cl-Ast-informatikaУЧЕБНОЕ ПОСОБИЕ

• вирусы "призраки" (трудно обнаруживаемые вирусы; две копии одного и того же вируса не имеют ни одного совпадения).

2.1.3 Сетевые черви

Сетевые черви — это программы, которые не изменяют файлы на дисках, а распространяются в компьютерной сети, проникают в операционную систему компьютера, находят адреса других компьютеров или пользователей и рассылают по этим адресам свои копии. Сетевые черви могут вообще не обращаться к ресурсам компьютера (за исключением оперативной памяти).

По среде распространения выделяют следующие типы:

1.Интернет-черви (распространяются по Интернету),

2.LAN-черви (распространяются по локальной сети),

3.IRC-черви (распространяются через чаты Internet Relay Chat).

Бестелесные черви вне компьютера существуют в виде сетевых пакетов, а внутри зараженного компьютера — в виде программного кода прямо в оперативной памяти. Распространяются автоматически, используя уязвимости в прикладном и системном программном обеспечении.

В конце января 2003 года одному бестелесному червю удалось в течение нескольких часов вывести из строя 25% всех серверов в Интернете. Он известен под двумя названиями: Slammer и Helkern.

2.1.4 Троянские программы

Классификация по выполняемым вредоносным действиям:

•утилиты несанкционированного удаленного администрирования (позволяют злоумышленнику удаленно управлять зараженным компьютером);

•утилиты для проведения DDoS-атак (Distributed Denial of Service -

распределенные атаки типа отказ в обслуживании);

•шпионские и рекламные программы, а также программы дозвона;

•серверы рассылки спама;

•многокомпонентные "троянцы"-загрузчики (переписывают из Интернета и внедряют в систему другие вредоносные коды или вредоносные дополнительные компоненты).

Действия злоумышленника на инфицированном ПК:

•кража любой информацию с компьютера-жертвы (файлы, пароли и т.п.);

•проведение любой файловой операции (форматирование жесткого диска, удаление или переименование файлов и т.д.);

•перезагрузка компьютера, подключение к сетевым ресурсам;

•использование зараженного компьютера для атаки на какой-то третий компьютер или сервер в Интернете.

Самыми известными утилитами несанкционированного удаленного администрирования являются "троянцы" Back Orifice и NetBus.

Цель DoS-атаки, или атаки типа отказ в обслуживании, — исчерпать ресурсы информационной системы. В случае успешного проведения DoS-атаки система перестает выполнять свои функции, становится недоступной и иногда непредсказуемой. Чаще всего объектом атаки является web-сервер, например Интернет-магазин.

DDoS-атака, или распределенная атака типа отказ в обслуживании, отличается от DoS-атаки тем, что в ней один и тот же узел атакуют сразу несколько компьютеров. Если большое число компьютеров, на которых установлена утилита для проведения DDoS-атак, одновременно начнут посылать свои запросы web-серверу, то велика вероятность, что ресурсы web-сервера быстро исчерпаются, а сам сервер не сможет обслуживать легальных пользователей.

Шпионские программы втайне наблюдают за действиями пользователя и записывают в свой журнал интересующие злоумышленника события. Клавиатурные

189

шпионы следят за пользователем и записывают каждое нажатие клавиши. «Троянцы»- шпионы отсылают на удаленный компьютер пароли и другую личную информацию пользователя. Рекламные программы любым способом пытаются рекламировать продукты или услуги каких-то третьих компаний. Программы дозвона пытаются с помощью модема и телефонной линии дозвониться до платного сервера.

2.2 СРЕДСТВА ЗАЩИТЫ ИНФОРМАЦИИ

Межсетевые экраны называют также брандмауэрами или файерволами. Брандмауэр — это система, предотвращающая несанкционированный доступ извне во внутреннюю сеть. Аппаратный брандмауэр — это устройство, которое подключается к сети физически, фильтрует входящий и исходящий трафик и защищает от нежелательных проникновений во внутреннюю сеть или на персональный компьютер. Программный брандмауэр выполняет те же функции, но является не внешним аппаратным устройством, а программой.

Параметры фильтрации:

•адреса получателя и отправителя каждого сетевого пакета;

•протокол передачи данных (например, HTTP, FTP и т.д.);

•приложение, которое отсылает или принимает сетевой пакет.

Брандмауэр Windows представляет собой фильтр сетевых пакетов, способный отразить стандартные сетевые атаки и не допустить низкоуровневого сетевого подключения к защищенному компьютеру. Поставляемый по умолчанию с Microsoft Windows XP брандмауэр умеет корректно обрабатывать диагностические и служебные пакеты, приходящие из Интернета. Служебные пакеты чаще всего используются для организации сетевых атак.

Основные особенности Outpost Firewall Pro:

•обнаруживает и блокирует атаки хакеров;

•предотвращает несанкционированный доступ к данным;

•скрывает присутствие системы в сети;

•блокирует потенциально опасные входящие почтовые сообщения;

•препятствует посещению детьми или сотрудниками нежелательных сайтов;

•ведет подробный журнал сетевой активности системы;

•предотвращает утечку частной информации;

•отражает посягательства на конфиденциальность в сети Интернет;

•сохраняет в тайне перемещения и навигацию по Интернету;

•работает со всеми современными версиями Windows;

•систематически следит за обновлениями.

Proxy-сервер — посредник между внутренней сетью организации и Интернетом. Кэширует часто запрашиваемые web-страницы в своей памятию При запросе какойнибудь страницы из Интернета проверяет, есть ли она в его базе данных. Если есть, то отправляет ее к пользователю. Если нет, то запрашивает оригинальный сервер, где размещена страница, и, получив ее, отправляет пользователю.

Трансляция сетевых адресов (NAT — Network Address Translation) состоит в том, чтобы сделать компьютеры внутренней сети организации невидимыми для внешних запросов. Если злоумышленник попытается "заглянуть" во внутреннюю сеть компании, он увидит один лишь proxy-сервер (в данном случае еще и брандмауэр). Он не сможет узнать

внутренние адреса компьютеров, а следовательно, вторгнуться в корпоративную сеть будет значительно сложнее.

Системы обнаружения вторжений не только определяют сам факт проникновения в сеть, но и выявляют подозрительные действия. Охранная система

190

включается, когда хакер уже проник внутрь и готовится поразить жизненно важную систему. Работа системы обнаружения вторжений строится на законах математической статистики. Каждое действие, происходящее в системе, подвергается анализу на соответствие сценарию сетевой атаки. Так как действия злоумышленника разнятся от случая к случаю, системе обнаружения вторжений приходится учитывать отклонения реально происходящих событий от сценария нападения.

Антивирусные программы используют эвристический анализ, который представляет собой существенно усложненный эмулятор, только в результате анализируется не код подозрительного файла, а его действия. Для того чтобы размножаться, файловый вирус должен копировать свое тело в память, открывать другие исполняемые файлы и записывать туда свое тело, записывать данные в секторы жесткого диска и т.д. Есть характерные действия и у сетевого червя. Это прежде всего доступ к адресной книге и сканирование жесткого диска на предмет обнаружения любых адресов электронной почты. Благодаря этому эвристический анализатор способен обнаружить даже те вредоносные коды, сигнатуры которых еще неизвестны.

Антивирус Касперского осуществляет контроль всех возможных путей проникновения вирусов на персональный компьютер: съемные и постоянные файловые носители, электронная почта, Интернет и локальная сеть. Проверка всех типов данных производится в реальном времени. Поддерживается более 900 различных форматов упаковщиков и архиваторов.

2.3. СРЕДСТВА ЗАЩИТЫ СЕТИ ОТ КОМПЬЮТЕРНЫХ АТАК

Оперативная установка исправлений для программ (Patching). Компании часто выпускают исправления программ, чтобы ликвидировать неблагоприятные последствия ошибок в них. Надо обязательно вносить исправления в программы на самых важных хостах, а кроме этого установить на них другие средства защиты, описанные ниже.

Обнаружение вирусов и троянских коней. Хорошие антивирусные программы наблюдают за работой компьютеров и выявляют на них вредоносные программы. Для максимальной эффективности они должны быть установлены на всех компьютерах в сети.

Межсетевые экраны — это самое важное средство защиты сети. Они контролируют сетевой трафик, входящий в сеть и выходящий из нее, могут блокировать передачу в сеть какого-либо вида трафика. Хорошо сконфигурированный межсетевой экран в состоянии остановить большинство известных компьютерных атак.

Вскрыватели паролей. Хакеры часто используют малоизвестные уязвимые места в компьютерах для того, чтобы украсть файлы с зашифрованными паролями. Затем они используют специальные программы для вскрытия паролей. Как только слабый пароль обнаружен, атакующий может войти в компьютер, как обычный пользователь и использовать разнообразные приемы для получения полного доступа к вашему компьютеру и вашей сети. Это средство будет полезно и системным администраторам, для своевременного обнаружения слабых паролей.

Шифрование. Атакующие часто проникают в сети с помощью прослушивания сетевого трафика и выделения из него имен пользователей и их паролей. Поэтому соединения с удаленными машинами, защищаемые с помощью пароля, должны быть зашифрованы.

Сканеры уязвимых мест. Это программы, которые сканируют сеть в поисках компьютеров, уязвимых к определенным видам атак; имеют большую базу данных уязвимых мест.

Грамотное конфигурирование компьютеров в отношении безопасности.

Компьютеры с заново установленными операционными системами часто уязвимы к атакам, так как при начальной установке операционной системы обычно разрешаются все сетевые средства. Все ненужные сетевые средства должны быть отключены.

191

Боевые диалеры(war dialer). Пользователи часто обходят средства защиты сети организации, разрешая своим компьютерам принимать входящие телефонные звонки. Атакующие могут использовать программы боевые диалеры для обзвонки большого числа телефонных номеров в поисках компьютеров, обрабатывающих входящие звонки. Системные администраторы должны регулярно использовать боевые диалеры для проверки телефонных номеров своих пользователей и обнаружения сконфигурированных подобным образом компьютеров.

Рекомендации по безопасности это предупреждения, публикуемые группами по борьбе с компьютерными преступлениями и производителями программ о недавно обнаруженных уязвимых местах. Они описывают в целом угрозу и дают довольно конкретные советы о том, что нужно сделать для устранения данного уязвимого места.

Средства обнаружения атак (Intrusion Detection) могут быть установлены за межсетевым экраном, чтобы обнаруживать атаки, организуемые изнутри сети. Или они могут быть установлены перед межсетевым экраном, чтобы обнаруживать атаки на межсетевой экран.

Средства выявления топологии сети и сканеры портов Эти программы позволяют составить полную картину того, как устроена сеть и какие компьютеры в ней работают, а также выявить все сервисы, которые работают на каждой машине. Системные администраторы должны использовать эти средства для наблюдения за тем, какие программы и на каких компьютерах работают в их сети. С их помощью можно обнаружить неправильно сконфигурированные программы на компьютерах и установить исправления на них.

Группа по расследованию происшествий с безопасностью. В каждой сети,

независимо от того, насколько она безопасна, происходят какие-либо события, связанные с безопасностью. Сотрудники организации должны заранее знать, что нужно делать в том или ином случае. Важно заранее определить следующие моменты: когда вызывать правоохранительные органы, когда вызывать сотрудников группы по борьбе с компьютерными преступлениями, когда следует отключить сеть от Интернет, и что делать в случае компрометации важного сервера.

Политики безопасности. Если в рамках одной организации имеется несколько сетей с различными политиками безопасности, то одна сеть может быть скомпрометирована из-за плохой безопасности другой сети. Политика определяет, какой трафик должен пропускаться через межсетевые экраны сети; как и какие средства защиты должны использоваться в сети; стандартные безопасные конфигурации для различных типов компьютеров.

Тестирование межсетевых экранов и WWW-серверов на устойчивость к попыткам их блокирования Атаки на блокирование компьютера распространены в Интернет. Атакующие постоянно выводят из строя WWW-сайты, перегружают компьютеры или переполняют сети бессмысленными пакетами. Сети могут организовать атаки против себя сами, чтобы определить, какой ущерб может быть нанесен им.

Протоколы коррекции ошибок нижнего уровня. При передаче данных по зашумленным телефонным линиям всегда существует вероятность, что данные, передаваемые одним модемом, будут приняты другим модемом в искаженном виде. Общая форма передачи данных по протоколам с коррекцией ошибок следующая: данные передаются отдельными блоками (пакетами) по 16-20000 байт, в зависимости от качества связи. Каждый блок снабжается заголовком, в котором указана проверочная информация, например контрольная сумма блока. Принимающий компьютер самостоятельно подсчитывает контрольную сумму каждого блока и сравнивает ее с контрольной суммой из заголовка блока. Если эти две контрольные суммы совпали, принимающая программа считает, что блок передан без ошибок. В противном случае принимающий компьютер передает передающему запрос на повторную передачу этого блока. Протоколы коррекции ошибок могут быть реализованы как на аппаратном уровне, так и на программном.

192

КЛЮЧЕВЫЕ ПОНЯТИЯ

Вскрыватели паролей — это программы, которые обнаруживают легко угадываемые пароли в зашифрованных файлах паролей.

Информационная безопасность — это состояние защищенности информационной среды общества, обеспечивающее ее формирование, использование и развитие в интересах граждан, организаций, государств; организованная совокупность специальных органов, средств, методов и мероприятий, обеспечивающих защиту информации.

Компьютерная атака — запуск программ для получения неавторизованного доступа к компьютеру.

Компьютерный вирус — это программа, которая может создавать свои копии (не обязательно совпадающие с оригиналом) и внедрять их в файлы, системные области

компьютера, сети и т.д.

Локальное блокирование компьютера осуществляется с помощью программ, которые блокируют работу компьютера, на котором они работают Локальное проникновение в компьютер осуществляется с помощью программ, которые

получают неавторизованный доступ к компьютеру, на котором они работают. Несанкционированный доступ — противоправное овладение конфиденциальной информацией посторонним лицом.

ПЭМИН — побочные электромагнитные излучения и наводки Разглашение — умышленные или неосторожные действия, приведшие к ознакомлению посторонних лиц с конфиденциальной информацией.

СВТ — средства вычислительной техники Сетевые анализаторы — это программы, которые слушают сетевой трафик.

Сетевые сканеры — это программы, которые осуществляют сбор информации о сети, чтобы определить, какие из компьютеров и программ, работающих на них, потенциально уязвимы к атакам.

Система защиты информации — организованная совокупность специальных органов, средств, методов и мероприятий, обеспечивающих защиту информации.

Сканеры уязвимых мест программ — это программы, проверяют большие группы компьютеров в Интернете в поисках компьютеров, уязвимых к тому или иному конкретному виду атаки.

Удаленное блокирование компьютера осуществляется с помощью программ, которые через Интернет (или сеть) блокируют работу всего удаленного компьютера или отдельной программы на нем.

Удаленное проникновение в компьютер осуществляется с помощью программ, которые получают неавторизованный доступ к другому компьютеру через Интернет или локальную сеть.

Утечка — бесконтрольный выход конфиденциальной информации за пределы организации.

ВОПРОСЫ ДЛЯ САМОКОНТРОЛЯ

1.Что включает система защиты информации?

2.Какие требования предъявляются к средствам защиты информации?

3.Перечислите действия, предусмотренные системой безопасности в отношении угроз.

4.Что входит в понятие правовой защиты информации?

5.Как происходит организационная защита информации?

6.Как классифицируется инженерно-техническая защита информации?

7.Назовите способы защиты пароля?

8.Что угрожает безопасности информации при передаче по каналам связи?

193

ТЕСТЫ ДЛЯ САМОКОНТРОЛЯ

1.Умышленные или неосторожные действия, приведшие к ознакомлению посторонних лиц с конфиденциальной информацией, называются

2.Бесконтрольный выход конфиденциальной информации называется

3.Противоправное овладение конфиденциальной информацией называется

4.Патентование, авторское право, товарный знак являются формами

5.Специальные органы, средства, методы и мероприятия, обеспечивающие информационную защиту входят в систему

За каждый правильный ответ поставьте себе 1 балл. Просуммируйте набранные баллы и разделите полученную сумму на 2. Округлите результат. Это ваша оценка за тест.

РЕКОМЕНДУЕМАЯ ЛИТЕРАТУРА

1.Ярочкин В. И. Информационная безопасность. Учеб. пособие для студентов непрофильных вузов.- М.: Международные отношения, 2000.- 400 с.:ил.

2.Мельников В. В. Безопасность информации в автоматизированных системах.-М.: Финансы и статистика, 2003.- 368 с.

3.Основы информационной безопасности/Галатенко В. А.-ИНТУИТ.РУ, 2003.- 280 с.

4.Комер Д. Принципы функционирования Интернета, СПб.: Питер, 2002.- 384 с.

5.Шнайер Б. Секреты и ложь. Безопасность данных в информационном мире.-

СПб.:Питер, 2003.- 368 с.

6.Козлов Д. Энциклопедия компьютерных вирусов.-М.: Солон-Пресс, 2001.- 464 с.

7.Периодические издания: журналы "Компьютер-пресс", "Мир ПК", "Монитор", "Компьютерра".

194

ПРИЛОЖЕНИЕ 1

195

196

197

СОДЕРЖАНИЕ

198