Учебное пособие 800434

Рис. 9. Систематизация угроз по характеру источников

Таким образом, действие источников угроз, отличных по физической природе, целям и задачам, способам воздействия, может распространяться на одни и те же элементы КС и приводить к одинаковым отрицательным последствиям для них и субъектов информационных отношений.

Классификация угроз по характеру и масштабам негативных последствий.

В данной классификации (рис.10) рассматриваются негативные последствия для самих КС, как систем, выполняющих

(политический, материальный, моральный и т.п.). По характеру негативных последствий угрозы безопасности КС могут вызывать:

-потерю или утечку информации; -нарушение нормального режима функционирования КС; -выход из строя ПО или ТС;

По масштабам негативные последствия могут быть: -на уровне группы (множества) КС; -на уровне отдельной КС;

17

-на уровне подсистемы (компонента) КС.

Рис. 10. Классификация угроз по последствиям

Классификация угроз по каналам доступа к КС.

Угрозы безопасности могут использовать для доступа к КС следующие каналы (рис.11) и их комбинации:

-ТС обработки и отображения информации и их штатные и нештатные (сбои, паразитные процессы) свойства;

-ПО, используемое в КС и его штатные и нештатные (―дыры‖, ―люки‖) свойства;

-ТКС, соединяющие подсистемы отдельной КС или различные КС между собой;

-эфир; -вспомогательные коммуникации.

18

Рис. 11. Классификация угроз по каналам доступа к КС

В реальной практике наиболее распространены различные комбинации используемых для нападения на КС каналов, способов и средств.

1.3. Каналы, способы и средства воздействия угроз

Говоря о каналах, способах и средствах воздействия угроз, а также, изучая СЗИ, в дальнейшем будем иметь ввиду антропогенные угрозы умышленного характера, поскольку они, как правило, наиболее изощренны и опасны. Реализация такой угрозы является ни чем иным, как компьютерным преступлением. Обобщенный алгоритм (способ) его совершения приведен на рис. 11. Он состоит из трех этапов – подготовки, реализации и завершения. На этапе подготовки осуществляется изучение КС и определение методов и средств нападения. На этапе реализации злоумышленник получает несанкционированный доступ к КС и воздействует на нее в нужном направлении, а затем на завершающем этапе уничтожает следы преступления. Разумеется, все приведенные на схеме элементы далеко не всегда присутствуют в реальных ситуациях - их количество убывает со снижением сложности КС и степени ―разумности‖ угрозы. Рассмотрим наиболее типичные способы и каналы воздействия умышленной угрозы на КС. Согласно руководящим документам Гостехкомиссии

19

РФ к основным способам НСД относятся: -непосредственное обращение к объектам доступа;

-создание программных и технических средств, выполняющих обращение к объектам доступа в обход средств защиты;

-модификация средств защиты, позволяющая осуществить НСД;

-внедрение в технические средства КС программных или технических механизмов, нарушающих структуру и функции КС и позволяющих осуществить НСД.

20

Каждый способ НСД характеризуется множеством программно-аппаратных средств и действий субъектов с использованием этих средств. Человек (субъект НСД) способен придумать принципиально новый способ реализации НСД или применить новые варианты известных способов.

В общем случае все способы НСД являются результатом композиций "первичных" действий, таких как:

-запись информации; -считывание информации;

-физическое воздействие на элементы компьютерных систем, приводящее либо к уничтожению информации, либо к нарушению правил ее обработки и хранения.

К примеру, несанкционированная модификация информации является композицией чтения и записи информации. Несанкционированное уничтожение информации, как и ее блокирование, может произойти в результате или несанкционированной записи, или физического воздействия на элемент компьютерных систем. Несанкционированное копирование информации осуществляется путем последовательного чтения и записи информации. Подбор пароля состоит в последовательности записи и чтения результатов обработки этой записи, при этом обычно пуск несанкционированного процесса является следствием несанкционированной записи или модификации (чтения и записи) информации.

Все каналы проникновения в систему и утечки информации разделяют на прямые и косвенные. Под косвенными понимают такие каналы, использование которых не требует проникновения в помещения, где расположены компоненты системы. Для использования прямых каналов такое проникновение необходимо. Прямые каналы могут использоваться без внесения изменений в компоненты системы или с изменениями компонентов. По способу получения информации каналы доступа можно разделить на:

-физический; -электромагнитный (перехват излучений);

22

-информационный (программно-математический).

При контактном НСД (физическом, программноматематическом) возможные угрозы информации реализуются путем доступа к элементам КС, к носителям информации, к самой вводимой и выводимой информации (и результатам), к программному обеспечению (в том числе к операционным системам), а также путем подключения к линиям связи. При бесконтактном доступе (например, по электромагнитному каналу) возможные угрозы информации реализуются перехватом излучений аппаратуры КС, в том числе наводимых в токопроводящих коммуникациях и цепях питания, перехватом информации в линиях связи, вводом в линии связи ложной информации, визуальным наблюдением (фотографированием) устройств отображения информации, прослушиванием переговоров персонала КС и пользователей.

В качестве наиболее известных сочетаний способов и каналов воздействия угроз можно выделить следующие.

1). Собирание информации, которая осталась на носителях после ее обработки ("сборка мусора"). Информация может остаться в ОЗУ, на магнитных и других носителях. Это могут быть ―удаленные‖ и различные временные файлы, сбойные кластеры и т.п.

2). Проникновение в КС непосредственно через ее интерфейсы (терминалы) с путем подбора или использования чужого пароля или обход защиты ("взлом‖).

Подбор пароля может быть осуществлен различными способами: вскрытие пароля простым перебором (который может выполнить специальная программа); использование знаний о паролях, обычно применяемых пользователями; использование программной закладки или вируса для "подсматривания" паролей. Обход защиты можно осуществить, используя ошибки программы защиты или воздействуя на нее специальными программами.

3). Использование скрытых, недокументированных разработчиками возможностей ПО, так называемых "люков": в процессе разработки сложных программ могут для целей

23

отладки создаваться специальные технологические точки входа в систему, которые потом не удаляются по забывчивости или по другим мотивам разработчиками ПО; у модулей ПО могут появляться непрогнозируемые обратные связи и свойства, дезавуирующие встраиваемые в него СЗИ.

4). Внедрение в КС вредоносных программ через носители информации (дискеты, CD-ROM) или через сеть (ЭП, пересылка файлов по FTP...). К вредоносным программам относятся:

-"вирус" - программа, способная к самовоспроизводству (размножению) и включению в другие программы своей, возможно модифицированной, копии (сетевая разновидность - ―червь‖);

-"троянский конь" - программа, выполняющая побочные функции, неизвестные пользователю.

Спектр деструктивных воздействий вредоносных программ очень широк – от безобидной шутки до стирания информации, хранящейся на носителе или форматирования носителя с помощью штатного ПО.

5). Использование для исследования ПО дизассемблеров и отладчиков, с помощью которых машинный код программы можно представлять в более удобном для понимания виде. Отладчик обычно обладает следующими функциональными возможностями:

-диалоговый режим использования; наличие механизма точек прерывания, который позволяет приостанавливать процесс выполнения программы и анализировать ее состояние; -наличие механизма пошагового выполнения

исследуемой программы; -поиск по шаблону в оперативной памяти; сканирование

(пошаговое выполнение с анализом выполняемых действий) исследуемой программы;

-построение трассы выполнения программы.

В результате исследования кода программы с помощью отладчика выясняется семантика последовательности команд, определяющая выполнение функций защиты. После этого

24

осуществляется корректировка кода программы или имитация запрашиваемых и идентифицируемых программой данных, что может быть оформлено в отдельную программу.

6). Вывод из строя блоков питания и электронных схем компонентов КС путем подачи импульсов высокого напряжения по сети электропитания или создания в ней резких перепадов напряжения.

7). Перехват побочных электромагнитных излучений и наводок (ПЭМИН) по эфиру или по линиям коммуникаций (в том числе на цепи электропитания и заземления, системы водо-, тепло-, газоснабжения, выходящие за пределы контролируемой зоны). Значимость ПЭМИН как канала утечки информации в современный период постоянно снижается, в связи с тем, что:

-технические средства ведущих производителей, как правило, соответствуют жестким стандартам по уровню излучений, принятым в США и ЕЭС;

-происходит постепенный переход на оптоволоконные линии связи, ЖК-мониторы и слаботочные устройства, лазерные и струйные принтеры;

-быстро увеличиваются тактовые частоты процессоров, шин, памяти.

8). Проведение сетевых атак. Протоколы семейства IP являются основой построения сетей intranet и глобальной сети Internet, но не обладают абсолютной защищенностью и допускают различные типы атак. Самой атаке, как правило, предшествует мониторинг каналов и информационных потоков для выявления данных аутентификации администратора или пользователя с достаточными полномочиями, а также анализа шифров. Для этого используются анализаторы протоколов сети, которые позволяют осуществлять следующие действия:

-удаленное управление ресурсами сети, доступ к узлам и ресурсам распределенной сети;

-сбор статистических сведений о сетевом трафике; -декодирование пакетов, пересылаемых по сети;

25

-проведение фильтрации данных во время их перехвата для последующего анализа.

Атаки на TCP/IP можно разделить на два вида: пассивные и активные.

В ходе пассивной атаки субъект не обнаруживают себя

ине вступают напрямую во взаимодействие с другими системами. Фактически все сводиться к наблюдению за доступными данными или сессиями связи. К ним относятся:

-Подслушивание - перехват сетевого потока и его анализ ("sniffing"). Поскольку TCP/IP-трафик, как правило, не шифруется, используя соответствующий инструментарий, можно перехватывать TCP/IP-пакеты, например, telnetсессий

иизвлекать из них имена пользователей и их пароли.

При осуществлении активной атаки субъект взаимодействует с получателем информации, отправителем и/или промежуточными системами, возможно, модифицируя и/или фильтруя содержимое TCP/IP-пакетов. Активные атаки можно разделить на две части. В первом случае субъект предпринимает определенные шаги для перехвата и модификации сетевого потока или попыток "притвориться" другой системой. Во втором случае протокол TCP/IP используется для того, чтобы привести систему-жертву в нерабочее состояние. Обладая достаточными привилегиями субъект может вручную формировать IP-пакеты и передавать их по сети.

-Предсказание TCP sequence number (IP-spoofing). Цель субъекта - притвориться другой системой, которой "доверяет" система-жертва. Если система A доверяет системе B, так, что пользователь системы B может сделать "rlogin A"_ и оказаться на A, не вводя пароля. Крэкер расположен на системе C. Система A выступает в роли сервера, системы B и C - в роли клиентов.

-Ввод соединения в "десинхронизированное состояние", когда присылаемые сервером sequence number и acknowledge number не будут совпадать с ожидаемым значениями клиента, и наоборот. В данном случае крэкер, "прослушивая" линию,

26