23 ноября 2012
Угрозы безопасности информации, цели и задачи защиты информации
Часть 5
Хорев Анатолий Анатольевич,
профессор, доктор технических наук
Национальный исследовательский университет «МИЭТ»
Заведующий кафедрой «Информационная безопасность»
E-mail: horev@miee.ru
В статье предпринята попытка систематизировать ряд категорий, терминов и определений в области информационной безопасности и защиты информации, приведена классификация угроз безопасности информации и задач по защите информации.
Угрозы безопасности информации
Угрозы утечки информации: несанкционированный доступ к информации
(начало)
Доступ к информации - возможность получения информации и ее использования.
Неправомерный доступ к информации – действия или процесс, в результате которых возможно неправомерное ознакомление с информацией, снятие копий с носителей информации или запись информации на носитель.
Несанкционированный доступ к информации (НСД) является наиболее широко распространенным способом неправомерного доступа к информации.
Наиболее часто термин «несанкционированный доступ» используется применительно к информации, обрабатываемой средствами вычислительной техники (СВТ) или автоматизированными системами (АС). При этом, под несанкционированным доступом к информации понимается доступ к информации, осуществляемый с нарушением установленных прав и (или) правил доступа к информации с применением штатных средств, предоставляемых СВТ или АС, или средств, аналогичных им по своим функциональному предназначению и техническим характеристикам [4].
Под штатными средствами понимается совокупность программного, микропрограммного и технического обеспечения СВТ или АС.
Субъект доступа, осуществляющий несанкционированный доступ к информации называется нарушителем правил разграничения доступа.
Из определения «несанкционированного доступа» вытекает, что нарушитель осуществляет доступ к информации с использованием программного или микропрограммного обеспечения средств вычислительной техники или автоматизированных систем или средств, аналогичных им по своим функциональному предназначению и техническим характеристикам.
На мой взгляд, именно этот признак и должен использоваться в качестве основного при отнесении того или иного способа неправомерного доступа к несанкционированному доступу.
Однако, даже в нормативно-методических документах происходит путаница понятий «неправомерный доступ» и «несанкционированный доступ». Например, в [2] указано, что несанкционированный доступ может осуществляться путем:
- подключения к техническим средствам и системам объекта информатизации (ОИ);
- использования закладочных средств (устройств);
- использования программного обеспечения технических средств ОИ через:
- маскировку под зарегистрированного пользователя;
- дефекты и уязвимости программного обеспечения ОИ;
- внесение программных закладок;
- применение вирусов и другого вредоносного программного кода (троянские программы, клавиатурные шпионы, активное содержимое документов);
- хищения носителя информации;
- нарушения функционирования технического средства обработки информации.
Очевидно, что из перечисленных способов, только п. в) можно напрямую отнести к способам несанкционированного доступа. Остальные перечисленные способы относятся к способам неправомерного доступа, но не относятся к способам несанкционированного доступа.
Попытаемся провести классификацию способов несанкционированного доступа к информации, обрабатываемой СВТ или АС (далее по тексту – АС). Для классификации используем следующие признаки:
- тип АС;
- способ доступа к АС;
- способ реализации доступа к информации;
- используемая уязвимость;
- тип нарушителя.
В зависимости от технологий, состава и характеристик технических средств АС, а также опасности реализации угроз несанкционированного доступа выделяют следующие
типы АС [1]:
- автоматизированные рабочие места (АРМ), не имеющие подключение к сетям связи общего пользования и (или) сетям международного информационного обмена;
- АРМ, имеющие подключение к сетям связи общего пользования и (или) сетям международного информационного обмена;
- локальные АС, не имеющие подключение к сетям связи общего пользования и (или) сетям международного информационного обмена;
- локальные АС, имеющие подключение к сетям связи общего пользования и (или) сетям международного информационного обмена;
- распределенные АС, не имеющие подключение к сетям связи общего пользования и (или) сетям международного информационного обмена;
- распределенные АС, имеющие подключение к сетям связи общего пользования и (или) сетям международного информационного обмена.
Можно выделить два способа несанкционированного доступа: программно-технический (физический) и программный.
При программно-техническом (физическом) доступе нарушитель осуществляет несанкционированное вскрытие системного блока СВТ и изъятие HDD или изменение аппаратной части СВТ.
Изъятый HDD диск может быть подключен к специальной аппаратуре копирования (дублирования) диска или к другому компьютеру в виде локального диска с целью копирования как всего диска, так и интересующей нарушителя информации. Например, компактное устройство SuperSonix способно копировать информацию с жестких дисков с файловыми системами FAT 16/32, NTFS со скоростью до 8 ГБ в минуту.
Изменение аппаратной части СВТ производится с целью осуществления несанкционированного доступа к информации или копирования интересующей его информации на внешний носитель и может включать: отключение программно-аппаратных средств защиты информации или установку порта для внешнего устройства.
После изменения аппаратной части нарушитель осуществляет физический взлом BIOS путем временного изъятия CMOS-батарейки из платы BIOS или перестановки перемычки джампера Clear CMOS для сброса установленных администратором параметров BIOS, а затем производит изменение приоритета последовательности загрузки дисков в подменю BIOS «Primary Master», осуществляет загрузку альтернативной ОС с внешнего носителя и копирование интересующей информации на flash-накопитель.
При реализации данного способа возможно также внедрение в СВТ электронного устройства перехвата информации (закладочного устройства) с целью перехвата защищаемой информации или получения необходимых дванных для осуществления несанкционированного доступа (например, устатовка аппаратного кейлогера с целью получения логина и пароля пользователя).
Однако, на мой взгляд, закладочные устройства относятся именно к средствам перехвата информации, а не к средствам несанкционированного доступа, так как принципы их построения отличаются от принципов построения СВТ и они, как правило, не используют системные или сетевые ресурсы АС.
Выявить факт внедрения в СВТ закладочных устройств с использованием программых средств практически невозможно. Для этих целей используются специальные технические средства и методы.
При программном доступе нарушитель использует программное обеспечение, позволяющие реализовать несанкционированный доступ к информации без вскрытия системного блока или изменения аппаратной части СВТ.
Можно выделить следующие способы несанкционированного доступа с использованием программных средств [2, 3]:
- маскировка под зарегистрированного пользователя;
- непосредственное обращение к объектам доступа;
- использование программных средств, выполняющих обращение к объектам доступа в обход средств защиты;
- использование программных средств для модификации средств защиты, позволяющих осуществить несанкционированный доступ;
- внедрение в АС вредоносных программ для осуществления несанкционированного доступа к информации или ее копирования.
При маскировке под зарегистрированного пользователя для входа в систему нарушитель использует логин и пароль зарегистрированного пользователя, которые могут быть пощищены или перехвачены, например, с использованием программного кейлоггера.
Непосредственное обращение к объектам доступа может осуществить нарушитель имеющий санкционированный доступ к АС, но не имеющий доступа к защищаемой информации ограниченного доступа. При этом доступ к защищаемой информации осуществляется без «влома» системы разграничения доступа с использованием специальных программ, например путем:
- восстановления удаленных файлов;
- восстановления временных файлов, хранящихся в папке «Temp»;
- просмотра файла подкачки Windows;
- сканирования диска с целью поиска на нем информации ограниченного доступа по словарю (списку) ключевых слов и т.д.
Несанкционированный доступ к защищаемой информации в обход средств защиты может осуществляться вследствие уязвимостей системы защиты или программного обеспечения АС. Основными причинами возникновения уязвимостей являются [1]:
- ошибки при проектировании и разработке программного обеспечения;
- преднамеренные действия по внесению уязвимостей в ходе проектирования и разработки программного обеспечения;
- неправильные настройки программного обеспечения, неправомерное изменение режимов работы устройств и программ;
- сбои в работе аппаратного и программного обеспечения, вызванные, например, сбоями в электропитании, и др.
Несанкционированный доступ к защищаемой информацииможет быть осуществляен путем внедрения в систему защиты АС программной закладки, под которой понимается преднамеренно скрытновнедренный в программное обеспечение функциональный объект, который при определенных условиях способен обеспечить несанкционированное программное воздействие, в том числе инициирование реализации недекларированных возможностей программного обеспечения [4]. Программная закладка может быть реализована в виде вредоносной программы или программного кода.
Вредоносные программы могут быть внедрены не только в систему защиты АС, но и непосредственно в программное обеспечение АС, что также позволет осуществлять несанкционированный доступ к защищаемой информации.
Основными видами вредоносных программ, обеспечивающих несанкционированный доступ к защищаемой информации, явлются:
- программные кейлоггеры (клавиатурные шпионы);
- программы подбора и вскрытия паролей (программы-взломщики паралей);
- программы для скрытого наблюдения за компьютером (типа Actual Spy);
- программы для скрытного удаленного управления и администрирования (троянские программы типа Back Orifice, Backdoor, штатные средства управления и администрирования компьютерных сетей типа Landesk Management Suite, Managewise и т.п.);
- программы для несанкционированного скрытого копирования файлов (типа USBDumper) и т.д.
Продолжение следует
Список используемой литературы
- Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных (выписка). Утверждена решением Заместителем директора ФСТЭК России 15 февраля 2008 года. [Электронный ресурс]. – Режим доступа: http://www.fstec.ru/_razd/_workinfo.htm.
- ГОСТ Р 51275-2006. Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения. - Взамен: ГОСТ Р 51275-99; введ. 2008-02-01. – М.: Стандартинформ, 2007. – 6 с.
- Руководящий документ. Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации. Утверждена решением Государственной технической комиссии при Президенте Российской Федерации от 30 марта 1992 г. [Электронный ресурс]. – Режим доступа: http://www.fstec.ru/_docs/doc_3_3_001.htm.
- Техническая защита информации. Основные термины и определения: рекомендации по стандартизации Р 50.1.056-2005: утв. Приказом Ростехрегулирования от 29 декабря 2005 г. № 479-ст . – Введ. 2006-06-01. – М.: Стандартинформ, 2006. – 16 с.
