3.3.3.4 Угрозы несанкционированного доступа к информации в компьютерной сети

В компьютерной сети (КС) возможны все виды угроз, которые существуют для отдельного рабочего места оператора. Распределенная обработка информации добавляет угрозы, которые специфичны только для компьютерных сетей и связаны с реализацией каналов связи и протоколов межсетевого взаимодействия. Типовые варианты построения компьютерных сетей приведены на рисунках 3.18 и 3.19.

Основными элементами построения и, следовательно, возможными объектами НСД в сети являются:

– АРМ или рабочие станции сети;

– средства управления конфигурацией сети;

– средства управления структурно-адресными таблицами сети;

– средства управления полномочиями пользователей сети;

– средства управления функциональным контролем сети;

– средства управления безопасностью информации в сети;

– каналы связи.

Важнейшим элементом построения сети являются каналы связи, которые могут выходить за пределы охраняемой территории и на которых информация может подвергаться НСД как со стороны штатного пользователя-нарушителя, так и внешнего, путем непосредственного подключения к каналу связи и возможностью перехвата и модификации передаваемой информации.

В компьютерной сети возможны следующие основные виды угроз.

Подключение к КС несанкционированного пользователя авторизированными способами. При этом, как правило, используются методы подбора пароля, перехвата пароля или подключение с одобрения какого-либо законного пользователя, под чьим именем осуществляется доступ. Подбор пароля осуществляется традиционными способами, часто с использованием специальных программ перебора сочетаний символов или выбора слов из специально созданного словаря. Перехват может быть выполнен с помощью программ "клавиатурных шпионов" или имитаторов входа в вычислительную сеть. Компрометация паролей возможна при получении доступа злоумышленника к системным файлам, в которых хранятся пароли или их зашифрованные образы. Возможен также перехват пароля, который передается по ВС в незашифрованном виде. Преодоление парольной защиты и получение прав администратора системы создает угрозы НСД к файлам, изменения установок регистрации и данных учетных записей пользователей или фальсификации записей протокола аудита.

Подключение к КС неавторизированным способом обычно происходит при использовании недекларированных возможностей программно-аппаратного обеспечения ВС или неправильной конфигурацией средств защиты вычислительной системы. Раскрытие данных или их неавторизированная модификация происходит, когда к данным или программному обеспечению осуществляется несанкционированный доступ. При использовании криптографических процедур степень защищенности зависит в первую очередь от сохранения секретности криптографических ключей. Поэтому потенциальный нарушитель будет пытаться установить используемый ключ. При этом могут использоваться:

– процессы формирования ключа, например, датчики случайных чисел;

– передача ключей по незащищенной линии;

– перехват ключей криптомодулей по техническим каналам утечки информации;

– захват (хищение) копий ключей;

– подбор действующих ключей (в случае применения симметричных криптогра­фических методов, например, в настоящее время существует возможность определения кода, используя огромное число параллельных компьютеров – решение "в лоб");

– раскрытие используемых методов шифрования;

– разглашение используемых ключей внутренними нарушителями.

Если нарушитель имеет возможность несанкционированного использования крип­томодуля, то это может приводить к чтению закрытых ключей, их изменению или воз­можности управления параметрами защиты.

Криптомодули могут управляться различными способами, например, они могут содержать:

– пароль высшего приоритета, который может обойти все другие пароли;

– незарегистрированные испытательные режимы, посредством которых можно в любое время обратится к критическим областям данных;

– функции управления правом доступа по некоторым командам.

Возможны также воздействия на криптографические модули вредоносных прог­рамм, что может привести к изменению криптографических алгоритмов, например, путем воздействия на генератор случайных чисел.

Раскрытие трафика компьютерной сети. Трафик может быть скомпрометирован при прослушивании и перехвате данных, передаваемых по каналу связи (при подключении к кабелю сети, прослушивании трафика, передаваемого по эфиру, с помощью присоединения сетевого анализатора, и т.д.). Информация, которая может быть скомпрометирована таким образом, включает системные имена и имена пользователей, пароли, сообщения электронной почты, прикладные данные и т.д. Путем анализа трафика сообщений нарушитель может выяснять, кто, в какое время, для кого и какой объем данных послал. Даже если нарушитель не может прочесть содержимое сообщений, возможными являются определенные заключения относительно поведения пользователей.

Подмена трафика ВС. Подмена трафика ВС включает возможность получать сообщение, маскируясь под заданное место назначения, либо возможность маскироваться под машину-отправитель и посылать сообщения кому-либо. Маскировка под машину-отправитель для убеждения машины-получателя в законности сообщения может быть выполнена заменой своего адреса в сообщении адресом авторизованной машины-отправителя или посредством воспроизведения трафика. Воспроизведение предполагает перехват сеанса между отправителем и получателем и повторную передачу впоследствии этого сеанса (или только заголовков сообщений с новыми содержаниями сообщений).

Отказ КС в обслуживании происходит, когда КС не может своевременно обеспечить необходимые функциональные возможности.

Дополнительные угрозы связаны с возможностями нарушения прав доступа к информационным и служебным файлам:

– несанкционированный доступ пользователей сети к какому-либо виду сервисного обслуживания, предоставляемого отдельным пользователям данной сети;

– доступ к информации и базам данных без аутентификации пользователя (идентификации) в сети с целью ознакомления с конфиденциальной информацией или копирования;

– нарушения конфиденциальности информационного обмена по каналам связи абонентов сети;

– доступ к информации об используемых механизмах защиты.

Возможность неуполномоченной интеграции компьютера в сеть позволяет контролировать передачу данных в атакуемом сегменте сети, облегчая следующие действия:

– манипуляции данными и программным обеспечением;

– контроль и манипуляции линиями связи;

– повтор сообщений;

– подделка (маскировка);

– анализ потока сообщений;

– неуполномоченное выполнение функций управления сетью;

– неуполномоченный доступ к активным сетевым компонентам.

Основными способами реализации угроз являются:

– модификация сетевого программного обеспечения путем скрытного добавления новых функций;

– несанкционированное расширение своих законных полномочий;

– несанкционированное изменение полномочий других пользователей (запись несу­ществующих пользователей, ограничения или расширения существующих полномочий);

– выдача субъектом НСД себя за легального пользователя для получения его полномочий;

– формирование сообщения об отказе от факта получения или передачи информации или выдача ложных сведений о времени ее получения;

– подключение к линиям связи между другими пользователями в качестве активного ретранслятора;

– изучение сведений о том, кто, когда и к какой информации, аппаратуре или ресурсам сети получает доступ (анализа трафика);

– изменение протоколов обмена с помощью введения ложной информации;

– получение доступа к остаточной информации в памяти системы после выполнения санкционированных запросов;

– использование уязвимостей сетевых приложений и сетевых операционных систем.

Угрозы несанкционированного доступа к информации в компьютерной сети реали­зуются за счет использования уязвимостей программных алгоритмов, обеспечивающих межсетевое взаимодействие вычислительных систем.

Уровни межсетевого взаимодействия компьютерных систем определены в соот­ветствии с моделью взаимодействия открытых систем (Open Sistem Interconnection, OSI) и ее реализацией в сети Интернет в соответствии с таблицей 3.2.

Угрозы НСД на уровне приложений реализуются за счет ошибок администрирования или за счет использования недекларированных возможностей программно-аппаратного обеспечения, обрабатывающего данные, поступающие с удаленной вычислительной системы. Например, такой наиболее распространенной уязвимостью программного обеспечения является переполнение стека данных, когда данные попадают в область исполняемых команд вычислительной системы.

Таблица 3.2 – Основные уровни межсетевого взаимодействия в соответствии с моделью OSI

№	Уровни модели OSI	Основные функции межсетевого взаимодействия	Уровни межсетевого взаимодействия в сети Интернет
8	Не определен	Многоцелевая распределенная обработка данных	Уровень приложений
7	Прикладной уровень	Интерфейс (WWW, http, e-mail, FTP, TELNET,…) с прикладными процессами	Прикладной уровень (протоколы верхних уровней)
6	Представительный уровень	Согласование формы представления информации, (изображение, текст, строка, ...). Формирование данных, коды, алфавиты, элементы графики
5	Сеансовый уровень	Поддержка диалога прикладных процессов. Обеспечение соединения и разъединение этих процессов. Обеспечение передачи данных между прикладными процессами
4	Транспортный уровень	Сквозной (через коммуникационную сеть) обмен данными между системами	Протоколы нижнего уровня (протоколы уровня TCP/IP)
3	Сетевой уровень	Обнаружение ошибок в физических средствах соединения. Маршрутизация информации. Сегментирование и объединение блоков данных

Продолжение таблицы 3.2

2	Канальный уровень	Управление каналами передачи данных. Передача данных по каналам. Обнаружение ошибок в каналах	Канальный и физический уровни
1	Физический уровень	Обеспечение физического интерфейса с каналами

На этом уровне возможно также создание ложных серверов сети, что может выполняться путем выбора имен ложных серверов близких по синтаксису к именам официальных организаций. Пользователи, которые вызывают эти сайты, предполагают, что они сообщаются с сервером интересующей их официальной организации. Для ускорения притока таких пользователей на сервера нарушителей, последние могут предпринимать попытки управления или подражания поведению существующих серверов официальных организаций, размещая, например, на сайтах соответствующую рекламу и предложения.

Кроме того, возможность распределения модифицированных (обновленных) прог­раммных компонент через сеть позволяет осуществить неуполномоченную инсталляцию программного обеспечения на активных сетевых компонентах, что, в свою очередь, облегчает внедрение уязвимостей в удаленную вычислительную систему.

Угрозы НСД на прикладном уровне связаны с уязвимостями алгоритмов и ошибками (недекларированными возможностями) программной реализации протоколов межсетевого взаимодействия верхнего уровня.

Типовыми примерами таких уязвимостей являются алгоритмы маршрутизации данных, принятые в протоколах маршрутизации типа DNS (Domain Name System), RIP (Routing Information Protocol), OSPF (Open Shortest Path First), ARP (Address Resolution Protocol), а также алгоритмы протоколов управления сетью (например, SNMP - Simple Network Management Protocol). Указанные протоколы позволяют реализовать следующие угрозы НСД:

– подмены данных сервера имен доменов с целью переадресации запроса (DNS-spoofing);

– изменение данных в таблицах маршрутизации при динамическом назначении адресов (RIP-атаки);

– навязывание ложного маршрута передачи сообщения (создание в сети ложного маршрутизатора);

– нарушение сетевой целостности, доступности всех или некоторых сетевых сегментов.

В сетях открытого типа основными протоколами удаленного доступа являются TELNET и FTP.

TELNET – это протокол, позволяющий с удаленных рабочих станций под­ключаться к серверам сети в режиме виртуального терминала.

FTP – протокол, предназначенный для передачи файлов между удаленными компьютерами.

Для получения доступа к серверу по данным протоколам пользователю необходимо пройти на нем процедуры идентификации и аутентификации. В качестве информации, идентифицирующей пользователя, выступает его идентификатор (имя), а для аутентификации используется пароль. Особенностью протоколов FTP и TELNET является то, что пароли и идентификаторы пользователей передаются по сети в открытом, незашифрованном виде и легко могут быть перехвачены.

На уровне протоколов нижнего уровня обеспечивается обнаружение ошибок в физических средствах соединения, сегментирование и объединение пакетов данных, а также их маршрутизация. Поэтому угрозы НСД на этом уровне межсетевого взаимодействия связаны с возможностями вскрытия и модификации передаваемых данных или изменения их маршрутизации. Кроме этого обычно на этом уровне реализуются угрозы отказа в доступе путем генерации множества ложных пакетов данных (запросов), которые не успевает обработать атакуемый сервер.

В сети общего пользования наиболее распространенными протоколами нижнего уровня являются протоколы TCP/IP. В протоколе IP возможно предписать маршрут, в соответствии с которым пакет должен достичь своего адресата, или маршрут, по которому должен быть доставлен ответный пакет. Описание маршрута может, однако, быть подвергнуто манипуляции (изменено) во время передачи таким образом, чтобы предписанные маршруты не использовались, а применялись другие, т. е. ложные и неконтролируемые. Для протоколов TCP/IP установление подлинности терминалов сетей осуществляется только через адрес IP, который легко сфальсифицировать. Такая угроза проникновения в сеть под ложным IP-адресом получила название IP-spoofing (IP-обман). Маскировка используется нарушителем для получения возможности представления себя, как подлинного пользователя сети. Нарушитель может также использовать маскировку, чтобы предпринять попытку присоединения к уже существующему соединению без необходимости подтверждения своей подлинности, поскольку этот шаг уже был предпринят первоначальными участниками связи. Маскировка приобретает особую угрозу в интерактивных сетях, где имеют место процессы анонимного общения в реальном масштабе времени (так называемые чаты).

Протокол управляющих сообщений транспортного уровня Internet ICMP служит для передачи информации об ошибках и результатах диагностики. Особенность протокола ICMP состоит в том, что он не предусматривает никакой дополнительной аутентификации источников сообщений. Таким образом, ICMP-сообщения передаются на хост (узел сети) маршрутизатором однонаправлено, без создания виртуального соединения. Следова­тельно, ничто не мешает атакующему послать ложное ICMP-сообщение о смене маршрута от имени маршрутизатора. Нарушитель может использовать это несколькими способами. С одной стороны, таблицы маршрутизации компьютера могут быть изменены (заменены) посредством пакетов переадресации (Redirect), что позволит нарушителю формировать ложные маршруты. С другой стороны, нарушитель может передавать фальсифициро­ванные пакеты о недоступности адресата (Destination Unreachable), выдавая отправителю стандартные сообщения о недоступности адресата и прерывании сеанса связи.

Отсутствие защиты данных в передаваемых пакетах позволяет нарушителю вести анализ и исследование сетевого трафика (sniffer). В сети анализ сетевого трафика осуществляется с помощью специальных пpогpамм-анализатоpов пакетов, перехваты­вающих все пакеты, передаваемые по сегменту сети, выделяя среди них те, в которых передаются идентификатор пользователя и его пароль. При этом, например, для сети Интернет учитывается, что протокол TELNET разбивает пароль на символы и пересылает их по одному, помещая каждый символ из пароля в соответствующий пакет, а протокол FTP, напротив, пересылает пароль целиком в одном пакете.

Возможности анализа сетевого трафика поясняются на рисунке 3.20.

Рисунок 3.20 – Анализ сетевого трафика

На данном уровне межсетевого взаимодействия также выявляются ошибки администрирования сетевых служб путем сканирования (scanner) - исследование сети и ее уязвимостей с помощью специальных программных средств (сканеров), которые позво­ляют определить доступные для атаки сервисы, установленные на удаленном компьютере.

Угрозы НСД на канальном и физическом уровнях связаны, прежде всего, с возможностью несанкционированного подключения к сетевым каналам связи и перехвата и/или модификации передаваемой информации. На этом уровне возможно также про­никновение в компьютерную систему через коммуникационные платы. Коммуника­ционные платы (например, плата ISDN или модем) обеспечивают автоматическое по­лучение поступающих вызовов. Это дает возможность нарушителю подключиться к выз­ванному компьютеру или компьютерной системе, не будучи обнаруженным. Кроме этого современное микропрограммное обеспечение коммуникационных плат позволяет вносить в себя модификации, в том числе и удаленно с использованием сети Интернет, что также дает возможность внесения дополнительных уязвимостей в вычислительную систему на канальном уровне.