26 ноября 2012
Угрозы безопасности информации, цели и задачи защиты информации
Часть 6
Хорев Анатолий Анатольевич,
профессор, доктор технических наук
Национальный исследовательский университет «МИЭТ»
Заведующий кафедрой «Информационная безопасность»
E-mail: horev@miee.ru
В статье предпринята попытка систематизировать ряд категорий, терминов и определений в области информационной безопасности и защиты информации, приведена классификация угроз безопасности информации и задач по защите информации.
Угрозы безопасности информации
Угрозы утечки информации: несанкционированный доступ к информации
(окончание)
Программные способы несанкционированного доступа разделяются на способы непосредственного и удаленного доступа. Способы непосредственного доступа осуществляются с использованием программных и программно-аппаратных средств ввода/вывода компьютера. Способы удаленного доступа реализуются с использованием протоколов сетевого взаимодействия.
Способы непосредственного доступа по условиям реализации делятся на три группы [1].
Первая группа включает в себя способы, реализуемые в ходе загрузки операционной системы. Эти способы направлены на перехват паролей или идентификаторов, модификацию программного обеспечения базовой системы ввода/вывода (BIOS), перехват управления загрузкой с изменением необходимой технологической информации для получения несанкционированного доступа в операционную среду АС. Чаще всего такие способы реализуются с использованием отчуждаемых носителей информации.
Вторая группа – способы, реализуемые после загрузки операционной среды независимо от того, какая прикладная программа запускается пользователем. Эти способы, как правило, направлены на выполнение непосредственно несанкционированного доступа к информации. При получении доступа в операционную среду нарушитель может воспользоваться как стандартными функциями операционной системы или какой-либо прикладной программы общего пользования (например, системы управления базами данных), так и специально созданными для выполнения несанкционированного доступа программами, например:
- программами просмотра и модификации реестра;
- программами поиска текстов в текстовых файлах по ключевым словам и копирования;
- специальными программами просмотра и копирования записей в базах данных;
- программами быстрого просмотра графических файлов, их редактирования или копирования;
- программами поддержки возможностей реконфигурации программной среды (настройки АС в интересах нарушителя) и др.
Третья группа включает в себя способы, реализация которых определяется тем, какая из прикладных программ запускается пользователем, или фактом запуска любой из прикладных программ. В большенстве случаев реализация этих способов связана с внедрением вредоносных программ.
К основным способам удаленного доступа, реализуемым с использованием протоколов сетевого взаимодействия, относятся [1]:
- анализ сетевого трафика (способ реализуется с помощью специальной программы-анализатора пакетов (sniffer), перехватывающей все пакеты, передаваемые по сегменту сети, и выделяющей среди них те, в которых передаются идентификатор пользователя и его пароль);
- сканирование сети (сущность способа заключается в передаче запросов сетевым службам хостов АС и анализе ответов от них с целью выявления используемых протоколов, доступных портов сетевых служб, законов формирования идентификаторов соединений, определения активных сетевых сервисов, подбора идентификаторов и паролей пользователей);
- выявление пароля (суть способа состоит в использовании специальных программ выявления паролей, основанных на различных методах (например, простой перебор, перебор с использованием специальных словарей, установка вредоносной программы для перехвата пароля (например, программы «password sniffer», позволяющей выделять пользовательские идентификаторы и пароли из сетевого трафика при работе протоколов высокого уровня (ftp, telnet, rlogin и т.д.);
- подмена доверенного объекта сети и передача по каналам связи сообщений от его имени с присвоением его прав доступа (под доверенным объектом понимается объект сети (компьютер, межсетевой экран, маршрутизатор и т.п.), легально подключенный к серверу. Такой способ эффективно реализуется в системах, где применяются нестойкие алгоритмы идентификации и аутентификации хостов, пользователей и т.д.);
- навязывание ложного маршрута сети (способ реализуется путем внутрисегментного или межсегментного навязывания. Возможность навязывания ложного маршрута обусловлена недостатками, присущими алгоритмам маршрутизации. Реализация способа основывается на несанкционированном использовании протоколов маршрутизации (RIP, OSPF, LSP) и управления сетью (ICMP, SNMP) для внесения изменений в маршрутно-адресные таблицы);
- внедрение ложного объекта сети (способ основан на использовании недостатков алгоритмов удаленного поиска. В случае, если объекты сети изначально не имеют адресной информации друг о друге, используются различные протоколы удаленного поиска (например, SAP в сетях Novell NetWare; ARP, DNS, WINS в сетях со стеком протоколов TCP/IP), заключающиеся в передаче по сети специальных запросов и получении на них ответов с искомой информацией. При этом существует возможность перехвата нарушителем поискового запроса и выдачи на него ложного ответа, использование которого приведет к требуемому изменению маршрутно-адресных данных. В дальнейшем весь поток информации, ассоциированный с объектом-жертвой, будет проходить через ложный объект сети);
- удаленный запуск приложений (способ заключается в стремлении запустить на хосте АС различные предварительно внедренные вредоносные программы: программы-закладки, вирусы, «сетевые шпионы» и т.д. Кроме того, возможен несанкционированный запуск прикладных программ пользователей для несанкционированного получения необходимых нарушителю данных, для запуска управляемых прикладной программой процессов и др.).
По наличию права доступа в контролируемую зону (КЗ) объекта информатизации и к АС нарушители подразделяются на два типа:
- нарушители, не имеющие физического доступа к АС (внешние нарушители);
- нарушители, имеющие физический доступ к АС (внутренние нарушители).
Внешний нарушитель может осуществлять несанкционированный доступ только к АС, подключенным к сетям связи общего пользования и (или) сетям международного информационного обмена.
Внешними нарушителями могут быть [1]:
- разведывательные службы иностранных государств;
- криминальные структуры;
- конкуренты (конкурирующие организации);
- недобросовестные партнеры;
- внешние субъекты (физические лица).
Внутренние нарушители действуют в пределах контролируемой зоны объекта. К ним относятся зарегистрированные пользователи АС, сотрудники организации (предприятия), не являющиеся зарегистрированными пользователями АС, но имеющие доступ на объект информатизации (например, уборщицы, сотрудники технических служб и т.п.), а также постороние лица, посещающие объект информатизации (например, посетители, работники городских технических служб и т.д.).
Возможности внутреннего нарушителя существенным образом зависят от действующих на предприятии (в учреждении) режимных и организационно-технических мер защиты.
Внутренние нарушители классифицируются по уровню возможностей, предоставляемых им штатными средствами АС. Выделяется четыре уровня этих возможностей [2]:
- Первый уровень определяет самый низкий уровень возможностей ведения диалога в АС - запуск задач (программ) из фиксированного набора, реализующих заранее предусмотренные функции по обработке информации.
- Второй уровень определяется возможностью создания и запуска собственных программ с новыми функциями по обработке информации.
- Третий уровень определяется возможностью управления функционированием АС, т.е. воздействием на базовое программное обеспечение системы и на состав и конфигурацию ее оборудования.
- Четвертый уровень определяется всем объемом возможностей лиц, осуществляющих проектирование, реализацию и ремонт технических средств АС, вплоть до включения в состав СВТ собственных технических средств с новыми функциями по обработке информации.
В своем уровне нарушитель является специалистом высшей квалификации, знает все об АС и, в частности, о системе и средствах ее защиты.
В [1] дана более расширенная классификация нарушителей, в которой учитываются не только полномочия нарушителей, но и способ доступа к АС. Эта классификация включает восемь категорий нарушителей:
- К первой категории относятся лица, имеющие санкционированный доступ к АС, но не имеющие доступа к защищаемой информации ограниченного доступа (далее - защищаемой информации).
- Ко второй категории относятся зарегистрированные пользователи АС, осуществляющие доступ к защищаемой информации с рабочего места и имеющие ограниченные права доступа к ресурсам АС.
- К третьей категории относятся зарегистрированные пользователи АС, осуществляющие удаленный доступ к защищаемой информации по локальным и (или) распределенным информационным системам.
- К четвертой категорииотносятся зарегистрированные пользователи АС с полномочиями администратора безопасности сегмента (фрагмента) АС.
- К пятой категории относятся зарегистрированные пользователи с полномочиями системного администратора АС.
- К шестой категории относятся зарегистрированные пользователи с полномочиями администратора безопасности АС.
- К седьмой категории относятся программисты-разработчики (поставщики) прикладного программного обеспечения и лица, обеспечивающие его сопровождение на объекте информатизации.
- К восьмой категории относятся разработчики и лица, обеспечивающие поставку, сопровождение и ремонт технических средств АС на объекте информатизации.
Анализ приведенных классификаций показывает, что в них не учтены нарушители, которые не являются пользователями АС, но имеющие доступ на объект информатизации и способные осуществить программно-технический несанкционированный доступ к информации, обрабатываемой АС.
На мой вгляд, необходимо ввести нулевую категорию нарушителей, к которой отнести лиц, не являющихся пользователями АС, но имеющих доступ на объект информатизации. В целях обеспечения надежной защиты информации целесообразно полагать, что уровень таких нарушителей не ниже третьего.
В результате несанкционированного доступа к информации возможно:
- неправомерное ознакомление с информацией (например, чтение информации с экрана монитора);
- неправомерное снятие копий с носителей информации (например, копирование файлов на flash-накопитель или DVD (CD) - диск, или копирование (дублирование) HDD или DVD(CD) - диска);
- неправомерная запись информации на носитель (например, записить инфромации из буфера обмена на flash-накопитель в виде файла и т.д.).
Продолжение следует
Список используемой литературы
- Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных (выписка). Утверждена решением Заместителем директора ФСТЭК России 15 февраля 2008 года. [Электронный ресурс]. – Режим доступа: http://www.fstec.ru/_razd/_workinfo.htm.
- Руководящий документ. Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации. Утверждена решением Государственной технической комиссии при Президенте Российской Федерации от 30 марта 1992 г. [Электронный ресурс]. – Режим доступа: http://www.fstec.ru/_docs/doc_3_3_001.htm.
