1.4 Классификация и описание процессов реализации угроз непосредственного и удаленного доступа к элементам иткс

1.4.1 Классификация

Угрозы, связанные с несанкционированным доступом, разделяются по используемым средствам доступа на угрозы без использования и с использованием программно-аппаратного обеспечения. При этом угрозы без использования программно-аппаратного обеспечения в свою очередь разделяются по способу воздействия на угрозы путем внедрения аппаратных закладок и угрозы путем физического (механического) воздействия. Кроме того, по признаку удаленности субъекта доступа угрозы НСД с использованием программно-аппаратного обеспечения разделяются на угрозы непосредственного доступа и угрозы удаленного доступа. Если угрозы непосредственного доступа к компьютеру вполне очевидны, то угрозы удаленного доступа (сетевых атак) классифицируются еще по целому ряду классификационных признаков (рис.14).

1.4.1.1 Классификация угроз непосредственного доступа в операционную среду компьютера

Существует большое количество различных операционных систем, таких как: MS_DOS; Windows (различных версий); Unix; Linux и др. Рассмотрим непосредственный доступ в ОС операционной системы Windows XP, так как в настоящее время данная операционная система получила самое широкое применение. Непосредственный доступ в ОС компьютера можно классифицировать, как показано на рисунке 1.3.

Первоочередной задачей является рассмотреть доступ посредством преодоления парольной защиты на вход в ОС компьютера. Система парольной защиты, которая имеется во всех современных операционных системах, в том числе в Windows XP, является основным защитным рубежом при осуществлении доступа в ОС компьютера. В соответствии с установившейся практикой перед началом сеанса работы с ОС пользователь обязан зарегистрироваться, сообщив ей свое имя и пароль. Имя требуется ОС для идентификации пользователя, а пароль служит подтверждением правильности произведенной идентификации. Информация, введенная пользователем в диалоговом режиме, сравнивается с той, что имеется в распоряжении ОС.

Рисунок 1.3 — Классификация механизмов непосредственного проникновения в ОС компьютера

Если проверка дает положительный результат, то пользователю становятся доступны все ресурсы ОС, связанные с его именем [41].

Непосредственный доступ в ОС компьютера, посредством преодоления парольной защиты на вход в ОС компьютера можно разделить по двум направлениям:

– непосредственный доступ в ОС компьютера, посредством подбора паролей на вход в ОС компьютера;

– непосредственный доступ в ОС компьютера, посредством сброс паролей на вход в ОС компьютера.

Рассмотрев угрозы непосредственного доступа в ОС компьютера, перейдем к рассмотрению угроз удаленного проникновения.

1.4.1.2 Классификация угроз удаленного доступа к элементам иткс

Угрозы удаленного доступа можно классифицировать по следующим признакам [2, 30, 31, 40]:

1) По характеру воздействия

а) пассивные;

б) активные.

Пассивным воздействием на распределенную вычислительную систему назовем воздействие, которое не оказывает непосредственного влияния на работу системы, но может нарушать ее политику безопасности. Именно отсутствие непосредственного влияния на работу ИТКС приводит к тому, что пассивное удаленное воздействие практически невозможно обнаружить. Примером пассивного типового удаленного воздействия в ВС служит прослушивание канала связи в сети.

Под активным воздействием на ИТКС будем понимать воздействие, оказывающее непосредственное влияние на работу системы (изменение конфигурации ИТКС, нарушение работоспособности и т. д.) и нарушающее принятую в ней политику безопасности [28]. Практически все типы удаленных атак являются активными воздействиями. Это связано с тем, что в самой природе разрушающего воздействия содержится активное начало. Очевидной особенностью активного воздействия по сравнению с пассивным является принципиальная возможность его обнаружения (естественно, с большей или меньшей степенью сложности), так как в результате его осуществления в системе происходят определенные изменения. В отличие от активного, при пассивном воздействии не остается никаких следов.

2) По цели воздействия

а) нарушение конфиденциальности информации либо ресурсов системы;

б) нарушение целостности информации;

в) нарушение работоспособности (доступности) системы;

Этот классификационный признак является прямой проекцией трех основных типов угроз свойствам информации — конфиденциальности, целостности и доступности.

Основная цель практически любой атаки — получить несанкционированный доступ к информации. Существуют две принципиальные возможности доступа к информации: перехват и искажение. Возможность перехвата информации означает получение к ней доступа, но невозможность ее модификации [9]. Следовательно, перехват информации ведет к нарушению ее конфиденциальности. Примером перехвата информации может служить прослушивание канала в сети. В этом случае имеется несанкционированный доступ к информации без возможности ее искажения. Очевидно также, что нарушение конфиденциальности информации в данном случае является пассивным воздействием.

Возможность искажения информации означает либо полный контроль над информационным потоком между объектами системы, либо возможность передачи сообщений от имени другого объекта. Таким образом, очевидно, что искажение информации ведет к нарушению ее целостности. Данное информационное разрушающее воздействие представляет собой яркий пример активного воздействия.

Принципиально другой целью атаки является нарушение работоспособности системы. В этом случае не предполагается получение атакующим несанкционированного доступа к информации. Его основная цель — добиться, чтобы операционная система на атакуемом объекте вышла из строя и для всех остальных объектов системы доступ к ресурсам атакованного объекта был бы невозможен.

3) По условию начала осуществления воздействия

Удаленное воздействие, также как и любое другое, может начать осуществляться только при определенных условиях. В ИТКС существуют три вида условий начала осуществления удаленной атаки:

а) Атака по запросу от атакуемого объекта.

В этом случае атакующий ожидает передачи от потенциальной цели атаки запроса определенного типа, который и будет условием начала осуществления воздействия.

б) Атака по наступлению ожидаемого события на атакуемом объекте.

В этом случае атакующий осуществляет постоянное наблюдение за состоянием операционной системы удаленной цели атаки и при возникновении определенного события в этой системе начинает воздействие. Как и в предыдущем случае, инициатором осуществления начала атаки выступает сам атакуемый объект.

в) Безусловная атака.

В этом случае начало осуществления атаки безусловно по отношению к цели атаки, то есть атака осуществляется немедленно и безотносительно к состоянию системы и атакуемого объекта. Следовательно, в этом случае атакующий является инициатором начала осуществления атаки.

4) По наличию обратной связи с атакуемым объектом

а) с обратной связью;

б) без обратной связи (однонаправленная атака).

Удаленная атака, осуществляемая при наличии обратной связи с атакуемым объектом, характеризуется тем, что на некоторые запросы, переданные на атакуемый объект, атакующему требуется получить ответ, а, следовательно, между атакующим и целью атаки существует обратная связь, которая позволяет атакующему адекватно реагировать на все изменения, происходящие на атакуемом объекте [20]ф,Инт,Мед,Яз000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000. Подобные удаленные атаки наиболее характерны для ИТКС.

В отличие от атак с обратной связью удаленным атакам без обратной связи не требуется реагировать на какие-либо изменения, происходящие на атакуемом объекте. Атаки данного вида обычно осуществляются передачей на атакуемый объект одиночных запросов, ответы на которые атакующему не нужны.

5) По расположению субъекта атаки относительно атакуемого объекта

а) внутрисегментное;

б) межсегментное.

Рассмотрим ряд определений:

Субъект атаки (или источник атаки) — это атакующая программа или оператор, непосредственно осуществляющие воздействие.

Хост (host) — сетевой компьютер.

Маршрутизатор (router) — устройство, обеспечивающее маршрутизацию пакетов обмена в глобальной сети [36].

Подсеть (subnetwork) (в терминологии Internet) — совокупность хостов, являющихся частью глобальной сети, для которых маршрутизатором выделен одинаковый номер подсети. Подсеть — логическое объединение хостов маршрутизатором [29]. Хосты внутри одной подсети могут взаимодействовать между собой непосредственно, минуя маршрутизатор.

Сегмент сети — физическое объединение хостов. Например, сегмент сети образуют совокупность хостов, подключенных к серверу по схеме «общая шина». При такой схеме подключения каждый хост имеет возможность подвергать анализу любой пакет в своем сегменте [40].

С точки зрения удаленной атаки чрезвычайно важно, как по отношению друг к другу располагаются субъект и объект атаки, то есть в одном или в разных сегментах они находятся. В случае внутрисегментной атаки, как следует из названия, субъект и объект атаки находятся в одном сегменте. При межсегментной атаке субъект и объект атаки находятся в разных сегментах.

В дальнейшем будет показано, что на практике межсегментную атаку осуществить значительно труднее, чем внутрисегментную [2].

6) По уровню эталонной модели ISO/OSI, на котором осуществляется воздействие

а) физический;

б) канальный;

в) сетевой;

г) транспортный;

д) сеансовый;

е) представительный;

ж) прикладной;

Международная Организация по Стандартизации (ISO) приняла стандарт ISO 7498, описывающий взаимодействие открытых систем (OSI). ИТКС также являются открытыми системами. Любой сетевой протокол обмена, как и любую сетевую программу, можно с той или иной степенью точности спроецировать на эталонную семиуровневую модель OSI. Такая многоуровневая проекция позволит описать в терминах модели OSI функции, заложенные в сетевой протокол или программу. Представляется логичным рассматривать удаленные атаки на ИТКС, проецируя их на эталонную модель ISO/OSI.

Рисунок 1.4 — Классификация сетевых атак в ИТКС