Разработка и анализ информационной системы безопасности для систем управления производством

охрана границ территории (некоторой зоны, окружающей здание);

охрана самого здания или некоторого пространства вокруг него;

охрана входов в здание;

охрана критических зон.

Для защиты границ территории можно использовать ограды, инфракрасные или СВЧ-детекторы, датчики движения, а также замкнутые телевизионные системы.

Для защиты здания последнее должно иметь толстые стены, желательно из железобетона, толщиной примерно 30-35 см.

При защите входов в здание необходимо надежно охранять все возможные пути проникновения в здание - как обычно используемые входы, так и окна и вентиляционные отверстия.

Обычные входы можно контролировать посредством личного опознавания входящего охраной или с использованием некоторых механизмов, например, ключей или специальных карточек.

Для обнаружения проникновения злоумышленника в критическую зону можно использовать существующие системы сигнализации. Фотометрические системы обнаруживают изменения уровня освещенности. Звуковые, ультразвуковые или СВЧ - системы обнаружения перемещения объектов реагируют на изменение частоты сигнала, отраженного от движущегося тела. Звуковые и сейсмические (вибрационные) системы обнаруживают шум и вибрацию. И наконец, системы, реагирующие на приближение к защищаемому объекту, обнаруживают нарушение структуры электромагнитного или электростатического поля.

1.6.1 Идентификация и установление личности

Так как функционирование всех механизмов ограничения доступа, использующих аппаратные средства или средства математического обеспечения основано на предположении, что пользователь представляет собой конкретное лицо, то должен существовать некоторый механизм установление его подлинности. Этот механизм может быть основан на выявлении того, что знает только данный пользователь или имеет при себе, или на выявлении некоторых особенностей самого пользователя.

При использовании замков и электрических или механических кнопочных систем применяются комбинации наборов знаков. Такая система, используемая для регулирования доступа к ЭВМ, называется системой паролей. Недостаток этой системы состоит в том, что пароли могут быть украдены (при этом пользователь может и не заметить потери), забыты или переданы. Для уменьшения опасности связанной с кражей паролей, последние должны часто изменяться, что создает проблемы формирования и распределения паролей. Аналогичный метод, называемый “рукопожатием”, предусматривает успешное выполнение некоторого алгоритма в качестве условия доступа к системе. В процессе “рукопожатия” пользователь должен обменяться с алгоритмом последовательностью паролей (они должны быть названы правильно и в правильной последовательности), хотя сам пользователь не знает алгоритма. Установление подлинности с помощью паролей вследствие своей простоты нашло наиболее широкое применение в вычислительных системах.

Пользователь может иметь при себе стандартный ключ или специальную карточку с нанесенным на нее, например, оптическим, магнитным или другим кодом.

Разработаны знаковые системы, которые основаны на изучении образца подчерка или подписи пользователя. Существуют системы, в которых для установления личности применяют геометрические характеристики руки или спектрограммы голоса пользователя. Также существуют системы, которые используют отпечатки пальцев пользователя и сравнивают их с хранящимися образцами.

1.6.2 Меры защиты против электронного и электромагнитного перехвата

Подключение к линиям связи может быть осуществлено двумя способами. При пассивном подключении злоумышленник только прослушивает передаваемые данные, тогда как при активном подключении он передает некоторые собственные данные либо в конце законно передаваемых данных, либо вмести них. Основной мерой противодействия подключениям к линиям связи является шифрование сообщений. Кроме того, так как единственными местами, где легко подключиться к линии передачи данных, являются точки внутри помещений, где расположено передающее или приемное оборудование, линии передачи данных и кабельные шкафы должны надежно охраняться. Подключение к внешним участкам линий связи вынуждает вести передачу данных с высокой степенью уплотнения, что является малоэффективной и дорогостоящей операцией.

Вполне реальной угрозой является перехват электромагнитного излучения от ЭВМ или терминала. Правда, вследствие использования режима мультипрограммирования, когда одновременно обрабатывается несколько заданий пользователей, данные, полученные таки путем от большинства вычислительных систем, очень трудно поддаются дешифрованию. Однако, подслушивание терминалов вполне реально, особенно в пределах дальности порядка 6 м. Трудность выполнения этой операции быстро возрастает с расстоянием, так что подслушивание с расстояния, превышающего 45 м, становится крайне дорогостоящей операцией. При использовании более дорогой аппаратуры можно усилить и слабый сигнал. Например, большинство терминалов с ЭЛТ регенерируют отображаемую информацию через короткие интервалы времени. Следовательно, применяя сложные методы, можно совместно обработать и использовать данные нескольких каких циклов генерации.

1.7 Основные понятия безопасности компьютерных систем

Под безопасностью информации понимается “состояние защищенности информации, обрабатываемой средствами вычислительной техники или автоматизированной системы, от внутренних или внешних угроз”.

Целостность понимается как “способность средств вычислительной техники или автоматизированной системы обеспечивать неизменность вида и качества информации в условиях случайного искажения или угрозы разрушения. Согласно руководящему документу Гостехкомиссии России “Защита от несанкционированного доступа к информации. Термины и определения” угрозы безопасности и целостности состоят в потенциально возможных воздействиях на вычислительную систему (ВС), которые прямо или косвенно могут нанести ущерб безопасности и целостности информации, обрабатываемой системой.

Ущерб целостности информации состоит в ее изменении, приводящем к нарушению ее вида или качества.

Ущерб безопасности подразумевает нарушение состояния защищенности содержащейся в ВС информации путем осуществления несанкционированного доступа (НСД) к объектам ВС.

НСД определяется как “доступ к информации, нарушающий правила разграничения доступа с использованием штатных средств, предоставляемых ВС”. Можно ввести более простое определение НСД: НСД заключается в получении пользователем или программой доступа к объекту, разрешение на который в соответствии с принятой в системе политикой безопасности отсутствует.

Реализация угрозы называется атакой.

Человек, стремящийся реализовать угрозу, называется нарушителем, или злоумышленником.

Существует множество классификаций видов угроз по принципам и характеру их воздействия на систему, по используемым средствам, по целям атаки и т.д. Рассмотрим общую классификацию угроз безопасности ВС по средствам воздействия на ВС. С этой точки зрения все угрозы могут быть отнесены к одному из следующих классов (рис.4):

1. Вмешательство человека в работу ВС. К этому классу относятся организационные средства нарушения безопасности ВС (кража носителей информации, НСД к устройствам хранения и обработки информации, порча оборудования и т.д.) и осуществление нарушителем НСД к программным компонентам ВС (все способы несанкционированного проникновения в ВС, а также способы получения пользователем-нарушителем незаконных прав доступа к компонентам ВС). Меры, противостоящие таким угрозам, носят организационный характер (охрана, режим доступа к устройствам ВС), а также включают в себя совершенствование систем разграничения доступа и системы обнаружения попыток атак (например, попыток подбора паролей).

2 2

3

1

Рис. 3 - Классификация угроз безопасности ВС

2. Аппаратно-техническое вмешательство в работу ВС. Имеется в виду нарушение безопасности и целостности информации в ВС с помощью технических средств, например, получение информации по электромагнитному излучению устройств ВС, электромагнитные воздействия на каналы передачи информации и другие методы. Защита от таких угроз, кроме организационных мер, предусматривает соответствующие аппаратные (экранирование излучений аппаратуры, защита каналов передачи информации от прослушивания) и программные меры (шифрация сообщений в каналах связи).

3. Разрушающее воздействие на программные компоненты ВС с помощью программных средств. Такие средства называются разрушающими программными средствами (РПС). К ним относятся компьютерные вирусы, троянские кони (или “закладки”), средства проникновения в удаленные системы с использованием локальных и глобальных сетей. Средства борьбы с подобными атаками состоят из программно и аппаратно реализованных систем защиты.

Современные программные угрозы информационной безопасности.

Класс РПС составляют компьютерные вирусы, троянские кони (закладки) и средства проникновения в удаленные системы через локальных и глобальных сетей (рис. 3).

В настоящее время эволюция средств РПС от простейших программ, осуществляющих НСД, к действующим самостоятельно удаленным сетевым агентам, которые представляют собой настоящие средства информационногойнападения. Компьютерный вирус - суть его сводится к тому, что программы приобретают свойства, присущие живым организмам, причем самые неотъемлемые - они рождаются, размножаются, умирают. Главное условие существования вирусов - универсальная интерпретация информации в вычислительных системах. Вирус в процессе заражения программы может интерпретировать ее как данные, а в процессе выполнения как исполняемый код. Этот принцип был положен в основу всех современных компьютерных систем, использующих архитектуру фон Неймана.

Дать формальное определение понятию “компьютерный вирус” очень непросто. Традиционное определение, данное Ф. Коэном, “компьютерный вирус - это программа, которая может заражать другие программы, модифицируя их посредством добавления своей, возможно измененной, копии”, ключевым понятием в определении вируса является его способность к саморазмножению, - это единственный критерий, позволяющий отличить программы-вирусы от остальных программ. При этом “копии” вируса действительно могут структурно и функционально отличаться между собой.

История компьютерных вирусов начинается еще с работ теоретика современных компьютеров фон Неймана. Он разрабатывал модели автоматов, способных к самовоспроизведению, и математически доказал возможность существования таких машин. После этого идея саморазмножающихся программ “витала в воздухе” и время от времени находила свою более или менее адекватную реализацию.

С каждым годом число вирусов растет. Сейчас их уже более 7000. Считается признанным, что в последние годы больше всего вирусов создавалось в СССР, а затем в России и других странах СНГ. Но и в других странах, в том числе в США, значителен урон, наносимый вирусами. В США борьба с вирусами ведется на самом высоком уровне. Вскоре после объявления в 1993 году Белым домом о подключении президента Билла Клинтона и вице-президента Альберта Гора к сети Internet администрация поддержала идею проведения Национального дня борьбы с компьютерными вирусами (National Computer Virus Awareness Day). Такой день отмечается теперь ежегодно. Национальной ассоциацией по компьютерной защите США (NCSA) и компанией Dataquest опубликованы следующие данные по результатам исследований” вирусной проблемы(данные 1993 г.):

опрошенных пострадали от компьютерных вирусов;

предполагаемые потери американского бизнеса от компьютерных вирусов в 1994 году составят около 2 млрд. долларов;

идентифицировано более 2100 компьютерных вирусов;

каждый месяц появляется более 50 новых вирусов;

в среднем от каждой вирусной атаки страдает 142 персональных компьютера, на ее отражение в среднем уходит 2,4 дня;

для компенсации ущерба в 1/4 случаев требовалось более 5 дней.

Начиная с конца 1990 г., появилась новая тенденция, получившая название “экспоненциальный вирусный взрыв”. Количество новых вирусов, обнаруживаемых в месяц, стало исчисляться десятками, а в дальнейшем и сотнями. Поначалу эпицентром этого взрыва была Болгария, затем он переместился в Россию. После 1994 г. темп роста вирусов пошел на убыль, хотя их общее количество продолжает увеличиваться. Это связано с тем, что ОС MS DOS, которая и дает 99% существующих компьютерных вирусов, постепенно сдает свои лидирующие позиции как операционная система для персональных компьютеров, уступая их Windows, OS/2, UNIX и т.п. Данные о динамике роста известных вирусов по годам приведены на рис. 5.

Современная ситуация характеризуется двумя моментами: появлением полиморфных вирусов и генераторов (конструкторов) вирусов.

Полиморфные вирусы характеризуются тем, что для их обнаружения неприменимы обычные алгоритмы поиска, так как каждая новая копия вируса не имеет со своим родителем ничего общего. Это достигается шифровкой тела самого вируса и расшифровщиком, не имеющим ни одного постоянного бита в каждом своем экземпляре. На сегодняшний день известно около десятка алгоритмов (вирусов намного больше!) генерации таких расшифровщиков. Появление генераторов вирусов позволяет, задав программе-генератору в виде входных параметров способ распространения, тип, вызываемые эффекты, причиняемый вред, получить ассемблерный текст нового вируса. На сегодняшний день известно около пяти таких генераторов вирусов.



Рис. 4 - Типы разрушающих программных средств (РПС)

Кроме того, вирусы постоянно расширяют свою “среду обитания” и реализуют принципиально новые алгоритмы внедрения и поведения. Так, в 1995 году появились представители, опровергающие ключевые принципы антивирусной защиты - то, что компьютер, загруженный с заведомо чистой системной дискеты, не может содержать вирус; и то, что вирусы не заражают файлы с данными.

Первым появился вирус, который таким образом корректирует конфигурацию компьютера, что при попытке загрузки с дискеты он все равно загружается с зараженного жесткого диска, и вирус активизируется в системе. Другой вирус, появившийся в середине августа 1995 г. в США и ряде стран Западной Европы, использует современные технологии представления информации в виде конгломерата данных и программ. Он заражает документы, подготовленные в системе MS Word for Windows 6.0 - файлы типа .DOC. Так как такие файлы ежедневно десятками тысяч циркулируют в локальных и глобальных сетях, эта способность вируса обеспечила его мгновенное распространение по всему свету в течение нескольких дней и 25 августа он был обнаружен в Москве. Вирус написан на макроязыке пакета Word. Он переносит себя в область глобальных макросов, переопределяет макрос FileSaveAs и копирует себя в каждый файл, сохраняемый с помощью команды Save As. При этом он переводит файл из категории “документ” в категорию “шаблон”, что делает невозможным его дальнейшее редактирование. Обнаружить наличие этого вируса можно по появлению в файле winword6.ini строки ww6i=1.

Троянский конь - это программа, содержащая в себе некоторую разрушающую функцию, которая активизируется при наступлении некоторого условия срабатывания. Обычно такие программы маскируются под какие-нибудь полезные утилиты. Вирусы могут нести в себе троянских коней или “троянизировать” другие программы - вносить в них разрушающие функции.

Троянские кони представляют собой программы, реализующие помимо функций, описанных в документации, и некоторые другие функции, связанные с нарушением безопасности и деструктивными действиями. Отмечены случаи создания таких программ с целью облегчения распространения вирусов. Списки таких программ широко публикуются в зарубежной печати. Обычно они маскируются под игровые или развлекательные программы и наносят вред под красивые картинки или музыку.

Программные закладки также содержат некоторую функцию, наносящую ущерб ВС, но эта функция, наоборот, старается быть как можно незаметнее, т.к. чем дольше программа не будет вызывать подозрений, тем дольше закладка сможет работать.



Рис. 5 - Количество компьютерных вирусов в 1986-1996 гг.

В качестве примера приведем возможные деструктивные функции, реализуемые троянскими конями и программными закладками:

1. Уничтожение информации. Конкретный выбор объектов и способов уничтожения зависит только от фантазии автора такой программы и возможностей ОС. Эта функция является общей для троянских коней и закладок. 2. Перехват и передача информации. В качестве примера можно привести реализацию закладки для выделения паролей, набираемых на клавиатуре, при работе утилиты DISKREET пакета Norton Utilities ver. 6.0. 3. Целенаправленная модификация кода программы, интересующей нарушителя. Как правило, это программы, реализующие функции безопасности и защиты. Примером реализации этого случая является закладка, маскируемая под прикладную программу-“ускоритель” типа “Turbo Krypton”. Эта закладка заменяет алгоритм шифрования ГОСТ 28147-89, реализуемой платой “Krypton-3” демонстрационный вариант) другим, простым и легко дешифруемым алгоритмом.

Если вирусы и троянские кони наносят ущерб посредством лавинообразного саморазмножения или явного разрушения, то основная функция РПС, действующих в компьютерных сетях, - взлом атакуемой системы, т.е. преодоление защиты с целью нарушения безопасности и целостности.

В более 80% компьютерных преступлений, расследуемых ФБР, “взломщики” проникают в атакуемую систему через глобальную сеть Internet. Когда такая попытка удается, будущее компании, на создание которой ушли годы, может быть поставлено под угрозу за какие-то секунды.

Этот процесс может быть автоматизирован с помощью специального вида РПС, называемого сетевой червь.

Червями называют вирусы, которые распространяются по глобальным сетям, поражая целые системы, а не отдельные программы. Это самый опасный вид вирусов, так как объектами нападения в этом случае становятся информационные системы государственного масштаба. С появлением глобальной сети Internet этот вид нарушения безопасности представляет наибольшую угрозу, т. к. ему в любой момент может подвергнуться любой из 30 миллионов компьютеров, подключенных к этой сети.

Наиболее известен вызвавший всемирную сенсацию и привлекший внимание к вирусной проблеме инцидент с вирусом-червем в глобальной сети Internet. Второго ноября 1988 года студент Корнелловского университета Роберт Моррис (Robert Morris) запустил на компьютере Массачусетского технологического института программу-червь, которая передавала свой код с машины на машину, используя ошибки в системе UNIX на компьютерах VAX и Sun. В течение 6 часов были поражены 6000 компьютеров, в том числе Станфордского университета, Массачусетского технологического института, Университета Беркли и многих других. Кроме того, были поражены компьютеры Исследовательского института НАСА и Национальной лаборатории Лоуренса в Ливерморе - объекты, на которых проводятся самые секретные стратегические исследования и разработки. Червь представлял собой программу из 4000 строк на языке “С” и входном языке командного интерпретатора системы UNIX. Следует отметить, что вирус только распространялся по сети и не совершал каких-либо разрушающих действий. Однако это стало ясно только на этапе анализа его кода, а пока вирус распространялся, в вычислительных центрах царила настоящая паника. Тысячи компьютеров были остановлены, ущерб составил многие миллионы долларов.

Обычно целью взлома сетей является приобретение нелегальных прав на пользование ресурсами системы. Таким образом, если раньше РПС пассивно вносился в систему, и для его инициализации необходимы были действия пользователя, то сейчас РПС сам проникает в систему и само определяет время и степень своей активности.

Иногда взлому системы предшествует “разведка” - исследование средств защиты атакуемой системы с целью обнаружения слабых мест и выбора оптимального метода атаки. Это могут быть как тривиальные попытки подбора паролей (кстати, 80% атак осуществляются именно этим способом) так и попытки проанализировать имеющееся на атакуемой машине программное обеспечение на предмет наличия в нем “дыр” или “люков”, позволяющих злоумышленнику проникнуть в систему.

Таким образом, возникает специфический вид РПС - программы, осуществляющие проникновение в удаленную систему. Это дает возможность злоумышленнику лично, или с помощью других программ, осуществлять НСД к ресурсам этой системы, нарушать ее безопасность и целостность и т.д.

1.8 Изменение требований к безопасности

В современных условиях чрезвычайно важным является обоснование требований, создание нормативной базы для установления и контроля необходимой степени безопасности. Безопасность ВС должна поддерживаться средствами, обеспечивающими управление доступом, идентификацию и аутентификацию объектов и субъектов, контроль целостности и другие функции защиты. Однако, развитие аппаратных и программных средств ВС, распространение локальных и глобальных сетей, а также появление и эволюция РПС привели к возрастанию количества видов и способов осуществления нарушения безопасности и целостности ВС, что создало предпосылки для изменения требований к средствам защиты.

Рассмотрим изменение функций перечисленных средств защиты. 1. Идентификация и аутентификация. Возникает необходимость добавления идентификации и аутентификации удаленных пользователей и процессов. Причем, поскольку проблема стоит в глобальном масштабе, эти средства должны обеспечивать идентификацию и аутентификацию объектов и субъектов, находящихся в разных частях планеты и функционирующих на различных аппаратных платформах и в разных ОС. В настоящий момент такие средства бурно развиваются. В качестве примера можно указать широко известную систему Kerberos и специальные интерфейсы, обеспечивающие идентификацию и аутентификацию участников взаимодействия типа GSS-API (Generic Security Service Application Program Interface).

2. Управление доступом. Поскольку большинство компьютеров является персональными, разграничение прав локальных пользователей в значительной степени потеряло свою актуальность. Задача разграничения доступа теперь сводится к ограничению доступа из сети к ресурсам, имеющимся в ВС, и к защите ресурсов, принадлежащих пользователю, но расположенныхйнайудаленныхсмашинах. 3. Контроль целостности. Понятие контроля целостности теперь должно включать в себя защиту от проникновения в систему злоумышленника или РПС, в том числе через сеть. В защите каналов связи на первое место выступает не шифрование информации с целью защиты от перехвата, а защита сетевого соединения от атаки со стороны злоумышленника или РПС. В качестве примера можно привести распространенные в последнее время системы Firewall, защищающие локальные сети от проникновения в них со стороны Internet. 4. РПС потребовали от защиты совершенно новой функции, а именно, механизмов, обеспечивающих безопасность и целостность системы в условиях возможного появления в ней программ, содержащих РПС.

1.9 Основные типы угроз вычислительным системам

Существуют три различных типа угроз относящиеся к раскрытию, целостности или отказу служб вычислительной системы.

Угроза раскрытия заключается том, что информация становится известной тому, кому не следовало бы ее знать. В терминах компьютерной безопасности угроза раскрытия имеет место всякий раз, когда получен доступ к некоторой секретной информации, хранящейся в вычислительной системе или передаваемая от одной системы к другой. Иногда в связи с угрозой раскрытия используется термин “утечка”.

Угроза целостности включает в себя любое умышленное изменение информации, хранящейся в вычислительной системе или передаваемой из одной системы в другую. Когда взломщики преднамеренно изменяют информацию, говорят, что целостность этой информации нарушена. Целостность также будет нарушена, если к несанкционированному изменению приводит случайная ошибка. Санкционированными изменениями являются те, которые сделаны определенными лицами с обоснованной целью (таким изменением является периодическая запланированная коррекция некоторой базы данных).

Угроза отказа служб возникает всякий раз, когда в результате преднамеренных действий, предпринятых другим пользователем, умышленно блокируется доступ к некоторому ресурсу вычислительной системы. То есть, если один пользователь запрашивает доступ к службе, а другой предпринимает что-либо для недопущения этого доступа, мы говорим, что имеет место отказ службы. Реально блокирование может быть постоянным, так чтобы запрашиваемый ресурс никогда не был получен, или оно может вызвать только задержку запрашиваемого ресурса, достаточно долгую для того, чтобы он стал бесполезным. В таких случаях говорят, что ресурс исчерпан.

Политика безопасности подразумевает множество условий, при которых пользователи системы могут получить доступ к информации и ресурсам. Таким образом, политика безопасности определяет множество требований, которые должны быть выполнены в конкретной реализации системы.

Очевидно, для проведения желаемой политики безопасности в системе должны присутствовать соответствующие механизмы. В большинстве случаев механизмы безопасности содержат некоторые автоматизированные компоненты, зачастую являющиеся частью базового вычислительного окружения (операционной системы), с соответствующим множеством процедур пользователя и администратора.

Одним из важнейших аспектов проблемы информационной безопасности компьютерных систем является противодействие РПС. Существуют несколько подходов к решению этой задачи:

- создание специальных программных средств, предназначенных исключительно для поиска и ликвидации конкретных видов РПС(типа антивирусныхйпрограмм); - проектирование ВС, архитектура и модель безопасности которых либо в принципе не допускает существование РПС, либо ограничивает область их активности и возможный ущерб;

- создание и применение методов и средств анализа программного обеспечения на предмет наличия в них угроз информационной безопасности ВС и элементов РПС.

Первый подход не может привести к удовлетворительным результатам, т.к. борется только с частными проявлениями сложной проблемы. Второй подход имеет определенные перспективы, но требует серьезной переработки концепции ОС и их безопасности, что связано с огромнымийзатратами. Наиболее эффективным представляется третий подход, позволяющий путем введения обязательной процедуры анализа безопасности программ, достаточно надежно защитить наиболее важные системы от РПС. Процедуру анализа программного обеспечения на предмет наличия в них угроз информационной безопасности ВС называются анализом безопасности программного обеспечения. Данный подход требует разработки соответствующих теоретических моделей программ, ВС и РПС, создания методов анализа безопасности и методик их применения.

1.10 Анализ и классификация удаленных атак на компьютерные сети

Основой любого анализа безопасности компьютерных систем (КС) является знание основных угроз, присущих им. Для успеха подобного анализа представляется необходимым выделение из огромного числа видов угроз обобщенных типов угроз, их описание и классификация.

Безопасность компьютерной сети должна подвергаться анализу - выделение в отдельный класс атак, направленных на компьютерные сети. Данный класс называется - класс удаленных атак. Этот подход к классификации представляется правомочным из-за наличия принципиальных особенностей в построении сетевых ОС. Основной особенностью любой сетевой операционной системы является то, что ее компоненты распределены в пространстве и связь между ними физически осуществляется при помощи сетевых соединений (коаксиальный кабель, витая пара, оптоволокно и т.д.) и программно при помощи механизма сообщений. При этом все управляющие сообщения и данные, пересылаемые одной компонентой сетевой ОС другой компоненте, передаются по сетевым соединениям в виде пакетов обмена. Эта особенность и является основной причиной появления нового класса угроз - класса удаленных атак.

Основная причина нарушения безопасности сетевой ОС - недостаточная идентификация и аутентификация ее удаленных компонент.

Классификация удаленных атак на сети ЭВМ.

Удаленные атаки можно классифицировать по следующим признакам:

1.По характеру воздействия:

- активное

- пассивное

Под активным воздействием на сетевую систему понимается воздействие, оказывающее непосредственное влияние на работу сети (изменение конфигурации сети, нарушение работы сети и т.д.) и нарушающее политику безопасности, принятую в системе. Практически все типы удаленных атак являются активными воздействиями. Основная особенность удаленного активного воздействия заключается в принципиальной возможности его обнаружения (естественно, с большей или меньшей степенью сложности).

Пассивным воздействием на сетевую систему называется воздействие, которое не оказывает непосредственного влияния на работу сети, но может нарушать ее политику безопасности. Именно отсутствие непосредственного влияния на работу сети приводит к тому, что пассивное удаленное воздействие практически невозможно обнаружить. Единственным примером пассивного типового удаленного воздействия служит прослушивание канала в сети.

По цели воздействия:

- перехват информации

- искажение информации

Основная цель практически любой атаки - получить несанкционированный доступ к информации. Существуют две принципиальных возможности доступа к информации: перехват и искажение. Возможность перехвата информации означает получение к ней доступа, но невозможность ее модификации. Примером перехвата информации может служить прослушивание канала в сети.

В этом случае имеется несанкционированный доступ к информации без возможности ее искажения.

Возможность к искажению информации означает полный контроль над информационном потоком. То есть, информацию можно не только прочитать, как в случае перехвата, а иметь возможность ее модификации. Примером удаленной атаки, позволяющей модифицировать информацию, можетйслужитьйложныйвсервер. Рассмотренные выше три классификационных признака инвариантны по отношению к типу атаки, будь то удаленная или локальная атака. Следующие классификационные признаки (за исключением 3), которые будут рассмотрены ниже, имеют смысл только для удаленных воздействий.

3. По условию начала осуществления воздействия:

удаленное воздействие, также как и любое другое, может осуществляться при определенных условиях. В сетях ЭВМ могут существовать три вида условий начала осуществления атаки:

атака по запросу от атакуемого объекта. В этом случае атакующая программа, запущенная на сетевом компьютере, ждет посылки от потенциальной цели атаки определенного типа запроса, который и будет условием начала осуществления атаки. Примером подобных запросов в ОС Novell NetWare может служить SAP - запрос, а ОС UNIX -DNS и ARP - запрос. Данный тип удаленных атак наиболее характерен для сетевых ОС.

атака по наступлению определенного события на атакуемом объекте. В случае удаленной атаки подобного рода атакующая программа ведет наблюдение за состоянием операционной системы удаленного компьютера и при возникновении определенного события в системе начинает осуществление воздействия. В этом, как и в предыдущем случае, инициатором осуществления начала атаки выступает сам атакуемый объект. Примером такого события может быть прерывание сеанса работы пользователя с сервером в ОС Novell NetWare без выдачи команды LOGOUT (например, путем отключения питания на рабочей станции).

безусловная атака. В этом случае начало осуществления атаки безусловно по отношению к цели атаки. То есть атака осуществляется немедленно после запуска атакующей программы а, следовательно, она и является инициатором начала осуществления атаки.

Защита информации включает в себя комплекс мероприятий, направленных на обеспечение информационной безопасности. На практике под этим понимается поддержание целостности, доступности и, если нужно, конфиденциальности информации и ресурсов, используемых для ввода, хранения, обработки и передачи данных.

Информационная безопасность - это защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, чреватых нанесением ущерба владельцам или пользователям информации и поддерживающей инфраструктуры.

Проблема обеспечения безопасности носит комплексный характер, для ее решения необходимо сочетание законодательных, организационных и программно-технических мер.

Общество в целом зависит от компьютеров, поэтому сегодня проблема информационной безопасности - это проблема всего общества.

Следующее место после законодательного, по значимости занимает управленческий уровень. Руководство каждой организации должно осознать необходимость поддержания режима безопасности и выделения на эти цели соответствующих ресурсов. Главное, что должен сделать управленческий уровень, - это выработать политику безопасности, определяющую общее направление работ.

Применительно к персоналу, работающему с информационными системами, используются операционные регуляторы, действующие на окружение компьютерных комплексов. Имеются в виду способы подбора персонала, его обучения, обеспечения дисциплины. Сюда же относятся меры по физической защите помещений и оборудования и некоторые другие.

Для поддержания режима информационной безопасности особенно важны программно-технические меры, поскольку основная угроза компьютерным системам исходит от них самих: сбои оборудования, ошибки программного обеспечения, промахи пользователей и администраторов и т.п. Существуют следующие основные механизмы безопасности:

*идентификация и аутентификация;

*управление доступом;

*протоколирование и аудит;

*криптография;

*экранирование.

Перед принятием каких-либо защитных мер необходимо произвести анализ угроз.

1.11 Наиболее распространенные угрозы

Самыми частыми и самыми опасными, с точки зрения размера ущерба, являются непреднамеренные ошибки пользователей, операторов, системных администраторов и других лиц, обслуживающих информационные системы. Иногда такие ошибки являются угрозами: неправильно введенные данные, ошибка в программе, а иногда они создают слабости, которыми могут воспользоваться злоумышленники - таковы обычно ошибки администрирования. Согласно статистики 65% потерь - следствие непреднамеренных ошибок. Пожары и наводнения можно считать пустяками по сравнению с безграмотностью и расхлябанностью. Очевидно, самый радикальный способ борьбы с непреднамеренными ошибками - максимальная автоматизация и строгий контроль за правильностью совершаемых действий.

На втором месте по размерам ущерба располагаются кражи и подлоги. В 1992 году в результате подобных противоправных действий с использованием ПК американским организациям был нанесен суммарный ущерб в размере 882 млн. долл. Однако, подлинный ущерб намного больше, поскольку многие организации по понятным причинам скрывают такие инциденты. В большинстве расследованных случаев виновниками оказывались штатные сотрудники организаций, отлично знакомые с режимом работы и защитными мерами. Это еще раз свидетельствует о том, что внутренняя угроза гораздо опаснее внешней.

Весьма опасны так называемые обиженные сотрудники - нынешние и бывшие. Как правило, их действиями руководит желание нанести вред организации-обидчику, например:

*повредить оборудование;

*встроить логическую бомбу, которая со временем разрушит программы и/или данные;

*ввести неверные данные;

*удалить данные;

*изменить данные.

Обиженные сотрудники, даже бывшие, знакомы с порядками в организации и способны вредить весьма эффективно. Необходимо следить за тем, чтобы при увольнении сотрудника его права доступа к информационным ресурсам аннулировались.

Угрозы, исходящие от окружающей среды, отличаются большим разнообразием. В первую очередь, следует выделить нарушения инфраструктуры - аварии электропитания, временное отсутствие связи, перебои с водоснабжением, гражданские беспорядки и т.п. Опасны, разумеется, стихийные бедствия и события, воспринимаемые как стихийные бедствия - пожары, наводнения, землетрясения, ураганы. По статистическим данным, на долю огня, воды и аналогичных "врагов", среди которых самый опасный - низкое качество электропитания, приходится 13% потерь, нанесенных информационным системам.

Необходимо рассматривать опасность, исходящую от программных вирусов. Так, недавно появилось сообщение о вирусе "666", который, выводя каждую секунду на монитор некий 25-й кадр, вызывает у пользователей кровоизлияние в мозг и смерть. Несмотря на экспоненциальный рост числа известных вирусов, аналогичного роста количества инцидентов, вызванных вирусами, не зарегистрировано. Соблюдение несложных правил компьютерной гигиены сводит риск заражения практически к нулю.

Таковы основные угрозы, на долю которых приходится основная доля урона, наносимого информационным системам. Рассмотрим теперь иерархию защитных мероприятий, способных противостоять угрозам.

ГЛАВА 2. СИСТЕМЫ УПРАВЛЕНИЯ ПРОИЗВОДСТВОМ И НАИБОЛЕЕ УЯЗВИМЫЕ УЧАСТКИ СЕТИ

Концепция безопасности ЛВС системы управления производством.

Рассмотрим ЛВС на примере организации «Стройпроект», которая занимается обработкой и проектированием чертежей для строительства зданий в Украине. Организация состоит из отдела стройпроектирования, планово - экономического отдела, бухгалтерии и отдела кадров. В каждом из отделов происходит обработка той или иной секретной информации, связанной с видом деятельности каждого из отделов (рис.7). Сотрудники данной организации имеют доступ в Интернет по выделенному каналу через сервер (компьютер 20).

Рис. 6 - Схема расположения компьютеров в «Стройпроект»



Рис. 7 - Схема локальной сети в «Стройпроект»

Информация, циркулирующая в рамках локальной сети, является критически важной. Локальная сеть позволяет пользователям разделять чертежи зданий, программы и данные, что увеличивает риск. Следовательно, каждый из компьютеров, входящих в сеть, нуждается в более сильной защите.

В сферу обеспечения безопасности попадают все аппаратные, программные и информационные ресурсы, входящие в локальную сеть «Стройпроекта».

Целью информационной и безопасности системы управления производством является обеспечение целостности, доступности и конфиденциальности данных, а также их полноты и актуальности. Более частными целями являются:

*обеспечение уровня безопасности, соответствующего нормативным документам;

*следование экономической целесообразности в выборе защитных мер (расходы на защиту не должны превосходить предполагаемый ущерб от нарушения информационной безопасности);

*обеспечение безопасности в отделе стройпроектирования, планово-экономическом отделе, бухгалтерии, отдела кадров, а также уделить особое внимание серверной;

*обеспечение подотчетности всех действий пользователей с информацией и ресурсами. Каждый пользователь должен четко и ясно выразить свою просьбу для доступа к тому или иному ресурсы сети, в противном случае ему будет запрещено пользоваться этим ресурсом;

* в «Стройпроект» имеется система контроля за пользователями. Так называемый мониторинг сети, где ведутся все записи о всех действиях пользователей. А именно, когда пользователь обратился к секретной информации, когда вышел в Интернет, когда создал новый файл, когда закончил работу и т.д;

*предоставление пользователям достаточной информации для сознательного поддержания режима безопасности. Каждому пользователю рассказывается, что он может делать и какие действия ему запрещены;

*выработка планов восстановления информации. Все данные хранятся на сервере, на котором имеется массив SATA уровня 1. Т.е данные, которые записываются на винчестер, зеркально дублируются на другом, аналогичном носителе. Таким образом, имеется запасной план восстановления информации после аварий и иных критических ситуаций для всех функциональных областей с целью обеспечения непрерывности работы сети.

2.1 Анализ защищенности узлов локальной сети «Стройпроект»

При рассмотрении схемы локальной сети «Стройпроект» я выявил участки, в которых секретная информация может быть легко доступна злоумышленнику. Для всех компьютерных залов и помещений, где производится обработка секретных данных, существуют угрозы:

применение подслушивающих устройств; Устройства могут находиться под рабочим столом, возле мебели, в одежде и в оборудовании, которое находится в помещении;

дистанционное фотографирование, просмотр изображения на экране может производиться из окон, либо с использованием скрытой камеры;

перехват электромагнитных излучений может производиться на расстоянии с помощью специальных средств;

хищение носителей информации и производственных отходов может быть осуществлено, если отсутствует наблюдение за залом;

копирование носителей информации;

вирусные атаки;

наводка на линии телефонной связи, телеаппаратуру;

утечки через линии связи между ПЭВМ;

утечки по сети питания;

прямое хищение магнитных носителей или документов;

утечки с клавиатуры по акустическому каналу;

лазерное облучение оконных стекол в помещении, где ведутся "интересные разговоры".

Для отдела стройпроектирования слабое место: плоттер и хаб, возле администратора (компьютер №12). Для планово - экономического отдела слабое место: сетевой принтер (компьютер №2), хаб (компьютер №6). Для бухгалтерии слабым местом является копировальный аппарат.

2.2 Перечень ПО, установленного на компьютерах в локальной сети «Стройпроект»

Таблица 1

№ компьют.	Отдел	Установленное ПО
№1	Секретарь	Microsoft Windows XP professional, Microsoft Offis, Касперский Internet Sequrity 6.0.
№20	Сервер	OS Windows Server 2003, PGP, Касперский Internet Sequrity 6.0, Outpost Firewall, FlyVideo, база 1С.
№10	начальник службы безопасности	Microsoft Windows XP professional, Microsoft Offis, Касперский Internet Sequrity 6.0, Pgp
№5,7,8,9	Бухгалтерия	Microsoft Windows XP professional, Microsoft Offis, Касперский Internet Sequrity 6.0, Pgp, бухгалтерия 1С.
№12 и №6	Системный администратор локальной сети и администратор сервиса	Microsoft Windows XP professional, Microsoft Offis, Касперский Internet Sequrity 6.0, Pgp, NetR, Hidden Administrator, 1С бухгалтерия
№ 13, 14, 15, 16, 17, 18, 19	Отдел стройпроектирования	Microsoft Windows XP professional, Microsoft Offis, Касперский Internet Sequrity 6.0, Pgp, Photoshop, Autocad.
№ 2, 3, 4	Планово-экономический отдел	Microsoft Windows XP professional, Microsoft Offis, Касперский Internet Sequrity 6.0, Pgp, бухгалтерия 1С.
№ 11	Отдел кадров	Microsoft Windows XP professional, Microsoft Offis, Касперский Internet Sequrity 6.0, Pgp.

2.3 Обязанности руководителя службы безопасности

Для обеспечения защиты информации должны быть разработаны и введены в действие инструкции для всех категорий персонала.

Руководитель службы безопасности обязан:

* постоянно держать в поле зрения вопросы безопасности;

* проводить анализ рисков, выявляя активы, требующие защиты, и уязвимые места систем, оценивая размер возможного ущерба от нарушения режима безопасности и выбирая эффективные средства защиты;

* информировать администраторов локальной сети и администраторов сервисов об изменении статуса каждого из подчиненных (переход на другую работу или специализацию, ограничение доступа к ранее разрешенным ресурсам, увольнение и т.п.);

* обеспечить, чтобы каждый компьютер имел хозяина или системного администратора, отвечающего за безопасность и имеющего достаточную квалификацию для выполнения этой роли;

* обеспечить систему допуска к защищенным ресурсам, путем присвоения каждому сотруднику имени и пароля для доступа в систему, а также выдать секретный криптографический ключ для подключения к серверу организации «Стройпроект».

2.4 Идентификация и аутентификация пользователей. Доступ к ресурсам сети

Идентификацию и аутентификацию можно считать основой программно-технических средств безопасности.

Начальник службы безопасности назначает каждому из пользователей имя и пароль для входа в систему. При загрузке компьютера пользователь вводит свое имя и пароль. Он получает доступ только к тем ресурсам сети, которые ему разрешены. В таблице 2 показано, какие пользователи имеют доступ к тем или иным ресурсам сети, а также права на запись, чтение и удаление файлов.

Таблица 2

№ комп.	К каким ресурсам имеет доступ	Какие действия разрешены пользователю
13, 14, 15, 16, 17, 18	База данных Autokad, Photoshop, Microsoft Offis (документы отдела стройпроектирования).	Запись, чтение всех, редактирование своих файлов.
2, 3, 4, 6	База бухгалтерии 1С планово -экономического отдела, Microsoft Offis (документы планово-экономического отдела).	Запись, чтение всех, редактирование своих файлов.
5, 7, 8, 9	База бухгалтерии 1С, Microsoft Offis(документы бухгалтерии).	Запись, чтение всех, редактирование своих файлов.
12, 6	Все документы Microsoft Offis, базы 1С бухгалтерии, архивы с Autocad и Photoshop.	Запись, чтение, редактирование, удаление всех.
1	Документы Microsoft Offis секретаря	Запись, чтение своих.
10	Все документы Microsoft Offis, базы 1С бухгалтерии, архивы с Autocad и Photoshop, доступ к видеозаписям.	Запись, чтение, редактирование, удаление всех.
11	База бухгалтерии 1С для отдела кадров, Microsoft Offis (документы одела кадров).	Запись, чтение, редактирование, своих.

ГЛАВА 3. РАЗРАБОТКА СРЕДСТВ И СПОСОБОВ ЗАЩИТЫ ДЛЯ ОРГАНИЗАЦИИ «СТРОЙПРОЕКТ»

3.1 Шифрование данных на сервере с помощью алгоритма PGP

Для надежного хранения и шифрования данных я решил использовать алгоритм PGP. Он реализуются программными или аппаратными средствами. Почему именно пакет PGP (Pretty Good Privacy, автор Philip Zimmermann)? В нем комплексно решены практически все проблемы защиты передаваемой информации. Применены сжатие данных перед шифрованием, мощное управление ключами, вычисление контрольной функции для цифровой подписи, надежная генерация ключей.

Разработанный в 1991 году Филиппом Циммерманом PGP позволяет зашифровывать секретную информация так, чтобы только доверенные лица могли получить к ней доступ, или ставить на ней цифровую подпись так, чтобы можно было убедиться в подлинности автора. В настоящий момент программа доступна на платформах Windows, UNIX, DOS, Macintosh и VAX. PGP свободно распространяется по Internet для некоммерческих пользователей вместе с 75-страничным справочным руководством. Кроме того, последняя версия PGP 2.6.6 можно приобрести в MIT.

Алгоритм PGP в рассматриваемой организации «Стройпроект» работает следующим образом. Каждому пользователю для работы в сети выделяется секретная область на сервере, так называемый PGP-диск. Для того, чтобы получить к нему доступ, необходимо ввести свой секретный ключ, который выдается начальником службы безопасности организации «Стройпроект». Секретный ключ хранится в зашифрованном виде на винчестере пользователя.

Для обмена сообщениями или информацией между собой каждому пользователю начальник службы безопасности формирует два ключа: секретный ключ и открытый ключ. Эти ключи он выдает пользователю для работы. Секретный ключ пользователь оставляет в тайне, а открытый ключ должен быть известен всем остальным пользователям. При помощи каждого из ключей можно прочитать сообщение или информацию, зашифрованную при помощи другого. Если коллеги хотят послать вам конфиденциальное сообщение или вы хотите прочесть их зашифрованную информацию, они могут воспользоваться вашим открытым PGP-ключом; при помощи секретного ключа оно может быть расшифровано. Для того, чтобы пользователю поставить цифровую подпись ему нужен секретный ключ; при этом у получателя обязательно должен быть экземпляр открытого ключа.

Алгоритм PGP я использую не только для защиты секретных данных, которые хранятся на сервере, а также и для безопасного обмена с электронной почтой. В PGP есть многочисленные plug-ins для разных почтовых программ, таких как Eudora, Netscape и Outlook. В данной системе безопасного обмена почтовыми сообщениями я использую Plug-ins Outlook и настраиваем PGP для этой программы и дополняем ее приятными мелочами, такими, как дополнительная кнопка на панели инструментов. Иконка в правом нижнем углу (tray), всплывающая панель инструментов (floating toolbox) и меню правой клавиши мышки (right-click menu) в PGP необычайно логично и удобно продуманы. Поэтому она очень проста в управлении.

Как только для пользователей, работающих с электронной почтой, созданы их личные ключи шифрования, они должны соединиться с одним из PGP-серверов и разместить в нем свой открытый ключ. С этого момента каждый, кто хочет, может послать в «Стройпроект» электронную почту в зашифрованном виде. Т.к в данной организации я использую одну и ту же почтовую программу Outlook, шифрование и дешифрование будет не сложнее простого нажатия кнопки. PGP особенно быстродейственна при пересылке зашифрованной информации пользователям Mac. Опция Smart Binary новых версий облегчает пересылку зашифрованных писем из Mac на Windows (и в обратном направлении).

3.2 Права и обязанности пользователей и администраторов, работающих в сети

*Администраторы локальной сети обеспечивают непрерывное функционирование сети и отвечают за реализацию технических мер, необходимых для проведения в жизнь политики безопасности.

*Администраторы сервисов отвечают за конкретные сервисы и, в частности, за то, чтобы защита была построена в соответствии с общей политикой безопасности.

*Только администраторы сети или администраторы сервисов имеют права на установку и настройку как ПО, так и нового оборудования.

Обязанности администратора локальной сети (компьютер №12).

*Информировать руководство об эффективности существующей политики безопасности и о технических мерах, которые могут улучшить защиту.

*Обеспечить защиту оборудования локальной сети, в том числе интерфейсов с другими сетями.

*Оперативно и эффективно реагировать на события, таящие угрозу. Информировать начальника службы безопасности о попытках нарушения защиты.

*Оказывать помощь в отражении угрозы, выявлении нарушителей и предоставлении информации для их наказания.

*Использовать проверенные средства аудита и обнаружения подозрительных ситуаций, программы сетевой активности.

*Ежедневно анализировать регистрационную информацию, относящуюся к сети в целом и к файловым серверам в особенности.

*Следить за новинками в области информационной безопасности, сообщать о них пользователям и руководству.