2.1.9.2. Виды угроз информации

В 2000 г. Совет безопасности РФ обсудил текст Доктрины информационной безопасности РФ, который затем был подписан Президентом РФ В. В. Путиным. С принятием этого документа получила более прочную основу информациология – наука об информации. Положения Доктрины отражают интересы России и соответствуют глобально-космическим проблемам человечества. В Доктрине в числе видов угроз информационной безопасности названы следующие:

угрозы безопасности информационных и телекоммуникационных средств и систем как уже развернутых, так и создаваемых на территории России;

дезорганизация и разрушение системы накопления и сохранения информации, включая архивную на машинных носителях;

манипулирование информацией – дезинформация, сокрытие или ее искажение;

несанкционированный доступ к информации, находящейся в банках и базах данных;

разработка и распространение программ, нарушающих нормальное функционирование информационно-телекоммуникационных систем, в том числе систем защиты информации;

воздействие на парольно-ключевые системы защиты автоматизированных систем обработки и передачи информации;

утечка информации по техническим каналам;

внедрение в технические средства обработки, хранения и пе­редачи информации электронных устройств для перехвата инфор­мации в сетях передачи данных и по каналам связи, дешифрирование этой информации и навязывание ложной;

вирусное заражение информационных ресурсов по каналам сети Интернет и другие виды угроз.

В сетях сообщения передаются по линиям связи, зачастую проходящим через общедоступные помещения, в которых могут быть установлены средства прослушивания линий. Оставленные без присмотра персональные компьютеры также могут являться уязвимым местом информационно-вычислительной сети. Если сеть имеет выходы в глобальные сети общего пользования, то появляется угроза взлома защиты сети от неавторизованных пользователей.

Главная цель защиты информации – контроль над доступом к ней. К просмотру, созданию, изменению или удалению данных должен допускаться ограниченный круг лиц, обладающих для этого полномочиями.

В связи с этим служба безопасности должна обеспечивать выполнение следующих требований:

конфиденциальность (confidentiality) сохранения и передачи данных;

целостность (integrity) и точность хранимой информации и обрабатывающих ее программ;

доступность систем, данных и служб для тех, кто имеет право доступа.

Угрозы, иначе говоря, опасности, не имеют четко выраженной природы, но практически каждый вид опасностей имеет некоторые последствия, нарушающие выполнение вышеназванных трех требований. В табл. 23 показаны угрозы требованиям защиты сетей (в таблице они расположены по алфавиту).

Таблица 23

Угрозы требованиям защиты сетей

Вид угрозы	Конфиденциальность	Целостность	Доступность
Аппаратные сбои	+	+	+
Вирусы		+	+
Диверсии		+	+
Излучение	+
Кража	+
Логические бомбы	+	+	+
Мошенничество		+
Небрежность	+	+	+
Неправильная маршрутизация	+
Неточная или устаревшая информация		+
Ошибки программирования	+	+	+
Перегрузка			+
Перехват	+
Пиггибекинг	+	+	+
Подлог		+
Потайные ходы и лазейки	+	+	+
Препятствование использованию			+
Различные версии		+
Самозванство	+	+	+
«Сбор мусора»	+
Сетевые анализаторы	+
Суперзаппинг	+	+	+
«Троянские кони»	+	+	+
Умышленное повреждение данных или программ		+
Хищение		+

Рассмотрим кратко весь спектр возможных угроз безопасности сетей.

Аппаратные сбои описаны в [1] п. 2.4; для оценки их влияния на работоспособность сети используется время наработки на отказ Т₀.

Когда вирусы только начали появляться, некоторые из них специализировались на конкретных жертвах, например, вирус Anticad уничтожал файл с именем ACAD.EXE, которое является названием главной программы системы AutoCAD (Computer-Aided Design – средства автоматизированного проектирования, САПР). Источниками вирусного заражения могут быть только съемные носители информации и системы телекоммуникаций. Системы телекоммуникаций могут служить поставщиками вируса при их подключении к ПК через модемы и сетевые карты.

По степени воздействия вирусы подразделяют на опасные и неопасные, по способу заражения – резидентные и нерезидентные, в зависимости от среды обитания – на сетевые, файловые, файлово-загрузочные, загрузочные и документальные, по алгоритму функционирования – на невидимки, репликаторы, паразитические, «троянские кони», мутирующие, самошифрующиеся и отдыхающие.

Убытки от разрушения информации, вызванного вирусами, исчисляются миллиардами долларов. Так, в январе 2003 г. в сети Интернет в Юго-Восточной Азии появился вирус Helkern, разославший зараженную программу на 80 тыс. серверов сети. Сотни интернет-компаний разорились, убытки превысили 10 млрд. долларов.

Для обнаружения и удаления вирусов разработаны различные программы – детекторы, доктора, ревизоры, вакцины, фильтры.

Следует отметить, что в настоящее время в армии и военно-морском флоте США ведутся исследования возможностей применения вирусов в военных целях.

Диверсия (sabotage) проявляется в форме физического или логического повреждения. Последнее выражается в изменении внутренних или внешних меток и использовании программного обеспечения, которое меняет содержание файла. В сети Интернет с целью физической защиты все корневые DNS-серверы (Domain Name System – служба имен в сети Интернет) помещены в строжайше охраняемые помещения и имеют независимое энергообеспечение.

Излучение (emanations), т.е. испускание электромагнитных сигналов, представляет одну из наиболее сложных проблем для компьютерной защиты. Кабели и подключаемые с их помощью устройства (компьютеры, периферийные устройства, модемы, переходники, усилители и распределительные коробки) излучают определенные сигналы. С помощью чувствительной антенны и приемника можно на расстоянии прочесть данные даже при низком уровне излучения. Фирма AT&T – главный поставщик секретной связи правительства США – использует микросхему Clipper (ножницы), которая снабжена кодирующей программой, применяемой для шифровки телефонных разговоров, электронной почты и компьютерных данных. Clipper имеет «черный ход», позволяющий правительственным органам знакомиться с содержанием объекта кодирования.

Кража информации, по-другому утечка данных (data leakage), заключается в тайном копировании информации и выносе ее за пределы организации.

Логическая бомба (logic bomb) никак себя не проявляет, но при определенном заданном событии изменяет алгоритм работы компьютерной программы и может использоваться для хищений.

Пример. Для повышения на 1 % своего заработка программист добавил к программе начисления зарплаты следующий псевдокод:

IF Сотрудник = Я THEN Зарплата = Часы * Ставка * 1.01

ELSE Зарплата = Часы * Ставка *

Такое изменение может оставаться незамеченным годами.

Логическая бомба может применяться для удаления файлов.

Пример. Для уничтожения рабочей таблицы, содержащей автоматически выполняемый макрос, в него включен псевдокод:

@ЕСЛИ (СЕГОДНЯ → @ДАТА (2003,1,5), СТЕРЕТЬ ТАБЛИЦУ, НИЧЕГО НЕ ДЕЛАТЬ).

Мошенничество (fraud) – это любое использование информационной системы с целью обмана организации или получения ее ресурсов. Ревизоры обращают внимание на такие подозрительные вещи, как слишком высокие или низкие значения, слишком редкие, частые или нерегулярные операции, выполняющиеся в неподходящее время неподходящими людьми и в неподходящем месте. Существуют программы, позволяющие выявить мошенника и установить наблюдение за его несанкционированными действиями с накоплением соответствующей информации.

Небрежность (bumbling), по мнению некоторых экспертов, яв­ляется причиной 50...60 % ежегодных компьютерных потерь. Небрежность – это ошибки, оплошность человека или его некомпетентность.

Неправильная маршрутизация связана с выводом информации по неправильному адресу вследствие совпадения номера узла сети и принтера при ошибках ввода, например VAX! вместо VAX1.

Неточная или устаревшая информация может рассматриваться как недоброкачественная и приводить к ошибкам в базах данных. Лучший способ, гарантирующий правильность занесения информации в базу данных, – ввод информации дважды двумя разными сотрудниками. Программа сравнит полученные файлы, выявит расхождения, которые будут вручную подправлены редактором.

Ошибки программирования (bugs, от bug – жук) совершаются в среднем по одной на 50... 100 строк невыверенного исходного кода, т.е. программист, который пишет 5000 строк кода в год, одновременно создает 50...100 ошибок. Процесс удаления ошибок – отладка (debugging) – позволяет избавиться от многих из них.

Перегрузка системы приводит к тому, что работа сети замедляется, а безопасность сети подвергается риску. Например, при замедлении работы сети некоторые программисты пытаются зарегистрироваться одновременно на двух машинах, чтобы заниматься написанием кода на одной из них, а работой (к примеру, компиляцией программы) – на другой. Для осуществления этого администратор сети должен разрешить регистрацию одновременно на нескольких машинах, после чего возможно подключение к сети кого-то другого, использующего пароль программиста.

Перехват (wiretapping – подслушивание телефонных разговоров) может выполняться как с использованием зажимов типа «крокодил», так и путем наблюдения за излучением или спутниковыми передачами с помощью антенн.

Электронный пиггибекинг (от piggy – свинка, поросенок и backing – примыкать сзади) подразумевает получение доступа после того, как другой пользователь, введя пароль и подключившись к системе, некорректно завершил сеанс работы и не отключился от сети. При этом может использоваться либо оставленный без присмотра основной терминал, либо нелегально подключенный к тому же кабелю дополнительный.

Подлог (forgery) – это противозаконное изготовление документов или записей с намерением их использования вместо действительных, официальных.

Потайной ход (back door) – это дополнительный способ проникновения в систему, часто преднамеренно создаваемый разработчиком сети, хотя он может возникнуть и случайно. Лазейка (trap door) – разновидность потайного хода. Это вспомогательные средства, используемые программистами при создании, тестировании и поддержке комплексных программ, которые позволяют в нужный момент обойти защиту или ловушку, предусмотренную программой.

Препятствование использованию (denial of use) – новый вид компьютерного преступления, заключающийся в «засорении» системы ненужными данными, «забивании» портов, выводе на экран бессвязной информации, изменении имен файлов, стирании ключевых программных файлов или захвате системных ресурсов, который замедляет работу системы.

Различные версии одной и той же программы необходимо отслеживать, иначе возможен запуск не той версии или редактирование не той версии файла. Для решения проблемы отслеживания, обновления версий и удаления старых используется программное обеспечение управления версиями Reference Point либо утилита Whereis.

Самозванство (impersonation), или парольные атаки, – это использование пароля пользователя, т.е. кода доступа другого человека для проникновения в систему в целях изучения данных, использования программ или отведенного пользователю машинного времени. Пароль, позволяя аутентифицировать (от authentically – подлинно) пользователя, играет одну из самых важных ролей при регистрации пользователя в сети. Применение устройств для предоставления доступа по биометрическим характеристикам уменьшает возможность несанкционированного доступа, но такое применение не всегда возможно.

«Сбор мусора» (scavenging), или подсматривание (browsing), означает восстановление с помощью соответствующих утилит файлов, удаленных с гибких и жестких дисков и магнитных лент.

Параметры потока данных, в том числе любой незашифрованный текст, могут быть считаны с помощью сетевых анализаторов – программ, перехватывающих текст, таких как LAN Analyzer, Network Analyzer, Protokol Analyzer, WAN Analyzer и десятки других. Анализатор запускается на подключенной к сети рабочей станции; в случае же сети Token Ring отслеживать весь поток информации может любой пользователь. Обнаружить работающие анализаторы практически невозможно.

Во многих больших вычислительных системах имеется утилита SUPERZAP, позволяющая оператору запускать, останавливать или модифицировать засбоившую процедуру. Суперзаппинг (super-zapping) – это несанкционированное использование утилит, подобных утилите SUPERZAP, для модификации, уничтожения, копирования, вскрытия, вставки, применения или запрещения применения машинных данных. Обнаружить суперзаппинг программными средствами практически невозможно.

«Троянские кони» (trojan horse) – это программы, которые вместо выполнения действий, для которых они якобы предназначены, на самом деле выполняют другие, в том числе изменение баз данных, запись в платежные ведомости, уничтожение файлов, отправку электронной почты. Удаление «троянского коня», написанного опытным программистом, весьма трудоемко. Многие компьютерные вирусы являются потомками «троянских коней».

Умышленное повреждение данных или программ – это злонамеренное разрушение информации, которое может быть совершено недовольным служащим путем размагничивания машинных носителей.

Хищение (embezzlement) – один из самых старых и распространенных видов компьютерных преступлений, когда кража денег или ресурсов производится самими сотрудниками, например, когда суммы, полученные в результате округления в сторону уменьшения, направляются на собственный счет программиста.

Также могут отдельно рассматриваться и такие сетевые атаки через Интернет:

Сниффер пакетов (sniffer – в данном случае в значении фильтрация) – прикладная программа, которая использует сетевую карту, работающую в режиме promiscuous (не делающий различия) mode (в этом режиме все пакеты, полученные по физическим каналам, сетевой адаптер отправляет приложению для обработки).

IP-спуфинг (spoof – обман, мистификация) – происходит, когда хакер, находящийся внутри корпорации или вне ее, выдает себя за санкционированного пользователя.

Отказ в обслуживании (Denial of Service – DoS). Атака DoS делает сеть недоступной для обычного использования за счет превышения допустимых пределов функционирования сети, операционной системы или приложения.

Атаки типа Man-in-the-Middle – непосредственный доступ к пакетам, передаваемым по сети.

Атаки на уровне приложений.

Сетевая разведка – сбор информации о сети с помощью общедоступных данных и приложений.

Злоупотребление доверием внутри сети.

Несанкционированный доступ (НСД), который не может считаться отдельным типом атаки, так как большинство сетевых атак проводятся ради получения несанкционированного доступа.