1993 Году лишь незаконное использование кредитных карточек с

помощью компьютеров в сетях данных нанесло банкам ущерб в 864

миллиона долларов. Для того, чтобы обезопасить себя от преступных

действий, компьютерные сети применяют специальные меры защиты.

Проблема безопасности работы в сети начнет становиться еще более

важной, по мере того, как фирмы будут идти по пути уменьшения

размеров вычислительных систем, перенося свои прикладные задачи с

больших центральных компьютеров на сети рабочих станций. Эти

мощные системы еще более уязвимы, чем те сети, которые существуют

сейчас.

В этой главе приведены результаты анализа основных угроз

безопасности сетей в распределенных системах обработки

информации, основные объекты и направления атак, возможные каналы

проникновения и получения незаконного доступа к информации, а

также главные методы и средства защиты. Внимание будет

сосредоточено вокруг защиты наиболее распространенных в России

сетевых операционных систем, вроде Novell Netware 3.12, отмечены

их достоинства и недостатки. Уязвимые места и бреши в подсистеме

защиты будут кратко проанализированы и предложены меры по ее

совершенствованию, а также варианты реализации мер по обеспечению

безопасности, позволяющие перекрыть не только указанные, но и ряд

Других возможных сходных каналов проникновения в систему и

доступа к критической информации.

Проблемы безопасности сетей

Главных проблем безопасности в сети не так уж и много. Вот их

самый краткий, но вполне достаточный перечень:

=> Как предотвратить проникновение в сеть и ма-

нипуляции с данными?

=> Как предотвратить разглашение информации в

сети?

=> Какие места системы безопасности сети менее

всего устойчивы?

=> Какова модель предполагаемого нарушителя?

Проблема предотвращения несанкционированного доступа,

безусловно, самая важная, хотя не единственная. Ей посвящено чуть

не все содержание этой главы. Необходимо заметить:

администраторами сетей почти всегда правильно оценивается

значение программных средств контроля и криптографической

техники, но мало кто из них уделяет достаточное внимание

мониторингу работы пользователей. Большинство взломов систем

происходит из-за того, что администратору сети поручают

несвойственную ему дополнительную обязанность следить за строгим

соблюдением пользователями правил работы, которую в большинстве

случаев он выполнить не в состоянии. Поэтому в действительно

секретной сети кроме администратора нужен еще и офицер

безопасности, внимательно следящий за действиями пользователей и

непрерывно ведущий мониторинг.

Разглашение информации слишком часто встречается в практике

работы сетей потому, что люди постоянно находятся под прессом

обстоятельств и не всегда осознают последствия кажущихся им

мелкими действий. Но, скажите, какой толк вкладывать большие

деньги в шифрующие сетевые карты, если администратор, временами

уезжая на рыбалку, будет просить присмотреть за системой своего

друга из другой фирмы, передав ему эквивалент супервизора, или

пользователи будут уходить на обед, не выгрузившись из системы?

Основой противодействия разглашению информации должна служить

строгая регламентация всех действий пользователей и персонала,

обеспечиваемая главным образом административными, а уже потом

техническими и программными средствами. Наиболее надежной

является такая организация системы при которой пользователь

сознает ответственность за те или иные свои действия. Достаточно

указать ему, что, уйдя со станции, не выгрузившись, он будет

нести ту же самую ответственность, как если бы ушел, не заперев

сейф. В то же время программы обеспечения секретности должны

помочь ему не забывать про рутинные обязанности.

Нужно защищать все компоненты системы: оборудование,

программы, данные и персонал. Система защиты должна быть

многоуровневой и строиться по уровням секретности. Для надежной

защиты необходимо распределить функции между этими уровнями так,

чтобы осуществлялось необходимое дублирование функций защиты и

происходила компенсация недостатков одного уровня другим.

Криптографическая защита должна быть применена на всех верхних

уровнях, однако ее применение должно соответствовать

предполагаемым угрозам. Так как совокупные затраты на защиту

велики, то усиливать надо в первую очередь слабые ее элементы.

Как у цепочки прочность защиты определяется лишь самым слабым

звеном.

Что движет хакерами? Причины для хакерства могут быть

различные. Кроме иррационального поведения со стороны хакера,

имеются четыре основных повода: персональная месть, самореклама,

попытка вызвать разрушающий основы общества хаос или нажива. При

мести хакерство основано на социальном или персональном заказе

отмщения за реальную или воображаемую обиду. Некоторые лично

мотивированные случаи хакерства побуждены идеализмом - жертва

выбирается в этих случаях так, чтобы хакер был уверен, что ее

наказание даст абстрактную пользу людям. Разрушение сетей

правительственных и крупных коммерческих компаний чаще всего

относится к этому типу. Анархически настроенные молодые люди были

наиболее видными проводниками таких действий до последнего

времени, так как считали хакерство достойным ответом на

безнравственные законы и действия правительств. Другой тип

хакерства можно назвать пропагандистским, потому что он

преследует получение гласности для освещения специфической точки

зрения хакеров или для саморекламы. Действительно, приписка в

вирусе: "Sofia. Dark Adventure.", эквивалентна визитной карточке,

так как достаточно просмотреть файлы регистрации софийских BBS,

чтобы найти автора. Чисто политическое хакерство неизвестно, так

как оно вряд ли может вызывать значимые изменения политики и

больше смахивает на пропагандистский демарш (Примером тому может

служить вирус "производства КНР", призывающий заклеймить позором

убийц площади Тяньаньмынь. Хотя был случай уничтожения файлов

Пентагона с именами призывников на вьетнамскую войну, но это,

вроде бы. сделал не хакер, а системный администратор.) . А

хакерство ради наживы - это то, чем рано или поздно кончают

неудачники в личной или деловой сфере. Публикации сообщают, что

покинувшие Россию профессиональные программисты, не навдя работы,

нередко принимают предложения преступных группировок, которые

используют их как хакеров для грабежа банков. Эти "золотые

воротнички" практически неуловимы, так как обычная операция

хорошо планируется и длится всего несколько минут, а связь

ведется из номера отеля, снятого на вымышленное лицо.

Вопреки популярному изображению, хакеры не всегда молодые

мальчики. Социологи США нашли, что треть арестованных за

преступления хакеров были женщины, в то время, как лишь седьмая

часть, были до 21 года. Изучение показало также, что половина

хакеров имеет возраст между 25 и 30 годами. Ответчики по

компьютерным преступлениям вписываются в три категории: пираты,

хакеры и крекеры (взломщики). Пираты главным образом нарушают

авторское право, создавая незаконные версии программ и данных.

Хакеры получают неправомочный доступ к компьютерам других

пользователей и файлам в них. Однако они, как правило, не

повреждают и не копируют файлы, удовлетворяясь сознанием своей

власти над системами. Крекеры - наиболее серьезные нарушители.

Они позволяют себе все. Сотрудники служб компьютерной

безопасности и антихакеры делят всех нарушителей на четыре группы

по отношению к жертве:

* не знающие фирму посторонние;

* знающие фирму посторонние и бывшие сотруд-

ники;

* служащие непрограммисты;

* служащие программисты.

Не стоит недооценивать возможности непрофессионалов по

совершению компьютерных преступлений. Как метко написано в

руководстве для офицеров морской пехоты США о рядовых: "Они

невежественны, но очень сметливы". Нелояльные сотрудники, имеющие

доступ к компьютерам, играют главную роль в большинстве

финансовых преступлений. Это скорее организационная, чем

техническая проблема. Если хорошо отобранным наемным служащим

хорошо платят, мало вероятно, что они представят угрозу

безопасности. Технология может играть здесь лишь вспомогательную

роль. Статистика приводит очень печальные данные, утверждая, что

лишь четверть сотрудников банка вполне лояльна, четверть,

безусловно, настроена к фирме враждебно и не имеет моральных

ограничителей, лояльность же оставшейся половины зависит

исключительно от обстоятельств. Процедуры безопасности могут

обеспечивать проверку паролей и строгий контроль доступа к ценным

общим данным, но взломщика, хорошо знающего внутреннее устройство

системы, практически невозможно остановить.

Уровни безопасности сетевых систем

Достаточно детально удалось ознакомиться лишь с шестью

сетевыми операционными системами клиент-сервер, применяющихся на

машинах IBM PC в России: UNIX, NetWare, VINES, LAN Server, LAN

Manager и Windows NT. Конечно, такой выбор имеет сильное

ограничение, но нельзя объять необъятное и пришлось ограничиться

лишь наиболее динамично развивающимся направлением. Из этих

систем лишь VINES обладала встроенной системой шифрования данных

на сервере и была достаточно надежна к проникновению. Хотя

компании, продающие LAN Server и NetWare, заверяли в

существовании утилит шифрования данных на сервере, тем не менее,

этого автору своими глазами увидеть не удалось ни в этих фирмах,

ни где-то еще. Несколько больше дефектов по сравнению с другими

сетевыми ОС в безопасности системы можно обнаружить у NetWare,

хотя это явно связано с ее широкой популярностью и предельной

изученностью. Из многолетних поисков идеальной системы автор

сделал для себя вывод, что если какую-то систему долго и упорно

ругают, то это означает лишь, что жива еще курилка и неплохо себя

чувствует. Еще одно положительное свойство NetWare - передача

пароля со станции на сервер в хорошо зашифрованном виде, что

затрудняет его расшифровку при перехвате пакетов. Все указанные

системы способны обеспечить приемлемый уровень безопасности

данных при надлежащей эксплуатации.

Обычно безопасность компьютерных систем классифицируется в

соответствии с критериями Национального центра компьютерной

защиты США, названными "оранжевой книгой". Они позволяют

оценивать системы по относительному уровню безопасности и

определяют четыре уровня защиты А, В, С и D в порядке убывания

надежности. Так как фактически уровней безопасности больше, то

буквы модифицируются цифрами от 1 до 3. Например, классификация

А1 обозначает наиболее безопасные системы, С2 - достаточную

безопасность и D - минимальную. Опишем кратко свойства систем

разных уровней, рассматривая их сверху вниз.

Уровень А. Уровень А1 является высшим в защи-

те систем. Он отличается от уровня ВЗ лишь

надежным распределением и дополнительными

гарантиями безопасности.

Уровень В. Уровень В1 отличается от С2 тем, что

доступ к данным контролируется не только

правами передающего пользователя, но и при-

нимающего. То есть нельзя передать права на

доступ к данным лицу, которое не имеет на это

прав. В классе В1 реализуется стратегия защиты

данных и утилиты защиты четко отделены от

других программ. Уровень В2 улучшает защиту

уровня В1 тем, что пользуется математическим

описанием функций защиты и реализует пра-

вило наименьших привилегий, в соответствии с

которым для выполнения предоставленных поль-

зователю прав он должен обладать наимень-

шими возможными привилегиями наименьшее

возможное время. На этом уровне в защиту во-

влекаются все объекты системы и в первую

очередь аппаратные средства. Уровень ВЗ рас-

ширяет уровень В2 тем, что гарантии защиты

более строгие. Требуется выделенный админи-

стратор защиты системы, а также процедуры

восстановления после сбоя и оповещения ад-

министратора о нарушении защиты.

Уровень С. На уровне С1 система обеспечивает

так называемую дискреционную защиту. Это

означает, что все пользователи, совместно об-

рабатывая данные, имеют одинаковые права.

Это предупреждает неумышленную порчу дан-

ных друг друга, но не спасает от вторжения ха-

кера. В таких системах каждый пользователь

имеет свой пароль и может защищать свои

данные, определяя, кому он доверяет доступ к

ним. Считают, что простые UNIX системы

имеют уровень С1. На уровне С2 система не-

сколько строже, так как обеспечивает контро-

лируемый доступ. Это означает, что права дос-

тупа к данным могут быть переданы лишь от-

части: кому-то только чтение, а кому-то еще и

сетевыми. Важный элемент защиты таких сис-

тем - защита данных в памяти и на диске да-

же от подглядывания посторонними.

Уровень D. На уровне D к системе не предъявля-

ется специальных требований и может не про-

водиться сертификация. Таким образом, уровень

D - системы, не соответствующие более высо-

ким классам защиты, или незащищенные. К та-

ким системам относится, например, MS DOS.

Эта классификация иерархическая в том смысле, что системы

высоких уровней секретности обеспечены всеми механизмами защиты

более низких уровней. Хотя эта классификация используется в

основном для военных систем, она неизбежно распространяется и на

гражданские и коммерческие системы. Эта классификация уже была

применена к операционной системе UNIX, которая сейчас является

обязательной для большинства военных и правительственных проектов

в США. Есть еще ряд классификаций секретности, но они мало что

добавляют к уже сказанному.

Операционные системы для одноуровневых локальных сетей

абсолютно все от LANtastic и Personal NetWare до Windows for

Workgroup не отвечают даже намекам на безопасность. Более того,

даже целесообразность применения на них криптографической защиты

в виде NDisk из NU вызывает серьезное сомнение. Изрядное

потрясение автор испытал, когда увидел, как просто проникнуть на

чужой секретный диск в NWLite и пришел к грустному убеждению, что

нельзя такого рода секретные диски держать под одноранговой

сетью. Из этих систем особняком выделяется отечественный SECRET

DOS, называемый еще SDOS, который представляет собой комплекс

средств обеспечения безопасности компьютерных систем, построенных

на базе IBM PC и операционной системы MS-DOS. SDOS может

использоваться как на автономных компьютерах, так и на ЭВМ в

составе локальных вычислительных сетей. Эта система предназначена

для защиты информации от несанкционированного доступа и

противодействия попыткам нарушения нормального режима работы

вычислительной сиртемы. В целом она не дотягивает до уровня С1 и

имеет следующие отличительные особенности не только рекламного

характера:

частичная аппаратная поддержка механизма

идентификации;

неплохое разграничение доступа для поль-

зователей и групп;

автоматическое стирание остаточной ин-

формации;

малые требуемые ресурсы - около 4 кило-

байта RAM.

Применение SDOS под одноранговой сетью может существенно

усилить ее секретность, хотя, как и любое решение, не снимает

всех проблем. К несомненному достоинству SDOS можно отнести и то,

что пользователи охотно расстаются с ней, когда она разваливается

от сбоев и не требуют ее восстановления.

Следует отметить, что ряд фирм выпускает по-настоящему

секретные сетевые программно-аппаратные средства, великолепно

защищенные криптографически. Так, фирма Harris выпускает

защищенную локальную вычислительную сеть LAN/SX и программные

средства управления, формирующие защищенную вычислительную среду

SX для многопроцессорных ЭВМ NightHawk этой же фирмы. Цена

аппаратных и программных средств сетевого центра обеспечения

безопасности примерно $25000, контроллеров индивидуальной

криптографической защиты $5000, а программных средств $2500 за

рабочее место. Число чисто программных решений значительно

больше. Корпорация OpenVision продает продукт OpenVSecure на

основе технологии Kerberus, обеспечивающий защиту сетей, по цене

около $300 за станцию и $3000 за сервер. Фирма CyberSafe,

выделившаяся из широко известной компании Open Computing Security

Group, тоже на основе технологии Kerberus выпускает для широкого

спектра платформ систему Challenger по ценам от $100 для станций

и до $5000 для расширенных серверов. Компания Axent Technologies

продает системы защиты для разных платформ под общим названием

OmniGuard по ценам от $400 за станцию и до $4000 за сервер. За

действительно безопасную систему нужно выложить несколько сотен

тысяч долларов, поэтому неудивительно, что купившие их фирмы

обычно не могут свести концы с концами по завершению финансового

года.

Теперь на примере NetWare кратко опишем использование функций

обеспечения секретности. Защита информации в NetWare 3.11

организована по перекрывающимся уровням: файлы - директории -

пользователи - группы. Администратор может сгенерировать систему

защиты настолько сложной, насколько требуют конкретные условия.

Хотя вряд ли она способна превысить уровень С2 в стандартной

поставке, но и это очень неплохо. Очень важно, что конкретный

пользователь может быть ограничен в работе по времени, к

доступным ему рабочим станциям занимаемой дисковой памятью и

числом попыток регистрации. У автора из практики сложилось

мнение, что число попыток регистрации больше 2 вредно. Статистика

показывает, что в 97% случаях пользователи входят в систему с

первой же попытки набора пароля, в 2% со второй, а дальнейший

перенабор пароля мало чем помогает. В то же самое время

блокировать дальнейшие попытки набора. нужно на срок не менее

часа - обеденного перерыва. Для оставшегося 1% удобнее всего

предусмотреть эквиваленты для разового использования, выдавать их

разиням и уничтожать в конце дня, меняя пароль. NetWare 3.11

хороша также и тем, что разумно проверяет пароль пользователя,

защищая от ввода уже побывавшие в употреблении. Длина пароля

может быть установлена в зависимости от требований секретности.

Для повышенной секретности длина пароля не должна быть короче 12

символов, когда пользователь вынужден задавать пароли не словом,

а хотя бы фразой. Принципиально слабое место NetWare - атрибут,

запрещающий копирование файлов. Он не выдерживает даже такой

атаки, как применение DiskEdit из нортоновских утилит. Поэтому

нужно помнить, что любая информация, предоставляемая пользователю

лишь на просмотр, может быть им скопирована.

Несмотря на то, что безопасность систем обосновывается лишь

теоретически, но проверяется она только практически. Хотите

узнать, насколько прочно висит полка - просто потяните за нее. И

нет лучшего способа аттестации безопасности системы, чем

пригласить пару хакеров взломать ее, не уведомляя предварительно

персонал сети. Такая практика стала широко распространяться в

США, например, компанией Price Waterhouse. Штурм длится от 2 до 8

недель при солидном гонораре. Наемные хакеры в результате

предоставляют конфиденциальный доклад с оценкой уровня

доступности информации и рекомендациями по улучшению защиты.

Доказать безопасность системы таким приемом все же нельзя, но

хотя бы можно ее опровергнуть при явных просчетах, а это уже

немало.

Источники угроз в сетях

Еще в недавнем прошлом компьютеры были доступны только

большим организациям. Доступ к системам имели лишь небольшие

привилегированные группы экспертов, которым хорошо платили за их

лояльность. Самый тяжелый вид преступления, возможный в те дни,

был случайно брошенный взгляд на размер чужой зарплаты в файле

платежной ведомости. Проблемы коммерческой и личной безопасности

обсуждались редко. Но в последние годы сочетание роста мощности

компьютеров и вычислительных сетей, сделало компьютеры в сетях

уязвимыми.

Несомненно, что все беды возникают из-за несоответствия

требований к сети характеристикам самой сети. Дефекты

проектирования безопасности сети возрастают от быстро

изменяющегося характера коммуникаций компьютеров. Раньше

большинство компьютеров были изолированы друг от друга. Но когда

сети позволили компьютерам обмениваться информацией, то теперь

фактически все большие системы доступны из самых удаленных мест.

Разработчики сетей, стремящиеся поддержать безопасность, стоят

перед беспокоящим их парадоксом: открыто обсуждая дефекты сетей,

они делают потенциально более известными "дупла" в них

нарушителям и облегчают им несанкционированный доступ. Однако

замалчивание дыр в системах гораздо хуже, так как создает опасную

иллюзию благополучия.

Рассмотрим это на примере нашумевшей во всем мире программы

червя (Червь - вид вируса, который распространяется по линиям

коммуникаций, а не через дискеты.) Роберта Морриса, первокурсника

университета в Корнелле. Он хотел проверить возможность

копирования программ с компьютера на компьютер в сети Arpanet. От

ошибки алгоритма скорость размножения червя была гигантской, и

встало больше 6000 компьютеров в США. Неожиданностью для Морриса

было то, что червь поражал компьютеры военной секретной сети

Milnet, а он проводил с ним эксперимент в несекретной сети

Arpanet. Оказалось, что соединение этих сетей держалось в секрете

и стало полной неожиданностью для студента. Для того, чтобы

узнать - был ли компьютер уже заражен, Моррис проверял наличие на

нем червя. Если компьютер еще не был заражен, то червь копировал

себя в него. Однако Моррис рассудил, что эксперт легко может

предотвратить инфекцию, заведя пустой файл с именем червя. Чтобы

обойти это, Моррис решил с вероятностью 5% копировать червя в

новую машину независимо от ответа, а его программа из-за ошибки

делала это с вероятностью 95%. Когда же его червь попал в

высокоскоростную Milnet, то он стал размножаться катастрофически

быстро и машины встали.

Для систем под машины DEC и SUN этот инцидент доказал, что

безопасность сетей ими игнорировались, а рекламируемые надежность

и безопасность UNIX были фикцией. Эксперты этих фирм, которые до

того высокомерно объясняли неискушенным пользователям, почему их

системы безопасны, после случая с Моррисом стали давать подробные

интервью, почему это оказалось возможным. В программах UNIX

оказались "дупла". Пересылка почты используется, чтобы передать

сообщения по сети. Однако разработчик пересылки почты UNIX,

оставил в ней "черный вход", через который любая программа

пересылалась по почте подобно текстовому сообщению. Об этом

многие администраторы сетей знали, и Моррис элегантно использовал

это "дупло" для пересылки червя. Червь Морриса задействовал и

программу указателя, позволяющую узнать имя последнего

зарегистрированного пользователя на удаленной машине UNIX.

"Дупло" в указателе тоже было известно и позволяло влазить в

другие системы, если посылалось сообщение длиннее 512 байт. За

счет этих ошибок червь Морриса тоже получал доступ к другим

компьютерам. Третий дефект UNIX состоял в том, что список

пользователей не был зашифрован и, прочтя его на компьютере

жертвы, червь по именам пробовал подобрать пароли.

Теперь сделаем выводы. "Это был несчастный случай, лишь

ждущий своего часа, чтобы произойти. Мы заслужили его. Мы

нуждались в чем-нибудь вроде этого, чтобы заставить нас

задуматься, так как не уделяли достаточно внимания защите", - так

заявил Джеффри Гудфеллоу, эксперт по коммуникациям. Проблемы в

UNIX с возможностью несанкционированного доступа были известны

месяцы, если не годы, но администраторы сетей не информировались

о них и это оставило их системы беззащитными. Отметим, что хакеры

в Англии узнали о черве в Arpanet по крайней мере на 12 часов

прежде, чем средства массовой информации официально сообщили о

нем и, не надеясь на государственные службы, сами начали

патрулировать межсетевые шлюзы, чтобы давить червей. Они защитили

британские сети компьютеров от вторжения червя Морриса, хотя и не

дождались потом благодарности или подтверждения своей заслуги.

Таким образом, отсутствие гласности и отказ от шифрования, что бы

разом решило все проблемы, привели к этой знаменитой катастрофе.

Виды угроз и противодействие им

Угрозы компьютерам в сети по типам можно разделить на три

группы: нелояльность, вторжение и проникновение. Под

нелояльностью подразумеваются несанкционированные действия

легальных пользователей. Вторжение означает проникновение в

систему нелегала, укравшего или взломавшего пароль. Проникновение

же относится не к людям, а наносящим компьютеру вред программам:

червям, вирусам и троянским коням.

Самый распространенный тип угроз - нелояльность, которая

порой принимает катастрофические формы. Уволенные служащие иногда

пытаются разрушить систему и оборудование. Известен случай, когда

уволенный служащий в сердцах воткнул центральную жилу сетевого

кабеля в электрическую розетку, чем вывел из строя с полусотню

компьютеров. В другом происшествии из окна небоскреба в реку был

выброшен файловый сервер. Даже законопослушные в обычном смысле

пользователи часто нарушают правила работы в сетях. Это

выражается в неправомочном использовании чужого компьютера,

просмотре, копировании или модификации чужих файлов, а также

преднамеренном саботаже чужих программ или крушении системы.

Наиболее серьезный вид нелояльности можно ожидать от

программистов, чьи программы, установленные в защищенной системе

имеют, неописанные функции и режимы, так называемые "закладки",

или алгоритм работы которых не соответствует описанному в

документации. Многие читатели наслышаны о программистах, которые,

некорректно выполняя округление в банковских системах, пересылали

"сэкономленные" так средства на доступные им счета. В России, где

валютные расчеты в ведутся не в центах, а в долларах, такой прием

может быть применен преступниками даже в небольших банках с

несколькими тысячами валютных счетов. Этот вид нарушений очень

трудно выявить, разве что при детальном бухгалтерском анализе

вручную или с помощью независимой системы.

Однако в большинстве случаев действия нарушителей происходят

по формуле "хвать - бежать", то есть служащие банков и финансовых

компаний могут заняться и прямым воровством. Особенно это

характерно для "карманных" банков, где небольшое количество

счетов позволяет легко контролировать сведение баланса вручную.

Для предупреждения таких нарушений требуется сохранять сведения о

транзакциях на независимом носителе в виде копий системы и

оперативный семантический анализ данных о перемещении денег.

Приведем пример. Кассир семнадцати лет облапошил Вестминстерский

банк на миллион фунтов с помощью домашнего компьютера. После

того, как юноша по сети коммуникаций взломал систему банка, он