Основы информационной безопасности. Учебное пособие для СПО

Средства физического управления доступом известны давно. Это охрана, двери с замками, перегородки, телекамеры, датчики движения и многое другое. Для выбора оптимального средства целесообразно провести анализ рисков.

Профессия пожарного — одна из древнейших, но пожары по-прежнему случаются и наносят большой ущерб, именно поэтому необходима установка

противопожарной сигнализации и автоматических средств пожаротушения.

Обратим также внимание на то, что защитные меры могут создавать новые слабые места. Если на работу взят новый охранник, это, вероятно, улучшает физическое управление доступом. Если же он по ночам курит и пьет, то ввиду повышенной пожароопасности подобная мера защиты может только навредить8.

К поддерживающей инфраструктуре можно отнести системы электро-,

водо- и теплоснабжения, кондиционеры и средства коммуникаций. В принципе, к ним применимы те же требования целостности и доступности, что и к информационным системам. Для обеспечения целостности нужно защищать оборудование от краж и повреждений. Для поддерживания доступности следует выбирать оборудование с максимальным временем наработки на отказ, дублировать ответственные узлы и всегда иметь под рукой запчасти.

Отдельную проблему составляют аварии водопровода. Они происходят нечасто, но могут нанести огромный ущерб. При размещении компьютеров необходимо принять во внимание расположение водопроводных и канализационных труб и постараться держаться от них подальше, сотрудники должны знать, куда следует обращаться при обнаружении протечек.

Перехват данных может осуществляться самыми разными способами. Злоумышленник может подсматривать за экраном монитора, читать пакеты, передаваемые по сети, производить анализ побочных электромагнитных излучений и наводок и т.д. Остается уповать на повсеместное использование криптографии, стараться максимально расширить контролируемую территорию.

Мобильные и портативные компьютеры — заманчивый объект кражи.

Их часто оставляют без присмотра, в автомобиле или на работе, и похитить такой компьютер совсем несложно. Настоятельно рекомендуется шифровать данные на жестких дисках таких компьютеров9.

Вообще говоря, при выборе средств физической защиты следует производить анализ рисков. В частности, имеет смысл регулярно копировать большие базы данных.

8URL: https://vuzlit.ru/328021/fizicheskaya_zaschita_napravleniya_podderzhaniya_rabotosposobnosti_ informatsionnoy_sistemy.

9URL: http://geum.ru/next/art-14169.leaf-20.php.

41

Поддержание работоспособности. Нечаянные ошибки системных ад-

министраторов и пользователей грозят повреждением аппаратуры, разрушением программ и данных; в лучшем случае они создают бреши в защите, которые делают возможной реализацию угроз.

Можно выделить следующие направления повседневной деятельности:

•поддержка пользователей;

•поддержка программного обеспечения;

•конфигурационное управление;

•резервное копирование;

•управление носителями;

•документирование;

•регламентные работы.

Поддержка пользователей подразумевает прежде всего консультирование и оказание помощи при решении разного рода проблем. Чаще всего эту функцию в организации выполняет системный администратор, иногда создаются специальные отделы. Важно среди вопросов пользователей выявлять проблемы, касающиеся информационной безопасности.

Поддержка программного обеспечения — одно из важнейших средств обеспечения целостности информации. Программное обеспечение на компьютерах организации должно устанавливаться только системным администратором, чтобы избежать заражения вирусами.

Второй аспект поддержки программного обеспечения — контроль за отсутствием неавторизованного изменения программ и прав доступа к ним. Сюда же можно отнести поддержку эталонных копий программных систем.

Конфигурационное управление позволяет контролировать и фиксировать изменения, вносимые в программную конфигурацию. Прежде всего, необходимо застраховаться от случайных или непродуманных модификаций. Также важно фиксировать все внесенные изменения, чтобы можно было восстановить текущую версию после устранения аварий.

Лучший способ уменьшить количество ошибок в рутинной работе — максимально автоматизировать ее. Автоматизация и безопасность зависят друг от друга; тот, кто заботится в первую очередь об облегчении своей задачи, на самом деле оптимальным образом формирует режим информационной безопасности.

Резервное копирование необходимо для восстановления программ и данных после аварий. Здесь целесообразно автоматизировать работу, задав время создания резервных копий. Также важно иметь не одну, а несколько ко-

42

пий, которые будут храниться в максимально защищенных от повреждений и взломов местах. Время от времени в тестовых целях следует проверять возможность восстановления информации с копий.

Управлять носителями необходимо для обеспечения их физической защиты и учета. Основная задача — обеспечивать конфиденциальность, целостность и доступность информации, хранящейся вне компьютерных систем. Под физической защитой здесь понимается не только отражение попыток несанкционированного доступа, но и предохранение от вредных влияний окружающей среды (жары, холода, влаги, магнетизма). Управление носителями должно охватывать весь жизненный цикл — от закупки до выведения из эксплуатации.

Документирование — неотъемлемая часть информационной безопасности. В виде документов оформляется почти все — от политики безопасности до журнала учета носителей. Важно, чтобы документация была актуальной, отражала именно текущее состояние дел, причем в непротиворечивом виде.

Регламентные работы — очень серьезная угроза безопасности. Сотрудник, осуществляющий регламентные работы, получает исключительный доступ к системе, и на практике очень трудно проконтролировать, какие именно действия он совершает. Здесь на первый план выходит степень доверия к тем, кто выполняет работу10.

Реагирование на нарушения режима безопасности. В любой организа-

ции должен быть разработан план действий в случае выявления нарушения режима безопасности.

Реакция на нарушения режима безопасности преследует три главные цели:

•локализация инцидента и уменьшение наносимого вреда;

•выявление нарушителя;

•предупреждение повторных нарушений.

В организации должен быть человек, доступный 24 часа в сутки, который отвечает за реакцию на нарушения. Все должны знать координаты этого человека и обращаться к нему при первых признаках опасности.

Планирование восстановительных работ. Ни одна организация не за-

страхована от серьезных аварий, вызванных естественными причинами, действиями злоумышленника, халатностью или некомпетентностью. В то же время у каждой организации есть функции, которые руководство считает критически важными, они должны выполняться несмотря ни на что. Планирование восстановительных работ позволяет подготовиться к авариям, уменьшить ущерб от

10 URL: https://www.intuit.ru/studies/courses/10/10/lecture/310?page=3.

43

них и сохранить способность к функционированию хотя бы в минимальном объеме.

Стратегия восстановительных работ должна базироваться на наличных ресурсах и быть не слишком накладной для организации. При разработке стратегии целесообразно провести анализ рисков, которым подвергаются критичные функции, и попытаться выбрать наиболее экономичное решение.

Стратегия должна предусматривать не только работу по временной схеме, но и возвращение к нормальному функционированию.

Проверка стратегии производится путем анализа подготовленного плана, принятых и намеченных мер11.

1.6. Компьютерные вирусы и антивирусные программы. Методы и технологии борьбы с вирусами

Защита от компьютерных вирусов и других программных действий и изменений является самостоятельным направлением защиты процессов переработки информации в КС. Недооценка разрушающих программных средств может иметь серьезные последствия для информации пользователей. Знание механизмов действия вирусов, методов и средств борьбы с ними позволяет эффективно организовать противодействие вирусам, свести к минимуму вероятность заражения и потерь от их воздействия.

Компьютерные вирусы — это небольшие исполняемые или интерпретируемые программы, обладающие свойством распространения и самовоспроизведения (репликации) в КС. Вирусы выполняют изменение или уничтожение программного обеспечения или данных, хранящихся в КС. В процессе распространения вирусы могут себя модифицировать.

В настоящее время в мире насчитывается несколько десятков тысяч зарегистрированных компьютерных вирусов. Все компьютерные вирусы могут быть классифицированы по следующим признакам:

•среда обитания;

•способ заражения;

•степень опасности;

•алгоритм функционирования.

По среде обитания компьютерные вирусы подразделяют на сетевые, файловые, загрузочные и комбинированные.

11 URL: https://life-prog.ru/1_4679_fizicheskaya-zashchita.html.

44

Средой обитания сетевых вирусов являются элементы компьютерных сетей. Файловые вирусы размещаются в исполняемых файлах. Загрузочные вирусы находятся в загрузочных секторах (областях) внешних запоминающих устройств (boot-секторах). Иногда загрузочные вирусы называют бутовыми. Комбинированные вирусы размещаются в нескольких средах обитания. Примером таких вирусов являются загрузочно-файловые вирусы. Они могут размещаться как в загрузочных секторах накопителей на магнитных дисках, так и в теле загрузочных файлов.

По способу заражения среды обитания компьютерные вирусы делятся на резидентные и нерезидентные.

Резидентные вирусы после их активизации полностью или частично перемещаются из среды обитания (сеть, загрузочный сектор, файл) в оперативную память ЭВМ. Эти вирусы, используя, как правило, привилегированные режимы работы, разрешенные только операционной системе, заражают среду обитания и при выполнении определенных условий реализуют деструктивную функцию. В отличие от резидентных нерезидентные вирусы попадают в оперативную память ВС только на время их активности, в течение которого выполняют деструктивную функцию и функцию заражения. Затем вирусы полностью покидают оперативную память, оставаясь в среде обитания. Если вирус помещает в оперативную память программу, которая не заражает среду обитания, то такой вирус считается нерезидентным.

Арсенал вредительских воздействий компьютерных вирусов весьма обширен. Они зависят от целей и квалификации их создателя, а также от особенностей КС.

По степени опасности для информационных ресурсов пользователя компьютерные вирусы можно разделить на: безвредные, опасные и очень опасные.

Безвредные вирусы создаются авторами, которые не ставят перед собой цель нанести какой-либо ущерб ресурсам КС. Ими, как правило, движет желание показать свои возможности программиста. Другими словами, создание компьютерных вирусов для таких людей — своеобразная попытка самоутверждения. Вредительское воздействие таких вирусов сводится к выводу на экран монитора невинных текстов и картинок, исполнению музыкальных фрагментов и т.п.

Однако при всей кажущейся безобидности такие вирусы наносят определенный ущерб КС. Во-первых, такие вирусы расходуют ресурсы КС, в той или иной мере снижая эффективность ее функционирования. Во-вторых, компьютерные вирусы могут содержать ошибки, вызывающие опасные последствия

45

для информационных ресурсов КС. Кроме того, при модернизации операционной системы или аппаратных средств КС вирусы, созданные ранее, могут приводить к нарушениям штатного алгоритма работы системы.

Опасные вирусы вызывают существенное снижение эффективности КС, но не приводят к нарушению целостности и конфиденциальности информации, хранящейся в запоминающих устройствах. Последствия таких вирусов могут быть ликвидированы без особых затрат материальных и временных ресурсов. Примерами таких вирусов являются вирусы, занимающие память ЭВМ и каналы связи, но не блокирующие работу сети; вирусы, вызывающие необходимость повторного выполнения программ, перезагрузки операционной системы или повторной передачи данных по каналам связи и т.п.

Очень опасные вирусы вызывают нарушение конфиденциальности, уничтожение, необратимую модификацию (в том числе и шифрование) информации, а также блокируют доступ к информации, приводят к отказу аппаратных средств, вызывают их неисправность и наносят ущерб здоровью пользователей. Такие вирусы стирают отдельные файлы, системные области памяти, форматируют диски, получают несанкционированный доступ к информации, шифруют данные и т.п. Предполагается, что на резонансной частоте движущиеся части электромеханических устройств, например, в системе позиционирования накопителя на магнитных дисках, могут быть разрушены. Именно такой режим и может быть создан с помощью программы-вируса. Другие авторы утверждают, что возможно задание режимов интенсивного использования отдельных электронных схем (например, больших интегральных схем), при которых наступает их перегрев и выход из строя.

Использование в современных ПЭВМ постоянной памяти с возможностью перезаписи привело к появлению вирусов, изменяющих программы BIOS, что ведет к необходимости замены постоянных запоминающих устройств.

Возможны также воздействия на психику человека — оператора ЭВМ — с помощью подбора видеоизображения, выдаваемого на экран монитора с определенной частотой (каждый 25-й кадр). Встроенные кадры этой видеоинформации воспринимаются человеком на подсознательном уровне. В результате такого воздействия возможно нанесение серьезного ущерба психике человека.

В соответствии с особенностями алгоритма функционирования вирусы можно подразделить на два класса:

1) вирусы, не изменяющие среду обитания (файлы и секторы) при распространении;

2) вирусы, изменяющие среду обитания при распространении.

46

В свою очередь, вирусы, не изменяющие среду обитания, могут быть подразделены на две группы: вирусы-«спутники» (companion); вирусы-«черви»

(worm).

Вирусы-«спутники» не изменяют файлы. Механизм их действия состоит в создании копий исполняемых файлов. Например, в MS DOS такие вирусы создают копии для файлов, имеющих расширение ЕХЕ. Копии присваивается то же имя, что и исполняемому файлу, но расширение изменяется на СОМ. При запуске файла с общим именем операционная система первым загружает на выполнение файл с расширением СОМ, который является программойвирусом. Файл-вирус запускает затем и файл с расширением ЕХЕ.

Вирусы-«черви» попадают в рабочую станцию из сети, вычисляют адреса рассылки вируса по другим абонентам сети и осуществляют передачу вируса. Вирус не изменяет файлов и не записывается в загрузочные секторы дисков. Некоторые вирусы-«черви» создают рабочие копии вируса на диске, другие — размещаются только в оперативной памяти ЭВМ.

По сложности, степени совершенства и особенностям маскировки алго-

ритмов вирусы, изменяющие среду обитания, подразделяются на:

•студенческие;

•«стелс»-вирусы (вирусы-невидимки);

•полиморфные.

К студенческим относятся вирусы, создатели которых имеют низкую квалификацию. Такие вирусы, как правило, являются нерезидентными, часто содержат ошибки, довольно просто обнаруживаются и удаляются.

«Стелс»-вирусы и полиморфные вирусы создаются квалифицированными специалистами, хорошо знающими принцип работы аппаратных средств и операционной системы, а также владеющими навыками работы с машинноориентированными системами программирования.

«Стелс»-вирусы маскируют свое присутствие в среде обитания путем перехвата обращений операционной системы к пораженным файлам, секторам и переадресуют ОС к незараженным участкам информации. Вирус является резидентным, маскируется под программы ОС, может перемещаться в памяти. Такие вирусы активизируются при возникновении прерываний, выполняют определенные действия, в том числе и по маскировке, и только затем управление передается на программы ОС, обрабатывающие эти прерывания. «Стелс»- вирусы обладают способностью противодействовать резидентным антивирусным средствам.

47

Полиморфные вирусы не имеют постоянных опознавательных групп — сигнатур. Обычные вирусы для распознавания факта заражения среды обитания размещают в зараженном объекте специальную опознавательную двоичную последовательность или последовательность символов (сигнатуру), которая однозначно идентифицирует зараженность файла или сектора. Сигнатуры используются на этапе распространения вирусов для того, чтобы избежать многократного заражения одних и тех же объектов, так как при многократном заражении объекта значительно возрастает вероятность обнаружения вируса. Для устранения демаскирующих признаков полиморфные вирусы используют шифрование тела вируса и модификацию программы шифрования. За счет такого преобразования полиморфные вирусы не имеют совпадений кодов.

Любой вирус, независимо от принадлежности к определенным классам, должен иметь три функциональных модуля: модуль заражения (распространения), модуль маскирования и модуль выполнения вредительских действий. Разделение на функциональные модули означает, что к определенному модулю относятся команды программы вируса, выполняющие одну из трех функций, независимо от места нахождения команд в теле вируса.

После передачи управления вирусу, как правило, выполняются определенные функции блока маскировки, например: происходит расшифрование тела вируса. Затем вирус осуществляет функцию внедрения в незаряженную среду обитания. Если вирусом предусмотрены деструктивные воздействия, то они выполняются либо безусловно, либо при определенных условиях.

Завершает работу вируса всегда блок маскирования. При этом выполняются, например, следующие действия: шифрование вируса (если функция шифрования реализована), восстановление старой даты изменения файла и его атрибутов, корректировка таблиц ОС и др.

В последнюю очередь вирусная программа дает команду активировать зараженные файлы или выполнить программы ОС.

Для удобства работы с известными вирусами используются каталоги вирусов. В каталог помещаются следующие сведения о стандартных свойствах вируса: имя, длина, заражаемые файлы, место внедрения в файл, метод заражения, способ внедрения в ОП для резидентных вирусов, вызываемые эффекты, наличие (отсутствие) деструктивной функции и ошибки. Наличие каталогов позволяет при описании вирусов указывать только особые свойства, опуская стандартные свойства и действия12.

12 См.: Мельников В. П. Информационная безопасность и защита информации : учеб. пособие для вузов.

М. : Академия, 2008. 336 c.

48

Массовое распространение вирусов, серьезность последствий их воздействия на ресурсы КС вызвали необходимость разработки и использования специальных антивирусных средств и методов их применения.

Антивирусные средства применяются для решения следующих задач:

•обнаружение вирусов в КС;

•блокирование работы программ-вирусов;

•устранение последствий воздействия вирусов.

Обнаружение вирусов желательно осуществлять на стадии их внедрения или, по крайней мере, до начала выполнения деструктивных функций вирусов. Необходимо отметить, что не существует антивирусных средств, гарантирующих обнаружение всех возможных вирусов.

При выявлении вируса необходимо сразу же прекратить работу програм- мы-вируса, чтобы минимизировать ущерб от его воздействия на систему.

Устранение последствий воздействия вирусов ведется в двух направлениях: удаление вирусов; восстановление (при необходимости) файлов, областей памяти.

Технология восстановления системы зависит от типа вируса, а также от момента времени обнаружения вируса по отношению к началу вредных действий. Восстановление информации без использования дублирующей информации может быть невыполнимым, если вирусы при внедрении не сохраняют информацию, на место которой они помещаются в память, а также, если вредные действия уже начались и они предусматривают изменения информации.

Для борьбы с вирусами используются программные и аппаратнопрограммные средства, которые применяются в определенной последовательности и комбинации, образуя методы борьбы с вирусами, которые подразделяются на методы обнаружения и удаления вирусов.

К методам обнаружения вирусов относятся:

•сканирование;

•обнаружение изменений;

•эвристический анализ;

•использование резидентных сторожей;

•вакцинация программ;

•применение аппаратно-программных антивирусных средств. Сканирование — один из самых простых методов обнаружения вирусов.

Оно осуществляется программой-сканером, которая просматривает файлы в поисках опознавательной части вируса — сигнатуры. Программа фиксирует наличие уже известных вирусов, за исключением полиморфных, которые при-

49

меняют шифрование тела вируса, изменяя при этом каждый раз и сигнатуру. Программы-сканеры часто могут удалять обнаруженные вирусы, причем хранить не сигнатуры известных вирусов, а их контрольные суммы. Такие программы называются полифагами.

Метод сканирования применим для обнаружения вирусов, сигнатуры которых уже выделены и являются постоянными. Для эффективного использования метода необходимо регулярное обновление сведений о новых вирусах.

Самой известной программой-сканером в России является AIDSTEST Дмитрия Лозинского.

Метод обнаружения изменений базируется на использовании программревизоров. Эти программы определяют и запоминают характеристики всех областей на дисках, в которых обычно размещаются вирусы. При периодическом выполнении программ-ревизоров сравниваются хранящиеся характеристики и характеристики, получаемые при контроле областей дисков. По результатам ревизии программа выдает сведения о предположительном наличии вирусов.

Обычно программы-ревизоры запоминают в специальных файлах образы главной загрузочной записи, загрузочных секторов логических дисков, характеристики всех контролируемых файлов, каталогов и номера дефектных кластеров, объемы установленной оперативной памяти, число подключенных к компьютеру дисков и их параметры.

Главным достоинством метода является возможность обнаружения вирусов всех типов, а также новых неизвестных вирусов. Совершенные программыревизоры обнаруживают даже «стелс»-вирусы. Например, программа-ревизор ADINF, разработанная Д. Ю. Мостовым, работает с диском непосредственно по секторам через BIOS. Это не позволяет «стелс»-вирусам использовать возможность перехвата прерываний и «подставки» для контроля нужной вирусу области памяти.

Однако этот метод имеет недостатки. С помощью программ-ревизоров невозможно определить вирус в файлах, которые поступают в систему уже зараженными. Вирусы будут обнаружены только после размножения в системе.

Программы-ревизоры непригодны для обнаружения заражения макровирусами, так как документы и таблицы очень часто изменяются.

Эвристический анализ сравнительно недавно начал использоваться для обнаружения вирусов. Как и метод обнаружения изменений, данный метод позволяет определять неизвестные вирусы, но не требует предварительного сбора, обработки и хранения информации в файловой системе.

50