9.4. Программные закладки и вирусы

В современных информационных системах программное обеспечение различного назначения используется в едином комплексе (операционные системы, системы управления базами данных, интегрированные офисные системы, коммуникационные программы и т.д.). Главное условие правильного функционирования системы – обеспечение защиты от вмешательства в процесс обработки информации «нелегальных» программ, которые не были установлены в ней обычным способом. К таким программам относятся в первую очередь компьютерные вирусы. Кроме того, к «вредоносным» программам относятся программные закладки и троянские программы.

Компьютерным вирусом называется программа, способная, «размножаясь», внедряться в другие программы. Вирус обычно представляет собой небольшую программу, которая при выполнении «приписывает» себя к другим программам, вставляет свой код в файлы, содержащие другие программы (т.е. «заражает» их).

Программа, в которую внедрился компьютерный вирус, становится «зараженной», при ее запуске управление получает компьютерный вирус, который находит и заражает другие программы. Многие вирусы организованы так, что даже после завершения «зараженной» программы они остаются в памяти резидентно, продолжая разрушать информационную систему.

Программы-вирусы выполняют нежелательные или даже опасные для нормальной работы информационной системы действия: разрушают файловые системы, «засоряют» память и диски, нарушают работоспособность системных программ, модифицируя их или системные данные. Вирусы могут активизироваться при каждом запуске «зараженной» программы или только по определенным событиям или датам.

Вирусами заражаются, в основном, программные файлы, загрузчики ОС, загрузочные записи дисков, драйверы. Однако в настоящее время широкое распространение получили макровирусы, заражающие документы. Например, в приложениях Microsoft Office макровирусы «живут» в макросах, созданных с помощью VBA (язык разработки офисных приложений, макросов – Visual Basic for Applications). Выполнение этих макросов может быть связано с некоторыми событиями, происходящими в приложении (например, с открытием файла), макровирусы могут «маскироваться» за командами приложений.

Приложения Microsoft Office не имеют собственных средств защиты (сканирования памяти и дисков для обнаружения и удаления содержащихся там вирусов), но пользователь может подстраховаться от неприятностей, включив флажок защиты от вирусов в макросах (в этом случае приложение MS Office будет предупреждать о наличии макросов в документе и даст возможность отключить их, если запуск макросов не предусматривается необходимостью при выполнении работы). Обнаружить макровирусы можно также с помощью антивирусных программ.

Еще один класс программ, которые можно считать особой разновидностью вирусов, – «черви» (или репликаторы). Основная их особенность состоит в способность к «размножению» для распространения без внедрения в другие программы. Репликаторы распространяются по компьютерных сетям (через электронную почту, например). В качестве «начинки» репликаторы могут содержать программы-вирусы.

Для защиты информационной системы от разрушительного действия вирусов лучше предупредить их появление. Основными каналами проникновения вирусов в компьютеры являются накопители на сменных носителях информации (дискетах, компакт-дисках) и средства коммуникации (компьютерные сети).

Для защиты от вирусов можно использовать:

– общие средства защиты информации от ее потери (резервное копирование и архивацию данных и т.п.);

– профилактические меры, уменьшающие опасность проникновения вирусов (разграничение доступа в информационную систему, запрет бесконтрольного копирования данных и установки программ, проверка всех поступающих извне данных, проверка и тестирование программ перед началом работы с ними);

– специализированные антивирусные программы.

Для защиты от вирусов можно также использовать средства, встроенные в «железо» компьютера, и возможности ОС.

Специализированные программы, обеспечивающие защиту от вирусов, можно разделить на несколько групп:

– детекторы – программы, позволяющие обнаружить известные вирусы;

– доктора (или фаги) – программы, которые лечат зараженные программы и диски;

– ревизоры – программы, сравнивающие текущее состояние системных областей и программ с их исходным состоянием и выдающие пользователям информацию в случае установления несоответствия;

– фильтры – программы, загружаемые в память резидентно и перехватывающие обращения других программ к функциям, которые могут использоваться вирусами для размножения.

Обычно одни и те же антивирусные программы сочетают в себе несколько из перечисленных выше функций.

Все эти меры должны применяться в комплексе, средства защиты должны дополнять друг друга.

Общая черта программных закладок – обязательная запись информации в оперативную или внешнюю память системы. При отсутствии этой операции закладки не могут вызвать никаких негативных последствий. Воздействия закладок можно разделить на три основные группы:

– копирование конфиденциальной информации (паролей, кодов доступа, документов и т.п.) в память другой компьютерной системы;

– изменение алгоритмов функционирования программ (например, в программу ограничения доступа, программы управления данными или принятия решений);

– изменение режима работы системы (например, блокирование удаления информации, что позволяет скопировать данные, которые должны быть уничтожены).

При использовании в качестве воздействия на компьютерную систему перехвата программная закладка внедряется в программное обеспечение и перехватывает информацию, вводимую с внешних устройств компьютера или выводимую на внешние устройства. Этот вид атаки может быть выполнен, например, заменой системных программ, осуществляющих ввод и вывод информации.

Программные закладки, реализующие искажение, изменяют информацию, записываемую в память компьютера, или инициируют/подавляют возникнове­ние ошибочных ситуаций. Практика показала, что при использовании программной реализации цифровых подписей наиболее часто используется динамическое искажение информации, что позволяет осуществлять проводки фальшивых финансовых документов, вмешиваться в процесс разрешения споров по фактам неправомерного использования цифровых подписей. Существует несколько способов воздействия программных закладок на цифровую подпись:

– искажение входной информации (изменяется поступающий на подпись электронный документ);

– искажение результата проверки истинности цифровой подписи (цифровая подпись объявляется подлинной вне зависимости от результатов проверки);

– навязывание длины электронного документа (проверяется только часть информации, а под остальной частью документа фактически подпись не ставится и она может модифицироваться);

– искажение программы цифровой подписи.

Искажение может использоваться также для инициирования ошибок, затрудняющих или блокирующих нежелательные для злоумышленника действия (например, уничтожение после обработки конфиденциальной информации).

Разновидностью искажения является также модель типа «троянский конь». В данном случае программная закладка встраивается в постоянно используемое программное обеспечение и по некоторому активизирующему событию вызывает действия, определенные злоумышленником (например, сбой, парализующий нормальное функционирование системы и дающий злоумышленнику возможность получить доступ к системе).

Программные закладки могут также заниматься «сборкой мусора». Если при хранении информации в базах данных или при передаче ее по линиям связи используются различные способы защиты конфиденциальных данных (шифрование, например), то во время обработки данных, при создании документов создаются временные файлы, которые уничтожаются по окончании работы. Проблема состоит в том, что при изменении данных на дисках остаются так называемые «хвостовые кластеры», в которых исходная информация сохраняется в незашифрованном виде. Эта информация постепенно затирается данными других файлов, размещаемых на диске, но по оценкам ФАПСИ (Федерального агентства правительственной связи и информации) из «хвостовых кластеров» даже через сутки можно извлечь до 85% исходной информации.

Программные закладки используют также наблюдение (закладка встраивается в сетевое или коммуникационное программное обеспечение и следит за всеми процессами обработки и передачи информации) и компрометацию.

Средства защиты от программных закладок действенны только тогда, когда сами эти средства не подвержены действию закладок, которые могут навязывать результаты проверок, изменять алгоритмы контроля и т.п. Универсальным средством защиты здесь является создание «изолированного» компьютера, имеющего BIOS, не содержащий программных закладок, работающего под управлением ОС, проверенной на наличие закладок, имеющего средства контроля неизменности BIOS и ОС в течение каждого сеанса работы, исключающего запуск программ, не прошедших проверки на присутствие в них закладок или прошедших проверку вне изолированного компьютера.

Троянцы (или «троянские кони») – это программы, которые, являясь частью других программ с известными пользователю функциями, способны втайне от него выполнять дополнительные, нежелательные для пользователя операции, разрушительные действия с целью причинения определенного ущерба. Это особый вид программных закладок. Троянцы разрабатываются программистами при создании программного обеспечения. Для борьбы с ними необходимо использовать как специальные программные средства контроля, так и меры организационно-правового характера.

Одной из самых распространенных разновидностей программных закладок являются клавиатурные шпионы, нацеленные на перехват информации, вводимой с клавиатуры. В зависимости от способа перехвата различают клавиатурные шпионы нескольких типов.

Имитаторы (перехватывают информацию, провоцируя пользователя на ее ввод, имитируя для него приглашение для ввода данных (например, имени и пароля при регистрации в системе) и сохраняя затем эти данные в доступном для злоумышленника месте).

Фильтры «охотятся» за всей информацией, вводимой с клавиатуры. Они являются резидентными программами, перехватывающими прерывания. В самом простом случае фильтры просто сбрасывают всю вводимую информацию, а более сложные варианты фильтров подвергают вводимые данные анализу и отфильтровывают нужную информацию.

Заместители полностью или частично замещают собой программные модули операционной системы, отвечающие за ввод конфиденциальной информации (например, за аутентификацию пользователей).

Клавиатурные шпионы представляют реальную угрозу для безопасности информационной системы. Для предотвращения этой угрозы необходимо реализовать целый комплекс административных мер и программно-аппаратных средств защиты. Надежную защиту можно обеспечить только в том случае, когда операционная система обладает соответствующими возможностями, затрудняющими внедрение и работу клавиатурных шпионов (например, Windows NT). Эти средства конфигурируются администраторами системы.