7.1. Бэкдуры (Backdoor)

Переводится как «черный ход». Данные приложения работают по сети и состоят из двух частей: устанавливаемая на взломанный хост (сервер) и установленная на машину атакующего (клиент). С помощью данного ПО атакующий может передавать команды серверной части (скопировать файл, просмотреть список файлов, скачать файл, зайти на сайт) и получать результат (например, список файлов). Можно выделить:

• утилиты для создания ботнетов (зомби-сетей) — по запросу хакера, машины пользователей (устанавливаемая пользователю часть называется агентом) могут начать, например, DDoS-атаку на заданный хост;

• утилиты удаленного администрирования (remote admin tools, RAT) — предназначены для удаленного контролируемого доступа к системе пользователя, вплоть до передачи скриншотов его экрана (как в терминалке).

7.2. Кейлоггеры (Keyloggers)

Программы, перехватывающие и фиксирующие нажатия клавиш на клавиатуре пользователя.

7.3. Руткиты (Rootkits)

Программа или набор программ для скрытия следов присутствия злоумышленника или вредоносного ПО (трояны, кейлоггеры и т.п.) системе. Rootkit позволяет взломщику закрепиться во взломанной системе и скрыть следы своей деятельности путём сокрытия файлов, каталогов, процессов, а также самого присутствия руткита в системе.

7.5. Генераторы e-mail-ов

Созданы для рассылки с пользовательских машин спама, иных вредоносных программ посредством электронной почты.

7.6. Иные хакерские наборы программ (Toolkits)

Снифферы (анализ сетевого трафика), сканеры портов и уязвимостей, взломщики паролей и пр.

Источники заражения и каналы проникновения

Съемные носители (дискеты, флешки, CD), электронная почта, мессенджеры, веб-страницы (уязвимости браузеров), интернет и локальные сети. Способы внедрения:

• социальная инженерия (заманчивые сообщения: «запустить бесплатный интернет», «порно друга!»);

• использование технологий внедрения (уязвимости в ОС или ПО);

• смешанный способ (соц инженерия + уязвимость).

Подходы и средства защиты

Организациям необходимо разработать:

• систему предупреждения атак;

• план действий в случае реализации атак (вирусы и т.п.).

В состав способов защиты входят:

• минимизация прав пользователей и корректная настройка приложений;

• антивирусы (с регулярным обновлением, сигнатурным и эвристическим методами анализа);

• использованием файрволлов (межсетевых экранов);

• использование IDS (система обнаружения вторжений), IPS (система предотвращения вторжений) — глубокий (на уровне данных) анализ трафика и его блокирование.

IPS бывают сетевыми (Network Intrusion Prevention Systems, NIPS) и хостовыми (Host IPS, HIPS).

• эшелонированная защита (несколько антивирусов разных производителей, демилитаризованная зона — разделение внешних и внутренних серверов);

• введение политики ограниченного использования программ или ЗПС;

• контроль целостности файлов;

• блокировка устройств и портов ввода/вывода (физическая или программная);

• регулярное обновление ПО (системного и прикладного);

• организационные мероприятия (работа с персоналом, инструкции, наказания, контроль доступа в помещения, политики использования интернет, тренинги);

• резервирование, аудит.

Централизованные системы защиты от вредоносного ПО

Централизованные системы защиты — это комплексные решения, интегрируемые в состав автоматизированных систем, которые могут состоять из след. подсистем:

• антивирусной защиты;

• сетевого экранирования;

• выявления и предотвращения атак;

• выявления уязвимостей;

• защиты от спама;

• централизованной управления безопасностью (удаленная установка/удаление ПО на рабочих станциях и серверах, удаленное управление параметрами, централизованный сбор и обработка информации об атаках, уязвимостях и т.п.).

Примеры (в основном там антивирусы):

• Kaspersky Administration Kit

• Централизованная антивирусная защита от ESET (NOD32)

• Symantec Endpoint Protection

• Trend Micro OfficeScan Corporate Edition

• McAfee Total Protection

• InfoWatch Net Monitor (DLP, Firewall, Antivir,

Использование замкнутой программной среды для борьбы с вредоносным ПО

ЗПС — позволяет ограничить перечь ПО и модулей, которое может выполняться. Соответственно, вирусы и иное ПО не может быть исполнено. ЗПС должно работать в связке с контролем целостности разрешенных к исполнению программ и модулей. ЗПС можно реализовать средствами СЗИ от НСД Secret Net, Accord, средствами ОС Windows (политики ограниченного использования программ и NTFS-права).

УК РФ

Статья 273 УК РФ. Создание, использование и распространение вредоносных программ для ЭВМ

1. Создание программ для ЭВМ или внесение изменений в существующие программы, заведомо приводящих к несанкционированному уничтожению, блокированию, модификации либо копированию информации, нарушению работы ЭВМ, системы ЭВМ или их сети, а равно использование либо распространение таких программ или машинных носителей с такими программами -

наказываются лишением свободы на срок до трех лет со штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев.

2. Те же деяния, повлекшие по неосторожности тяжкие последствия, -

наказываются лишением свободы на срок до семи лет.

Ссылки на документы (откуда брал определения):

• Р 50.1.053-2005 Рекомендации по стандартизации. Информационные технологии. Основные определения в области технической ЗИ

• Р 50.1.056-2005 Рекомендации по стандартизации. Техническая защита информации. Основные термины и определения

• NIST SP800-83 Guide to Malware Incident Prevention and Handling (2005 год)

Всякое разное

NIST SP800-83

Вобщем, большинство информации взято из NIST SP800-83 Guide to Malware Incident Prevention and Handling. Его название переводится примерно как «Руководство по предупреждению и обработке инцидентов атак вредоносного ПО».

Содержит (100 стр.):

• классификацию и характеристику классов вредоносного ПО,

• меры по предупреждению атак вред. ПО,

• советы по подготовке, сдерживанию, уничтожению и восстановлению.

Замечание про полиморфизм/метаморфизм

В ряде источников случай, когда вирус полностью меняет свой, код называется полиморфизмом, а вот в NIST это дело называется метаморфизмом, а полиморфизмом в NIST-е — когда код только шифруется/расшифровывается разными ключами.

Замечание к 7.1. Бэкдуры

Да, действительно, часть, устанавливаемая на комп пользователя, называется «сервер», а на комп злоумышленника — «клиент», а не наоборот.

61. Несанкционированное копирование и тиражирование программного обеспечения (понятие, правовые аспекты, подходы к защите от копирования, программно-аппаратные средства защиты ПО от копирования, примеры и особенности реализации средств защиты с применением электронных ключей, а также средств защиты, предназначенных для защиты от копирования с оптических носителей информации).

Под системой защиты от несанкционированного копирования и использования понимается комплекс программных или программно-аппаратных средств, предназначенных для усложнения или запрещения нелегального распространения использования или изменения ПО и иных информационных ресурсов.

Под нелегальным подразумевается распространение без согласия правообладателя.

При использовании нелицензионного ПО нарушители могут быть привлечены к гражданской уголовной и административной ответственности.

За несанкционированное распространение:

• Административная ответственность: если стоимость продукции не превышает 50000 рублей КоАП 7.12 - штраф

• Уголовная: Если стоимость контрафакта более 50000 рублей - 146 УК РФ, в особо крупном размере >250 т.р., либо совершенное группой лиц.

К уголовной ответственности привлекаются только физлица (либо директор, либо айтишник), к административной – физических, должностных и юридических лиц

• Гражданско-правовая ответственность: наступает в виде компенсации за нарушение авторских прав (статья 1253, часть 4я ГК РФ).

Подходы к защите от копирования. Следует учитывать, что любая защита может быть взломана – это только вопрос времени. Надежность защиты определяется минимальной надежностью отдельного ее модуля.

Есть 2 подхода к защите:

1. применение готовых решений (быстрее, но м.б. дороже)

2. разработка и внедрение собственной системы защиты (более трудоемко, но м.б. дешевле)

Основные требования, предъявляемые к системе защиты от копирования (в целом):

1. Обеспечение некопируемости стандартными средствами

2. Обеспечение невозможности применения стандартных средств и подходов к отладке.

3. Обеспечение некорректного дизассемблирования ПО.

4. Сложности изучения алгоритма защиты

Можно выделять следующие 4 основных компонента системы ЗНСК:

1. Модуль проверки ключевой информации (проверка каких либо характеристик ПО, меток, для проверки все ли в порядке)

2. Защита от изучения алгоритма работы

3. Модуль согласования с работой функций защищаемой программы в случае ее санкционированного использования

4. Модуль ответной реакции в случае попыток несанкционированного использования

Методики защиты от копирования ПО:

1. организационные меры защиты от НСК

Основная идея организационных мер защиты заключается в том, что полноценное использование программного продукта невозможно без соответствующей поддержки со стороны производителя: подробной пользовательской документации, «горячей линии», системы обучения пользователей, обновления версий со скидкой и т. п.

Организационные меры защиты применяются, как правило, крупными разработчиками к достаточно большим и сложным программным продуктам.

2. Правовые

Предусмотрена ответственность, в соответствии с действующим законодательством, как за использование контрафактных экземпляров программ для ЭВМ и баз данных, так и за преодоление применяемых технических средств защиты.

3. Технические. Различаются в зависимости от типа носителя, на котором находится ПО

Программно-аппаратные средства защиты ПО от копирования.

Примеры:

Hardlock - электронный ключ, предназначенный для защиты приложений и связанных с ними файлов данных, позволяющий программировать ключи защиты и лицензировать авторское ПО. Механизм работы ключей Hardlock базируется на заказном ASIC-чипе (Application Specific Integrated Circuit) со встроенной EEPROM-памятью - уникальной разработке компании ALADDIN.

StarForce - Единое решение для распространения защищенных продуктов как на оптических носителях, так и через Интернет

Защита при помощи ключевой дискеты

Была распространена во времена MS-DOS, сейчас в силу устаревания технологии FDD практически не применяется.

Есть четыре основных способа создания некопируемых меток на дискетах:

• Считывание конкретного сектора дискеты (возможно, пустого или сбойного). Это самый простой способ защиты, и при копировании «дорожка в дорожку» дискета копируется.

• Запоминание сбойных секторов дискеты. Перед тем, как записать на дискету информацию, её царапают (или прожигают лазером), после этого записывают номера сбойных секторов. Для проверки подлинности дискеты программа пытается записать в эти сектора информацию, затем считать её.

• Нестандартное форматирование дискеты. Известна программа FDA (Floppy Disk Analyzer), которая могла проводить исследование и копирование таких дискет.

• «Плавающий бит». Один бит записывается так, что в некоторых случаях он читается как «0», в некоторых как «1». Проводится многократное считывание дискеты; среди результатов считывания должны быть и нули, и единицы.

Защита при помощи компакт-дисков

Как правило, этот способ защиты применяется для защиты программ, записанных на этом же компакт-диске, являющимся одновременно ключевым. Для защиты от копирования используется:

• запись информации в неиспользуемых секторах;

• проверка расположения и содержимого «сбойных» секторов;

• проверка скорости чтения отдельных секторов.

Первые два метода бесполезны при снятии полного образа с диска. Третий метод более надёжный. Он используется, например, в защите StarForce. В этой защите также делается попытка проверить возможность записи на вставленный диск. Если запись возможна, то диск считается нелицензионным. Но существуют программы, которые могут эмулировать диски с учётом геометрии расположения данных, тем самым обходя эту защиту, и, к тому же, возможно записать диск CD-R с её учётом, и он будет признаваться лицензионным. Также возможно скрыть тип диска, чтобы CD-R или CD-RW был виден как обычный CD-ROM. Но и системы защиты тоже (используя специальный драйвер) борются с ними, пытаясь обнаружить наличие эмуляции. В настоящее время наибольшую известность в мире имеют системы защиты от копирования SecuROM, StarForce, SafeDisc и Tages.

Защита программ, установленных на жёстком диске

Для программ, установленных на жёстком диске, могут применяться такие меры защиты:

• Программа может требовать вставленную дискету или компакт-диск. В частности, это широко применяется в играх. Но для многих программ такие меры недоступны (например, shareware-программы или программы повседневного пользования).

• Электронный ключ (донгл), вставленный в один из портов компьютера (обычно LPT или USB, редко — COM). Достоинство ключа в том, что его можно вставлять в любой компьютер, на котором намереваетесь запустить программу. Кроме того, электронный ключ быстр и не занимает дисковода. Но электронные ключи дороги (5—15 долларов), и применяются лишь в дорогостоящем ПО. Также теоретически возможны конфликты периферийных устройств с ключом. Типичный пример электронного ключа — HASP, Guardant.

• Привязка к серийным номерам компонентов компьютера (привязка к аппаратной конфигурации компьютера). Её достоинство в том, что не требуется никакого специфического аппаратного обеспечения, и программу можно распространять посредством цифровой дистрибуции. Если пользователь производит модернизацию компьютера, защита отказывает. Авторы многих программ, защищённых привязкой, в подобных случаях готовы дать новый регистрационный код. Например, Microsoft в Windows XP разрешает раз в 120 дней генерировать новый регистрационный код (но в исключительных случаях, позвонив в службу активации, можно получить новый код и до прошествия этого срока). В качестве привязки используются серийный номер BIOS материнской платы, серийный номер винчестера.

• Сканирование сети. Это исключает одновременный запуск двух программ с одним регистрационным ключом на двух компьютерах в пределах одной локальной сети. Локальный брандмауэр можно настроить так, чтобы он не пропускал пакеты, принадлежащие защищённой программе. Правда, настройка брандмауэра требует некоторых пользовательских навыков. Кроме того, в большинстве реальных сетей «все друг другу доверяют» (это ускоряет доступ к ресурсам других компьютеров и сетевую игру), и брандмауэр, безусловно, пропускает локальный трафик.

• Серийные номера. Если программа работает с каким-то централизованным сервером и без него бесполезна (например, онлайн-игра, антивирус), она может передавать серверу свой серийный номер; если номер неправильный, сервер отказывает в услуге. Это единственный стопроцентный способ защиты от копирования. Впрочем, существует возможность создать сервер, который не делает такой проверки. Например, существовал сервер battle.da, который по функциям был аналогичен Battle.net, но пускал пользователей неавторизованных копий игр. Сейчас этот сервер закрыт, но существует немалое количество PvPGN-серверов, которые также не проверяют регистрационные номера.

62. Гарантированное уничтожение информации (понятие, остаточная информация, подходы к гарантированному уничтожению информации, алгоритмы гарантированного стирания информации, средства гарантированного уничтожения и стирания информации, области применения)

Гарантированное уничтожение информации - действия, в результате которых невозможно восстановить содержание, содержащейся на материальном носителе, или в результате которых уничтожаются материальные носители с данной информацией.

Остаточная информация — информация на запоминающем устройстве, оставшаяся от формально удалённых операционной системой данных. Информация может остаться из-за формального удаления файла или из-за физических свойств запоминающих устройств. Остаточная информация может привести к непреднамеренному распространению конфиденциальной информации, если хранилище данных окажется вне зоны контроля (например, будет выкинуто с мусором или передано третьей стороне).

В настоящее время во избежание появления остаточной информации применяется множество методов. В зависимости от эффективности и назначения они подразделяются на очистку и уничтожение. Конкретные методики используют перезаписывание, размагничивание, шифрование и физическое уничтожение.

Многие операционные системы (ОС), файловые менеджеры и другое программное обеспечение (ПО) предоставляют возможность не удалять файл немедленно, а перемещать файл в корзину, чтобы позволить пользователю легко исправить свою ошибку. Но даже если возможность обратимого удаления явно не реализована или пользователь не применяет её, большинство операционных систем, удаляя файл, не удаляют содержимое файла непосредственно, просто потому, что это требует меньше операций и, чаще всего, быстрее. Вместо этого они просто удаляют запись о файле из директории файловой системы. Содержимое файла — реальные данные — остаётся на запоминающем устройстве. Данные существуют до тех пор, пока ОС не использует заново это пространство для новых данных. Во множестве систем, остаётся достаточно системных метаданных для несложного восстановления при помощи широко доступных утилит. Даже если восстановление невозможно, данные, если не были перезаписаны, могут быть прочитаны ПО, читающим сектора диска напрямую. Также, при форматировании, переразбиении на разделы или восстановлении образа системой не гарантируется запись по всей поверхности, хотя диск и выглядит пустым или, в случае восстановлении образа, на нём видны только файлы, сохранённые в образе. Наконец, даже если запоминающее устройство перезаписывается, физические особенности устройств делают возможным восстановление информации при помощи лабораторного оборудования благодаря, например, явлению остаточной намагниченности.

Подходы к гарантированному уничтожению:

1. Программный, в основу которого положено уничтожение информации, записанной на магнитном носителе, посредством штатных средств записи информации на магнитных носителях. В случае уничтожения информации на НЖМД программным методом, он может быть повторно использован в других ПК, после инсталляции новой ОС и приложений. Уничтожение производится наиболее простым и естественным способом – перезаписью информации. Перезапись – это процесс записи несекретных данных в область памяти, где ранее содержались секретные данные. Следует отметить очень важную деталь – при перезаписи информации работоспособность НЖМД полностью сохраняется, в случае, если он был полностью исправным. На изношенном или неисправном НЖМД провести надежное уничтожение информации невозможно.

2. Механический, связанные с механическим повреждением основы, на которую нанесен магнитный слой – физический носитель информации.

3. Физический, связанный с физическими принципами цифровой записи на магнитный носитель, и основанный на перестройке структуры магнитного материала рабочих поверхностей носителя.

В настоящее время выделяют следующие методики для предотвращения остаточной информации:

• Перезаписывание;

• Размагничивание;

• Шифрование;

• Физическое уничтожение.

Перезаписывание

Распространенная методика для предотвращения остаточной информации — перезаписывание устройства новыми данными. Из-за того, что такие методики могут быть реализованы целиком на программной стороне и могут быть использованы на отдельной части запоминающего устройства, это популярная и недорогая опция для многих приложений. Перезаписывание вполне подходящий метод очистки, если устройство доступно на запись и не повреждено.

Простейшая реализация записывает повсюду одни и те же последовательности: чаще всего — серии нулей. Как минимум, так предотвращается получение данных с устройства посредством обычных системных функций.

Для противостояния более сложным методам восстановления, часто предусмотрены конкретные шаблоны перезаписи. Это могут быть и обобщённые шаблоны, предназначенные устранения отслеживаемых следов. Например, повторяющаяся запись перемежающихся шаблонов из единиц и нулей может быть более эффективной, чем запись одних нулей. Часто задаются сочетания шаблонов.

Проблема с перезаписыванием в том, что некоторые части диска могут быть недоступны из-за износа оборудования или других проблем. Программная перезапись также может быть проблематичной в высокозащищённых средах, со строгим контролем за смешиванием данных, обеспечиваемым программным обеспечением. Использование сложных технологий хранения также может сделать перезапись файлов неэффективной.

Размагничивание

Размагничивание — удаление или ослабление магнитного поля. Применённое к магнитному носителю, размагничивание может уничтожить все данные быстро и эффективно. Используется прибор, так называемый «размагничиватель», предназначенный для уничтожения данных.

Размагничивание обычно выводит жёсткий диск из строя, так как уничтожает низкоуровневое форматирование, производимое во время изготовления. Размагниченные дискеты, обычно, могут быть переформатированы и использованы заново.

В высокозащищённых средах исполнитель может быть обязан использовать сертифицированный размагничиватель. Например, в правительстве и оборонных ведомствах США может быть предписано использовать размагничиватель из списка «Списка допущенных приборов» Агентства национальной безопасности.

Шифрование

Шифрование данных перед записью может ослабить угрозу остаточной информации. Если шифровальный ключ надёжен и правильно контролируется (то есть, сам не является объектом остаточной информации), то все данные на устройстве могут оказаться невосстановимыми. Даже если ключ хранится на жёстком диске, перезаписывание только ключа может оказаться проще и быстрее, чем всего диска.

Шифрование может производиться пофайлово или сразу всего диска. Тем не менее, если ключ хранится, даже временно, на той же системе, что и данные, он может быть объектом остаточной информации и может быть прочитан злоумышленником.

Физическое уничтожение

Физическое уничтожение хранилища данных считается самым надежным способом предотвращения появления остаточной информации, но в тоже время самым дорогостоящим. Не только сам процесс занимает время и обременителен, он также делает оборудование неработоспособным. Более того, при современных высоких плотностях записи, даже небольшой фрагмент устройства может содержать большой объем данных.

Отдельные методики физического уничтожения включают:

• Физическое разрушение устройства на части путём размалывания, измельчения и т. д.;

• Сожжение;

• Фазовый переход, то есть растворение или возгонка (переход вещества из твёрдого состояния сразу в газообразное, минуя жидкое) целого диска;

• Применение коррозийных реагентов, таких как кислоты, к записывающим поверхностям;

• Нагревание носителя до температуры разрушения его основы (или до точки Кюри).

Алгоритмы уничтожения информации — последовательность операций, предназначенных для осуществления необратимого программными и (или) аппаратными средствами удаления данных, в том числе остаточной информации.

Алгоритмы уничтожения информации на данный момент стандартизированы, практически во всех ведущих государствах изданы национальные стандарты, нормы и правила, регламентирующие использование программного уничтожения информации и описывающие механизм его реализации.

Все программные реализации алгоритмов уничтожения информации основаны на простейших операциях записи, тем самым происходит многократная перезапись информации в секторах жесткого диска ложными данными. В зависимости от алгоритма это может быть случайное число генератора псевдослучайных чисел либо фиксированное значение. Как правило, каждый алгоритм предусматривает запись восьми битовых единиц (#FF) и нуля (#00). В существующих алгоритмах перезапись может производиться от одного до 35 и более раз. Существуют реализации с возможностью произвольного выбора числа циклов перезаписи.

С целью исключения возможности восстановления и разработаны существующие алгоритмы уничтожения информации:

1. наиболее известен и распространён алгоритм, применяемый в американском национальном стандарте Министерства обороны DoD 5220.22-M. Вариант E согласно данному стандарту предусматривает два цикла записи псевдослучайных чисел и один — фиксированных значений, зависимых от значений первого цикла, четвёртый цикл — верификация записей. В варианте ECE перезапись данных производится 7 раз — 3 раза байтом #FF, три #00 и один #F6.

2. В алгоритме Брюса Шнайра в первом цикле записывается #FF, во втором — #00 и в пяти циклах — псевдослучайные числа. Считается одним из наиболее эффективных.

3. В наиболее медленном, но, по мнению множества экспертов, наиболее эффективном алгоритме Питера Гутмана, существует 35 циклов, в которых записывают все наиболее эффективные битовые маски, данный алгоритм основан на его теории уничтожения информации.

средства гарантированного уничтожения:

1. Программные – «СГУ»

2. Аппаратные – «Стек», «Импульс»

Как правило, используются государственными учреждениями, специализированными структурами и предприятиями в целях сохранения государственной и коммерческой тайны.