20. Виды угроз. Средства, мероприятия и нормы обеспечения безопасности

10.2.1. Виды угроз безопасности

Наиболее типичными видами угроз безопасности являются несанкционированный доступ, низкий уровень аутентификации, взлом паролей, атаки приложений, вирусы, черви и «троянские кони», подделка IP-адресов, атаки вида «отказ в обслуживании», захват контроля над системой [2].

Рассмотрим эти виды угроз безопасности [2, 6, 29].

Несанкционированный доступ. В руководящих документах Государственной технической комиссии РФ доступ к информации определен как ознакомление с информацией, ее обработка, в частности копирование, модификация или уничтожение информации. Под несанкционированным доступом (НСД) к информации понимается доступ, нарушающий правила разграничения доступа с использованием штатных средств, предоставляемых средствами вычислительной техники или автоматизированными системами [6]. Защита от не санкционированного доступа заключается в предотвращении или существенном затруднении последнего. Несанкционированный доступ к информационной системе — это использование ИС (или ее подсистемы) без согласия владельца. При мером является использование сети компании, использование программного обеспечения сервера в неразрешенных целях или похищение личной информации пользователя. Администратору системы следует реализовать контроль доступа средствами ИС и аудит потоков данных.

Низкий уровень аутентификации. Эта угроза существует, если ИС не имеет средств аутентификации (т. е. средств задания и проверки паролей пользователей) или эти средства не эффективны. Администратор системы должен в обязательном порядке использовать имеющиеся средства аутентификации, причем в наиболее строгом варианте, например все средства, предоставляемые сетевыми устройствами. Если требуется особенно надежная аутентификация, АС должен применить дополнительные средства, например биометрический анализ.

Взлом паролей. При вскрытии систем безопасности часто используется неосторожность пользователей, выбирающих себе слишком простые пароли или действующих по легко рас познаваемой схеме их создания. Как уже говорилось, обычно операционная система или ИС генерируют пароли пользователей по специальным алгоритмам, например MD5. При по пытке их взломать применяются произвольные комбинации букв, цифр, специальных символов, которые генерируются по тем же алгоритмам, либо используются списки слов (словари) для генерации пробных паролей. АС должен дать пользователям рекомендации по длине пароля и его сложности. Надежный пароль должен иметь длину 7 — 14 байт (символов), не включать в себя сленговые слова или наиболее вероятные комбинации, а также слова из словарей ОС. Следует установить срок действия паролей.

Атаки с использованием сетевых анализаторов пакетов. Анализаторы пакетов (Sniffers), или сетевые анализаторы, — это программно-аппаратные комплексы, перехватывающие пакеты, проходящие по кабельной системе. Они применяются для поиска неисправностей, определения сетевых проблем, измерения характеристик трафика. Но хакерское сообщество разработало анализаторы пакетов, позволяющие перехватывать пароли для вскрытия систем доступа к ИС. Поэтому администратору системы следует использовать шифрование паролей (а иногда и данных), например, по протоколу IP Security (IPSec), а также применять одноразовые пароли (One Time Password — ОТР-пароль).

Атаки приложений. Атаки приложений представляют со бой попытки атаковать уязвимые места в прикладном программном обеспечении. Например, атаки против серверов приложений. Администратору системы следует подписаться на официальную информационную рассылку производителя для получения информации об уязвимых местах приложений, устанавливать рассылаемые программные заплатки, связанные с защитой приложений, контролировать ресурсы серверов.

Вирусы, черви и «троянские кони». АС должен использовать антивирусное программное обеспечение на рабочих станциях, а также ограничить возможность записи пользователем на жесткие диски или внешние устройства несанкционированных продуктов. На серверах могут быть использованы специальные средства контроля и фильтрации доступа, например сетевые экраны — фаерволлы или host-based IDS.

Подделка IP-адресов. При подделке IP-адресов хакер пытается представиться санкционированным пользователем путем использования адреса из внутреннего диапазона IP-адресов или авторизованного внешнего адреса, с которого возможен доступ к некоторым ресурсам. АС должен руководствоваться рекомендациями RFC 2827 и RFC 1918 для организации фильтрации адресов.

Атаки вида «отказ в обслуживании» (Denial of Service, DoS). Эта атака заключается в приведении атакуемой системы или ее части в неработоспособное состояние. Результат достигается, например, путем взлома пароля и блокирования учетных записей пользователя, либо ищется неквотируемый ресурс, нужный прикладному процессу, или некорректно обрабатываемая ошибка в программном коде, приводящая к «зависанию» программы. Этот тип атак может привести к потере доходов предприятия. Вместе с входной и выходной фильтрацией АС должен согласовать свои действия с оператором связи, на пример, по ограничению скорости передачи на пограничном маршрутизаторе корпоративной системы, а также контролировать число соединений, разрешенных рабочей станции.

Захват контроля над системой в целях атаки на другие системы. Это наиболее опасные атаки. Трудно найти рабочую станцию под управлением ОС Windows, которая ни разу не была бы заражена вирусом и не представляла бы угрозу для остальных пользователей. По-видимому, проблему можно ре шить, если владелец, использованной таким образом системы, будет нести гражданско-правовую ответственность. Но тогда решение надо возложить (хотя бы частично) на разработчиков прикладного и системного ПО. Однако это противоречит бизнес-моделям поставщиков программного обеспечения. В первую очередь это касается корпорации Microsoft, поставляющей программное обеспечение в коробочном варианте (shrink-wrap software) без контракта на поддержку [2].