Отчет о научно-исследовательской работе в рамках федеральной целевой программы «Научные и научно-педагогические кадры инновационной России»

1.1.2Анализ уязвимостей взаимодействия в сети корпоративных порталов

• 
  посторонние лица (у которых права в действующей ИС отсутствуют) осуществляют перехват или воздействие на информацию, передаваемую по телекоммуникационным сетям, а также квалифицированное воздействие на систему защиты и работу ИС в целом с использованием телекоммуникационных сетей;
  
• 
  разработчики приложений (у которых права в действующей ИС отсутствуют) к уже названным двум действиям добавляют на этапе разработки ПО реализацию преднамеренных скрытых возможностей для последующего входа в систему или непреднамеренных ошибок;
  
• 
  обслуживающий персонал (у которого права в ИС и на уровне приложений отсутствуют, но имеется доступ к техническим средствам и ПО) может вести себя как постороннее лицо, плюс получать доступ к сетевому и телекоммуникационному оборудованию, устанавливать посторонние программы и внедрять программные закладки;
  
• 
  пользователи ИС – сотрудники или клиенты (права на доступ к приложениям ИС) – осуществляют перехват или воздействие на информацию, передаваемую по телекоммуникационным сетям, вносят вредоносное ПО в ИС и присваивают полномочия других пользователей (в том числе администратора).
  

• 
  финансовой выгоде;
  
• 
  политической выгоде – небольшой, но существенный, процент атакующих делают это по политическим соображениям, например, они пытаются таким образом обратить внимание общественности на отдельную проблему (права животных, контроль за оружием, свобода слова и т.д.);
  
• 
  разрушению;
  
• 
  мести недовольных сотрудников;
  
• 
  вызову обществу;
  
• 
  самоутверждению (например, дети хотят поразить друзей своими знаниями и навыками);
  
• 
  спорту – возможно, администратор хвастается защищенностью своего интранета, говоря всем, что он непроницаем; перед таким вызовом нарушитель устоять не может;
  
• 
  шутке.
  

1. 
   цели реализации (цели могут быть связаны, например, со свойствами конфиденциальности, целостности и доступности информации, которые собирается нарушить злоумышленник, или с расширением прав доступа и получением полного контроля над работой компьютера пользователя или определенным сервером);
   
2. 
   принципу воздействия на систему (например, взлом парольной защиты или нападение на основе сетевого протокола);
   
3. 
   характеру воздействия на систему (например, пассивный перехват трафика или активная подмена данных);
   
4. 
   причине появления используемой ошибки защиты (например, из-за отсутствия средств обнаружения вторжений, неправильной настройки средств защиты или не установки защищающих обновлений);
   
5. 
   объекту атаки (например, данные, программы, сетевое обеспечение);
   
6. 
   используемым средствам атаки;
   
7. 
   состоянию объекта атаки (например, явное изменение состояния или отсутствие каких бы то ни было изменений, так как осуществляется лишь пассивный перехват входящих и исходящих пакетов или почтовых сообщений);
   
8. 
   по источнику угроз и т. п.
   

1. 
   Угрозы конфиденциальности (конфиденциальность – защищенность информации от несанкционированного ознакомления с нею, подразумевающая некоторую классификацию данных, получение либо использование которых неавторизованными для этого лицами может стать причиной серьезного ущерба для владельцев или пользователей этой информации); примеры угроз: хищение (копирование) информации и средств ее обработки, утрата (неумышленная потеря, утечка) информации и средств ее обработки;
   
2. 
   Угрозы целостности (целостность – состояние, при котором данные, представленные в компьютере, в точности соответствуют данным в исходных документах и при этом не могут быть подвержены неумышленным или умышленным искажениям или разрушениям; информация может пострадать от сознательных действий злоумышленника, от ошибок персонала, от пожара, аварий и др.); примеры угроз: модификация (искажение) информации, отрицание ее подлинности, навязывание ложной информации;
   
3. 
   Угрозы доступности (доступность – возможность за приемлемое время получить требуемую информационную услугу, причем наличие системы безопасности не должно создавать помех нормальной работе системы); примеры угроз: блокирование информации; уничтожение информации и средств ее обработки.
   

• 
  выход из строя дискового накопителя с повреждением диска;
  
• 
  отказы, вызванные ошибками в ПО;
  
• 
  повреждение магнитных носителей;
  
• 
  отказы электронных схем компьютеров и периферийного оборудования;
  
• 
  нарушения в сети электропитания: перенапряжение, импульсные выбросы, аварийное отключение электропитания, воздействие статического электричества;
  
• 
  ошибки при передаче данных по каналам связи;
  
• 
  повреждения кабелей связи при строительных работах.
  

• 
  пожар;
  
• 
  затопление при аварии водопровода, отопления или канализации;
  
• 
  разрушение ветхих элементов конструкции здания;
  
• 
  прямое попадание молнии или наводка импульсных токов во время грозы.
  

• 
  случайное заражение компьютера вирусом при использовании посторонней программы – игры, учебного пакета и т. п.;
  
• 
  ошибочные действия малоквалифицированного персонала при профилактике, техническом обслуживании или ремонте;
  
• 
  ненамеренное повреждение аппаратуры в результате случайных действий безответственных лиц, например, обрыв соединительного кабеля или повреждение аппаратуры при неосторожном поведении в помещении, где установлена система;
  
• 
  ошибочные действия оператора при работе, приводящие к разрушению данных;
  
• 
  неправильное обращение с гибкими дисками или другими магнитными носителями при их использовании или хранении.
  

• 
  проникновение в систему через внешний (например, телефонный) канал связи с присвоением полномочий одного из легальных пользователей с целью подделки, копирования или уничтожения данных (реализуется угадыванием либо подбором паролей, выявлением паролей и протоколов через агентуру в организации, перехватом паролей при негласном подключении к каналу во время сеанса связи, дистанционным перехватом паролей в результате приема электромагнитного излучения);
  
• 
  проникновение в систему через телефонную сеть при перекоммутации канала на модем злоумышленника после вхождения легального пользователя в связь и предъявления им своих полномочий с целью присвоения прав этого пользователя на доступ к данным;
  
• 
  копирование информации и паролей при негласном пассивном подключении к кабелю сети или при приеме электромагнитного излучения сетевого адаптера;
  
• 
  выявление паролей легальных пользователей при негласном активном подключении к коммуникационной сети при имитации запроса сетевой ОС;
  
• 
  анализ трафика при пассивном подключении к каналу связи (с помощью так называемых снифферов, перехватчиков, от англ. sniffer) или при перехвате электромагнитного излучения аппаратуры для выявления протоколов обмена;
  
• 
  подключение к каналу связи в качестве активного ретранслятора для фальсификации документов, изменения их содержания, порядка следования, повторной передачи, доставки с задержкой или упреждением;
  
• 
  блокировка канала связи собственными сообщениями, вызывающая отказ в обслуживании легальных пользователей; отказ абонента от факта приема (передачи) документов или формирование ложных сведений о времени приема (передачи) сообщений для снятия с себя ответственности за выполнение этих операций;
  
• 
  формирование ложных утверждений о полученных (переданных) документах;
  
• 
  скрытая несанкционированная передача конфиденциальной информации в составе легального сообщения для выявления паролей, ключей и протоколов доступа;
  
• 
  незаконное объявление пользователем себя другим пользователем (маскировка) для нарушения адресации сообщений или возникновения отказа в законном обслуживании;
  
• 
  сбор и анализ использованных распечаток, документации и других материалов для копирования информации или выявления паролей, идентификаторов, процедур доступа и ключей;
  
• 
  визуальный перехват информации, выводимой на экран дисплеев или вводимой с клавиатуры для выявления паролей, идентификаторов и процедур доступа;
  
• 
  негласная переработка оборудования или ПО на фирме-изготовителе, фирме-поставщике, в месте складирования или в пути следования к заказчику с целью внедрения средств НСД к информации извне (программ-перехватчиков и «троянских коней», аппаратуры вывода информации и т.п.), а также уничтожение информации или оборудования (например, с помощью вирусов, ликвидаторов с дистанционным управлением или замедленного действия и т.п.);
  
• 
  разрушение информации или создание сбоев в сети с помощью вирусов для дезорганизации деятельности организации (реализуется загрузкой вирусов в нерабочее время, подменой игровых программ, используемых сотрудниками в рабочих помещениях, или вручением сотруднику «подарка» в виде новой компьютерной игры или другой занимательной программы);
  
• 
  похищение оборудования, в том числе отдельных плат, дисководов, дорогостоящих микросхем, кабелей, дисков, лент, с целью продажи, что влечет за собой потерю работоспособности системы, а иногда и уничтожение данных;
  
• 
  похищение магнитных носителей с целью получения доступа к данным и программам;
  
• 
  разрушение оборудования, магнитных носителей или дистанционное стирание информации (например, с помощью магнитов);
  
• 
  считывание информации с жестких и гибких дисков (в том числе и остатков «стертых» файлов), магнитных лент при копировании данных с оборудования на рабочих местах в нерабочее время, при копировании данных с использованием терминалов, оставленных без присмотра в рабочее время; копирование данных с магнитных носителей, оставленных на столах или в компьютерах; копирование данных с оборудования и магнитных носителей, убранных в специальные хранилища, при их вскрытии или взломе;
  
• 
  внесение изменений в данные и программы для подделки и фальсификации документов при включении системы во время негласного посещения в нерабочее время;
  
• 
  использование оставленного без присмотра оборудования в рабочее время; внесение изменений в данные, записанные на оставленных без присмотра магнитных носителях;
  
• 
  установка скрытых передатчиков для вывода паролей с целью копирования данных или доступа к ним по легальным каналам связи с сетью в результате негласного посещения в нерабочее время, посещения с целью ремонта, настройки, профилактики оборудования или отладки ПО, скрытой подмены элементов оборудования при оставлении их без присмотра в рабочее время;
  
• 
  установка ликвидаторов замедленного действия или с дистанционным управлением (программных, аппаратных или аппаратно-программных с исполнительным механизмом взрывного, химического, электрического или вирусного действия) с целью уничтожения информации или оборудования;
  
• 
  несанкционированное изменение своих полномочий на доступ или полномочий других пользователей в обход механизмов защиты;
  
• 
  внесение изменений в базу данных или в отдельные файлы в пределах выделенных полномочий для подделки или уничтожения информации.
  

• 
  оценку характера и ценности информации, хранящейся в системе;
  
• 
  построение модели злоумышленника, т.е. оценку того, от кого нужно защищаться – от постороннего лица, пользователя системы, администратора и т.д.;
  
• 
  выделение наиболее опасных угроз для хранящейся в системе информации (несанкционированное чтение или изменение и т.д.);
  
• 
  оценку затрат времени и средств на вскрытие системы, необходимых для злоумышленников;
  
• 
  оценку допустимых затрат времени, средств и ресурсов системы на организацию ее защиты.
  

• 
  прослушивание сети;
  
• 
  изменение корпоративных потоков данных;
  
• 
  воздействие на инфраструктурные сетевые сервисы;
  
• 
  подделка сетевых пакетов;
  
• 
  генерация и посылка аномального трафика (пакетов);
  
• 
  отказ от совершенных действий.
  

• 
  подделка адресов;
  
• 
  перехват соединений;
  
• 
  имитация работы других серверов.
  

• 
  пассивный перехват передаваемых запросов;
  
• 
  модификация (активный перехват) передаваемых запросов;
  
• 
  пассивный перехват ответов клиенту;
  
• 
  модификация ответов клиенту;
  
• 
  выдача злоумышленником себя за определенный сервер;
  
• 
  выдача злоумышленником себя за определенного клиента;
  
• 
  перегрузка сервера выдачей большого числа случайных запросов, что может привести к отказу обслуживания новых клиентов;
  
• 
  случайные сбои и ошибки функционирования аппаратуры и программных элементов сервера;
  
• 
  злоумышленные действия зарегистрированных клиентов;
  
• 
  другие виды атак на ПО сервера.
  

• 
  подглядывание за легальным пользователем, когда тот вводит пароль (даже если во время ввода пароль не высвечивается на экране, его можно легко узнать, следя за перемещением пальцев пользователя по клавиатуре);
  
• 
  получение пароля из файла, в котором он был сохранен «ленивым» пользователем, не желающим каждый раз затруднять себя вводом пароля при сетевом подключении (как правило, такой пароль хранится в незашифрованном виде);
  
• 
  поиск пароля, записанного на календаре, в записной книжке или на оборотной стороне компьютерной клавиатуры (особенно часто подобная ситуация встречается, когда администратор заставляет пользователей применять длинные, трудно запоминаемые пароли);
  
• 
  кража внешнего носителя парольной информации (дискеты или электронного ключа, на которых хранится пароль пользователя для входа в ОС); перехват пароля программной закладкой.
  

• 
  полный перебор всех возможных вариантов пароля (метод «грубой силы»);
  
• 
  оптимизированный перебор вариантов пароля: по частоте встречаемости символов, с помощью словарей наиболее часто встречающихся паролей, с привлечением знаний о конкретном пользователе, с использованием сведений о существовании эквивалентных паролей – тогда из каждого класса эквивалентности опробуется всего один пароль, что значительно сокращает время перебора.
  

• 
  злоумышленник последовательно пытается обратиться к каждому файлу, хранимому на «жестких» дисках пользователей сети (если объем дискового пространства достаточно велик, можно быть вполне уверенным, что при описании доступа к файлам и каталогам администратор допустил хотя бы одну ошибку, в результате чего все такие каталоги и файлы будут прочитаны взломщиком);
  
• 
  чтобы скрыть следы, злоумышленник может выступать под чужим именем – например, под именем легального пользователя, чей пароль ему известен.
  

• 
  запуск программы от имени пользователя, имеющего необходимые полномочия, или в качестве системной программы (драйвера, сервиса, службы и т. д.), выполняющейся от имени ОС;
  
• 
  подмена динамически загружаемой библиотеки, используемой системными программами, или изменение переменных среды, описывающих путь к таким библиотекам;
  
• 
  модификация кода или данных подсистемы защиты ОС.
  

• 
  захват ресурсов, т.е. программа злоумышленника производит захват всех имеющихся в ОС ресурсов, а затем входит в бесконечный цикл;
  
• 
  бомбардировка запросами – программа злоумышленника постоянно направляет ОС запросы, реакция на которые требует привлечения значительных ресурсов сети;
  
• 
  использование ошибок в ПО или администрировании. [49]
  

• 
  данные (в частности пароль), вводимые с клавиатуры, могут быть доступными третьему лицу в результате банального слежения за процессом ввода;
  
• 
  в результате целенаправленных действий злоумышленника клавиатура может быть сопряжена со специальным прослушивающим устройством, которое фиксирует все вводимые данные.
  

• 
  применяемых алгоритмов шифрования данных;
  
• 
  применения новой технологии хранения ключей и обработки алгоритмов шифрования.
  

• 
  алгоритмы симметричного шифрования;
  
• 
  алгоритмы асимметричного шифрования.