книги / Основы информационной безопасности

1994 г. – Национальная аудиторская служба Великобритании (National Audit Office – NAO) зарегистрировала655 случаевнесанкционированного доступа и 562 случая заражения вирусами компьютерных систем британских правительственных организаций, что в 1,4 и 3,5 раза превышает уровень 1993 г.

Электронныевирусы– этотакиевредоносныепрограммы, которые не только осуществляют несанкционированные действия, но обладают способностью к саморазмножению, в силу чего представляют особую опасность для вычислительных сетей. Известно несколько определений программ-вирусов, что подчеркивает их разнообразие. Однако наибольшую известность получило определение, данное доктором Фредериком Коэном: «Компьютерный вирус представляет собой программу, которая способна заражать другие программы, модифицируя их так, чтобы они включали в себя копию вируса (или его разновидность)». Процесс жизни и размножения электронного (компьютерного) вируса во многом сходен с аналогичными процессами всем нам знакомого биологического вируса, что подчеркивается общностью их названий. Системный анализ этих процессов достаточно полно проведен С. П. Расторгуевым

вкниге «Вирусы: биологические, социальные, психические, компьютерные» [38].

Ккомпьютернымчервямотнесенывредоносныепрограммы, подобные по своему воздействию электронным вирусам. «Червь» – это программа, которая распространяется в системах и сетях по линиям связи. Какивирусы, компьютерныечервизаражаютдругиепрограммы, однако

вотличиеотвирусовонинеимеютпрограммы-носителя. Дляразмножения «червь» обычно использует дополнительный вход в операционную систему, который создается для удобства ее отладки и который нередко забывают убрать по окончании отладки.

Раньше других появились и использовались в злоумышленных целях вредоносные программы, получившие название «троянских коней». Сведения о них относятся еще к семидесятым годам, причем наиболее распространенной несанкционированной процедурой было считывание информации из областей запоминающего устройства, выделяемых законнымпользователям. «Троянскийконь» – этопрограмма, котораяпри-

381

водит к неожиданным (обычно нежелательным) воздействиям на систему. Отличительной характеристикой «троянского коня» является то, что пользователь обращается к этой программе, считая ее полезной. Такие программы обладают возможностью раскрыть, изменить или уничтожить файлы данных и программ. «Троянские кони» встречаются в программах широкого использования (обслуживание сети, электронная почта и др.).

Уже такого беглого взгляда на вредоносные программы достаточно, чтобы убедиться в том, что они являются источниками угроз безопасности информации в современных автоматизированных системах и несут большую опасность.

Таким образом, при обработке информации средствами вычислительной техники возникает большое количество угроз как прямогонесанкционированногодоступакзащищаемойинформации, такикосвенного ее получения средствами технической разведки. На протяжении всего периода регулярного использования вычислительной техники для решения практических задач предпринимались попытки классифицировать источники угроз безопасности информации и сами угрозы с целью дальнейшей стандартизации средств и методов, применяемых для защиты информации.

В достаточно известной монографии Л. Дж. Хоффмана «Современные методы защиты информации» [51] были выделены 5 групп различных угроз: хищение носителей, запоминание или копирование информации, несанкционированное подключение к аппаратуре, несанкционированный доступ к ресурсам ЭВМ, перехват побочных излучений и наводок. В книге «Защита информации в персональных ЭВМ» [17] предпринята попытка классификации угроз по источнику возможной опасности (человек, аппаратура и программа). К группе угроз, в реализации которых основную роль играет человек, отнесены: хищение носителей, чтение информации с экрана, чтение информации с распечаток; к группе, где основным средством выступает аппаратура: подключение к устройствам, перехват излучений; к группе, где основное средство – программа: несанкционированный программный доступ, программное дешифрование зашифрованных данных, программное копирование информации с носителей. Аналогичный подход пред-

382

лагается и группой авторов учебных пособий по защите информации от несанкционированного доступа [36, 28]. Ими выделено три класса угроз: природные (стихийные бедствия, магнитные бури, радиоактивное излучение и наводки), технические (отключение или колебания напряжения сети электропитания, отказы и сбои аппаратно-программ- ных средств, электромагнитные излучения и наводки, утечки через каналы связи), созданные людьми, причем в последнем случае различают непреднамеренные и преднамеренные действия различных категорий лиц.

В руководящем документе Гостехкомиссии России [12] введено понятие модели нарушителя в автоматизированной системе обработки данных. В качестве такового рассматривается субъект, имеющий доступ к работе со штатными средствами АС. При этом в зависимости от возможностей, предоставляемых нарушителям штатными средствами, угрозы делятся на четыре уровня:

1)самый низкий – возможности запуска задач (программ) из фиксированного набора, реализующих заранее предусмотренные функции обработки информации;

2)промежуточный 1 – дополнительно к предыдущему имеются возможностисозданияизапускасобственныхпрограммсновымифункциями обработки информации;

3)промежуточный 2 – дополнительно к предыдущему предполагается наличие возможностей управления функционированием АС, то есть воздействия на базовое программное обеспечение системы и на состав и конфигурацию ее оборудования;

4)самыйвысокий– определяетсявсемобъемомвозможностейлиц, осуществляющих проектирование, реализацию и ремонт технических средств АС, вплоть до включения в состав системы собственных технических средств с новыми функциями обработки информации (в этом случае предполагается, что нарушитель является специалистом высшей квалификации, знает все об АС, в том числе и об используемых средствах защиты информации).

Еще один вид источников угроз безопасности информации, связанный с ее хищением, достаточно подробно классифицирован в монографии С. П. Расторгуева «Программные методы защиты информации

383

вкомпьютерах и сетях» [39]. Автор выделяет четыре способа хищения информации: по каналам побочных электромагнитных излучений; посредством негласного копирования, причем выделено две разновидности копирования: «ручное» (вывод информации на печать или на экран оператором) и «вирусное» (вывод информации с помощью встроенной

вЭВМ радиозакладки); хищение носителей информации; хищение персональной ЭВМ.

Вмонографии В. А. Герасименко «Защита информации в автоматизированных системах обработки данных» [9] предпринята попытка системной классификации угроз информации исходя из целей ее защиты.

Достаточно подробный анализ угроз несанкционированного получения информации проведен также в учебном пособии В. Ю. Гайковича и Д. В. Ершова [8], причем концепция этого анализа перекликается с подходами, предложенными В. А. Герасименко.

Ретроспективный анализ указанных и других известных авторам подходов к решению этой задачи ясно свидетельствует о многообразии имеющихся здесь точек зрения. Мы видим, что можно проводить классификацию по отношению источника угрозы к АС (внешние и внутренние угрозы), по виду источника угрозы (физические – отражают физические действия на систему, логические – средства, при помощи которых человек получает доступ к логической информации системы, коммуникационные – относятся к процессам передачи данных по линиям связи, человеческие – являются наиболее трудноконтролируемыми и непосредственно связанными с физическими и логическими угрозами), по степени злого умысла (случайные и преднамеренные) и т. д. Преднамеренные угрозы, в свою очередь, могут быть подразделены на активные (несанкционированная модификация данных или программ) и пассивные (несанкционированное копирование данных или программ).

Интересной представляется классификация угроз безопасности информации по способам их возможного негативного воздействия. Такая классификация поддерживается подавляющим большинством специалистов в области защиты информации и предусматривает подразделе-

ние угроз на информационные, программно-математические, физи-

ческие и организационные.

384

Информационные угрозы реализуются в виде:

–нарушения адресности и своевременности информационного обмена, противозаконного сбора и использования информации;

–осуществления несанкционированного доступа к информационным ресурсам и их противоправного использования;

–хищения информационных ресурсов из банков и баз данных;

–нарушения технологии обработки информации.

Программно-математические угрозы реализуются в виде:

–внедренияваппаратныеипрограммныеизделиякомпонентов, реализующихфункции, неописанныевдокументациинаэтиизделия;

–разработкиираспространенияпрограмм, нарушающихнормальное функционирование информационных систем или их систем защиты информации.

Физические угрозы реализуются в виде:

–уничтожения, повреждения, радиоэлектронного подавления или разрушения средств и систем обработки информации, телекоммуникации и связи;

–уничтожения, повреждения, разрушения или хищения машинных и других носителей информации;

–хищения программных или аппаратных ключей и средств криптографической защиты информации;

–перехвата информации в технических каналах связи и телекоммуникационных системах;

–внедрения электронных устройств перехвата информации в технические средства связи и телекоммуникационные системы, а также в служебные помещения;

–перехвата, дешифрования и навязывания ложной информации в сетях передачи данных и линиях связи;

–воздействия на парольно-ключевые системы защиты средств об-

работки и передачи информации.

Организационные угрозы реализуются в виде:

–невыполнения требований законодательства в информационной сфере;

–противоправной закупки несовершенных или устаревших информационных технологий, средств информатизации, телекоммуникации и связи.

385

Учитываяважностьвопросаклассификацииугрозбезопасностиинформации и существование в этой области большого числа различных подходов, мы сочли необходимым провести системный анализ данной проблемы и посвятить ему следующий подраздел данной главы.

В заключение отметим, что в результате реализации угроз безопасности информации может быть нанесен серьезный ущерб жизненно важным интересам страны в политической, экономической, оборонной и других сферах деятельности государства, причинен социально-эконо- мический ущерб обществу и отдельным гражданам.

Реализация угроз может затруднить принятие важнейших политических, экономических и других решений, подорвать государственный авторитет страны на международной арене, нарушить баланс интересов личности, общества и государства, дискредитировать органы государственной власти и управления, нарушить функционирование системы государственного управления, кредитно-финансовой и банковской сферы, а также систем управления войсками и оружием, объектами повышенной опасности.

Следствием реализации угроз может явиться существенный экономический ущерб в различных областях общественной жизни и в сфере бизнеса, снижение темпов научно-технического развития страны, подрыв оборонного потенциала.

11.2. Системная классификация и общий анализ угроз безопасности информации

Из предыдущего изложения следует, что к настоящему времени известно большое количество разноплановых угроз безопасности информации различного происхождения. Мы видели, что различными авторами предлагается целый ряд подходов к их классификации. При этом в качестве критериев деления множества угроз на классы используются виды порождаемых опасностей, степень злого умысла, источники проявления угроз и т. д. Все многообразие предлагаемых классификаций с помощью подходов, предложенных В. А. Герасименко [9], на основе методовсистемного анализа может бытьсведено кнекоторойсистемной классификации, приведенной в табл. 11.1.

386

Таблица 11.1 Системная классификация угроз безопасности информации

387

Дадим краткий комментарий к использованным в табл. 11.1 параметрам классификации, их значениям и содержанию.

1.Виды угроз. Данный параметр является основополагающим, определяющим целевую направленность защиты информации.

2.Происхождение угроз. В таблице выделено два значения данного параметра: случайное и преднамеренное. Под случайным понимается такое происхождение угроз, которое обуславливается спонтанными

ине зависящими от воли людей обстоятельствами, возникающими в АС впроцессееефункционирования. Наиболееизвестнымисобытиямиданного плана являются отказы, сбои, ошибки, стихийные бедствия и побочные влияния. Сущность перечисленных событий (кроме стихийных бедствий, сущность которых ясна) определяется следующим образом:

–отказ – нарушение работоспособности какого-либо элемента системы, приводящее к невозможности выполнения им основных своих функций;

–сбой – временное нарушение работоспособности какого-либо элемента системы, следствием чего может быть неправильное выполнение им в этот момент своей функции;

–ошибка – неправильное (разовое или систематическое) выполнение элементом одной или нескольких функций, происходящее вследствие специфического (постоянного или временного) его состояния;

–побочное влияние – негативное воздействие на систему в целом или отдельные ее элементы, оказываемое какими-либо явлениями, происходящими внутри системы или во внешней среде.

Преднамеренноепроисхождениеугрозыобуславливаетсязлоумышленными действиями людей.

3. Предпосылки появления угроз. В таблице приведены две возможные разновидности предпосылок: объективные (количественная или качественная недостаточность элементов системы) и субъективные (деятельность разведорганов иностранных государств, промышленный шпионаж, деятельность уголовных элементов, действия недобросовестных сотрудников системы).

Перечисленные разновидности предпосылок интерпретируются следующим образом:

388

–количественная недостаточность – физическая нехватка одного или нескольких элементов системы, вызывающая нарушения технологического процесса обработки данных и/или перегрузку имеющихся элементов;

–качественная недостаточность – несовершенство конструкции (организации) элементов системы, в силу чего могут появляться возможности случайного или преднамеренного негативного воздействия на обрабатываемую или хранимую информацию;

–деятельность разведорганов иностранных государств – специально организуемая деятельность государственных органов, профессионально ориентированных на добывание необходимой информации всеми доступными способами и средствами. К основным видам разведки относятся агентурная (несанкционированная деятельность профессиональных разведчиков, завербованных агентов и так называемых «доброжелателей») и техническая, включающая радиоразведку (перехват радиоэлектронными средствами информации, циркулирующей в телекоммуникационныхканалах), радиотехническуюразведку(регистрациюспецсредствами электромагнитных излучений технических систем) и космическую разведку (использование космических кораблей и искусственных спутников Земли для наблюдения за территорией, ее фотографирования, регистрации радиосигналов и получения полезной информации любыми другими доступными способами);

–промышленный шпионаж– негласная деятельность организации (ее представителей) по добыванию информации, специально охраняемой от несанкционированной ее утечки или хищения, с целью создания для себя благоприятных условий и получения максимальных выгод (недобросовестная конкуренция);

–злоумышленные действия уголовных элементов – хищение информации или компьютерных программ в целях наживы;

–действия недобросовестных сотрудников – хищение (копирование) или уничтожение информационных массивов и/или программ по эгоистическим или корыстным мотивам, а также в результатенесоблюденияустановленногопорядкаработыс информацией.

389

4. Источники угроз. Под источником угроз понимается непосредственный ее генератор или носитель. Таким источником могут быть люди, технические средства, модели (алгоритмы), программы, внешняя среда.

Попытаемся теперь, опираясь на приведенную системную классификацию угрозбезопасности информации, определить полноемножество угроз, потенциально возможных в современных автоматизированных системах. При этом мы должны учесть не только все известные (ранее проявлявшиеся) угрозы, но и такие угрозы, которые ранее не проявлялись, но потенциально могут возникнуть при нынешних концепциях архитектурного построения АС и технологических схем обработки информации.

Классифицируемвсевозможныеканалынесанкционированногополученияинформации(КНПИ) подвумкритериям: необходимостидоступа (физического или логического) к элементам АС для реализации того или иного КНПИ и зависимости появления КНПИ от состояния АС.

По первому критерию КНПИ могут быть разделены на не требующие доступа, то есть позволяющие получать необходимую информацию дистанционно (например, путем визуального наблюдения через окна помещений АС), и требующие доступа в помещения АС. В свою очередь, КНПИ, воспользоваться которыми можно только получив доступ в помещения АС, делятся на не оставляющие следы в АС (например, визуальный просмотр изображений на экранах мониторов или документов на бумажных носителях) и на КНПИ, использование которых оставляет те или иные следы (например, хищение документов или машинных носителей информации).

По второму критерию КНПИ делятся на потенциально существующиенезависимоотсостоянияАС(например, похищатьносителиинформации можно независимо от того, в рабочем состоянии находятся средства АС или нет) и существующие только в рабочем состоянии АС (например, побочные электромагнитные излучения и наводки).

ВсоответствиисизложеннымклассификационнаяструктураКНПИ может быть представлена в виде табл. 11.2.

Приведем ориентировочный перечень каналов несанкционированного получения информации выделенных нами классов.

390