Защита информации в локальных сетях

осуществляющих НСД, к действующим самостоятельно удаленным сетевым

агентам, которые представляют собой настоящие средства информационного

нападения.

Компьютерный вирус — суть его сводится к тому, что программы

приобретают свойства, присущие живым организмам, причем самые

неотъемлемые — они рождаются, размножаются, умирают. Главное условие

существования вирусов — универсальная интерпретация информации в

вычислительных системах. Вирус в процессе заражения программы может

интерпретировать ее как данные, а в процессе выполнения как исполняемый

код. Этот принцип был положен в основу всех современных компьютерных

систем, использующих архитектуру фон Неймана.

Дать формальное определение понятию “компьютерный вирус” очень

непросто. Традиционное определение, данное Ф. Коэном, “компьютерный

вирус — это программа, которая может заражать другие программы, модифицируя

их посредством добавления своей, возможно измененной, копии”, ключевым

понятием в определении вируса является его способность к саморазмножению,

— это единственный критерий, позволяющий отличить программы-вирусы от

остальных программ. При этом “копии” вируса действительно могут структурно

и функционально отличаться между собой.

История компьютерных вирусов начинается еще с работ теоретика

современных компьютеров фон Неймана. Он разрабатывал модели

автоматов, способных к самовоспроизведению, и математически доказал

возможность существования таких машин. После этого идея саморазмножающихся

программ “витала в воздухе” и время от времени находила свою более или

менее адекватную реализацию.

С каждым годом число вирусов растет. Сейчас их уже более 7000.

Считается признанным, что в последние годы больше всего вирусов

создавалось в СССР, а затем в России и других странах СНГ. Но и в других

странах, в том числе в США, значителен урон, наносимый вирусами. В США

борьба с вирусами ведется на самом высоком уровне. Вскоре после

объявления в 1993 году Белым домом о подключении президента Билла

Клинтона и вице-президента Альберта Гора к сети Internet администрация

поддержала идею проведения Национального дня борьбы с компьютерными

вирусами (National Computer Virus Awareness Day). Такой день отмечается

теперь ежегодно. Национальной ассоциацией по компьютерной защите США

(NCSA) и компанией Dataquest опубликованы следующие данные по результатам

исследований” вирусной проблемы(данные 1993 г.):

41. опрошенных пострадали от компьютерных вирусов;

42. предполагаемые потери американского бизнеса от компьютерных вирусов

в 1994 году составят около 2 млрд. долларов;

43. идентифицировано более 2100 компьютерных вирусов;

44. каждый месяц появляется более 50 новых вирусов;

45. в среднем от каждой вирусной атаки страдает 142 персональных

компьютера, на ее отражение в среднем уходит 2,4 дня;

46. для компенсации ущерба в 1/4 случаев требовалось более 5 дней.

Начиная с конца 1990 г., появилась новая тенденция, получившая

название “экспоненциальный вирусный взрыв”. Количество новых вирусов,

обнаруживаемых в месяц, стало исчисляться десятками, а в дальнейшем и

сотнями. Поначалу эпицентром этого взрыва была Болгария, затем он

переместился в Россию. После 1994 г. темп роста вирусов пошел на убыль,

хотя их общее количество продолжает увеличиваться. Это связано с тем, что

ОС MS DOS, которая и дает 99% существующих компьютерных вирусов,

постепенно сдает свои лидирующие позиции как операционная система

для персональных компьютеров, уступая их Windows, OS/2, UNIX и т.п.

Данные о динамике роста известных вирусов по годам приведены на рис 6.

Современная ситуация характеризуется двумя моментами: появлением

полиморфных вирусов и генераторов (конструкторов) вирусов.

Полиморфные вирусы характеризуются тем, что для их обнаружения неприменимы

обычные алгоритмы поиска, так как каждая новая копия вируса не имеет со

своим родителем ничего общего. Это достигается шифровкой тела самого вируса

и расшифровщиком, не имеющим ни одного постоянного бита в каждом своем

экземпляре. На сегодняшний день известно около десятка алгоритмов (вирусов

намного больше!) генерации таких расшифровщиков. Появление генераторов

вирусов позволяет, задав программе-генератору в виде входных параметров

способ распространения, тип, вызываемые эффекты, причиняемый вред, получить

ассемблерный текст нового вируса. На сегодняшний

Рис. 5. Типы разрушающих программных средств (РПС).

день известно около пяти таких генераторов вирусов.

Кроме того, вирусы постоянно расширяют свою “среду обитания” и

реализуют принципиально новые алгоритмы внедрения и поведения. Так, в

1995 году появились представители, опровергающие ключевые принципы

антивирусной защиты — то, что компьютер, загруженный с заведомо чистой

системной дискеты, не может содержать вирус; и то, что вирусы не заражают

файлы с данными.

Первым появился вирус, который таким образом корректирует

конфигурацию компьютера, что при попытке загрузки с дискеты он все равно

загружается с зараженного жесткого диска, и вирус активизируется в системе.

Другой вирус, появившийся в середине августа 1995 г. в США и

ряде стран Западной Европы, использует современные технологии

представления информации в виде конгломерата данных и программ. Он заражает

документы, подготовленные в системе MS Word for Windows 6.0 — файлы типа

.DOC. Так как такие файлы ежедневно десятками тысяч циркулируют в

локальных и глобальных сетях, эта способность вируса обеспечила

его мгновенное распространение по всему свету в течение нескольких дней и

25 августа он был обнаружен в Москве. Вирус написан на макроязыке пакета

Word. Он переносит себя в область глобальных макросов, переопределяет

макрос FileSaveAs и копирует себя в каждый файл, сохраняемый с помощью

команды Save As. При этом он переводит файл из категории “документ” в

категорию “шаблон”, что делает невозможным его дальнейшее редактирование.

Обнаружить наличие этого вируса можно по появлению в файле winword6.ini

строки ww6i=1.

Троянский конь — это программа, содержащая в себе некоторую

разрушающую функцию, которая активизируется при наступлении некоторого

условия срабатывания. Обычно такие программы маскируются под какие-нибудь

полезные утилиты. Вирусы могут нести в себе троянских коней или

“троянизировать” другие программы — вносить в них разрушающие функции.

Троянские кони представляют собой программы, реализующие помимо

функций, описанных в документации, и некоторые другие функции, связанные с

нарушением безопасности и деструктивными действиями. Отмечены случаи

создания таких программ с целью облегчения распространения вирусов.

Списки таких программ широко публикуются в зарубежной печати. Обычно они

маскируются под игровые или развлекательные программы и наносят вред под

красивые картинки или музыку.

Программные закладки также содержат некоторую функцию, наносящую

ущерб ВС, но эта функция, наоборот, старается быть как можно незаметнее,

т.к. чем дольше программа не будет вызывать подозрений, тем дольше

закладка сможет работать.

Рис. 6. Количество компьютерных вирусов в 1986-1996

гг.

В качестве примера приведем возможные деструктивные функции,

реализуемые троянскими конями и программными закладками:

1. Уничтожение информации. Конкретный выбор объектов и способов

уничтожения зависит только от фантазии автора такой программы и

возможностей ОС. Эта функция является общей для троянских коней и

закладок.

2. Перехват и передача информации. В качестве примера можно

привести реализацию закладки для выделения паролей, набираемых на

клавиатуре, при работе утилиты DISKREET пакета Norton Utilities ver. 6.0.

3. Целенаправленная модификация кода программы, интересующей

нарушителя. Как правило, это программы, реализующие функции безопасности

и защиты. Примером реализации этого случая является закладка, маскируемая

под прикладную программу—“ускоритель” типа “Turbo Krypton”. Эта закладка

заменяет алгоритм шифрования ГОСТ 28147-89, реализуемой платой “Krypton-3”

демонстрационный вариант) другим, простым и легко дешифруемым алгоритмом.

Если вирусы и троянские кони наносят ущерб посредством лавинообразного

саморазмножения или явного разрушения, то основная функция РПС,

действующих в компьютерных сетях, — взлом атакуемой системы, т.е.

преодоление защиты с целью нарушения безопасности и целостности.

В более 80% компьютерных преступлений, расследуемых ФБР, “взломщики”

проникают в атакуемую систему через глобальную сеть Internet. Когда такая

попытка удается, будущее компании, на создание которой ушли годы, может

быть поставлено под угрозу за какие-то секунды.

Этот процесс может быть автоматизирован с помощью специального вида

РПС, называемого сетевой червь.

Червями называют вирусы, которые распространяются по глобальным

сетям, поражая целые системы, а не отдельные программы. Это самый опасный

вид вирусов, так как объектами нападения в этом случае становятся

информационные системы государственного масштаба. С появлением глобальной

сети Internet этот вид нарушения безопасности представляет наибольшую

угрозу, т. к. ему в любой момент может подвергнуться любой из 30 миллионов

компьютеров, подключенных к этой сети.

Наиболее известен вызвавший всемирную сенсацию и привлекший внимание

к вирусной проблеме инцидент с вирусом-червем в глобальной сети Internet.

Второго ноября 1988 года студент Корнелловского университета Роберт Моррис

(Robert Morris) запустил на компьютере Массачусетского технологического

института программу-червь, которая передавала свой код с машины на

машину, используя ошибки в системе UNIX на компьютерах VAX и Sun. В

течение 6 часов были поражены 6000 компьютеров, в том числе Станфордского

университета, Массачусетского технологического института, Университета

Беркли и многих других. Кроме того, были поражены компьютеры

Исследовательского института НАСА и Национальной лаборатории Лоуренса в

Ливерморе — объекты, на которых проводятся самые секретные стратегические

исследования и разработки. Червь представлял собой программу из 4000 строк

на языке “С” и входном языке командного интерпретатора системы UNIX.

Следует отметить, что вирус только распространялся по сети и не совершал

каких-либо разрушающих действий. Однако это стало ясно только на этапе

анализа его кода, а пока вирус распространялся, в вычислительных центрах

царила настоящая паника. Тысячи компьютеров были остановлены, ущерб

составил многие миллионы долларов.

Обычно целью взлома сетей является приобретение нелегальных прав на

пользование ресурсами системы. Таким образом, если раньше РПС пассивно

вносился в систему, и для его инициализации необходимы были действия

пользователя, то сейчас РПС сам проникает в систему и само определяет

время и степень своей активности.

Иногда взлому системы предшествует “разведка” — исследование средств

защиты атакуемой системы с целью обнаружения слабых мест и выбора

оптимального метода атаки. Это могут быть как тривиальные попытки подбора

паролей (кстати, 80% атак осуществляются именно этим способом) так и

попытки проанализировать имеющееся на атакуемой машине программное

обеспечение на предмет наличия в нем “дыр” или “люков”, позволяющих

злоумышленнику проникнуть в систему.

Таким образом, возникает специфический вид РПС — программы,

осуществляющие проникновение в удаленную систему. Это дает возможность

злоумышленнику лично, или с помощью других программ, осуществлять НСД к

ресурсам этой системы, нарушать ее безопасность и целостность и т.д.

Изменение требований к безопасности.

В современных условиях чрезвычайно важным является обоснование

требований, создание нормативной базы для установления и контроля

необходимой степени безопасности. Существует ряд международных

стандартов в этой области, среди которых можно назвать ISO-7498-2,

Оранжевую книгу и т. тд. Аналогом этих документов в России являются

руководящие документы, подготовленные Гостехкомиссией. Согласно этим

документам безопасность ВС должна поддерживаться средствами,

обеспечивающими: управление доступом, идентификацию и аутентификацию

объектов и субъектов, контроль целостности и другие функции защиты.

Однако, развитие аппаратных и программных средств ВС, распространение

локальных и глобальных сетей, а также появление и эволюция РПС привели

к возрастанию количества видов и способов осуществления нарушения

безопасности и целостности ВС, что создало предпосылки для изменения

требований к средствам защиты.

Рассмотрим изменение функций перечисленных средств защиты.

1. Идентификация и аутентификация. Возникает необходимость

добавления идентификации и аутентификации удаленных пользователей и

процессов. Причем, поскольку проблема стоит в глобальном масштабе, эти

средства должны обеспечивать идентификацию и аутентификацию объектов и

субъектов, находящихся в разных частях планеты и функционирующих на

различных аппаратных платформах и в разных ОС. В настоящий момент такие

средства бурно развиваются. В качестве примера можно указать широко

известную систему Kerberos и специальные интерфейсы, обеспечивающие

идентификацию и аутентификацию участников взаимодействия типа GSS-API

(Generic Security Service Application Program Interface).

2. Управление доступом. Поскольку большинство компьютеров

является персональными, разграничение прав локальных пользователей в

значительной степени потеряло свою актуальность. Задача разграничения

доступа теперь сводится к ограничению доступа из сети к ресурсам,

имеющимся в ВС, и к защите ресурсов, принадлежащих пользователю, но

расположенных на удаленных машинах.

3. Контроль целостности. Понятие контроля целостности теперь

должно включать в себя защиту от проникновения в систему злоумышленника

или РПС, в том числе через сеть. В защите каналов связи на первое место

выступает не шифрование информации с целью защиты от перехвата, а защита

сетевого соединения от атаки со стороны злоумышленника или РПС. В

качестве примера можно привести распространенные в последнее время

системы Firewall, защищающие локальные сети от проникновения в них со

стороны Internet.

4. РПС потребовали от защиты совершенно новой функции, а именно,

механизмов, обеспечивающих безопасность и целостность системы в условиях

возможного появления в ней программ, содержащих РПС.

Основные типы угроз вычислительным системам.

Существуют три различных типа угроз относящиеся к раскрытию,

целостности или отказу служб вычислительной системы.

Угроза раскрытия заключается том, что информация становится

известной тому, кому не следовало бы ее знать. В терминах компьютерной

безопасности угроза раскрытия имеет место всякий раз, когда получен доступ

к некоторой секретной информации, хранящейся в вычислительной системе

или передаваемая от одной системы к другой. Иногда в связи с угрозой

раскрытия используется термин “утечка”.

Угроза целостности включает в себя любое умышленное изменение

информации, хранящейся в вычислительной системе или передаваемой из одной

системы в другую. Когда взломщики преднамеренно изменяют информацию,

говорят, что целостность этой информации нарушена. Целостность также

будет нарушена, если к несанкционированному изменению приводит случайная

ошибка. Санкционированными изменениями являются те, которые сделаны

определенными лицами с обоснованной целью (таким изменением является

периодическая запланированная коррекция некоторой базы данных).

Угроза отказа служб возникает всякий раз, когда в результате

преднамеренных действий, предпринятых другим пользователем, умышленно

блокируется доступ к некоторому ресурсу вычислительной системы. То есть,

если один пользователь запрашивает доступ к службе, а другой предпринимает

что-либо для недопущения этого доступа, мы говорим, что имеет место

отказ службы. Реально блокирование может быть постоянным, так чтобы

запрашиваемый ресурс никогда не был получен, или оно может вызвать только

задержку запрашиваемого ресурса, достаточно долгую для того, чтобы он стал

бесполезным. В таких случаях говорят, что ресурс исчерпан.

Политика безопасности подразумевает множество условий, при

которых пользователи системы могут получить доступ к информации и

ресурсам. Таким образом, политика безопасности определяет множество

требований, которые должны быть выполнены в конкретной реализации системы.

Очевидно, для проведения желаемой политики безопасности в

системе должны присутствовать соответствующие механизмы. В большинстве

случаев механизмы безопасности содержат некоторые автоматизированные

компоненты, зачастую являющиеся частью базового вычислительного окружения

Страницы: 1, 2, 3, 4, 5, 6, 7, 8, 9, 10