Добавил:
ivanov666
Опубликованный материал нарушает ваши авторские права? Сообщите нам.
Вуз:
Предмет:
Файл:Основы информационной безопасности. Учебник для студентов вузов, обучающихся по направлению подготовки «Правовое обеспечение национальной безопасности
.pdf
Глава 7. Защита информации в телекоммуникационных системах
3) модифицировать или стереть данные, а также оставить пред-
намеренный след, например, в виде непристойной записки.
Диапазон побудительных мотивов получения доступа к системе
довольно широк: от желания испытать эмоциональный подъем при
игре с компьютером до ощущения власти над ненавистным менеджером. Занимаются этим не только новички, желающие позабавиться, но и профессиональные программисты. Значительную часть
нарушителей составляют любители компьютерных игр, обычно в
возрасте от 17 до 25 лет. Причем, как правило, их интересы остаются на уровне детских забав. Пароли они добывают либо в результате
догадки, либо путем обмена с другими хакерами.
Часть из них, однако, начинает не только просматривать, но и
проявлять интерес к содержимому файлов, а это уже представляет
серьезную угрозу, поскольку в данном случае трудно отличить безобидное баловство от умышленных действий.
Эти действия способствуют разрушению образа дружелюбного и
безобидного игрока, который пытаются создать сами хакеры. Инциденты, связанные с компьютерным пиратством, были описаны в
начале 1990-х гг. когда, внедряясь в вычислительную систему, хакеры уничтожали данные, подменяли или стирали ключи, оставляли
записки непристойного содержания.
До недавнего времени вызывали беспокойство случаи, когда недовольные руководителем служащие, злоупотребляя своим положением, портили системы, допуская к ним посторонних или оставляя
их в рабочем состоянии без присмотра. Побудительными мотивами
таких действий являются:
реакция на выговор или замечание со стороны руководителя;
недовольство тем, что организация не оплатила сверхуроч-
ные часы работы (хотя чаще всего сверхурочная работа возникает из-за неэффективного использования рабочего времени);
злой умысел в качестве, например, реванша с целью ослабить
организацию как конкурента.
Для вхождения в систему профессионалы чаще всего используют некоторую систематику и эксперименты, а не рассчитывают на удачу или догадку. Их цель — выявить и преодолеть
систему защиты, изучить возможности вычислительной установки и затем удалиться, самоутвердившись в возможности достижения цели.
Благодаря высокой квалификации эти люди понимают, что степень риска мала, так как отсутствуют мотивы разрушения или хищения. Действительно, задержанные и привлекавшиеся к суду на-
191
192
рушители чаще всего упрекали свое начальство в дурном с ними
обращении и оправдывали себя своей незащищенностью. Некоторые из них предлагали услуги в качестве консультантов фирмам, где
накопились подобные проблемы.
Все это свидетельствует о том, насколько опасно наивное отношение к хакерам, которые, с одной стороны, по-детски хотят
продемонстрировать свое умение внедряться в системы, а также
показать ошибки и некомпетентность организаций, не имеющих
мощных средств защиты, и, с другой стороны, в случае их выявления хотят доказать, что в их действиях не было злого умысла и они
не заслуживают строгого наказания.
Такие личности, когда ими руководят недовольство и гнев, часто отыгрываются на других и относятся к той категории людей, которые никогда не настаивают на проведении проверок устройств
средств (системы) защиты.
К категории хакеров-профессионалов обычно относят: преступные группировки, преследующие политические цели; лиц, стремящихся получить информацию в целях промышленного шпионажа;
группировки отдельных лиц, стремящихся к наживе.
Профессиональные хакеры всегда стремятся свести риск к минимуму. Для этого они привлекают к соучастию работающих или
недавно уволившихся из организации сотрудников, поскольку для
постороннего риск быть обнаруженным при проникновении в банковские системы весьма велик. Сложность и высокое быстродействие банковских вычислительных систем, постоянное совершенствование методов ведения и проверки документов и отчетности делают
практически невозможным для постороннего лица перехватить то
или иное сообщение или внедриться в систему с целью похитить
данные. Существует и дополнительный риск: изменение одного
компонента может привести к сбою в работе другого и послужить
сигналом к объявлению тревоги.
Чтобы уменьшить риск, хакеры обычно завязывают контакты со
служащими, у которых есть финансовые или семейные проблемы.
Так, сотни лет используется шантаж как метод, вынуждающий людей идти на риск и преступления за минимальное вознаграждение
или вовсе без него. Большинство людей могут ни разу в жизни так
и не столкнуться с хакером, но бывает, что служащий, не осознавая
своих слабостей, например пристрастия к алкоголю или азартным
играм, незаметно для себя становится должником какого-нибудь
букмекера, который, возможно, связан с преступной организацией.
Люди, занимающиеся компьютерами, не менее, а часто и более
впечатлительны, чем люди других профессий, так как выросли в
Раздел II. Организационная и техническая защита информации
Глава 7. Защита информации в телекоммуникационных системах
атмосфере игры. Они чрезвычайно страдают, столкнувшись с теми,
кто стремится разрушить эту атмосферу. Эти люди настолько лишены способности сопротивляться злу, что попадают в полную зависимость компьютерного пирата.
Часто жертва даже не осознает, что втянута в преступление, и
обнаруживает это, лишь когда бывший сослуживец просит оказать
ему явную услугу.
Быстрое развитие компьютерной индустрии способствует возникновению профессиональных коллективов, объединяющих друзей и родственников. Это может играть положительную роль, например, когда требуется исправить систему или написать какойнибудь важный доклад. Дружеские связи сохраняются и после ухода
служащего с работы, и часто он начинает использовать их, обращаясь по телефону за советом или помощью к своим прежним сослуживцам. Позже выполненные просьбы компенсируются: сначала
совместными обедами, а затем и оплатой наличными. На этой стадии служащему представляется, что он лишь оказывает незначительную услугу своему старому другу и не более. Просветление наступает, когда ему начинают угрожать разоблачением за получение
взяток. Шантаж длится до тех пор, пока работник не передаст вымогателям пароль или не обеспечит им доступ к системе или в помещение фирмы. В этом случае он подвергает себя большому риску, а награда обычно бывает весьма скромной.
Для осуществления несанкционированного доступа в вычислительную систему требуется, как правило, провести два подготовительных этапа:
1) собрать сведения о системе;
2) выполнить пробные попытки вхождения в систему.
Сбор сведений. В зависимости от личности хакера и его наклонностей возможны различные направления сбора сведений:
подбор соучастников;
анализ периодических изданий, ведомственных бюллетеней и
документации;
перехват сообщений электронной почты;
подслушивание разговоров, телексов, телефонов;
перехват информации и электромагнитного излучения;
организация краж;
вымогательство и взятки.
Способы вхождения в систему хакером. Получив необходимый
объем предварительной информации, хакер делает следующий шаг —
осуществляет несанкционированный доступ в систему. Используемые им при этом средства будут зависеть от количества ин-
193
194
формации, имеющейся в его распоряжении. Это может быть номер телефона или возможность физического доступа к линии связи, протоколы работы, описания процедур входа в систему, код
пользователя и пароль.
У хакера, получившего однажды доступ к телекоммуникационной или компьютерной системе, появляются возможности попытаться подняться на более высокий уровень приоритета, который
позволит красть, изменять или уничтожать информацию; предпринять попытку кражи кодов и паролей других пользователей, что
даст ему еще большие преимущества. К наиболее известным способам достижения этих целей относятся следующие.
1. Мошенничество с данными — один из самых распространенных методов при совершении компьютерных преступлений, так как
он не требует технических знаний и относительно безопасен. Информация меняется в процессе ее ввода в компьютер или во время
вывода. Например, при вводе документы могут быть заменены
фальшивыми, рабочие носители информации заменены на чужие и
данные могут быть сфальсифицированы.
2. Сканирование — распространенный метод получения информации, который может привести к преступлению. Служащие, читающие файлы других, могут обнаружить там персональную информацию о своих коллегах. Информация, позволяющая получить
доступ к компьютерным файлам или изменить их, может быть найдена после просмотра мусорных корзин. Носители информации,
оставленные на рабочем месте, могут быть прочитаны, скопированы, и украдены.
3. Метод «Троянский конь» предполагает, что пользователь не
заметил, что компьютерная программа была изменена таким образом, что включает в себя дополнительные функции. Программа,
выполняющая полезные функции, пишется таким образом, что содержит дополнительные скрытые функции, которые будут использовать особенности механизмов защиты системы (возможности
пользователя, запустившего программу, по доступу к файлам).
4. Метод «Люк или дверь (back door)» основан на использовании
скрытого программного или аппаратного механизма, позволяющего
обойти методы защиты в системе. Этот механизм активируется некоторым неочевидным образом. Иногда программа пишется таким
образом, что специфическое событие, например, число транзакций,
обработанных в определенный день, вызовет запуск неавторизованного механизма. Программа может быть создана преднамеренно, но
бывает возникает и случайно. Лазейка (trap door) — разновидность
потайного хода. Считается вспомогательным средством, используе-
Раздел II. Организационная и техническая защита информации
Глава 7. Защита информации в телекоммуникационных системах
мым программистами при создании, тестировании и поддержке
комплексных программ, которые позволяют в нужный момент
обойти защиту или ловушку, предусмотренную программой.
5. Технология «салями» названа так из-за того, что преступление
совершается понемногу, небольшими частями, настолько маленькими, что они незаметны. Обычно эта технология сопровождается
изменением компьютерной программы. Например, платежи могут
округляться до нескольких центов, и разница между реальной и
округленной суммой поступать на специально открытый счет злоумышленника.
6. Способ «суперотключение» назван по имени программы,
использовавшейся в ряде компьютерных центров, обходившей
системные меры защиты и использовавшейся при аварийных ситуациях. Владение этим «мастер-ключом» дает возможность в
любое время получить доступ к компьютеру и информации, находящейся в нем.
195
7.5. Методы воздействия и противодействия в сети Интернет
Глобальная сеть Интернет — самая крупная и единственная в своем
роде сеть в мире. Среди глобальных сетей она занимает уникальное
положение. Правильнее ее рассматривать как объединение многих
сетей, сохраняющих самостоятельное значение. Действительно, Интернет не имеет ни четко выраженного владельца, ни национальной
принадлежности. Любая сеть может иметь связь с Интернетом и,
следовательно, рассматриваться как часть глобальной сети, если в
ней используются принятые для Интернет протоколы TCP/IP или
имеются конверторы в протоколы TCP/IP. Практически все сети
национального и регионального масштабов имеют выход в Интернет. Типичная территориальная (национальная) сеть имеет иерархическую структуру. Верхний уровень — федеральные узлы, связанные между собой магистральными каналами связи. Магистральные
каналы физически организуются на ВОЛС или на спутниковых каналах связи. Средний уровень — региональные узлы, образующие
региональные сети. Они связаны с федеральными узлами и, возможно, между собой выделенными высоко- или среднескоростными каналами, такими, как каналы Т1, Е1, B-ISDN, или радиорелейными линиями. Нижний уровень — местные узлы (серверы доступа), связанные с региональными узлами преимущественно коммутируемыми или выделенными телефонными каналами связи, хотя заметна тенденция к переходу к высоко- и среднескоростным
каналам. Именно к местным узлам подключаются локальные сети
196
малых и средних предприятий, а также компьютеры отдельных
пользователей. Корпоративные сети крупных предприятий соединяются с региональными узлами выделенными высоко- или среднескоростными каналами. Таким образом, архитектура Интернета
имеет иерархическую структуру.
Внутри каждой автономной системы (AС) используется некоторый единый внутренний протокол маршрутизации. Между AС
маршрутизация подчиняется внешним протоколам.
Возможным угрозам, возникающим при работе в компьютерных
системах, совмещенных с Интернетом, подвержены:
электронная почта;
передача файлов;
телеконференции;
справочные службы (доски объявлений);
видеоконференции;
доступ к информационным ресурсам (информационным ба-
зам) сетевых серверов;
мобильная сотовая связь;
компьютерная телефония.
Специфика телекоммуникаций проявляется прежде всего в прикладных протоколах. Среди них наиболее известны протоколы, связанные с Интернетом, и протоколы ISO-IP (ISO 8473), относящиеся к семиуровневой модели ЭМВОС открытых систем. К прикладным протоколам Интернета относятся следующие:
Telnet, протокол эмуляции терминала или, другими словами,
протокол реализации дистанционного управления. Используется для подключения клиента к серверу при их размещении
на разных компьютерах, пользователь через свой терминал
имеет доступ к компьютеру-серверу;
FTP, протокол файлового обмена (реализуется режим уда-
ленного узла), клиент может запрашивать и получать файлы с
сервера, адрес которого указан в запросе;
HTTP (Hypertext Transmission Protocol), протокол для связи
www-серверов и www-клиентов;
NFS, сетевая файловая система, обеспечивающая доступ к
файлам всех UNIX-машин локальной сети. Файловые системы узлов выглядят для пользователя как единая файловая
система;
SMTP, IMAP, POP3, протоколы электронной почты.
Указанные протоколы реализуются с помощью соответствующе-
го программного обеспечения. Для Telnet, FTP, SMTP на серверной
стороне выделены фиксированные номера протокольных портов. В
Раздел II. Организационная и техническая защита информации
Глава 7. Защита информации в телекоммуникационных системах
семиуровневой модели ISO (ЭМВОС) используются аналогичные
протоколы. Так, протокол VT соответствует протоколу Telnet,
FTAM — FTP, MOTIS — SMTP, CMIP — SNMP, протокол RDA
(Remote Database Access) предназначен для доступа к удаленным
базам данных.
Наиболее опасным и подверженным угрозам со стороны дис-
танционного воздействия через шлюзы и протоколы доступа является программное обеспечение компьютерной системы.
В общем случае программное обеспечение универсальной ком-
пьютерной системы состоит из трех основных компонентов: операционной системы (ОС), сетевого программного обеспечения (СПО)
и системы управления базами данных (СУБД). Поэтому воздействие на локальные сети через Интернет посредством взлома защиты
компьютерных систем можно разделить на три группы:
1) воздействие на уровне операционной системы.
2) воздействие на уровне сетевого программного обеспечения.
3) воздействие на уровне систем управления базами данных.
197
7.5.1. Атаки на уровне СУБД
Защита СУБД является одной из самых простых задач. Это связано
с тем, что СУБД имеет строго определенную внутреннюю структуру, а операции над элементами СУБД заданы довольно четко. Есть
четыре основных действия: поиск, вставка, удаление и замена элемента. Другие операции являются вспомогательными и используются довольно редко. Все это упрощает решение защиты СУБД.
В большинстве случаев злоумышленники предпочитают взламывать
защиту компьютерной системы на уровне ОС и получать доступ к
файлам СУБД с помощью средств ОС. Однако, если используется
СУБД, не имеющая достаточно надежных защитных механизмов,
или плохо протестированная версия СУБД, содержащая ошибки,
или если при определении политики безопасности администратором СУБД были допущены ошибки, то становится вполне вероятным преодоление взломщиком защиты, реализуемой на уровне
СУБД.
Имеются два специфических сценария атаки на СУБД, для за-
щиты от которых требуется применить специальные методы. В первом случае результаты арифметических операций над числовыми
полями СУБД округляются в меньшую сторону, разница суммируется в некоторой другой записи СУБД (например, личный счет злоумышленника), а округляемые числовые поля относятся к счетам
других клиентов банка. Во втором случае злоумышленник получает
198
доступ к полям записей СУБД, для которых доступной является
только статистическая информация.
Раздел II. Организационная и техническая защита информации
7.5.2. Атаки на уровне операционной системы
Защитить операционную систему (ОС), в отличие от СУБД, намного сложнее. Это связано с тем, что внутренняя структура современных ОС чрезвычайно сложна, и поэтому соблюдение адекватной политики безопасности является очень трудной задачей.
Среди неопытных пользователей бытует мнение, что самые эффективные атаки на ОС могут быть организованы только с помощью сложнейших средств. На самом деле это не совсем так. Высокая квалификация взломщика — качество не лишнее, но искусство взлома заключается в поиске слабых мест в конкретной системе защиты. При этом простейшие методы взлома оказываются
ничуть не хуже самых изощренных, поскольку чем проще алгоритм атаки, тем больше вероятность его работы без ошибок. Успех
реализации того или иного алгоритма атаки взломщика в значительной степени зависит от архитектуры и конфигурации ОС. Однако есть атаки, которым может быть подвергнута практически
любая ОС:
подбор пароля по частоте встречаемости символов с помо-
щью словарей наиболее часто употребляемых паролей с при-
менением знаний о конкретном пользователе (фамилия, но-
мер телефона, год рождения и т.п.);
сканирование жестких дисков компьютера (злоумышленник
последовательно пытается обратиться к каждому файлу, хра-
нимому на жестких дисках компьютерной системы. Если объ-
ем дискового пространства достаточно большой, то вполне
вероятно, что при описании доступа к файлам и каталогам
администратор допустил хотя бы одну ошибку, в результате
которой все каталоги и файлы будут прочитаны злоумышлен-
ником. Для сокрытия следов взломщик может организовать
эту атаку под чужим именем, например под именем пользова-
теля, пароль которого ему известен);
сборка «мусора» (если средства ОС позволяют восстанавли-
вать ранее удаленные объекты, например из корзин);
превышение полномочий (используя ошибки в программном
обеспечении или в администрировании ОС, злоумышленник
получает полномочия, превышающие полномочия, предос-
тавленные ему согласно действующей политике безопасно-
ñòè):
Глава 7. Защита информации в телекоммуникационных системах
запуск программы от имени пользователя, имеющего необхо-
димые полномочия;
подмена динамически загружаемой библиотеки, используе-
мой системными программами, или изменение переменных
среды, описывающих путь к таким библиотекам;
модификация кода или данных подсистемы защиты самой
операционной системы;
отказ в обслуживании (целью этой атаки является частичный
или полный вывод из строя операционной системы);
захват ресурсов (программа злоумышленника производит за-
хват всех имеющихся в ОС ресурсов, а затем входит в беско-
нечный цикл);
бомбардировка запросами (программа злоумышленника по-
стоянно направляет запросы, реакция на которые требует
привлечения значительных ресурсов компьютерной системы);
использование ошибок в программном обеспечении или ад-
министрировании.
Если в программном обеспечении компьютерной системы нет
ошибок и ее администратор строго соблюдает политику безопасности, то атаки всех перечисленных типов могут оказаться недостаточно эффективными. Тем не менее полностью устранить угрозу
несанкционированного доступа в компьютерную систему на уровне
ОС невозможно. Поэтому политика безопасности должна быть такой, чтобы даже при преодолении защиты ОС злоумышленник не
смог нанести серьезного ущерба.
199
7.5.3. Атаки на уровне сетевого программного обеспечения
Сетевое программное обеспечение (СПО) является наиболее
уязвимым, потому что канал связи, по которому передаются сообщения, чаще всего не защищен, и всякий, кто может иметь доступ
к этому каналу, может перехватывать сообщения и отправлять свои
собственные. Поэтому на уровне СПО возможны следующие атаки
злоумышленников:
сканирование сегмента локальной сети, имеющей выход в
интерактивную сеть Интернет; компьютеру злоумышленника,
подключенному к этому же сегменту сети, становится досту-
пен весь информационный обмен между компьютерами этого
сегмента);
перехват сообщений на маршрутизаторе (если злоумышлен-
ник имеет привилегированный доступ к сетевому маршрути-
затору, то он получает возможность перехватывать все сооб-
200
щения, проходящие через этот маршрутизатор; и хотя тоталь-
ный перехват невозможен из-за слишком большого объема
информации, значительный интерес для хакера представляет
выборочный перехват сообщений, содержащих пароли поль-
зователей, их электронную почту и т.п.);
создание ложного маршрутизатора (путем отправки в сеть,
имеющей выход в Интернет, сообщений специального вида
хакер добивается, чтобы его компьютер стал маршрутизато-
ром сети, после чего получает доступ ко всем проходящим
через него сообщениям);
навязывание сообщений (отправляя в сеть сообщения с лож-
ным обратным сетевым адресом, злоумышленник переключа-
ет на свой компьютер уже установленные сетевые соединения
и в результате получает права пользователей, чьи соединения
обманным путем были переключены на его компьютер);
отказ в обслуживании (злоумышленник отправляет в сеть со-
общения специального вида, после чего одна или несколько
компьютерных систем, подключенных к сети, частично или
полностью выходят из строя).
Поскольку атаки злоумышленников на уровне СПО спровоци-
рованы открытостью сетевых соединений, то для отражения этих
атак необходимо максимально защитить системы коммуникации
(каналы связи) и тем самым затруднить обмен информацией по
сети для тех, кто не является легальным пользователем. Для этого
целесообразно использование алгоритмов шифрования сетевых сообщений, электронной цифровой подписи сетевых сообщений,
брандмауэров (межсетевых экранов) и т.д.
Раздел II. Организационная и техническая защита информации
7.6. Особенности построения защиты информации
в телекоммуникационных сетях
Операционные системы современных телекоммуникационных и
компьютерных сетей обладают некоторыми свойствами, в частности
надежностью, живучестью, восстанавливаемостью, отказоустойчивостью и другими повышающими их безопасность.
Повышение безопасности данных достигается разбиением структуры сети на подсети, так как при подключении пользователей к различным физическим сегментам сети можно запретить доступ определенных пользователей к ресурсам других сегментов, установив различные логические фильтры на мостах, коммутаторах и маршрутизаторах.
Такой способ защиты называется установлением брандмауэра, или сетевого экрана. Этот экран располагается между защищаемым внутрен-
Соседние файлы в предмете [НЕСОРТИРОВАННОЕ]