информационная безопасность / 14 / критич_тех / криттехн

На подготовку и проведение таких мероприятий в США в последние несколько лет ежегодно выделяется порядка 1,7 - 2,1 млрд. долларов. Общие же расходы США на реализацию концепции информационной войны на ближайшие 5 лет составят более 18 млрд. долларов. В частности, затраты АНБ США на мероприятия в области информационного противоборства за последний год увеличены почти в 40 раз, при этом до 30% средств было направлено на подготовку и проведение информационных операций применительно к зарубежным компьютерным системам.

Наиболее реальную угрозу как для отдельно развитых стран, так и для всего мирового сообщества представляет информационный терроризм. Определены различные приемы достижения террористических целей в информационном киберпространстве:

- нанесение ущерба отдельным физическим элементам киберпространства (разрушение сетей электропитания, наведение помех, использование специальных программ, стимулирующих разрушение аппаратных средств, биологические и химические средства разрушения элементной базы и др.);

- кража или уничтожение информационного, программного или технического ресурсов, имеющих общественную значимость путем преодоления систем защиты, внедрения вирусов, программных закладок и т.п.;

- воздействие на программное обеспечение или информацию с целью их искажения или модификации в информационных системах и системах управления;

- раскрытие и угроза опубликования или опубликование информации государственного значения о функционировании информационной инфраструктуры государства, общественно значимых и военных кодов шифрования, принципов работы систем шифрования, успешного опыта ведения информационного терроризма и др.;

- ложная угроза террористического акта в информационном киберпространстве, влекущая за собой серьезные экономические последствия;

- захват каналов СМИ с целью распространения дезинформации, слухов, демонстрации мощи террористической организации и объявления своих требований, уничтожение или активное подавление линий связи, неправильное адресование, искусственная перегрузка узлов коммутации и др.;

- воздействие на операторов, разработчиков, эксплуатационников информационных и телекоммуникационных систем путем насилия или угрозы насилия, шантаж, подкуп, введение наркотических средств, использование нейролингвистического программирования, гипноза, средств создания иллюзий, мультимедийных средств для ввода информации в подсознание или ухудшения здоровья человека и др.

Организованные преступные группировки, коммерческие структуры быстро оценили широкие возможности и преимущества специальных технических средств по добыванию конфиденциальной информации о деятельности как государственных структур, так и субъектов негосударственного сектора (бирж, банков, частных фирм и т.п.)

Ежедневно ФБР расследует порядка 1000 случаев незаконного изъятия коммерческой информации из американских компьютерных сетей. В конце 1999 года был опубликован очередной, четвертый по счету, годовой отчет "Компьютерная преступность и безопасность-1999; проблемы и тенденции" ("Issue and Trends: 1999 CSI/FBI Computer Crime and Security Survey"), подготовленный Институтом компьютерной безопасности (Computer Security Institute, CSI) во взаимодействии с отделением ФБР по Сан-Франциско (см. [8]). В отчете констатируется резкий рост числа обращений в правоохранительные органы по поводу компьютерных преступлений (32% из числа опрошенных). 30% респондентов сообщили о том, что их информационные системы были взломаны внешними злоумышленниками. Атакам через Интернет подверглись 57% опрошенных. 55% отметили нарушения со стороны собственных сотрудников.

Беспрецедентная массированная хакерская атака, обрушившаяся на американский сегмент сети Интернет в период с 7 по 10 февраля 2000 г. и приведшая к взлому нескольких самых известных сайтов США (поисковая система Yahoo, наиболее посещаемые сайты Buy.com, Amazon.com, CNN.com и т.д.), вызвали большое беспокойство американских правоохранительных органов и структур безопасности. В подготовленном в апреле 2000 года сформированной министерством обороны и разведсообществом США группой консультантов докладе высказаны рекомендации о дополнительном привлечении в ближайшие 5 лет порядка 3 млрд. долларов США на проведение работ по усилению защиты национальной телекоммуникационной и компьютерной структуры. В докладе содержится предупреждение о потенциальной угрозе, охарактеризованной как "электронный Пирл-Харбор", в связи с чем рекомендуется принять дополнительные меры защиты от проникновения хакеров в наиболее значимые для Соединенных Штатов информационно-вычислительные сети как в государственном, так и в частном секторах. По поводу степени защищенности таких сетей в докладе говорится, что эффективность мер, направленных на усиление безопасности электронных систем обработки и передачи данных, нередко снижается из-за недостаточно четкого определения принципов и целей работ, некорректного разграничения сфер компетенции, полномочий и ответственности, а также из-за нескоординированности действий различных ведомств. Оценивая уровень безопасности информационных систем с позиции внутренних и внешних угроз, консультанты отмечают необходимость особого подхода к борьбе с угрозами безопасности, исходящими от персонала, который имеет доступ к узловым элементам инфраструктуры.

Сегодня с уверенностью можно сказать, что данный «бизнес» по уровню прибыльности выходит на лидирующие позиции. По официальным оценкам международных организаций общий ущерб от мошенничества в сфере телекоммуникаций в мире оценивается в 13 млрд. долларов США. Только от незаконного подключения к сетям сотовой связи в прошлом году ущерб составил в развитых Европейских странах около 150 млн. долларов США, в США - 600 млн. долларов США.

Уязвимость России в отношении применения средств информационного противоборства определяется тем, что в процессе формирования ее информационной инфраструктуры проявились угрозы информационной безопасности России, связанные со следующими факторами:

- использованием для создания информационных систем преимущественно импортных программно-аппаратных средств, что не исключает вероятности внедрения в них скрытых возможностей, реализующих методы информационной войны;

- внедрением разнотипного оборудования и неоднородной программной среды, что значительно затрудняет принятие мер по обеспечению защиты информации и приводит к неоправданным расходам;

- переходом системы управления рядом отдельных информационно-телекоммуникационных систем в ведение иностранных компаний за счет технологии их построения или получения этими компаниями контрольных пакетов акций соответствующих предприятий связи;

- использованием в ряде случаев несертифицированных отечественных и импортных средств защиты информации.

Необходимость создания системы мониторинга угроз компьютерного нападения на информационно-телекоммуникационные системы подтверждается и международным опытом. Так, в 1998 году в США был сделан вывод о необходимости скорейшего создания в стране системы раннего выявления и предупреждения об интенсивных приготовлениях к информационному нападению. Данная система, по результатам анализа собираемых данных о работоспособности и попытках деструктивного воздействия на основные информационно управляющие и коммуникационные системы США, должна по совокупности установленных признаков определять на самой ранней стадии момент начала массированного применения электронных программных средств на основные элементы информационной инфраструктуры США и подавать сигналы тревоги, по которым приводятся в действие более "жесткие" меры защиты, вплоть до отключения американских информационных систем от внешнего мира.

Американскими специалистами особо подчеркивается, что задача достоверного определения начала широкомасштабной информационной атаки является крайне сложной, для ее решения надо уметь обрабатывать большое число самых различных разнородных источников информационных угроз.

Работы по созданию системы раннего предупреждения об информационном нападении на национальную информационную инфраструктуру страны начались в США в 1998 году в соответствии с директивой Президента США PDD-63. Новую систему планируется привести в полную боевую готовность к 2003 году.

Функционирование системы мониторинга угроз компьютерного нападения на информационно-телекоммуникационные системы основывается на оснащении информационно-телекоммуникационных систем необходимыми (существующими и разрабатываемыми) программно-аппаратными средствами, которые должны решать задачи обнаружения атакующих информационных воздействий, идентификацию этих воздействий, определение источников этих воздействий. Решение указанных задач должно осуществляться с достаточной точностью и оперативностью, что в свою очередь требует разработки соответствующего алгоритмического обеспечения. Решение указанной задачи существенно затрудняется тем, что при совершении компьютерного нападения применяются все доступные способы и средства для затруднения решения задач обнаружения и идентификации атакующих информационных воздействий и их источников.

Таким образом создание системы мониторинга угроз компьютерного нападения на информационно-телекоммуникационные системы предполагает включение в состав системы обеспечения информационной безопасности информационно-телекоммуникационных систем подсистемы мониторинга угроз компьютерного нападения на информационно-телекоммуникационную систему.

По содержанию функциональных требований к системе обеспечения информационной безопасности информационно-телекоммуникационных систем проводятся интенсивные исследования и их содержание постоянно расширяется. По современным представлениям, изложенным в разработанных в 1996 году Единых критериях безопасности информационных технологий, система обеспечения информационной безопасности перспективной информационно-телекоммуникационной системы должна содержать следующие подсистемы:

- защиты информации;

-  безопасности защиты;

-  идентификации и аутентификации;

-  аудита;

-  контроля за использованием ресурсов;

-  обеспечения прямого взаимодействия;

-  контроля доступа к системе;

-  конфиденциальности доступа к системе;

-  информационного обмена;

К подсистеме "Аудита" предъявляются следующие требования:

- автоматическое реагирование на вторжение в систему;

- регистрация и учет событий;

- управление аудитом;

- выявление отклонений от штатного режима работы;

- распознавание вторжений в систему;

- предобработка протокола аудита;

- защита протокола аудита;

- постобработка протокола аудита;

- анализ протокола аудита;

- контроль доступа к протоколу аудита;

- отбор событий для регистрации и учета;

- выделение ресурсов под протокол аудита.

Таким образом анализируя состав требований к подсистеме "Аудита" можно сделать вывод о том, что система мониторинга угроз компьютерного нападения на информационно-телекоммуникационные системы должна рассматриваться как ее составляющая и в рамках подсистемы "Аудита" должна быть дополнена составляющей формирования адекватного ответа на идентифицированные атакующие информационные воздействия.

Многие современные атаки длятся секунды или даже доли секунды, поэтому включение в процесс реагирования человека часто вносит недопустимо большую задержку. Ответные меры должны быть в максимально возможной степени автоматизированы, иначе формирование адекватного ответа во многом теряет смысл. Автоматизация нужна еще и по той причине, что далеко не во всех организациях администраторы безопасности обладают достаточной квалификацией для адекватного реагирования на идентифицированные атакующие информационные воздействия. Хорошая система адекватного реагирования на идентифицированные атакующие информационные воздействия должна уметь внятно объяснить, почему была поднята тревога, насколько серьезна ситуация и каковы рекомендуемые способы действия. Если выбор должен оставаться за человеком, то в идеале он должен сводиться к нескольким элементам меню, а не к решению концептуальных проблем. Таким образом система мониторинга угроз компьютерного нападения на информационно-телекоммуникационные системы должна рассматриваться как составляющая подсистемы автоматического реагирования на вторжение в систему.

Подсистема автоматического реагирования на вторжение в систему, включающая в себя систему мониторинга угроз компьютерного нападения на информационно-телекоммуникационную систему, дополняет такие традиционные защитные механизмы, как идентификация/аутентификация и разграничение доступа. (Например, межсетевой экран бессилен против нелегальных модемных входов/выходов, а система мониторинга угроз компьютерного нападения на информационно-телекоммуникационную систему позволяет обнаруживать их.).

Подобное дополнение необходимо по следующим причинам:

- во-первых, существующие средства разграничения доступа не способны реализовать все требования политики безопасности, если последние имеют более сложный вид, чем разрешение/запрет атомарных операций с ресурсами информационной системы. Развитая политика безопасности может, например, накладывать ограничения на суммарный объем прочитанной пользователем информации, запрещать доступ к ресурсу В, если ранее имел место доступ к ресурсу А, и т.п.;

- во-вторых, в самих защитных механизмах сети могут быть ошибки и слабости, поэтому помимо внедрения, пусть самых эффективных защитных механизмов, приходится заботиться и об обнаружении фактов преодоления внедренных в систему средств защиты;

- в третьих, в процессе эксплуатации защитных механизмов пользователи могут допускать нарушения правил их эксплуатации, приводящие к возможности нарушения политики безопасности.

Подсистема автоматического реагирования на вторжение в систему должна иметь тесные связи с другими подсистемами. Так, например, она может опираться на традиционные механизмы протоколирования. В свою очередь, после выявления нарушения зачастую требуется просмотр ранее накопленной регистрационной информации для того, чтобы оценить ущерб, понять, почему нарушение стало возможным, спланировать меры, исключающие повторение инцидента. Параллельно производится надежное восстановление первоначальной (то есть не измененной нарушителем) конфигурации. Кроме того, система мониторинга угроз компьютерного нападения на информационно-телекоммуникационную систему должна иметь возможность изменения ее конфигурации в зависимости от изменения внешних условий эксплуатации информационно-телекоммуникационной системы, выявления признаков новых видов информационного оружия и др.

Управление безопасностью

Последним положением Рекомендаций, на котором необходимо ос­тановиться, является дополнение выше рассмотренной совокупности служб безопасности подсистемой управления безопасностью.

Функции управления безопасностью могут быть разделены на три группы

• управление безопасностью системы;

• управление службами безопасности;

• управление механизмами безопасности. Управление безопасностью системы включает следующие функции управления безопасностью:

• поддержки целостности политики безопасности;

• взаимосвязи с остальными функциями управления ВОС и управ­ления услугами и механизмами безопасности;

• управления механизмом событий безопасности, механизмом контроля безопасности и механизмом восстановления безопасности.

Управление безопасностью системы осуществляется тремя механиз­мами безопасности.

Механизм событий безопасности включает фиксацию попыток на­рушения безопасности системы, а также может включать фиксацию нормальных событий, таких, как подключение объекта и т.п. Под управлением этим механизмом понимается установление пороговых значений для включения сигнализации о событиях безопасности и из­вещения объектов о данных событиях.

Механизмы контроля безопасности - это просмотр и изучение сис­темных журналов и наблюдение за функционированием системы с це­лью определения достаточности средств ее контроля на соответствие принятой политике безопасности и процедурам обработки данных, об­наружение нарушений безопасности и выработка рекомендаций по изу­чению средств контроля и процедур безопасности. Управление данным механизмом включает выбор событий безопасности, заносимых в жур­нал безопасности, включение и отключение регистрации событий безо­пасности и подготовка отчетов о безопасности системы.

Механизм восстановления безопасности реализует процедуры вос­становления на основе правил политики безопасности. Управление им заключается в установлении правил, определяющих действия системы при нарушениях безопасности, а также в извещении объектов о наруше­ниях в системе и вмешательстве администратора.

Управление службами безопасности реализует управление отдель­ными сервисными службами безопасности (определение и назначение необходимой услуги безопасности, определение правил выбора кон­кретного механизма безопасности для требуемой услуги, согласование параметров механизмов безопасности, а также вызов определенных ме­ханизмов безопасности посредством функции управления механизмом безопасности).

Управление механизмами безопасности заключается в управлении отдельными механизмами безопасности.

Появление международного стандарта 150 15408 "Общие критерии оценки безопасности информационных технологий" (ОК) является ка­чественно новым этапом в развитии нормативной базы оценки безопас­ности информационных технологий (ИТ), особенно по отношению к распределенным ИС. Термин безопасность ИТ в стандарте совпадает по смыслу с термином информационная безопасность ИС.

В ОК обобщены содержания и опыт использования предшествую­щих документов в частности так называемой "Оранжевой книги" США, посвященной оценке безопасности компьютерных систем; развиты Ев­ропейские критерии; воплощена в реальные структуры концепция типо­вых профилей защиты федеральных критериев США и представлена единообразная основа для формулировки разработчиками, пользовате­лями и оценщиками ИС требований, метрик и гарантий оценки безопас­ности

В США работы по созданию аналогичной по назначению системы обнаружения несанкционированного доступа в информационные сети (FIDNET) планируется проводить в рамках «Национального плана защиты информационных систем», который предусматривает полномасштабное разворачивание системы FIDNET в 2003 году и финансирование, в частности, на 1999 год в размере 1,5 млрд. долларов. Сравнимая с этой сумма была затрачена небюджетными организациями США на работы в области борьбы с компьютерными преступлениями.

Информационным воздействиям могут быть подвержены информационно-телекоммуникационные системы и базы данных органов государственной власти, автоматизированные системы управления войсками и оружием, критическими технологическими процессами, системы передачи и обработки кредитно-финансовой и экономически значимой информации, а также мировоззрение людей, их социальные и личностные ориентации, информационно-психологическое состояние личности и общества в целом.

Информационное противоборство ведется в наиболее критичных с точки зрения национальной безопасности сферах деятельности личности, общества и государства (политической, внешнеполитической, экономической, оборонной, научно-технической, идеологической, чрезвычайных ситуаций, правоохранительной, межгосударственных отношений, общегосударственных информационно-телекоммуникационных систем).

В нашем понимании информационное противоборство - это комплексное воздействие с целью достижения информационного превосходства на систему государственного и военного управления противостоящей стороны, ее политическое и военное руководство, общество в целом (как гражданское население, так и вооруженные силы), информационно-телекоммуникационные системы и средства государственных, региональных и коммерческих структур управления и контроля, а также средства массовой информации. При этом одновременно принимаются адекватные меры по комплексной защите собственной информационной инфраструктуры от аналогичных акций со стороны возможного противника.

В основе информационного противоборства лежит решение двуединой задачи по обеспечению национальной безопасности: воздействия на противостоящую сторону и обеспечения защиты собственной информационной инфраструктуры.

Методы и средства решения этих задач в свою очередь составляют арсенал информационного оружия. Мероприятия, реализуемые в рамках информационного противоборства, разделяются на наступательные (нападение) и оборонительные (оборона).

При осуществлении информационного противоборства воздействию (защите) будут подвергаться в общем виде две взаимосвязанные группы объектов: индивидуальное и общественное человеческое сознание (психика), или иными словами информационно-психологическое состояние личности, общества и государства, а также программно-технические средства (системы) сбора, обработки, хранения, распространения и передачи информации.

Исходя из выделенных выше двух взаимосвязанных групп объектов информационного противоборства, следует выделить два вида информационной борьбы: ин­формационно-техническую и информационно-психологиче­скую.

На основе системных исследований сформирована обобщенная модель угроз функционированию ИТС, относящейся к системам критических технологий.

Под критической технологией (КТ) понимается протекающий во времени процесс обработки информационных и (или) материальных ресурсов, выход которого за допустимые пределы может привести к нанесению ущерба национальным интересам России (экономическому, политическому, экологическому, техногенному и т.д.).

Анализ проблем информационной безопасности с учетом специфики перспектив создания и развития информационных систем и систем телекоммуникаций позволяет предложить следующее обобщенное определение для понятия “информационное оружие”.

Информационное оружие - это комплекс организационных мер, программных и/или технических средств, а также технологии их применения, предназначенный для получения контроля над информационными процессами потенциального противника с целью оказания воздействия на них и его информационные ресурсы. Под воздействием на информационные процессы и информационные ресурсы понимаются действия, приводящие к несанкционированным уничтожению, модификации, копированию или блокированию информации, а также разрушению информационных ресурсов и нарушению информационных процессов.

Результат воздействия информационного оружия может привести к:

1. Созданию угрозы безопасности личности, обществу, государству.

2. Утечке сведений, составляющих государственную тайну, нарушению конфиденциальности документированной информации.

3. Нарушению конституционных прав граждан на сохранение личной тайны и конфиденциальности персональных данных, имеющихся в информационных системах.

4. Нарушению прав субъектов в информационных процессах и при разработке, производстве и применении информационных систем, технологий и средств их обеспечения.

5. Другим формам незаконного вмешательства в информационные ресурсы и информационные процессы, обеспечение правового режима документированной информации как объекта собственности.

Под данное определение попадает широкий класс воздействий, включая физическое уничтожение объектов. Вместе с этим, одним из наиболее сложных для понимания и разработки мер противодействия оказываются так называемые разрушающие информационные воздействия.

Разрушающие информационные воздействия (РИВ) - это поражающий фактор информационного оружия, который является результатом его применения и направлен на получение несанкционированного доступа к информационным и телекоммуникационным системам с целью реализации задач воздействия информационного оружия на информационные процессы и информационные ресурсы этих систем.

Создание надежных компьютерных систем критических технологий (КТ), к которым относится и ИТС, обычно связано с решением четырех проблем:

- обеспечение гарантированности функционирования компьютерных систем КТ в любых условиях;

- защита компьютерных систем КТ от ИО (в смысле блокирования РИВ);

- защита компьютерных систем КТ от несанкционированного доступа (НСД) к информации, циркулирующей в системе;

- защита информации и каналов управления криптографическими методами.

Перечисленные проблемы, так или иначе, всегда встают перед разработчиками при создании конкретных компьютерных систем КТ. Дальнейшее рассмотрение общей проблемы защиты систем КТ от информационного оружия будет посвящено анализу угроз применения РИВ и обсуждению мер и методов противодействия им, а также их роли в решении общей проблемы защиты компьютерных систем КТ от ИО.

Представим компьютерную систему КТ в виде следующих основных функциональных подсистем (рис. 2):

- подсистема передачи, обработки и хранения информации (информационная подсистема);

- подсистема выработки команд управления (подсистема управления);

- подсистема реализации команд управления и выработки электрических сигналов для исполнительных устройств технологического процесса (исполнительная подсистема).

Защита подсистем от НСД

Информационная

Управления

Исполнения

Рис. 2.

В рамках данного разделения задача защиты ИТС от РИВ ИО сводится к защите от РИВ каждой из выделенных подсистем.