрузка процессора – посылка вычислительных заданий или запросов, обработка которых превосходит вычислительные возможности процессора узла;

• Занятие возможных портов – соединяясь с портами сервисов узла, занимает все допустимое число соединений на данный порт.

Такие атаки могут быть обнаружены и устранены администратором путем выдачи запрета на прием пакетов от данного источника. Чтобы лишить администратора узла этой возможности, атака идет с множества узлов, на которые предварительно внедряется вирус. Вирус активизируется в определенное время, производя DoS – атаку. Этот тип атаки получил название DDoS (Distributed DoS).

8. Атаки маскировкой. Маскировка – общее название большого класса сетевых атак, в которых атакующий выдает себя за другого пользователя. Если существенные права получают процессы, инициируемые доверенными хостами (т.е. пакеты с адресом доверенного источника пропускаются без применения к ним ограничивающих правил), то достаточно указать доверенный адрес отправителя, и он будет пропущен.

9. Атаки на маршрутизацию. Для достижения узла – жертвы в таких атаках применяется изменение маршрута доставки пакета. Каждый путь может иметь свои права доступа, узел может по-разному реагировать на пакеты, поступившие различными путями. Поэтому интерес злоумышленника распространяется не только на сам атакуемый узел, но и на промежуточные пункты – маршрутизаторы.

10. Прослушивание сети (shiffing). Различают межсегментный и внутрисегментный сниффинг. В первом случае устройство подслушивания должно быть размещено у входа или выхода взаимодействующих узлов или у одного из транзитных узлов. Для защиты от прослушивание, в основном, используются средства шифрования. При внутрисегментном прослушивании в равноранговой сети с общей сетью (Ethernet), в качестве прослушивающего устройства может использоваться одна из КС сети. Для организации прослушивания необходимо, с помощью программы – сниффера, перевести режим Ethernet – карты в «неразборчивый режим»», когда карта принимает не только пакеты со своим сетевым адресом, но и все, проходящие по сети пакеты. Для борьбы со снифферами используются сниффер – детектор. Принцип его работы заключается в формировании пакета с некорректным сетевым адресом, который должен быть проигнорирован всеми узлами сети. Та КС, которая примет такой пакет, должна быть проверена на наличие сниффера.