3 Анализ угроз безопасности сети

Защита данных в компьютерных сетях становится одной из самых острых проблем в современной информатике.

Обеспечение безопасности информации в компьютерных сетях предполагает создание препятствий для любых несанкционированных попыток хищения или модификации передаваемых в сети данных. При этом весьма важным является сохранение таких свойств информации, как:

• доступность;

• целостность;

• конфиденциальность.

Доступность — это свойство информации, характеризующее ее способность обеспечивать своевременный и беспрепятственный доступ пользователей к интересующей их информации.

Целостность информации заключается в ее существовании в неискаженном виде (неизменном по отношению к некоторому фиксированному ее состоянию).

Конфиденциальность — это свойство информации, указывающее на необходимость введения ограничений на доступ к данной информации определенному кругу пользователей.

Для того, чтобы правильно оценить возможный реальный ущерб от потери информации, хранящейся на компьютере или циркулирующей в вычислительной сети, необходимо рассмотреть угрозы, которые при этом могут возникнуть и какие необходимо принимать адекватные меры по их защите.

Под угрозой понимается событие (воздействие), которое в случае своей реализации становится причиной нарушения целостности информации, ее потери или замены.

То есть можно выделить три типа угроз:

• угроза конфиденциальности – несанкционированное получение информации злоумышленником (утечка информации);

• угроза целостности – умышленное или случайное изменение информации, например, удаление файлов или записей в БД;

• угроза отказа в обслуживании – постоянное или временное блокирование некоторого сервиса, в результате чего система перестает выполнять свои функции по назначению.

Данным угрозам может быть подвержена вся информация ЛВС отдела. Но с учетом структуры ВС отдела и характера информации, циркулирующей в конкретном контуре, можно выделить наиболее опасные угрозы для каждого конкретного контура.

1. Для информации в контуре доставки наиболее опасной является угроза отказа в обслуживании, поскольку работа отдела главным образом зависит от обмена информацией с Удаленным телекоммуникационным контуром (УТК). Таким образом, реализация угрозы отказа в обслуживании может повлиять на работу не только самого отдела, но и УТК.

2. Для информации в контуре адресования наиболее опасной является угроза целостности (особенно для информации, хранящейся на сервере БД), поскольку изменение этой информации может привести к нарушению работоспособности всей системы. Также необходимо отметить, что в данном контуре обрабатывается конфиденциальная информация.

3. Информация, хранящаяся на локальном сервере в Контуре обмена с АС, является наиболее критичной с точки зрения целостности и конфиденциальности. Поэтому угрозы данным свойствам информации в большей степени опасны для этого контура.

По своему применению угрозы могут быть как случайными, так и умышленными (преднамеренно создаваемыми) [1].

Ниже перечислены случайные угрозы, наиболее характерные для ВС отдела.

1. Ошибки служащих отдела:

1. потери информации, связанные с неправильным хранением архивных данных;

2. случайное уничтожение или изменение данных.

Зачастую ущерб наносится не из-за «злого умысла», а из-за элементарных ошибок пользователей, которые случайно портят или удаляют жизненно важные данные (например, хранящиеся на Сервере БД или на Локальном сервере в Контуре обмена с АС). В связи с этим, помимо контроля доступа, необходимым элементом защиты информации в компьютерных сетях является разграничение полномочий пользователей. Кроме того, ошибки пользователей сети могут быть значительным образом уменьшены за счет правильного обучения служащих отдела и периодического контроля за их действиями со стороны, например, администратора безопасности сети.

2. Сбои оборудования и электропитания:

   1. сбои кабельной системы;

   2. перебои электропитания;

   3. сбои дисковых систем;

   4. сбои систем архивации данных;

   5. сбои работы серверов, рабочих станций, сетевых карт и т.д.

Трудно предсказуемыми источниками угроз информации являются аварии и стихийные бедствия. Но и в этих случаях для сохранения информации могут использоваться различные средства защиты. Наиболее надежным средством предотвращения потерь информации при кратковременном отключении электроэнергии в настоящее время является установка источников бесперебойного питания. Различные по своим техническим и потребительским характеристикам, подобные устройства могут обеспечить питание всей локальной сети или отдельного компьютера в течение промежутка времени, достаточного для восстановления подачи напряжения или для сохранения информации на магнитных носителях. Большинство источников бесперебойного питания одновременно выполняет функции и стабилизатора напряжения, что является дополнительной защитой от скачков напряжения в сети. Многие современные сетевые устройства — серверы, концентраторы, мосты и т.д. — оснащены собственными дублированными системами электропитания.

Основной и наиболее распространенный метод защиты информации и оборудования от различных стихийных бедствий — пожаров, землетрясений, наводнений и т. п. — состоит в хранении архивных копий информации или в размещении некоторых сетевых устройств, например, серверов баз данных, в специальных защищенных помещениях, расположенных, как правило, в других зданиях или, реже, даже в другом районе города или в другом городе.

3. Потери информации из-за некорректной работы программного обеспечения:

1. потеря или изменение данных при ошибках в программном обеспечении (это относится ко всей информации, циркулирующей в отделе);

2. потери при заражении системы компьютерными вирусами (главным образом это касается информации, циркулирующей в контуре доставки, поскольку он имеет непосредственный выход в глобальную сеть).

Особенностью компьютерной неосторожности является то, что безошибочных программ в принципе не бывает. Если проект практически в любой области техники можно выполнить с огромным запасом надежности, то в области программирования такая надежность весьма условна. А в ряде случаев почти недостижима. И это касается не только отдельных программ, но и целого ряда программных продуктов известных мировых фирм.

5. Потери, связанные с несанкционированным доступом:

1. случайное ознакомление с конфиденциальной информацией неуполномоченных лиц (наиболее опасным это является для информации, хранящейся на Локальном сервере, поскольку имеет высокую степень конфиденциальности в отделе, и доступ к ней служащих ограничивается их уровнем допуска);

2. случайная модификация конфиденциальной информации неуполномоченными лицами (в наибольшей степени это опасно для оперативной конфиденциальной информации, хранящейся на Сервере БД, а также для информации, хранящейся на Локальном сервере).

Для предотвращения подобных потерь необходимо вести строгий контроль доступа к ресурсам и разграничение полномочий пользователей.

Но наиболее опасным источником угроз информации для отдела являются преднамеренные действия злоумышленников. Спектр их противоправных действий достаточно велик и разнообразен, а итогом их вмешательства в процесс взаимодействия пользователей сети является разглашение, фальсификация, незаконное тиражирование или уничтожение конфиденциальной информации.

К умышленным угрозам можно отнести следующие угрозы безопасности ВС отдела.

1. Несанкционированный доступ к информации и сетевым ресурсам (наиболее интересной для злоумышленника является информация, хранящаяся на Сервере электронной почты (все сообщения), на Сервере БД (оперативная конфиденциальная информация) и на Локальном сервере (конфиденциальная информация). С точки зрения несанкционированного доступа к сетевым ресурсам наиболее открытым перед данной угрозой является Телекоммуникационный сервер, поскольку на нем установлена служба RAS).

2. Раскрытие и модификация данных и программ, их копирование (наибольший вред для отдела принесет модификация оперативной информации на Сервере БД, раскрытие данных на Локальном сервере, модификация программ на всех серверах отдела и рабочих станциях).

3. Раскрытие, модификация или подмена трафика вычислительной сети (это касается информации, передаваемой по каналам связи).

5. Разработка и распространение вредоносных программ, ввод в программное обеспечение «логических бомб» (злоумышленник может использовать данные программы для нарушения работы отдела и получения необходимой информации) [2].

Под вредоносными программами понимаются такие программы, которые прямо или косвенно дезорганизуют процесс обработки информации или способствуют утечке или искажению информации. Самыми распространенными видами подобных программ являются:

1. " троянский конь'',

2. вирус,

3. "червь",

4. "жадная" программа,

5. "захватчик паролей".

"Троянский конь (Троянская программа)" (Trojan Horse) - программа, выполняющая помимо основных (проектных и документированных) действий дополнительные, но не описанные в документации действия.

Опасность "троянского коня" заключается в дополнительном блоке команд, тем или иным образом вставленном в исходную безвредную программу, которая затем предлагается (дарится, продается, подменяется) пользователям АС. Этот блок команд может срабатывать при наступлении некоторого условия (даты, времени и т.д., либо по команде извне).

"Троянский конь" - одна из наиболее опасных угроз безопасности АС. Радикальным способом защиты от этой угрозы является создание замкнутой среды исполнения программ. Желательно также, чтобы привилегированные и непривилегированные пользователи работали с разными экземплярами прикладных программ, которые должны храниться и защищаться индивидуально. При соблюдении этих мер вероятность внедрения программ подобного рода будет достаточно низкой.

Троянские программы принято считать предшественниками программных вирусов. Троянские программы могут иметь структуру клиент-сервер. В этом случае троян-клиент может практически полностью управлять компьютером, на котором размещена серверная компонента. Программа-троян NETBUS умеет делать даже shut down. Если серверная компонента отсутствует попытки злоумышленника подключиться к компьютеру, используя троян-клиента не страшны.

Вирус (computer virus) - это программа, которая может заражать другие программы путем включения в них своей, возможно модифицированной, копии, причем последняя сохраняет способность к дальнейшему размножению. Таким образом, вирус представляет собой своеобразный генератор "троянских программ". Программы, зараженные вирусом, называют также вирусоносителями.

"Червь" (worm) - программа, распространяющаяся через сеть и не оставляющая своей копии на магнитном носителе. "Червь" использует механизмы поддержки сети для определения узла, который может быть заражен. Затем с помощью тех же механизмов передает свое тело или его часть на этот узел и либо активизируется, либо ждет для этого подходящих условий. Наиболее известный представитель этого класса - вирус Морриса (или, вернее, "червь Морриса"), поразивший сеть Internet в 1988 г.

"Жадные программы" (greedy program) - это программы, которые при выполнении стремятся монополизировать какой-либо ресурс системы, не давая другим программам возможности использовать его. Доступ таких программ к ресурсам системы обычно приводит к нарушению ее доступности. Естественно, такая атака будет активным вмешательством в работу системы. Непосредственной атаке обычно подвергаются объекты системы:

1. процессор;

2. оперативная память;

3. устройства ввода-вывода.

Многие компьютеры имеют фоновые программы, выполняющиеся с низким приоритетом. Они обычно производят большой объем вычислений, а результаты их работы требуются не так часто. Однако при повышении приоритета такая программа может блокировать все остальные. Такая программа и будет "жадной".

Захватчики паролей (password grabber). Это программы, специально предназначенные для воровства паролей. Они выводят на экран терминала (друг за другом): пустой экран, экран, появляющийся после крушения системы или сигнализирующий об окончании сеанса работы. При попытке входа имитируется ввод имени и пароля, которые пересылаются владельцу программы-захватчика, после чего выводится сообщение об ошибке ввода и управление возвращается операционной системе. Пользователь, думающий, что допустил ошибку при наборе пароля, повторяет вход и получает доступ к системе. Однако его имя и пароль уже известны владельцу программы-захватчика. Перехват пароля может осуществляться и другим способом - с помощью воздействия на программу, управляющую входом пользователей в систему и ее наборы данных.

Наиболее вероятным является путь проникновения данных программ через Internet, поэтому необходимо фильтровать весь входящий трафик с помощью межсетевого экрана, а также установить на компьютерах в Контуре доставки антивирусное ПО.

5. Кража магнитных носителей и расчетных документов, разрушение архивной информации или умышленное ее уничтожение (наибольший вред принесет кража и разрушение информации на Локальном сервере).

6. Фальсификация сообщений, отказ от факта получения информации или изменение времени ее приема (это относится, в основном, к электронной почте и к информации, которой отдел обменивается с Удаленным телекоммуникационным контуром).

9. Перехват и ознакомление с информацией, передаваемой по каналам связи (эта угроза возможна как для информации, циркулирующей внутри отдела, так и для исходящей информации. Но наиболее опасна эта угроза для внутренней информации, поскольку в отделе обрабатывается строго конфиденциальная информация. Таким образом, необходимо сделать данную угрозу труднореализуемой).

Рассмотренные выше случайные и преднамеренные угрозы могут быть разделены на исходящие извне и возможные внутри ЛВС отдела. Так, к внутренним угрозам можно отнести все случайные угрозы, перечисленные выше, а также некоторые преднамеренные (несанкционированный доступ к информации, раскрытие и модификация данных и программ, их копирование, кража магнитных носителей и расчетных документов, разрушение архивной информации или умышленное ее уничтожение), исходящие от злоумышленника, находящегося внутри ЛВС предприятия (хотя такая ситуация маловероятна, поскольку сотрудниками отдела являются военнослужащие, и все же нельзя не принять во внимание возможность данной угрозы). Внешним угрозам ЛВС отдела характерны все рассмотренные преднамеренные угрозы и некоторые случайные (сбои кабельной системы, перебои электропитания).

Рассматривая возможные угрозы, необходимо выявить слабые места в ЛВС отдела или уязвимости. Уязвимость — любая характеристика или свойство системы, использование которой нарушителем может привести к реализации угрозы.

К уязвимым местам в вычислительных сетях можно отнести следующие:

• применение компьютеров, не имеющих парольной защиты во время загрузки;

• использование совместных или легко вскрываемых паролей;

• хранение паролей в пакетных файлах и на дисках компьютеров;

• отсутствие установления подлинности пользователя в реальном масштабе времени;

• отсутствие или низкая эффективность применения систем идентификации и аутентификации пользователей;

• недостаточность физического контроля за сетевыми устройствами;

• отсутствие отключения терминала при многочисленных неудачных попытках установления сеанса связи и регистрации таких попыток;

• незащищенность модемов;

• использование известных системных брешей и уязвимых мест, которые не были исправлены;

• ошибки в ПО и т.д.

Уязвимости системы используются злоумышленником для реализации угроз, или иными словами для совершения атак. Атака (вторжение) — это событие, при котором злоумышленник, или нарушитель (intruder), пытается проникнуть внутрь системы или совершить по отношению к ней какие-либо злоупотребления [3].

Итак, основываясь на имеющейся информации о структуре и составе ЛВС отдела, были выделены основные угрозы, характерные для данной сети. Очевидно, что наиболее опасными являются умышленные угрозы, когда злоумышленник, используя уязвимости в системе, осуществляет различные атаки на нее. Поэтому рассмотрим подробнее угрозы для случая, когда злоумышленник не имеет физического доступа к ЛВС отдела, и в случае, если злоумышленник находится внутри отдела.