125 Кібербезпека / 4 Курс / 4.2_Управління інформаційною безпекою / Лiтература / Гончарова Основи захисту iнф. в - мер

Реалізація загроз здійснюється шляхом атак на ресурси ІС, а суттєвим чинником впливу на успіх атакуючих дій є рівень уразливості системи.

Вирішення задач розробки та вибору відповідних ефективних методів і засобів захисту від таких дій значною мірою залежить від низки чинників, пов’язаних із самим процесом атаки та його різнорідністю.

Базовими ознаками, за якими можна характеризувати весь спектр атак, є (рис. 1.2):

Рис. 1.2. Класифікація атак

–автоматизація;

–взаємодія з політикою безпеки;

–дистанційність;

–зовнішні прояви;

–ініціалізаційна умова;

31

–інструментальні засоби;

–наявність зворотного зв’язку;

–порушення характеристик безпеки;

–природа взаємодії;

–реляційні ознаки;

–специфіка реалізації;

–спрямованість результату;

–ступінь складності;

–семирівнева еталонна модель.

Відповідно до кожної ознаки розглянемо класи атак. За автоматизацією:

–мануальна;

–автоматизована;

–автоматична (вірусна). Мануальна атака (підглядання, збирання сміття, вилучення інформаційних носіїв, підміна положень вмикачів режимів тощо) реалізується за прямою участю людини без використання будь-яких спеціальних засобів (рис. 1.3).

Рис. 1.3. Приклад мануальної атаки

Автоматизована атака здійснюється за постійною участю оператора з використанням широкого спектру програмних і апаратних засобів та пов’язана з суперзапінгом, снупінгом, сніфінгом, підключенням додаткових терміналів, використанням торів тощо. Наприклад (рис. 1.4), неавторизована сторона атакує за допомогою апаратних та програмних засобів

Рис. 1.4. Приклад автоматичної атаки

(наприклад, шляхом використання утиліти віддаленого керування), робочу станцію при прямому підключені до мережі. мережевих аналізу.

Автоматична атака реалізується без участі людини і, як правило, з використанням спеціалізованих програмних засобів, функціонування яких

32

базується на вірусних технологіях, наприклад, зараження комп’ютера вірусом під час його підключення до глобальної мережі Internet (рис. 1.5).

Рис. 1.5. Приклад автоматичної атаки

За взаємодією з політикою безпеки:

–постполітизаційна;

–деполітизаційна.

Постполітизаційна атака заснована на використанні недоліків у вже реалізованій політиці безпеки. Такими недоліками можуть бути невірно побудовані правила розмежування доступу, використання програмних і апаратних засобів з недостатнім рівнем захищеності, прорахунки при блокуванні каналів витоку інформації з обмеженим доступом тощо. Наприклад, якщо користувачу та адміністратору мережі надані однакові права доступу до сервера, то неавторизована сторона, що одержала права доступу Користувача 1, зможе реалізувати атаку на інформаційні ресурси на рівні прав адміністратора (рис. 1.6,а).

Деполітизаційна атака пов’язана з помилками і недбалістю, які мають місце при реалізації заходів із забезпеченням вже існуючої політики безпеки. Це, в першу чергу, пов’язане з людським чинником і залежить від належної адміністративної підтримки, коректності виконання функцій захисту, своєчасного реагування на нештатні ситуації тощо. Наприклад, якщо Користувач залишає без нагляду робочий комп’ютер, не дотримуючись політики безпеки (не закінчує сеанс роботи чи не блокує комп’ютер), то неавторизована сторона за час його відсутності має доступ до інформаційних ресурсів (Рис. 1.6,б). Якщо атака на ресурс здійснюється в локалізованій області його розташування (локальна обчислювальна мережа, робоча станція, принтер, носій інформації, ОС, додатки тощо), то вона є локальна, а у противному випадку – віддалена. Наприклад, локальна атака може бути реалізована всередині сегмента (фізичного об’єднання станцій за допомогою комутаційних пристроїв не вище канального рівня), при цьому джерело атаки і ресурс, що піддався атакуючій дії, будуть знаходитись в межах одного сегмента. Наприклад (рис. 1.6,аб) локальна атака реалізовується неавторизованою стороною в одному сегменті мережі, а відділена відбувається через мережу Internet.

Міжсегментна атака може бути прикладом віддаленої атаки, коли джерело і ресурс знаходяться в різних сегментах комп’ютерної мережі інформаційних ресурсів через невиконання Користувачем функцій захисту (рис. 1.6,б) мережі, наприклад, кампусної. У першому випадку ініціатором атаки зазвичай буває легальний користувач, який, наприклад, із файл-

33

сервера через робочу станцію здійснює копіювання конфіденційних даних на позаштатний носій інформації.

За зовнішнім проявом:

–пасивна;

–активна.

В результаті своєї дії (наприклад, візуального перегляду даних з терміналу) пасивна атака не здійснює безпосереднього впливу на ресурси і може не порушити їх базові характеристики безпеки, наприклад, при перехопленні зашифрованих даних.

Рис. 1.6. Приклад постполітизаційної і деполітизаціної атаки

Рис. 1.7. Реалізація локальної та віддаленої атаки

У результаті активної атаки на ресурси ІС здійснюється безпосередній вплив (зміна конфігурації, порушення функціональності та ін.) і порушуються їх базові характеристики безпеки.

Наприклад, перехоплення супутникового сигналу (рис. 1.8) без його модифікації відноситься до пасивної атаки.

Перехоплення повідомлення неавторизованою стороною з подальшою його модифікацією (рис. 1.9) належить до активної атаки.

За ініціалізаційною умовою:

–умовна;

–безумовна.

Умовна атака ініціалізується у випадку виникнення певної події (механізм логічної бомби) і в свою чергу може поділятися на пасивну і активну. Прикладом ініціалізації пасивної умовної атаки може бути

34

передача від потенційної цілі запиту певного типу, який і буде умовою початку атаки. У цьому випадку, наприклад, такою умовою можуть бути DNS- і ARP - запити в стеку протоколів TCP/IP.

Рис. 1.8. Реалізація пасивної атаки

Перехоплення повідомлення та його модифікація

Рис. 1.9. Реалізація активної атаки

За активною умовною атакою здійснюється постійний моніторинг стану окремих ресурсів ІС і при певній їх зміні формується сигнал ініціалізації. Прикладом такого стану може бути подія, пов’язана з перериванням сеансу роботи користувача з сервером без стандартної команди, наприклад, LOGOFF. Момент ініціалізації безумовної атаки не супроводжується певною зміною стану ресурсів і визначається джерелом атаки.

За використовуваним інструментальним засобом:

–програмна;

–апаратна;

–нетипова.

Програмна атака ґрунтується на спеціальних мікроабо макрокодованих засобах (наприклад, суперзапінгових утилітах, внутрішніх командах, сценаріях автоматизації тощо), які функціонують в межах ІС для реалізації своїх функцій.

Наприклад, віддалений комп’ютер (рис. 1.10) відправляє повідомлення на робочу станцію, до якої не санкціоновано підключається неавторизована сторона за допомогою портативного комп’ютера і реалізує зараження цієї станції вірусом, який модифікує це повідомлення.

35

Рис. 1.10. Реалізація програмної атаки

Апаратна атака засновується на різноманітних механічних, електричних, електромеханічних, електронних, електронно-механічних та інших пристроях, які використовуються автономно чи в поєднанні з іншою апаратурою для виконання відповідних функцій. Наприклад, в кімнаті для нарад (рис. 1.11) може бути встановлений «жучок» для прослуховування конфіденційних розмов. Цей приклад є характерним для апаратної атаки.

Рис. 1.11. Реалізація апаратної атаки

Нетипова атака реалізується на підґрунті таких засобів, які не відносяться до апаратних або програмних, наприклад, вибухівка, радіоактивні матеріали, кислоти, луги, комахи, гризуни тощо.

За наявністю зворотного зв’язку (з ресурсом, що піддався атаці):

–зі зворотнім зв’язком;

–без зворотного зв’язку.

Упроцесі реалізації атаки зі зворотнім зв’язком здійснюється отримання від атакованого ресурсу відповіді, які необхідні, наприклад, для подальшого продовження зазначеного процесу на більш ефективному рівні, який досягається завдяки аналізу реакцій об’єкта атаки на певні зміни.

Рис. 1.12. Реалізація атаки із зворотним зв’язком

Прикладом атаки зі зворотнім зв’язком є сканування портів спеціальним програмним забезпеченням. Під час сканування на порти сервера відправляється пакет синхронізації SYN. Якщо на це повідомлення (рис. 1.12) приходить відповідь (зворотній зв’язок) у вигляді пакету

36

SYN/ACK, то це означає, що сканований порт знаходиться у стані очікування і можна виконувати наступну дію.

Атака без зворотного зв’язку реалізує свої дії незалежно від реакції атакованого ресурсу. Найбільш яскравим прикладом такої атаки є відмова в обслуговуванні, наприклад, перевантаження маршрутизатора (рис. 1.13), що призводить до його блокування.

За порушенням базових характеристик безпеки ресурсів ІС:

–К-дієва (порушення конфіденційності ресурсів);

–Ц-дієва (порушення цілісності ресурсів);

–Д-дієва (порушення доступності ресурсів).

Рис. 1.13. Реалізація атаки без зворотного зв’язку

Якщо в процесі атаки порушуються різні характеристики безпеки, то результуючий тип буде комбінований на базі основних, наприклад, КЦДдієва атака, що порушує конфіденційність, цілісність і доступність ресурсів ІС.

За природою взаємодії (з ресурсами ІС):

–фізична;

–логічна.

Для першої характерна фізична форма взаємодії, яка проявляється у вигляді різного роду прямих блокувань, пошкоджень, проникнень, крадіжок тощо, наприклад, розмикання електричних з’єднань, пошкодження носіїв інформації, розукомплектовування, подолання фізичного кордону захисту, підслуховування, перехоплення побічних електромагнітних випромінювань і наведень тощо. Прикладом фізичної атаки може бути перехоплення побічних електромагнітних випромінювань з монітора комп’ютера спеціалізованою апаратурою (рис. 1.14).

Рис. 1.14. Реалізація фізичної атаки Для другої не властива пряма фізична взаємодія з ресурсами і вона в

основному пов’язана з логікою подій, наприклад, аналізом протоколів, перевантаженням, визначенням паролів, захопленням сеансів тощо.

37

Прикладом логічної атаки може бути перехоплення сеансу зв’язку (рис. 1.15).

Рис. 1.15. Приклад логічної атаки

Мономономна атака реалізується із одного джерела на один конкретний ресурс. Часто таку атаку називають нерозподіленою, наприклад, мономономною атакою може бути віддалене управління (рис. 1.16) або сканування портів комп’ютера з визначеною IP-адресою.

Рис. 1.16. Приклад реалізації мономономної атаки

Полімономна атака здійснюється одночасно з декількох джерел (два і більше) на один ресурс і націлена на досягнення одної конкретної мети. Таку атаку часто називають розподіленою (рис. 1.17).

Рис. 1.17. Приклад реалізації полімономної атаки

Монополічна атака реалізується із одного джерела одночасно на множину ресурсів (два і більше) і направлена на досягнення конкретної мети (рис. 1.18).

38

Рис. 1.18. Приклад монополічної атаки

Приклад такої атаки може бути заснований на широкомовному передаванні повідомлення від джерела на всі комп’ютери сегмента, адреси яких знаходяться під одною маскою підмережі. Поліполічна атака поєднує у собі полімономну і монополічну технології, за якими множина джерел здійснює атаку на множину ресурсів з метою досягнення однієї конкретної мети (рис. 1.19).

За специфікою реалізації:

–фрагментована;

–без замовчувань;

–прихована;

–пігібекінгова;

–маскарадна;

–непряма;

–соціотехнічна;

–криптоаналітична;

–неспецифічна.

Рис. 1.19. Приклад поліполічної атаки

Фрагментована атака базується на принципі декомпозиції і поетапної реалізації, наприклад, на основі використання механізму розбиття IP-пакетів (на множину більш мілкіших) і подальшого їх передавання (рис. 1.20). Такий підхід дозволяє обходити системи виявлення атак, які не розраховані на протидію декомпозиційним.

39

Рис. 1.20. Приклад фрагментованої атаки

Атака, яка реалізується без використання значень за замовчуванням (наприклад, програмна закладка Back Orifice за замовчуванням використовує порт 31337, але це значення може бути змінене наприклад на 31336), орієнтована на подолання систем виявлення атак, які засновуються на сигнатурних (шаблонних) технологіях за аналогією з антивірусними програмами, призначеними для захисту від сигнатурних вірусів.

Прихована атака використовує різноманітні заходи (підміна контрольних сум, перехоплення даних, модифікація ядра операційної системи, використання стандартних або схожих до стандартних імен тощо), які дозволяють залишатися невиявленими в локалізованій області атакованого ресурсу. Технологія прихованої атаки за своєю ідеологією подібна до технології стелс-вірусів.

Пігібекінгова атака заснована на несанкціонованому одержанні доступу до тимчасово неконтрольованого ресурсу, наприклад, шляхом проникнення до інформаційної системи в результаті тимчасової відсутності або після некоректного завершення сеансу роботи легального користувача.

Маскарадна атака заснована на формуванні такої поведінки порушника, яка дозволяє йому видати себе за легальне джерело, наприклад, шляхом обману (spoofing) атакувати обчислювальну мережу (з протоколом TCP/IP) привласнюючи IP-адресу, за допомогою якої обходиться система захисту.

Непряма атака заснована на тому, що напад здійснюється через третю особу (посередника), а істинне джерело нападу залишається невідомим, при цьому часто використовуються маскарадні технології (див.

рис. 1.21).

Наприклад, скориставшись варіантом нападу з атакуючих дій, для виключення можливості виявлення реального джерела, порушник проводить або переспрямовує свій трафік через чужий комп’ютер, який для атакованого ресурсу і буде вихідним джерелом.

40