ГЛАВА 1. ТЕОРЕТИЧЕСКИЕ АСПЕКТЫ ПРОБЛЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ ЛОКАЛЬНОЙ ВЫЧИСЛИТЕЛЬНОЙ СЕТИ § 1.1. Понятие информационной безопасности. Защита информации.
Проблемой информационной безопасности люди занимаются уже достаточно долго. Изначально она была наиболее актуальной в государственных организациях, имеющих дело с секретной информацией. Однако, со временем, эта проблема вышла за рамки государственных структур. Этому способствовал технический прогресс, а в частности, появление персональных компьютеров. Началом распространения знаний об информационной безопасности за пределы правительственных ведомств, был выпуск министерством обороны США, так называемой, «Оранжевой книги». «Оранжевая книга» и до сих пор не потеряла своей актуальности. Она остается основным стандартом оценки надежности информационных систем. Однако, в «Оранжевой книге» не учитывались особенности информационной системы, содержащей компьютерную сеть. «Оранжевая книга» не освещала ряд вопросов, связанных с объединением компьютеров в локальную вычислительную сеть. Для разрешения этой проблемы была создана «Красная книга», которая является интерпретацией критериев оценки надежности систем для сетей.
Конечно, иностранные стандарты не в полной мере соответствуют национальным особенностям информационных систем. Все наиболее развитые страны старались создать собственный стандарт безопасности. Россия не стала исключением. В 1992 году, Государственная техническая комиссия при Президенте РФ, позже преобразованная в Федеральную службу по техническому и экспортному контролю, издала серию брошюр, посвященных информационной безопасности. Согласно материалам Государственной технической комиссии при Президенте РФ, под информационной безопасностью понимается защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, чреватых нанесением ущерба владельцам или пользователям информации и поддерживающей инфраструктуре. Информационная безопасность – это, прежде всего, безопасность информации и связанных с ней процессов. Информация обладает множеством свойств, и, при построении системы защиты информации, их необходимо учитывать. Естественно, что с разных точек зрения, рассматриваются различные свойства информации. С точки зрения информационной безопасности, Владимир Галатенко выделяет следующие [1]:
Конфиденциальность. Это свойство информации связано с защитой её от несанкционированного доступа. Конфиденциальность предполагает наличие ограниченного круга лиц, имеющих доступ к определенной информации.
Доступность. Это свойство информации связано с системой, в которой циркулирует информация. Оно предполагает обеспечение доступа к информации авторизированным пользователям. Это свойство является гарантом того, что пользователь, беспрепятственно и за приемлемое время, получит доступ к интересующей его информации.
Целостность. Это свойство информации связано с защитой информации от несанкционированного изменения. Целостность информации предполагает, что пользователь получит информацию в неискаженном и неизмененном виде. Это свойство подразумевает непротиворечивость и актуальность информации.
Конечно же, чтобы обеспечить безопасность информации, информацию нужно защищать. Здесь следует дать определение понятию «защита информации». Согласно статье 16 закона РФ «Об информации, информационных технологиях и защите информации», защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:
обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
соблюдение конфиденциальности информации ограниченного доступа;
реализацию права на доступ к информации.
Исходя из этого, можно сделать вывод, что для обеспечения информационной безопасности применяются следующие виды мер:
Правовые
Законодательные
Административные
Организационные
Программно-технические
Рассмотрим их более подробно:
Правовые меры – специальные законы, правила, процедуры, регулирующие отношения людей в сфере информационной безопасности, и обеспечивающие её правовую основу. К ним относятся законодательные меры и административные. Законодательные меры – меры, которые регламентируются законодательством Российской Федерации, а административные – меры по защите информации, которые применяются в конкретных организациях.
Организационные меры – меры, применяемые руководством или администрацией сети по отношению к пользователям информационных ресурсов. Они направлены на снижение вероятности появления угроз из-за некомпетентных действий пользователей. Основной задачей этих мер, на управленческом уровне, является разработка политики безопасности информационной системы.
Программно-технические меры – меры, направленные на увеличение уровня защищенности объекта защиты, путем использования программных или технических средств, направленных на усложнение доступа к информации для злоумышленников и предотвращение программных атак. Эти меры особенно важны для поддержания информационной безопасности системы. Существует множество механизмов, обеспечивающих информационную безопасность на техническом уровне. Среди них:
идентификация и аутентификация
протоколирование и аудит
управление доступом
экранирование
Однако перед принятием каких-либо мер по защите информации, следует проанализировать существующие угрозы информационной безопасности, Понятие угрозы является одним из важнейших определений теории информационной безопасности. Угроза вообще – потенциально возможное событие, способное нанести ущерб, чьим либо интересам. С точки зрения информационной безопасности, наиболее точным определением термину угроза, будет определение, которое дает Владимир Галатенко [1]: «Угроза - это потенциальная возможность определенным образом нарушить информационную безопасность. Попытка реализации угрозы называется атакой, а тот, кто предпринимает такую попытку, - злоумышленником. Потенциальные злоумышленники называются источниками угрозы». Исходя из свойств информации с точки зрения информационной безопасности, можно выделить следующие виды угроз:
Угрозы доступности. К угрозам доступности относятся угрозы, которые нацелены на отказ системы, обеспечивающей пользователей необходимой им информацией. Самой опасной из таких угроз являются намеренные или непреднамеренные ошибки пользователей данной системы. Вредоносное программное обеспечение так же является угрозой доступности.
Угрозы целостности. К угрозам целостности относятся угрозы, направленные на сокрытие или изменение реальной информации. Примером таких угроз может служить ввод неверных данных или их изменение внутри системы. Так же нарушением целостности информации является её фальсификация.
Угрозы конфиденциальности. К угрозам конфиденциальности информации относятся такие угрозы, как кража данных, их перехват, а так же злоупотребление пользователей сети своими полномочиями. Угрозы конфиденциальности направлены на раскрытия секретной информации, либо на обеспечение доступа к информации неавторизированным пользователям.
Источники угроз могут быть различными: это и пользователи информационной системы, и технические средства, и внешние, и природные факторы. Одним из основных источников угроз является сеть Интернет. Угрозы из сети Интернет можно разделить на две большие группы: угрозы, реализация которых требует внедрения сторонних программ (вирусы, черви, опасное программное обеспечение) и угрозы, реализация которых не требует внедрения программных компонентов (спам, фишинг, хакерские атаки, внешняя реклама). Конечно, у различных авторов различный подход к классификации угроз, исходящих от сети Интернет. Например, А.А. Заика выделяет следующие виды [2]:
Хакеры и другие злоумышленники – занимаются кражей личной информации для собственной коммерческой или иной выгоды.
Троянские программы, черви, вирусы – распространяются самостоятельно. Основная цель – кража личных данных и передача их злоумышленнику. Могут вызывать ошибки в программном обеспечении, блокировать доступ пользователя к данным.
Неосторожное поведение пользователя – одна из самых серьезных проблем. Ставит под удар даже самую защищенную, от внешних угроз, систему. Последствия реализации этой угрозы могут быть весьма плачевными: от потери личной информации до полного уничтожения пользовательских данных.
Как уже говорилось выше, попытка реализации угрозы злоумышленником, называется атакой. Соответственно, исходя из видов угроз, можно выделить и категории атак [3]. Это:
Атаки доступа – атаки, направленные на получение информации, доступ к которой закрыт для злоумышленника. Такие атаки возможны в любых системах, в которых присутствуют средства передачи информации и сама информация. Атаки доступа – попытка осуществления угроз конфиденциальности. Атаки доступа делятся на:
Подслушивание – прослушивание злоумышленником разговора, участником которого он не является. Происходит путем внедрения злоумышленником в сеть, в которой идет разговор, подслушивающих устройств.
Подсматривание – просмотр злоумышленником информационных ресурсов и носителей информации, с целью незаконного получения интересующих его данных. Происходит путем вторжения злоумышленника в сеть и дальнейшего просмотра информационных ресурсов.
Перехват – захват злоумышленником информации в процессе ее передачи по каналу связи. Дальнейшие события могут развиваться двумя способами: злоумышленник либо прекращает передачу информации к месту назначения, либо позволяет информации пройти дальше. Перехват, как и остальные атаки доступа, происходит путем вторжения злоумышленника в информационную систему.
Атаки модификации – атаки, направленные на нарушение целостности информации. Такие атаки возможны в любых информационных системах. Они заключаются в неправомочном изменении информации злоумышленником. Это может быть:
Замена – замена уже существующей информации, на какую - то другую. Атака замены может быть направлена как против засекреченной, так и против доступной всем информации.
Добавление – добавление злоумышленником новых данных в систему информации, с целью получения коммерческой или иной выгоды.
Удаление – перемещение или полное уничтожение данных в информационной системе.
Атаки на отказ в обслуживании (так же известные как DoS - атаки) – атаки, направленные на запрет доступа к информации или информационным ресурсам легальным пользователям. В результате таких атак, злоумышленник не получает никакой выгоды: он не может оперировать с информацией и не получает доступа к информационной системе. «Иначе, как вандализмом, такую атаку не назовешь», - говорит Эрик Мэйволд [3]. Он выделяет следующие виды атак на отказ в обслуживании:
Атаки на отказ доступа к информации – атаки, направленные на изменение информации так, чтобы она стала непригодной для использования. В результате таких атак информация уничтожается или переносится в недоступное место.
Атаки на отказ доступа к приложениям – направлены против приложений, обрабатывающих информацию, или на систему информации, в которой используются такие приложения. Результатом успешного выполнения такой атаки, становится невозможность решения задач, выполняемых с помощью атакуемого приложения.
Атаки на отказ доступа к системе – направлены на выведение из строя информационной системы. Результатом успешной атаки является недоступность системы и информации, находящейся в этой системе.
Атаки на отказ доступа к средствам связи – направлены на нарушение коммуникационных процессов в системе информации. В результате такой атаки, целостность системы не нарушается, однако, вследствие отсутствия коммуникаций, информация, находящаяся в системе, становится недоступной.
Атаки на отказ от обязательств – атаки, направленные на устранение возможности идентификации информации. Целью атаки на отказ от обязательств является предоставление неверной информации, о каком либо событии или действии. Выделяются следующие виды атак на отказ от обязательств:
Маскарад – попытка злоумышленника выполнить действия под видом другого пользователя системы. Возможность реализации такой атаки появляется тогда, когда осуществляется связь через персональные устройства или при передаче информации от одной системы к другой.
Отрицание события – отказ от факта совершения какой-либо операции.
Для того чтобы обеспечить успешное выполнение атаки, злоумышленники используют различные методы. Эти методы делятся на две большие группы:
Электронные – методы совершения атак, использующие удаленный доступ к информации и вычислительным сетям.
Для получения удаленного доступа к информации, злоумышленниками используются следующие способы:
применение подслушивающих устройств;
дистанционное фотографирование;
перехват электромагнитных излучений;
несанкционированное использование терминалов;
маскировка под зарегистрированного пользователя с помощью хищения паролей и других реквизитов разграничения доступа;
использование программных ловушек;
получение защищаемых данных с помощью серии разрешенных запросов;
использование недостатков языков программирования и операционных систем;
преднамеренное включение в библиотеки программ специальных блоков типа “троянских коней”;
незаконное подключение к аппаратуре или линиям связи вычислительной системы;
злоумышленный вывод из строя механизмов защиты.
Физические – методы совершения атак, использующие прямой доступ к информации и вычислительным сетям.
Для реализации электронных методов совершения атак, наиболее часто используются следующие уязвимости информационной системы:
Слабые пароли – наиболее общий способ, используемый злоумышленниками для входа в систему. Эта уязвимость связана с тем, что не все пользователи системы знают, как выбрать сильный пароль. Такие пользователи используют короткие или очень простые пароли (типа своего имени или клички домашнего животного) для аутентификации в системе. Естественно, злоумышленник легко взломает такой пароль и получит доступ к информационной системе.
Дефекты программирования – уязвимость, часто используемая злоумышленниками для взлома системы. Примером таких дефектов может служить черный ход, оставленный программистами для входа в систему с целью ее отладки. Злоумышленники находят такие лазейки, и используют их для своих целей. Однако не все дефекты программирования позволяют злоумышленнику войти в систему. Некоторые из них просто открывают для хакера доступ к информации, что не делает их менее опасными.
Переполнение буфера – уязвимость, связанная с попыткой разместить в ограниченной области памяти слишком много данных. Эту уязвимость сложнее обнаружить, чем ранее перечисленные, однако, для ее использования злоумышленнику требуется совсем немного опыта. Переполнение буфера представляет большую опасность для системы, так как позволяет злоумышленнику, обнаружившему данную уязвимость, выполнить любую команду в компьютерной системе, являющейся целью атаки. Так же, следует отметить, что переполнение буфера может использоваться и внутри системы, ее пользователями в целях повышения своих полномочий.
Коллективный доступ – это не совсем уязвимость, а скорее ошибка конфигурации и настройки сети. При неправильной настройке общего доступа к файлам, его может получить посторонний пользователь, никак не связанный с информационной системой. Это может представлять большую опасность, так как если этим воспользуется злоумышленник, то данные будут украдены, изменены или, что еще хуже, удалены.
Эти уязвимости лежат в основе большинства методов совершения атак. Перечислим эти методы и дадим каждому из них краткую характеристику.
Сетевая разведка – этот метод атаки, в ходе которой злоумышленник не производит никаких деструктивных действий, а лишь закладывает основы для последующих атак. Злоумышленник собирает информацию о построении и принципах функционирования вычислительной системы. Эта информация может быть использована для грамотного построения предстоящей атаки. Сетевая разведка обычно производится на подготовительных этапах и является основой любой электронной атаки. В ходе сетевой разведки сканируются порты, DNS-запросы, наличие и защищенности прокси-серверов, в результате чего злоумышленник получает важную информацию о системе и может использовать для дальнейшей атаки.
Прослушивание коммутируемых сетей (sniffing) - используется злоумышленниками после взлома системы для сбора паролей и другой системной информации. Для этого злоумышленник устанавливает сетевую плату в режим прослушивания смешанного трафика. В этом режиме сетевой адаптер будет перехватывать все пакеты, перемещающиеся по сети, а не только те, которые адресованы этому адаптеру. Для того чтобы перенаправить поток пакетов используются следующие методы:
ARP-спуфинг – метод, использующий протокол ARP, предназначенный для связывания IP-адреса с MAC-адресом. Вместе с отправкой пакета, система высылает ARP-запрос, и тот MAC-адрес, который ответит на этот запрос, и будет использоваться в качестве получателя. Таким образом, злоумышленник должен лишь ответить на ARP-запрос, и все данные, пересылаемы по сети, будут приходить к нему. Этот метод может использоваться только в локальной сети в связи с тем, что только в ней используются ARP-запросы.
Дублирование MAC-адресов – метод, основанный на маскировке MAC-адреса компьютера злоумышленника под MAC-адрес компьютера, на который идет передача данных. Для этого злоумышленнику нужно только изменить MAC-адрес на снифере (устройстве или программе, на которое будет передаваться информация) и разместиться в системе, которая находится в том же сегменте локальной сети.
Имитация доменного имени – способ, при котором весь трафик отправляется на реальный MAC-адрес компьютера злоумышленника. Это происходит за счет перехвата DNS-запросов системы злоумышленником и последующего ответа на них. Таким образом, система получает IP-адрес злоумышленника вместо IP-адреса предполагаемого получателя, а затем отправляет на него все данные. Злоумышленник сохраняет эти данные, а затем отправляет их дальше получателю. Отсюда мы видим, что этот метод реализует атаку перехвата.
Имитация IP-адреса – это подмена адреса отправителя, одного из полей IP-заголовка, методом записи другого значения. Имитация IP-адреса так же называется IP-спуфингом. Этот метод в основном применяется злоумышленниками для сокрытия своего истинного адреса, с целью вызвать ответный пакет на нужный адрес и с иными целями. Стоит отметить, что с развитием технологии сетевых коммуникаций, возможность использования этого метода атаки значительно усложнилась.
Бомбардировка письмами – самый старый из всех методов атак. Суть его в том, что злоумышленник отправляет на электронный адрес жертвы множество почтовых сообщений, что делает невозможным работу с почтовыми ящиками, а в некоторых случаях, и с почтовыми серверами. Это метод относится к методам атак на отказ в обслуживании.
Использование специальных программ – еще один распространенный вид атак. На компьютер жертвы или в систему информации заносится специальная программа, которая выполняет действия, зависящие от целей злоумышленника. Это может быть кража информации, ее уничтожение или изменение или выведение из строя системы или компьютера жертвы. К таким программам относятся вирусы, черви, троянские программы, rootkit-ы.
«Человек посередине» – вид атаки, когда злоумышленник перехватывает канал связи между двумя системами, и получает доступ ко всей передаваемой информации. При получении доступа на таком уровне злоумышленник может модифицировать информацию нужным ему образом, чтобы достичь своих целей. Цель такой атаки — кража или фальсифицирование передаваемой информации, или же получение доступа к ресурсам сети. Такие атаки крайне сложно отследить, так как обычно злоумышленник находится внутри информационной системы.
Инъекция – метод атак, при котором злоумышленник внедряет в систему сторонние команды или данные, которые позволяют ему изменить ход работы системы и, как следствие, получить доступ к закрытым функциям и информации. Такая атака опасна тем, что злоумышленник может вывести из строя систему информации или, хотя бы, дестабилизировать ее работу. Такие атаки наиболее популярны в сети Интернет, однако они могут использоваться и в локальных сетях.
Социальная инженерия – это метод атаки без использования технических средств. Он заключается в использовании психологических аспектов личности человека, его слабостей и страхов, а так же некомпетентности, непрофессионализма и небрежности персонала. Злоумышленник втирается в доверие к пользователю системы, и, с помощью психологических уловок, выманивает у него нужную информацию.
Методы совершения атак необходимо знать для того, чтобы успешно противостоять угрозам информационной безопасности. Предупрежден – значит вооружен. Эта пословица имеет глубокий смысл и с точки зрения защиты информации. Однако, для того, чтобы защитить информационную систему, мало знать то, как она может быть атакована. Необходимо еще знать и понимать методы и механизмы защиты информации.
|
