Лабораторная работа-2
.pdf4."подозрительная" сетевая активность - это класс атак, характерной особенностью которых является наличие сетевого трафика, выходящего за рамки определения "стандартного" трафика. Подобная активность может указывать на подозрительные действия, осуществляемые в сети.
ТЕКСТ 5
Анализ атак на локальную сеть
В настоящее время локальные вычислительные сети достаточно уязвимы для целенаправленных атак. Причем такие атаки могут производиться удаленно, в том числе и из-за пределов национальных границ. Разнообразие угроз, подстерегающих пользователя, работающего в сети, огромно. Часть из них является платой за использование сложных информационных технологий, уязвимых к внешним воздействиям, другая часть сопряжена с деятельностью людей. Некоторые угрозы носят объективный характер, например, нестабильность или низкое качество питающего напряжения, электромагнитные наводки или близкие грозовые разряды, другие могут быть связаны с невежеством или неаккуратностью самого пользователя.
К атакам на локальную вычислительную сеть относятся :
атаки переполнения буфера имеют в свою очередь много разновидностей. Одна из наиболее опасных атак предполагает ввод в диалоговое окно помимо текста, присоединенного к нему исполняемого кода. Такой ввод может привести к записи этого кода поверх исполняемой программы, что рано или поздно вызовет его исполнение и может вывести сервер из строя, что приведет к остановке работы всего банка или отдельных его частей .
вирусы - вредоносные программы, способные к самокопированию и к саморассылке. С момента создания до момента обнаружения вируса проходят часы, дни, недели, а иногда и месяцы. Это зависит от того, насколько быстро проявляются последствия заражения. Чем это время больше, тем большее число ЭВМ оказывается заражено. Например, известный вирус Морриса пытается войти в систему, последовательно пробуя пароли из своего внутреннего эвристически составленного списка в несколько сотен процедур, имитирующих "сочинение" паролей человеком .
рhishing - получение паролей, PIN-кодов и пр. (последующая кража информации). Этот вид атаки начинается с рассылки почтовых сообщений, содержащих ссылку на известный ресурс (или имитирующий такую ссылку). Дизайн WEB-страницы обычно копируется с воспроизводимого ресурса . На фальсифицируемой странице может быть, например, написано, что банк, где вы имеете счет, проводит акцию по проверке безопасности доступа. Вам предлагается ввести номер вашей кредитной карты и PIN-код. Если вы это сделаете, злоумышленники сообщат, что все в порядке, а с вашего счета через некоторое время пропадут деньги. Но если это не сопряжено с банком, опасность такой атаки нисколько не уменьшается. Получив доступ к акоунту, злоумышленники получат доступ к конфиденциальной информации.
троянский конь (Spyware) - программа, записывающая все нажатия клавиш на терминале или мышке, способна записывать screenshot'ы и передавать эти данные удаленному хозяину. Если на ЭВМ оказался установленным общеизвестный троянский конь, машина становится уязвимой. Именно с этим связано сканирование хакерами номеров портов известных троянских коней. Многие современные вирусы и черви могут загружать в зараженную ЭВМ троянского коня (или программу spyware), целью которого может быть не только получение паролей, но также номера кредитной карты и PIN-кода.
Внекоторых случаях зараженная машина может стать источником DoS-атаки.
41
SPAM составляет до 90% полного объема почтовых сообщений. Это сопряжено
спотерями сетевых ресурсов и времени получателей, которые просматривают эти сообщения. Часть таких сообщений часто заражена вирусами, червями или троянскими конями. Эффективность современных фильтров SPAM достигает 90%. При этом следует учитывать, что такие фильтры сильно загружают серверы DNS.
ТЕКСТ №6
Анализ инсайдерских атак
В банковский язык все активнее входит понятие «инсайдер» (от англ. «inside» — «внутри») — член какой-либо группы людей, имеющей доступ к информации, недоступной широкой публике, до сих пор относившееся преимущественно к сфере рынков ценных бумаг. «Виновата» в этом технологическая революция. В последнее время хакерские атаки на системы организаций для подавляющего числа систем неактуальны — обычно внешние физические и логические границы организаций хорошо защищены. Чего часто не скажешь о внутренней информационной инфраструктуре. Нередко доступ к любым информационным активам имеют едва ли не все сотрудники банка, в том числе и те, кому по роду деятельности они не нужны. Что касается порядка работы с этими активами, то в лучшем случае он хоть как-то формализован, во всех же остальных — отсутствует как таковой.
Большинство инцидентов обдумываются и планируются заранее. Как правило, имеются лица, знавшие о намерениях или планах злоумышленника — они часто либо прямо вовлечены в планирование инцидента, либо получали выгоду от его результата. А это означает, что злоумышленника можно схватить за руку еще на стадии подготовки. Профессионалы, работающие в службах корпоративной безопасности или в правоохранительных органах, располагают методами, позволяющими раскрыть умысел на самых ранних стадиях: при желании (и умении) всегда можно обнаружить определенные свидетельства планирования, подготовки или уже ведущейся деятельности.
Существует целый ряд фактов, которые должны насторожить тех, кто отвечает за информационную безопасность банка. Это, например, попытки организовать для нескольких сотрудников общий пароль или создать необязательную общую учетную запись (логин/пароль). Или, кто-то стремится получить авторизованный доступ к информационным активам за пределами ответственности, пытается обойти технические средства защиты или попросту игнорирует правила информационной безопасности.
Методы защиты от инсайдерских атак
Меры борьбы с инсайдерами, в общем-то, известны. Во-первых, неукоснительное следование принципам «знай своего клиента» и «знай своего служащего», нашедшим отражение и в международных, и в отечественных стандартах безопасности банковской деятельности. Во-вторых, строгая регламентация и контроль деятельности персонала, а также — закрепленная в контрактах и трудовых договорах ответственность за возможные нарушения. В-третьих, работа с персоналом и повышение корпоративной культуры.
По сравнению с 2005 годом, популярность механизмов внутреннего контроля выросла практически в 5 раз - с 9% до 48%. А вот популярность внешнего аудита, напротив, неуклонно падает.
Данная тенденция объясняется растущим вниманием компаний к проблеме внутренних экономических преступлений. Организации усиливают службу безопасности, внедряют информационные системы защиты, регулярно проводят внутренний аудит.
42
ТЕКСТ 7
Нарушения политики безопасности
Политика безопасности определяет стратегию и тактику построения систем защиты информации. При создании политики безопасности, а также поддержании её в актуальном состоянии необходимо проводит постоянный ИТ аудит и аудит ИБ, позволяющий выявить вновь появившиеся уязвимости компаний, либо предпосылки к их появлению. Аудит представляет собой комплекс мер, которые применяются к информационному пространству компании. Политика безопасности банка является основой для разработки целого ряда документов по обеспечению безопасности: стандартов, руководств, процедур, практик, регламентов, должностных инструкций и пр.. В широком понимании (применительно не только к информационной области компании) политики безопасности, она должна отражать следующие основные моменты:
ответственные лица за безопасность работы компании;
полномочия и ответственность служб и отделов применительно к безопасности;
порядок допуска новых сотрудников и их увольнения;
порядок доступа сотрудников к информационным ресурсам;
организация пропускного режима, регистрации сотрудников и посетителей;
другие требования общего характера;
использование программно-технических средств и способов защиты. Политика безопасности потенциально затрагивает всех пользователей
компьютеров в организации, причем по нескольким аспектам. Если программное обеспечение компьютерной системы не содержит ошибок и ее администратор строго соблюдает адекватную политику безопасности, рекомендованную разработчиками ОС, то все перечисленные виды атак являются малоэффективными. Дополнительные меры, которые должны быть предприняты для повышения степени безопасности функционирования компьютерной системы, в значительной степени зависят от конкретной ОС, под управлением которой работает данная компьютерная система. Вне зависимости от предпринятых мер полностью устранить угрозу взлома компьютерной системы на уровне ОС невозможно. Поэтому политика безопасности должна быть построена так, чтобы даже преодоление рубежа защиты, создаваемого средствами ОС, не позволило бы хакеру нанести серьезный ущерб компьютерной системе.
Политика не может предусмотреть всего, однако она обязана гарантировать, что для каждого вида проблем существует ответственное лицо. Один из главных побудительных мотивов выработки политики безопасности состоит в получении уверенности, что деятельность по защите информации построена экономически оправданным образом.
Системные администраторы обязаны ликвидировать слабые места в защите и надзирать за работой всех систем. Ключевым элементом политики является доведение до каждого его обязанностей по поддержанию режима безопасности.
43