Раздел VII. Обеспечение безопасности информации в персональных компьютерах и локальных сетях

Глава 1. Безопасность информации в персональных компьютерах

 

Персональные компьютеры как объект защиты 

 

Отличительные особенности персональных компьютеров — настольной универсальной машины индивидуального применения:

                   компактность и экономичность, обеспечивающие массовое применение в различных сферах профессиональной деятельности и в быту;

                   операционные системы, предоставляющие пользователю простые и удобные средства доступа к ресурсам персональных компьютеров и средства управления выполнением задач;

                   диалоговые языки программирования высокого уровня, позволяющий проектировать интерактивные процедуры обработки данных;

                   телекоммуникационные средства, обеспечивающие подключение персональных компьютеров к локальным и глобальным сетям.

Типовой состав устройств персональных компьютеров:

                   системный блок обработки и управления,

                   средства взаимодействия пользователей с системным блоком,

                   средства долговременного хранения и накопления данных,

                   средства подключения к каналам связи

                   устройства ввода-вывода.

Системный блок, включающий центральный процессор, основную память (ОЗУ и ПЗУ), контроллеры и адаптер канала связи, аппаратный интерфейс внешних устройств, строится на основе микропроцессорных комплектов БИС, БИС ОЗУ и ПЗУ.

Оперативное запоминающее устройство персональных компьютеров являются энергозависимыми запоминающим устройством, у которых информация разрушается при отключении питания. Информация, размещаемая в постоянном запоминающем устройстве, записывается при изготовлении персональных компьютеров или их системных плат и чаще всего не изменяется в течение всего периода ее эксплуатации. В постоянном запоминающем устройстве обычно размещаются системные программы, обеспечивающие подготовку персональных компьютеров к работе после включения питания, т. е. инициализацию (приведение в исходное состояние функциональных модулей), тестирование (проверка работоспособности функциональных модулей) и загрузку операционной системы.

Средства взаимодействия пользователей с системным блоком обработки и управления включают клавиатурное устройство, печатающее устройство (принтер), устройство отображения информации на электронно-лучевую трубку, жидкокристаллическую или газоразрядную матрицу (дисплей). Кроме того, в качестве устройств ввода-вывода информации, подключаемых к системному блоку, используются:

                   манипулятор "мышь";

                   плоттер — устройство для вывода рисунков и другой графической информации;

                   графопостроитель — устройство для вывода чертежей на бумагу;

                   сканер — устройство для считывания графической и текстовой информации в компьютер;

                   стриммер — устройство для резервного сохранения информации, находящейся на жестком диске. Стриммер записывает информацию на кассеты с магнитной лентой.

                   и другие.

Средства долговременного хранения и накопления данных (внешние запоминающие устройства) обеспечивают запись и чтение больших массивов информации (файлы с данными, тексты программ на языках высокого уровня, программы в машинных кодах, и т. д.). В качестве внешних запоминающих устройств в персональных компьютерах в основном используются накопители на жестких магнитных дисках типа "винчестер", оптические диски, носители на флэш-технологиях и все реже накопители на гибких магнитных дисках.

Носимые накопители позволяют переносить документы и программы с одного компьютера на другой, хранить информацию, не используемую постоянно, делать архивные копии информации, содержащейся на жестком диске. Номенклатура данных носителей в данное время разнообразна, как по емкости накопителя, так и по быстродействию.

Накопители на жестком диске (винчестеры) предназначены для постоянного хранения информации, используемой при работе с компьютером: программ операционной системы, редакторов документов, трансляторов с языков программирования и т. д. Программное обеспечение персональных компьютеров включает операционную систему, системы программирования, прикладные программы самого разного направления профессиональной деятельности. Основой программного обеспечения является операционная система, с помощью которой достигается взаимодействие пользователя с аппаратными средствами персональных компьютеров.

Системы программирования служат инструментальным средством, с помощью которых пользователи создают программы решения задач на персональных компьютерах. Система программирования включает в свой состав средства написания программ, преобразования их к виду, пригодному для выполнения на персональных компьютерах, контроля и отладки программ.

В современных персональных компьютерах распространены и фактически получили статус стандартов операционные системы типа MS Windows (несколько клонов), UNIX, Linux. Другие операционные системы, по существу, являются функциональными аналогами перечисленных выше операционных систем.

Наиболее распространенная операционная система MS Windows состоит из следующих частей.

Базовая система ввода-вывода (BIOS), находящаяся в постоянном запоминающем устройстве. Эта часть определяется производителем системных плат персональных компьютеров и разработчикам версий операционных систем остается только обеспечить совместимость операционной системы с номенклатурой базовых систем ввода-вывода. Назначение базовой системы ввода-вывода состоит в выполнении наиболее простых и универсальных услуг операционной системы, связанных с осуществлением ввода-вывода. BIOS содержит также тест функционирования, проверяющий работу памяти и устройств компьютера при включении электропитания. Кроме того, BIOS включает в себя программу вызова загрузчика операционной системы.

Загрузчик операционной системы — это короткая программа, находящаяся в первом секторе каждого системного диска. Функция этой программы заключается в считывании в память остальных модулей операционной системы, которые и завершают процесс загрузки.

Дисковые файлы IO.SYS и WINDOW.SYS (они могут называться и по-другому в зависимости от вида и версии операционной системы) загружаются в память загрузчиком операционной системы и остаются в памяти компьютера постоянно. Файл IO.SYS представляет собой дополнение к BIOS. Файл WINDOW.SYS реализует основные высокоуровневые услуги операционной системы.

Командный процессор MS Windows обрабатывает команды, вводимые пользователем. Командный процессор находится в дисковом файле СОМMAND.СОМ на диске, с которого загружается операционная система.

Внешние команды MS Windows — программы, поставляемые вместе с операционной системой в виде отдельных файлов, — выполняют действия обслуживающего характера.

Драйверы устройств — это специальные программы, которые дополняют систему ввода-вывода MS Windows и обеспечивают обслуживание новых устройств или нестандартное использование имеющихся устройств. Драйверы загружаются в память компьютера при загрузке операционной системы или при необходимости из подключаемых библиотек, их имена указываются в специальном файле CONFIG.SYS. Такая схема облегчает добавление новых устройств и позволяет делать это, не затрагивая системные файлы MS Windows.

Доступ к основным загрузочным и текущим настройкам операционной системы MS Windows осуществляется через файл MSCONFIG со следующим графическим интерфейсом:

 

 

Персональный компьютер по составу аппаратных и программных средств, а также по принятой классификации можно отнести к разряду малогабаритных комплексов средств автоматизации, поэтому на них можно распространить тот же подход. С позиций защиты информации персональный компьютер как автономная система имеет такой же состав типовых средств ввода-вывода, обработки и хранения информации, как и комплекс средств автоматизации, описанный в разделах выше.

Особенностью персонального компьютера с позиций защиты являются его конструкция, программные средства и стоимость.

Его конструкция рассчитана на работу в одно время только одного пользователя. Масса и габаритные размеры этой вычислительной системы таковы, что ее можно разместить в небольшом металлическом шкафу. Благодаря своему назначению, стоимости и конструкции персональный компьютер может использоваться только одним пользователем. А сокращение количества пользователей уменьшает и количество потенциальных нарушителей.

Программное обеспечение персональных компьютеров дает возможность изменять и разрабатывать практически любые программы, что является одновременно и большим достоинством системы, и недостатком с позиций защиты обрабатываемой на ней информации. Здесь два требования вступают в противоречие.

Во-первых, персональный компьютер отличается полной доступностью всех ресурсов машины, например, адресуется вся оперативная память, включая области, используемые системой (кроме защищенного режима). Пользователь может свободно обращаться к любой ячейке памяти и изменять ее содержимое. Конечно, многие программные продукты, используемые на персональных компьютерах, включают в себя отдельные средства защиты, однако отсутствие как базового набора средств гарантированного обеспечения безопасности информации, так и систематической политики значительно снижают эффективность использования отдельных, не связанных друг с другом средств защиты.

Во-вторых, один персональный компьютер может работать в многопользовательском режиме, а также широко применяться в вычислительных и информационных сетях различного масштаба и в круглосуточном режиме, что повышает уязвимость обрабатываемой информации и делает проблему ее безопасности в персональных компьютерах весьма актуальной. В силу данных обстоятельств защита информации в персональных компьютерах имеет свои особенности, что служит основанием для рассмотрения ее в отдельном разделе.

 

Потенциальные угрозы информации, обрабатываемой в персональных компьютерах 

 

Потенциальные угрозы информации в персональных компьютерах так же, как и в большом комплексах средств автоматизации обработки информации и управления, выражаются в виде случайных и преднамеренных воздействий, а также их сочетаний. Методы и средства борьбы с ними применимые для больших комплексов (см. раздел 2) применимы и для персональных компьютеров. Особый случай составляют программные вирусы, природа рождения которых имеет преднамеренный характер, а попадание в конкретный компьютер — случайный. Однако этот процесс нельзя описать обычными методами для случайных процессов, поэтому целесообразно защиту от вирусов строить, как для преднамеренных воздействий, исходя из наихудшего (опасного) случая: любой вирус может появиться в любое время.

Возможные каналы преднамеренного несанкционированного доступа к информации в персональных компьютерах зависят от условий его эксплуатации: используется ли персональный компьютер одним пользователем или группой. В первом случае потребуется защита только от постороннего человека, во втором — от любого из пользователей, работающих на одном персональном компьютере.

При отсутствии средств защиты в случае, когда на персональном компьютере работает один пользователь, возможны следующие каналы несанкционированного доступа:

                   рабочая станция (терминал) пользователя (клавиатура и средство отображения информации);

                   средство документирования информации;

                   средство загрузки программного обеспечения;

                   носители информации (машинные и бумажные);

                   внутренний монтаж персональных компьютеров;

                   побочное электромагнитное излучение;

                   побочные наводки информации по сети электропитания и заземления аппаратуры;

                   побочные наводки на цепях посторонней аппаратуры;

                   отходы, брошенные в мусорную корзину.

Потенциальные угрозы безопасности информации в персональных компьютерах и возможные каналы несанкционированного доступа к ней иллюстрируются рис.1.

Имея доступ к клавиатуре персонального компьютера, нарушитель может считать, снять копию, ввести несанкционированную информацию, похитить или модифицировать ее и программное обеспечение, включая ввод компьютерного вируса.

Наблюдая за информацией на экране дисплея и распечаткой на принтере, нарушитель может ознакомиться с обрабатываемой информацией. Владея средствами загрузки (клавиатурой и собственным внешним носителем), нарушитель может модифицировать программное обеспечение и ввести компьютерный вирус. Несанкционированный доступ к носителям информации может выразиться в подмене, хищении, снятии копии программ и информации, что может привести к их модификации, утечке и разрушению. На сданных в ремонт или переданных для других целей машинных носителях может быть прочитана остаточная информация, даже если она была удалена. Несанкционированный доступ к внутреннему монтажу может привести к подмене узлов, вводу сложной неисправности или установке постороннего устройства — передатчика информации по радиоканалу (закладки). Побочные электромагнитные излучения и наводки, несущие информацию, могут приниматься и декодироваться на специальных высокочувствительных приемниках, находящихся на значительном расстоянии от работающего персонального компьютера.

Перечисленные возможные каналы несанкционированного доступа имеют место независимо от присутствия или отсутствия штатного пользователя, так как мы вначале условились, что средства защиты, включая организационные, отсутствуют, и несанкционированным действиям нарушителя ничто и никто не препятствует, т. е. исходя из принятой в концепции защиты модели нарушителя мы рассматриваем наиболее опасный случай. Нарушитель воспользуется наиболее удобным для него в данный момент времени каналом.

При эксплуатации персональных компьютеров несколькими пользователями и наличии возможного среди них нарушителя опасность несанкционированного доступа возрастает, так как каждый из них имеет законный доступ к средствам загрузки, ввода-вывода информации и установить факт несанкционированного доступа и истинного нарушителя будет очень трудно, особенно в случаях модификации и утечки информации, а также преднамеренного ввода компьютерного вируса, активная деятельность которого обычно начинается с задержкой во времени, величина которой неизвестна.

 

Система защиты информации от несанкционированного доступа (НСД) в персональных компьютерах 

Наиболее простой и надежный способ защиты информации от несанкционированного доступа — режим автономного использования персонального компьютера одним пользователем, работающим в отдельном помещении при отсутствии посторонних лиц, без доступа в сети (конечно же это самая идеальная ситуация). В этом случае роль замкнутого контура защиты выполняют помещение, его стены, потолок, пол и окна. Если стены, потолок, пол и дверь достаточно прочны, пол не имеет люков, сообщающихся с другими помещениями, окна и дверь оборудованы охранной сигнализацией, то прочность защиты будет определяться техническими характеристиками охранной сигнализации при отсутствии пользователя (персональный компьютер не включен) в нерабочее время.

В рабочее время, когда персональный компьютер включен, возможна утечка информации за счет ее побочного электромагнитного излучения и наводок. Для устранения такой опасности, если это необходимо, проводятся соответствующие технические мероприятия по уменьшению или зашумлению сигнала (см. раздел 2). Кроме того, дверь помещения для

Рис. 1. Возможные каналы несанкционированного доступа к информации персональных компьютеров и потенциальные угрозы

 

исключения доступа посторонних лиц должна быть оборудована механическим или электромеханическим замком. В некоторых случаях, когда в помещении нет охранной сигнализации, на период длительного отсутствия пользователя персональный компьютер полезно помещать в сейф, по крайней мере хотя бы ее системный блок и носители информации.

Применение в некоторых персональных компьютерах в системе ввода-вывода BIOS встроенного аппаратного пароля, блокирующего загрузку и работу персонального компьютера, к сожалению, не спасает положения, так как данная аппаратная часть при отсутствии на корпусе системного блока замка и отсутствии хозяина может быть свободно заменена на другую — такую же (так как узлы унифицированы), но только с известным значением пароля. Обычный механический замок, блокирующий включение и загрузку персонального компьютера, более эффективная в этом случае мера.

В последнее время для защиты от хищения специалисты рекомендуют механически закреплять персональный компьютер к столу пользователя. Однако при этом следует помнить, что при отсутствии охранной сигнализации, обеспечивающей постоянный контроль доступа в помещение или к сейфу, прочность замков и креплений должна быть такова, чтобы ожидаемое суммарное время, необходимое нарушителю для преодоления такого рода препятствий или обхода их, превышало время отсутствия пользователя персонального компьютера. Если это сделать не удается, то охранная сигнализация обязательна. Тем самым будет соблюдаться основной принцип срабатывания защиты и, следовательно, будут выполняться требования по ее эффективности.

Перечисленные выше меры защиты информации ограниченного доступа от нарушителя-непрофессионала в принципе можно считать достаточными при работе с автономным персональным компьютером одного пользователя. На практике же человек не может постоянно быть изолированным от общества, в том числе и на работе. Его посещают друзья, знакомые, сослуживцы обращаются по тем или иным вопросам. Отдельное помещение для его работы не всегда может быть предоставлено. По рассеянности или озабоченный личными проблемами пользователь может компьютер включить, а ключ оставить в замке; на столе забыть носитель информации, а сам на короткое время покинуть помещение, что создает предпосылки для несанкционированного доступа к информации лиц, не допущенных к ней, но имеющих доступ в помещение. Распространенные развлекательные программы могут послужить средством для занесения программных вирусов в персональный компьютер.

Все перечисленные средства и им подобные должны с различной степенью безопасности обеспечивать только санкционированный доступ к информации и программам со стороны клавиатуры, средств загрузки и внутреннего монтажа компьютера.

Защита от несанкционированного доступа со стороны клавиатуры усложняется тем, что современные компьютеры по своему назначению обладают широким спектром функциональных возможностей, которые с течением времени продолжают развиваться. Более того, иногда кажется, что требования по защите вступают в противоречие с основной задачей компьютера: с одной стороны, персональный компьютер — серийное устройство массового применения, с другой — индивидуального.

Если в каждый из выпускаемых персональных компьютеров, например, установить на заводе-изготовителе электронный замок, открываемый перед началом работы пользователем с помощью ключа-пароля, то возникает вопрос защиты хранения и последующей замены его ответной части в замке. Если ее может заменить пользователь, то это может сделать и нарушитель. Если эта часть компьютера постоянна, то она известна изготовителям, через которых может стать известной и нарушителю. Однако последний вариант более предпочтителен при условии сохранения тайны ключа фирмой-изготовителем, а также высокой стойкости ключа к подделке и расшифровке. Стойкость ключа должна быть известна и выражаться в величине затрат времени нарушителя на выполнение этой работы, так как по истечении этого времени необходима замена его на новый, если защищаемый компьютер продолжает использоваться. Но и этого условия тоже оказывается недостаточно. Необходимо также, чтобы ответная часть ключа — замок тоже не был доступен потенциальному нарушителю. Стойкость замка к замене и подделке должна быть выше стойкости ключа и равняться времени эксплуатации компьютера при обязательном условии невозможности его съема и замены нарушителем. В роли "замка" могут выступать специальные программные фрагменты, закладываемые пользователем персонального компьютера в свои программы и взаимодействующие по известному только пользователю алгоритму с электронным ключом.

Анализ потенциальных угроз безопасности информации и возможных каналов несанкционированного доступа к ней в персональных компьютерах показывает их принципиальное сходство с аналогичными угрозами и каналами, рассмотренными в раздах 2 и 3. Следовательно, методы защиты должны быть такими же, а технические средства защиты должны строиться с учетом их сопряжения с ее аппаратными и программными средствами. В целях перекрытия возможных каналов несанкционированного доступа к информации персонального компьютера, кроме упомянутых, могут быть применены и другие методы и средства защиты.

При использовании персонального компьютера в многопользовательском режиме необходимо применить в ней программы контроля и разграничения доступа, аналогичную описанной в главе 3, раздела 4. Существует много подобных программ, которые часто разрабатывают сами пользователи.

Однако специфика работы программного обеспечения персонального компьютера такова, что с помощью ее клавиатуры достаточно квалифицированный программист-нарушитель может защиту такого рода легко обойти. Поэтому эта мера эффективна только для защиты от неквалифицированного нарушителя. Для защиты от нарушителя-профессионала поможет комплекс программно-аппаратных средств. Например, специальный электронный ключ, вставляемый в свободный слот ПК, и специальные программные фрагменты, закладываемые в прикладные программы ПК, которые взаимодействуют с электронным ключом по известному только пользователю алгоритму. При отсутствии ключа эти программы не работают. Однако такой ключ неудобен в обращении, так как каждый раз приходится вскрывать системный блок персонального компьютера. В связи с этим его переменную часть — пароль — выводят на отдельное устройство, которое и становится собственно ключом, а считывающее устройство устанавливается на лицевую панель системного блока или выполняется в виде выносного отдельного устройства. Таким способом можно заблокировать и загрузку персонального компьютера, и программу контроля и разграничения доступа.

Подобными возможностями или аналогичными по действию, обладают наиболее популярные электронные ключи как иностранных фирм изготовителей, так и отечественных.

Среди них большая часть предназначена для защиты от несанкционированного копирования программного продукта, т. е. для защиты авторского права на его создание, следовательно, для другой цели.

Однако при этом остаются не всегда защищенными каналы отображения, документирования, носители программного обеспечения и информации, побочное электромагнитное излучение и наводки информации. Их перекрытие обеспечивается уже известными методами и средствами: размещением компьютера в защищенном помещении, учетом и хранением носителей информации в металлических шкафах и сейфах, шифрованием и т.д.

Определенную проблему представляет собой защита от несанкционированного доступа остатков информации, которые могут прочитать при наложении на старую запись новой информации на одном и том же носителе, а также при отказах аппаратуры.

Отходы носителей скапливаются в мусорной корзине. Поэтому во избежание утечки информации должны быть предусмотрены средства механического уничтожения отработанных носителей с остатками информации.

Отдельную проблему в защите программного обеспечения и информации составляет проблема защиты от вредоносных программ (вирусов).

Если персональный компьютер работает в автономном режиме, проникновение вируса возможно только со стороны внешних носителей программного обеспечения и информации. Если персональный компьютер является элементом информационной системы и компьютерной сети (или автоматизированной системы управления), то проникновение вируса возможно также и со стороны каналов связи. Данный вопрос рассмотрен ниже в специальном разделе.

Еще один уровень защиты от неквалифицированного нарушителя может быть обеспечен путем использования компрессии данных (архивирования). Этот метод выгоден тем, что:

                   экономит пространство при хранении файлов на диске;

                   уменьшает время шифрации-дешифрации;

                   затрудняет незаконное расшифрование файла;

                   уменьшает время передачи в процессе передачи данных.

Компрессия данных (или упаковка) файла представляет собой (в самом простом случае) удаление пробелов и (или) нулей из файлов и подмену комбинаций. Имеется несколько методов компрессии данных, из них наиболее известные кодирование Хоффмана, метод Линга и Палермо, а также Шеграфа и Хипса. Для использования на компьютере известно достаточно много программ архивирования. Во всех случаях можно упаковать файлы данных, по крайней мере, на 40%, но экономия для программ и графических файлов менее значительна и зависит от применяемого языка. Архивирование информации рекомендуется применять в комбинации с шифрацией.

Шифрование обеспечивает самый высокий уровень безопасности данных. Как в аппаратном, так и в программном обеспечении применяются различные алгоритмы шифрования.

Программные средства, работающие с дисками на физическом уровне, предоставляют в некоторых случаях возможность обхода программных средств защиты.

Эти программные средства используют в интерактивном или автоматическом режимах команды считывания и записи секторов по абсолютному адресу на диске.

Кроме того, существуют программы, позволяющие создавать программное обеспечение, способное производить чтение или запись по абсолютным адресам, а также программ, обеспечивающих просмотр и отладку программных продуктов в режиме дизассемблера, просмотр и редактирование оперативной памяти персональных компьютеров.

К таким программам относятся трансляторы с языков низкого уровня, языков высокого уровня, программы-отладчики и программы работы с оперативной памятью. С помощью таких программ могут быть раскрыты программные средства защиты информации на жестких дисках.

Однако наличие таких программных средств служит для других целей — для восстановления испорченной вирусами или неосторожными действиями пользователей информации. Следовательно, их применение должно быть строго регламентировано и доступно только администратору системы. Определенное развитие имеют методы и средства защиты от анализа программ

Для создания замкнутой оболочки защиты информации в персональных компьютерах и объединения перечисленных средств в одну систему необходимы соответствующие средства управления и контроля. В зависимости от режима использования персональных компьютеров — автономного или сетевого (в составе сети — локальной, региональной или глобальной) — они будут носить различный характер.

В автономном режиме могут быть два варианта управления: однопользовательский и многопользовательский. В первом случае пользователь сам выполняет функции управления и контроля и несет ответственность за безопасность своей и доверяемой ему информации.

В многопользовательском режиме перечисленные функции рекомендуется поручить специальному должностному лицу. Им может быть один из пользователей или руководитель работ. При этом, однако, ключи шифрования и информация, закрытая ими другим пользователем, ему могут быть недоступны до момента передачи руководителю работ.

В автономном режиме, в интересах безопасности информации, выполняются следующие функции управления и контроля:

                   ведение списка и идентификация пользователей, допущенных к информации персонального компьютера;

                   генерация значений паролей и их распределение по пользователям;

                   назначение полномочий пользователей;

                   контроль доступа пользователей к информации и регистрация несанкционированного доступа в специальном журнале, недоступном для них;

                   контроль целостности программного обеспечения и информации персонального компьютера;

                   контроль гарантированного уничтожения остатков секретной информации;

                   визуальный контроль вскрытия системного блока персонального компьютера;

                   регистрация и учет машинных носителей информации;

                   регистрация и учет бумажных секретных документов;

                   контроль несанкционированной загрузки персонального компьютера;

                   антивирусный контроль;

                   периодический контроль функционирования средств защиты от ПЭМИН.

Следует отметить, что в автономном режиме функции контроля ослаблены из-за отсутствия механизма быстрого обнаружения несанкционированного доступа, так как это приходится осуществлять организационными мерами по инициативе человека. Следовательно, многопользовательский режим нежелателен с позиций безопасности и не рекомендуется для обработки важной информации.

В сетевом варианте можно автоматизировать процесс контроля и все перечисленные функции выполнять со специального рабочего места службы безопасности.

В сетевом варианте должностное лицо — пользователь может передавать сообщения и документы другому пользователю по каналам связи,

Рис. 2. Схема распределения средств защиты по возможным каналам несанкционированного доступа персональных компьютеров

 

и тогда возникает необходимость выполнять, в интересах безопасности передаваемой информации, дополнительные функции по обеспечению абонентского шифрования и цифровой подписи сообщений.

Для иллюстрации вышеизложенного на рис. 36.2 приведена схема распределения средств защиты по возможным каналам несанкционированного доступа персонального компьютера. Согласно принятой концепции безопасности покажем, как отдельные средства защиты образуют систему защитных оболочек. Такая система представлена в табл. 1.

Таблица 1. Система образования замкнутых защитных оболочек от несанкционированного доступа к аппаратуре, программному обеспечению и информации в персональных компьютерах

Номер оболочки	Состав защитных оболочек	Примечание
1	Физическая преграда с охранной сигнализацией и контрольно-пропускной пункт на территории объекта защиты, средства защиты от ПЭМИН, средства уничтожения остатков информации на носителях, шифрование информации на носителях	Средства защиты закрывают возможные каналы несанкционированного доступа выходящие за пределы контролируемой территории (носители могут выноситься за ее пределы)-
2	Отдельное помещение с контролируемым доступом, средства уничтожения остатков информации на носителях, шифрование информации	Доступ к каналу ПЭМИН открыт
3	Системный блок персонального компьютера с кожухом на замке, блокировка замком включения электропитания и загрузки персонального компьютера, сейфы для хранения носителей информации, шифрование информации	—
4	Программное обеспечение антивирусной защиты - операционная системная оболочка - специальное преобразование данных - раздельное хранение носителей информации - электронный ключ	Доступ к клавиатуре, дисплею, принтеру и дисководу открыт

 

Компьютерные вирусы и средства защиты от них 

 

Источники компьютерных вирусов. Защита от компьютерных вирусов — отдельная проблема, описанию решений которой посвящено много книг, учебников и учебных пособий, в том числе и учебное пособие авторов «Антивирусная защита корпоративных и банковских информационных систем». В них данная проблема рассматривается с разных точек зрения и определяются разнообразные подходи к решению задач.

В данном учебном пособии приведены лишь некоторые сведения, необходимые для ознакомления с проблемой и отдельными путями ее решения.

Для современных компьютерных сетей, состоящих из персональных компьютеров, большую опасность представляют злоумышленники, обладающие достаточно высоким профессиональным интеллектом и способностями. Деятельность этих лиц представляет серьезную опасность. Достаточно ознакомиться с соответствующей статистикой в информационной сети Интернет (по сетевым червям, например).

Подобные вредоносные действия наносят существенный ущерб владельцам компьютеров. Основная часть потерь связана с прекращением обработки информации, простоем терминалов пользователей и затратами на восстановление испорченных данных. Причем восстановление подчас бывает самой дорогостоящей процедурой. Опасность, которую представляет подобная деятельность, усугубляется еще и тем, что в их распоряжении находятся современные средства обмена информацией, такие, как глобальная информационная сеть Интернет.

Часто злоумышленниками становятся недовольные или нелояльные сотрудники, имеющие доступ к компьютерным средствам. Причем ущерб, который они могут нанести своими действиями, может быть особенно велик потому, что они досконально знакомы с особенностями системы защиты данной сети и, хорошо осведомлены о степени ценности тех или иных данных. При проникновении в компьютерную систему злоумышленник размещает в ней программу типа "Троянский конь", которая модифицирует работу программного обеспечения входа или управления обменом данными с сетью для того, чтобы выявить пароли пользователей и администраторов системы. Проникновение в систему часто осуществляется путем сообщения ей имен точек входа и паролей, используемых по умолчанию и упоминаемых в описании системы, а также за счет известных ошибок в средствах защиты. Если ошибки исправлены, то злоумышленникам часто удается угадать пароль. Эффективность угадывания паролей увеличивается с помощью программ расшифровки, которые вполне можно найти в определенных разделах сети Интернет.

Преступление с помощью компьютерных средств создает видимость безопасного для нарушителей благодаря следующим обстоятельствам:

                   не оставляет почти никаких материальных свидетельств;

                   не требует установления прямого контакта между преступником и его жертвой;

                   осуществляется достаточно быстро (при необходимой предварительной подготовке);

                   требует применения сложных технических средств для сбора косвенных улик и доказательств виновности.

Необходимо отметить, что уже выработано достаточно четких правовых норм, классифицирующих факт данных преступлений и ответственность за них.

Не существует ни одной исчерпывающей модели поведения при совершении компьютерных преступлений. Ранее много вторжений осуществлялось злоумышленниками, которые испытывают потребность совершить то, что, по их мнению, является решением интеллектуальной задачи или головоломки, которую они считают вызовом своим способностям. Сейчас вторжения чаще всего носят финансовый характер, т.е. заказной. И поэтому становятся более серьезными как по последствиям, так и по арсеналу применяемого инструментария.

Вредоносные действия при помощи компьютерных средств сейчас совершают не столько одиночки, сколько коллективы и сообщества.

Что создает еще большие трудности противостоянию данным деструктивным процессам в информационных системах, и заставляет специалистов работающих в области защиты информации еще более мобилизоваться и кооперироваться для успешных действий.

При автономном режиме работы компьютера источниками компьютерного вируса могут быть посторонние носители программных изделий: внешние носители информации и совместная работа за одним компьютером с нарушителем. Попадание вируса в компьютер происходит по причинам случайного и преднамеренного характера. Отсутствие учета и порядка в хранении внешних носителей, их проверке перед использованием может привести к преднамеренной подмене на "зараженный" носитель.

В компьютерную сеть вирус может проникнуть и по каналам связи вместе с сообщением, принятым пользователем-нарушителем, имеющим законный доступ или же подключившимся к сети незаконным образом.

 

Потенциальные угрозы и характер проявления компьютерных вирусов. Компьютерный вирус — это специально написанная, обычно небольшая по размерам программа, которая может "приписывать" себя к другим программам (т. е. "заражать" их), а также выполнять различные нежелательные действия на компьютере (например, портить файлы или таблицу размещения файлов на диске, "засоряя" оперативную память, и т. д.). Подобные действия выполняются достаточно быстро, и никаких сообщений при этом на экран не выдается. Далее вирус передает управление той программе, в которой он находится. Внешне работа зараженной программы выглядит так же, как и незараженной.

Некоторые разновидности вирусов устроены таким образом, что после первого запуска зараженной этим вирусом программы вирус остается постоянно (точнее до перезагрузки операционной системы) в памяти компьютера и время от времени заражает файлы и выполняет другие вредные действия на компьютере. По прошествии некоторого времени одни программы перестают работать, другие — начинают работать неправильно, на экран выводятся произвольные сообщения или символы и т. д. К этому моменту, как правило, уже достаточно много (или даже большинство) программ оказываются зараженными вирусом, а некоторые файлы и диски испорченными. Более того, зараженные программы могут быть перенесены с помощью внешних носителей или по локальной сети на другие компьютеры.

Компьютерный вирус может испортить, т. е. изменить любой файл на имеющихся в компьютере дисках, а может "заразить". Это означает, что вирус "внедряется" в эти файлы, т. е. изменяет их так, что они будут содержать сам вирус, который при некоторых условиях, определяемых видом вируса, начнет свою разрушительную работу. В настоящее время, благодаря наличию макрокоманд, может заражаться, а не только быть испорченными, тексты программ и документов, информационные файлы баз данных, таблицы, картинки и другие аналогичные файлы.

 

Средства защиты от компьютерных вирусов. Одна из причин, из-за которых стало возможным такое явление, как компьютерный вирус, — отсутствие в операционных системах эффективных средств защиты информации от несанкционированного доступа. В связи с этим различными фирмами и программистами разработаны программы, которые в определенной степени восполняют указанный недостаток. "Эти программы постоянно находятся в оперативной памяти (являются "резидентными") и "перехватывают" все запросы к операционной системе на выполнение различных "подозрительных" действий, т. е. операций, которые используют компьютерные вирусы для своего "размножения" и порчи информации в компьютере.

При каждом запросе на такое действие на экран компьютера выводится сообщение о том, какое действие затребовано и какая программа желает его выполнять. Пользователь может либо разрешить выполнение этого действия, либо запретить его.

Такой способ защиты не лишен недостатков. Прежде всего резидентная программа для защиты от вируса постоянно занимает какую-то часть оперативной памяти компьютера, что не всегда приемлемо. Кроме того, при частых запросах, довольно ощутимо замедляется работа пользователя и отвечать на них может ему надоесть. И наконец, имеются виды вирусов, работа которых не обнаруживается резидентными программами защиты. Однако преимущества этого способа весьма значительны. Он позволяет обнаружить вирус на самой ранней стадии, когда вирус еще не успел размножиться и что-либо испортить. Тем самым можно свести убытки от воздействий компьютерного вируса к минимуму.

Более ранняя диагностика вируса в файлах на диске основана на том, что при заражении и порче вирусом файлы изменяются, а при заражении, как правило, еще и увеличиваются в своем размере. Для проверки того, не изменился ли файл, вычисляется его контрольная сумма — некоторая специальная функция всего содержимого файла. Для вычисления контрольной суммы необходимо прочесть весь файл, а это относительно длительный процесс. В связи с этим, как правило, при обычной проверке на наличие вируса вычисление контрольной суммы производится только для нескольких особо важных файлов, а у остальных файлов проверяется лишь их размер, указанный в каталоге. Подобную проверку наиболее целесообразно производить для файлов на жестком диске.

Большинство пользователей знают о том, что запись на дискету, флэш - карту и т.п. можно запретить, используя встроенную механическую защиту от записи. Эта возможность широко используется многими для защиты информации на "эталонных" подобных носителях, содержащих архивные файлы, программы и данные, которые могут использоваться, но не должны меняться. Этот же способ можно применить для защиты от вирусов рабочего носителя, в которую не потребуется вводить какую-либо запись.

Защитить файлы от записи можно и на жестком диске. Для этого поле памяти диска следует разбить с помощью специальных программ на несколько частей — условных логических дисков. Если на жестком диске имеется несколько логических дисков, доступных операционной системе, то некоторые из них можно сделать доступными только для чтения, что также послужит средством защиты от заражения или порчи вирусом (определенного уровня стойкости к взлому).

Если заранее известно (хотя бы приблизительно), какую часть жесткого диска могут занимать программы и данные, не изменяемые в процессе выполнения текущей задачи, то целесообразно разбить жесткий диск на два логических диска, один из которых отвести для хранения изменяемых программ и данных, а другой с защитой от записи — для хранения программ и данных, которые будут использоваться, но не изменяться.

Другой уровень защиты основывается:

на сегментации жесткого диска с помощью специального драйвера, обеспечивающего присвоение отдельным логическим дискам атрибута READ ONLY;

на системе парольного доступа;

на использовании для хранения ценной информации разделов жесткого диска, отличных от C и D, не указываемых в РАТН, или скрытых с помощью средств реестра операционной системы.

При этом рекомендуется раздельное хранение исполняемых программ и баз данных.

При правильном размещении операционной системы можно гарантировать, что после канальной загрузки она не будет заражена резидентным файловым вирусом. Главное в этом случае — разместить операционную систему в защищенном от записи разделе. Кроме того, вновь полученные утилиты нельзя включать в состав этого диска без тщательной проверки на отсутствие вирусов и прохождения "карантинного" режима.

Если программное изделие получено без сертификата, из сомнительного источника или не эксплуатировалось в том месте, откуда было получено, первые несколько дней его полезно эксплуатировать в карантинном режиме с использованием, если это возможно, ускоренного календаря. Это повышает вероятность обнаружения "троянской" компоненты, срабатывающей в определенное время. При работе со вновь поступившими программами целесообразно употребление специального имени пользователя. Для выбранного имени все остальные разделы должны быть либо невидимы, либо иметь статус READ ONLY. При этом для всех компонент операционной системы и некоторых утилит, используемых как "ловушки" для вируса, следует записать в соответствующий файл контрольные суммы, вычисленные соответствующей программой.

Основным средством защиты от вирусов служит архивирование. Другие методы заменить его не могут, хотя и повышают общий уровень защиты. Архивирование необходимо делать ежедневно. Архивирование заключается в создании копий используемых файлов и систематическом обновлении изменяемых файлов. Для этой цели удобно использовать специально разработанные программы. Они дают возможность не только экономить место на специальных архивных дисках, но и объединять группы совместно используемых файлов в один архивный файл, в результате чего гораздо легче разбираться в общем архиве файлов. Наиболее уязвимыми считаются таблицы размещения файлов, главного каталога и бутсектор. Файлы, создаваемые этими утилитами, рекомендуется периодически копировать на специальный носитель. Их резервирование важно не только для защиты от вирусов, но и для страховки на случай аварийных ситуаций или чьих-то действий, в том числе собственных ошибок. Современные операционные системы позволяют это делать в автоматическом или полуавтоматическом режиме, в них встроены программные утилиты так называемого аварийного восстановления.

В целях профилактики для защиты от вирусов рекомендуется:

                   работа с внешними носителями информации, защищенными от записи;

                   минимизация периодов доступности внешних носителей информации для записи;

                   разделение внешних носителей информации между конкретными ответственными пользователями;

                   разделение передаваемых и поступающих внешних носителей информации;

                   раздельное хранение вновь полученных программ и эксплуатировавшихся ранее;

                   хранение программ на жестком диске в архивированном виде.

Вновь поступившие программные изделия должны подвергаться входному контролю — проверке соответствия длины и контрольных сумм в сертификате полученным длинам и контрольным суммам. Систематическое обнуление первых трех байтов сектора начальной загрузки на полученных внешних носителях информации до их использования поможет уничтожению "бутовых" вирусов (хотя в настоящее время их распространение практически заблокированно).

Многие программисты и организации разрабатывают собственные или используют готовые программы для обнаружения и удаления вирусов на своих компьютерах и дисках. Обнаружение вируса основано на том, что каждая конкретная версия вируса, как любая программа, содержит присущие только ей комбинации байтов. Программы-фильтры проверяют, имеется ли в файлах на указанном пользователем носителе специфическая для данного вируса комбинация байтов. При ее обнаружении в каком-либо файле на экран выводится соответствующее сообщение. Для обнаружения вирусов также используется специальная обработка файлов, дисков, каталогов — вакцинирование: запуск резидентных программ-вакцин, имитирующих сочетание условий, в которых заработает данный тип вируса и проявит себя.

Существуют также специальные программы удаления конкретного вируса в зараженных программах. Такие программы называются программами-фагами. С зараженными файлами программа-фаг выполняет (если это возможно) действия, обратные тем, которые производятся вирусом при заражении файла, т. е. делает попытку восстановления файла. Те файлы, которые не удалось восстановить, как правило, считаются неработоспособными и удаляются.

Следует подчеркнуть, что действия, которые надо предпринять для обнаружения и удаления вируса, индивидуальны для каждой версии вируса. Пока не существует универсальной программы, способной обнаружить любой вирус. Поэтому надо иметь в виду, что заражение компьютера возможно и такой разновидностью вируса, которая не выявляется известными программами для их обнаружения.

В настоящее время трудно назвать более или менее точно количество типов вирусов, так как оно постоянно увеличивается. Соответственно увеличивается, но с некоторым запаздыванием, и число программ для их обнаружения, хотя в настоящее время существует определенный список лидеров – разработчиков в данной области создания антивирусного программного обеспечения.

Проблему защиты информации и программных продуктов от вирусов необходимо рассматривать в общем контексте проблемы защиты от несанкционированного доступа. Основной принцип, который должен быть положен в основу методологии защиты от вирусов, состоит в создании многоуровневой распределенной системы защиты, включающей приведенные выше средства. Наличие нескольких уровней позволяет компенсировать недостатки одних средств защиты достоинствами других. Если вирус обойдет один вид защиты, то может быть остановлен другим. Для того чтобы избежать появления компьютерных вирусов, необходимо соблюдать прежде всего элементарные следующие меры:

                   не переписывать программное обеспечение с других компьютеров. Если это необходимо, то следует принять перечисленные выше меры;

                   не допускать к работе на компьютере посторонних лиц, особенно если они собираются работать со своими носителями;

                   не пользоваться посторонними носителями информации, особенно с компьютерными играми.

 

Типичные ошибки пользователя, приводящие к заражению персональных компьютеров вирусами.

Первая ошибка и одна из самых грубых и распространенных ошибок при использовании персональных компьютеров — отсутствие надлежащей системы архивирования информации.

Вторая грубая ошибка — запуск полученной программы без ее предварительной проверки на зараженность и без установки максимального режима защиты винчестера с помощью систем разграничения доступа и запуска резидентного сторожа.

Третья типичная ошибка — выполнение перезагрузки системы при наличии установленного внешнего носителя в порт разрешенный для загрузки операционной системы с внешнего носителя. При этом BIOS делает попытку загрузиться именно с этого носителя, а не с винчестера, в результате, если носитель заражен вирусом, происходит заражение винчестера.

Одна из грубейших ошибок — анализ и восстановление программ на зараженной операционной системе. Данная ошибка может иметь катастрофические последствия. В частности, при этом могут быть заражены и остальные программы. Например, ранее существовал резидентный вирус RСЕ-1800 (Dark Avenger) запуск программы-фага, не рассчитанной на данный вирус, приводит к заражению всех проверявшихся данной программой загрузочных модулей, поскольку вирус RСЕ-1800 перехватывает прерывание по открытию и чтению файлов и при работе фага будет заражен каждый проверяемый им файл.

Поэтому проверять зараженный компьютер следует только на предварительно загруженном с защищенном от записи носителе «эталонной» операционной системы, используя только программы, хранящиеся на защищенных от записи носителях.

Более подробные сведения по защите от компьютерных вирусов можно получить из специальной литературы и описаний антивирусных программ.