УМК Информационная безопасность последняя верси…




Введение
Вступление человечества в XXI век знаменуется бурным развитием информационных технологий во всех сферах общественной жизни. Информация все в большей мере становится стратегическим ресурсом государства, производительной силой и дорогим товаром. Информация и поддерживающие ее информационные системы и сети являются ценными производственными ресурсами организаций. Их доступность, целостность и конфиденциальность могут иметь особое значение для обеспечения конкурентоспособности, движения денежной наличности, рентабельности, соответствия правовым нормам и имиджа организации.
Современные организации могут столкнуться с возрастающей угрозой нарушения режима безопасности, исходящей от целого ряда источников. Информационным системам и сетям могут угрожать такие опасности, как компьютерное мошенничество, шпионаж, саботаж, вандализм, а также другие источники отказов и аварий. Появляются все новые угрозы, способные нанести ущерб организации, такие, как, широко известные компьютерные вирусы или хакеры. Угрозы информационной безопасности со временем становятся более распространенными, опасными и изощренными. Сложность современных корпоративных ИС порождает многочисленность и разнообразие угроз их безопасности.
Современные ИС по своей структуре, принципам организации, используемым механизмам относятся к распределенным, разнородным, многосервисным системам. В них широко используются сетевые технологии. Поэтому представляет интерес интерпретация "Критериев" Министерства обороны США для сетевых конфигураций.
Законы и стандарты в области информационной безопасности являются отправным нормативным базисом системы обеспечения ИБ в информационных системах. Основой практического построения интегрированной системы является создание административного уровня системы, определяющее генеральное направление работ по ИБ.
Главная задача мер административного уровня - сформировать программу работ в области обеспечения безопасности ИС и обеспечить ее выполнение, выделяя необходимые ресурсы и контролируя состояние дел. Основой программы является политика безопасности, отражающая подход организации к защите своих информационных активов. Разработка политики и программы безопасности начинается с анализа рисков. Для подавляющего большинства организаций достаточно общего знакомства с рисками; ориентация на типовые, апробированные решения позволит обеспечить базовый уровень безопасности при минимальных интеллектуальных и разумных материальных затратах.
При разработке программы и политики безопасности рекомендуется использовать уровни детализации, трактующие вопросы разной степени специфичности. Необходимым условием для построения надежной, экономичной защиты является рассмотрение жизненного цикла ИС и синхронизация с ним мер безопасности. Безопасность надо закладывать с самого начала и поддерживать до конца.
Программно-технические меры, то есть меры, направленные на контроль компьютерных сущностей - оборудования, программ и/или данных, образуют последний и самый важный рубеж информационной безопасности.






1.2 Библиографический список

1.2.1. Основная литература

Галатенко В.А. Основы информационной безопасности. Курс лекций. Изд.: ИНТУИТ.ру, 2006.
Галатенко В. "Оценка безопасности автоматизированных систем". Обзор и анализ проекта технического доклада ISO/IEC PDTR 19791. [ Cкачайте файл, чтобы посмотреть ссылку ]
Галатенко В.А. Стандарты информационной безопасности. Курс лекций. Изд.: ИНТУИТ.ру, 2006.
Зегжда Д.П., Ивашко А.М. Как построить защищенную информационную систему. НПО Мир и семья - 95, Санкт-Петербург, 1997.
Волокитин А.В., Маношкин А.П. и др. Информационная безопасность государственных организаций и коммерческих фирм. Справочное пособие. –М.: НТЦ «Фиорд-Инфо», 2002,
Симонов С. Анализ рисков, управления рисками. //Jet Info, №1, 1999.
Федеральный закон «Об информации, информатизации и защите информации» (от 20.02.95 г. № 24-ФЗ). - М.: 1995.
ГОСТ Р ИСО/МЭК 15408-1-2002 ИТ. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 1. Введение и общая модель. -М.: ИПК Издательство стандартов, 2002.
ГОСТ Р ИСО/МЭК 15408-2-2002 ИТ. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные требования безопасности. -М.: ИПК Издательство стандартов, 2002.
ГОСТ Р ИСО/МЭК 15408-3-2002 ИТ. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Требования доверия к безопасности. -М.: ИПК Издательство стандартов, 2002.
РД ГТК. Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации. - М.: Военное издательство, 1992.
РД ГТК. Автоматизированные системы. Защита от несанкционированного доступа к информации: Классификация автоматизированных систем и требования по защите информации. - М.: Военное издательство, 1992.
РД ГТК. Средства вычислительной техники. Защита от несанкционированного доступа к информации. Термины и определения. - М.: Военное издательство, 1992.

1.2.2. Дополнительная литература

Айков Д., Сейгер К., Фонсторх У. Компьютерные преступления. Руководство по борьбе с компьютерными преступлениями: Пер. с англ. – М.: Мир,1999.
Астахов А. (CISA) Анализ защищенности корпоративных автоматизированных систем. Jet Info, 3, 2003. [ Cкачайте файл, чтобы посмотреть ссылку ]
Барсуков В. Физическая защита информационных систем, //Jet Info, №1, 1997.
Владимиров Д.Н. Критерии выбора межсетевого экрана. // Защита Информации. Конфидент. - № 1, 1998.
Гpушо А.А., Тимонина Е.Е. Теоретические основы защиты информации. - М.: Яхтсмен, 1996.
Гудков П.Б. Компьютерные преступления в сфере экономики //В сб.: Актуальные проблемы борьбы с коррупцией и организованной преступностью в сфере экономики. - М.: Изд. МИ МВД России, 1995.
Кобзарь М., Долинин М. Общие критерии оценки безопасности информационных технологий. [ Cкачайте файл, чтобы посмотреть ссылку ]
Кобзарь М., Сидак А.. Методология оценки безопасности информационных технологий по Общим Критериям. //Jet Info, №6, 2004. [ Cкачайте файл, чтобы посмотреть ссылку ]
Лапонина О.Р. Основы сетевой безопасности: криптографические алгоритмы и протоколы взаимодействия. Изд.: ИНТУИТ.ру, 2005.
Савельев М., Просяников Р., компания "Информзащита". Станут ли общими «Общие критерии»? "Byte", № 8, 2004 г. [ Cкачайте файл, чтобы посмотреть ссылку ]
Шаньгин В.Ф. Зашита информации в компьютерных системах и сетях. - М.: Радио и связь, 1999.
ГТК. Руководство по разработке профилей защиты и заданий по безопасности (проект). М., 2002.
РД ГТК. Руководство по регистрации профилей защиты (проект). М., 2002.
РД ГТК. Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от НСД к информации. - М.: Военное издательство, 1992.
РД ГТК. Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации. // Защита Информации. Конфидент. - № 6, 1997.


1.2.3. Интернет ресурсы

Астахов А. (CISA) Анализ защищенности корпоративных автоматизированных систем. Jet Info, 3, 2003. [ Cкачайте файл, чтобы посмотреть ссылку ]
Бетелин В.Б., Галатенко В.А., Кобзарь М.Т., Сидак А.А., Трифаленков И.А. Профили защиты на основе "Общих критериев". Аналитический обзор. //Jet Info, №3, 2003. [ Cкачайте файл, чтобы посмотреть ссылку ]
Бетелин В., Галатенко В. Информационная безопасность в России: опыт составления карты. //Jet Info, №1, 1998. [ Cкачайте файл, чтобы посмотреть ссылку ]
Галатенко В.А. Стандарты информационной безопасности. [ Cкачайте файл, чтобы посмотреть ссылку ]
ГОСТ Р ИСО/МЭК 15408-1-2002 ИТ. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 1. Введение и общая модель. [ Cкачайте файл, чтобы посмотреть ссылку ]
Галатенко В. Информационная безопасность. //Jet Info, №1-3, 1996. [ Cкачайте файл, чтобы посмотреть ссылку ]
Законодательные акты, стандарты, нормативные документы по обеспечению информационной безопасности. [ Cкачайте файл, чтобы посмотреть ссылку ]
Кобзарь М., Калайда И. Общие критерии оценки безопасности информационных технологий и перспективы их использования. //Jet Info, №1, 1998. [ Cкачайте файл, чтобы посмотреть ссылку ]
Кобзарь М., Долинин М. Общие критерии оценки безопасности информационных технологий. [ Cкачайте файл, чтобы посмотреть ссылку ]
Кобзарь М., Сидак А.. Методология оценки безопасности информационных технологий по Общим Критериям. //Jet Info, №6, 2004. [ Cкачайте файл, чтобы посмотреть ссылку ]
Липаев В.В. Функциональная безопасность программных средств. //Jet Info, №8, 2004. [ Cкачайте файл, чтобы посмотреть ссылку ]
Липаев В.В. Технологические процессы и стандарты обеспечения функциональной безопасности в жизненном цикле программных средств. //Jet Info, №3, 2004. [ Cкачайте файл, чтобы посмотреть ссылку ]
Общие критерии оценки безопасности информационных технологий. Реферативный обзор. Центр безопасности информации. //Jet Info, 1997, Приложения: Информационная безопасность. [ Cкачайте файл, чтобы посмотреть ссылку ]
Официальный Web-сайт Гостехкомиссии России - [ Cкачайте файл, чтобы посмотреть ссылку ].
Русский перевод стандарта BS7799 (Part II) //Jet Info On-Line [ Cкачайте файл, чтобы посмотреть ссылку ].
Савельев М., Просяников Р., компания "Информзащита". Станут ли общими «Общие критерии»? "Byte", № 8, 2004 г. [ Cкачайте файл, чтобы посмотреть ссылку ]
Симонов С. "Анализ рисков, управления рисками", //Jet Info, №1, 1999. [ Cкачайте файл, чтобы посмотреть ссылку ]
Стандарты информационной безопасности. «Общие критерии». [ Cкачайте файл, чтобы посмотреть ссылку ]
Управление информационной безопасностью. Практические правила. //Jet Info On-Line. Приложение. [ Cкачайте файл, чтобы посмотреть ссылку ]
Role based access corol. (Проект стандарта ролевого управления доступом. США). [ Cкачайте файл, чтобы посмотреть ссылку ]

1.3. Глоссарий

Администратор защиты - субъект доступа, ответственный за защиту автоматизированной системы от несанкционированного доступа к информации.
Авторизация объекта - это процедура предоставления законному объекту успешно прошедшему идентификацию и аутентификацию, соответствующих полномочий и доступных ресурсов системы (сети).
Анализ рисков процесс определения угроз, уязвимостей, возможного ущерба, а также контрмер.
Атака на компьютерную систему (сеть) - это действие, предпринимаемое злоумышленником с целью поиска и использования той или иной уязвимости системы.
Аутентификация - проверка принадлежности субъекту доступа предъявленного им идентификатора, подтверждение подлинности.
Базовый уровень безопасности минимальный уровень защищенности, при котором рассматривается стандартный набор наиболее распространенных угроз безопасности (таких как вирусы, сбои оборудования, несанкционированный доступ и т.д.) без оценки их вероятностей. Для нейтрализации угроз применяется типовой набор контрмер, а вопросы эффективности защиты не рассматриваются.
Базовый анализ рисков анализ рисков, проводимый в соответствии с требованиями базового уровня защищенности. Прикладные методы анализа рисков, ориентированные на данный уровень, обычно не рассматривают ценность ресурсов и не оценивают эффективность контрмер. Методы данного класса применяются в случаях, когда к информационной системе не предъявляется повышенных требований в области информационной безопасности.
Безопасность информации - состояние уровня защищенности информации при ее обработке техническими средствами, обеспечивающее сохранение таких ее качественных характеристик (свойств) как секретность /конфиденциальность/, целостность и доступность.
Безопасность вычислительных (информационных, компьютерных) систем - совокупность свойств, связанная с достижением компьютерной безопасности при эксплуатации вычислительных (информационных, компьютерных) систем.
Безопасная или защищенная система - это система со средствами защиты, которые успешно и эффективно противостоят угрозам безопасности.
Владелец сертификата ключа подписи - физическое лицо, на имя которого удостоверяющим центром выдан сертификат ключа подписи и которое владеет соответствующим закрытым ключом электронной цифровой подписи, позволяющим с помощью средств электронной цифровой подписи создавать свою электронную цифровую подпись в электронных документах (подписывать электронные документы).
Дискреционное управление доступом - разграничение доступа между поименованными субъектами и поименованными объектами. Субъект с определенным правом доступа может передать это право любому другому субъекту.
Доступ к информации - ознакомление с информацией, ее обработка, в частности, копирование, модификация или уничтожение информации.
Доступность ресурса или компонента системы - это его свойство быть доступным законным пользователям системы.
Закрытый ключ электронной цифровой подписи - уникальная последовательность символов, известная владельцу сертификата ключа подписи и предназначенная для создания в электронных документах электронной цифровой подписи с использованием средств электронной цифровой подписи.
Защита информации при эксплуатации вычислительных (компьютерных) систем - система мер, направленных на ограничение доступа ко всей или части информации, а также недопущения ее несанкционированного использования при эксплуатации вычислительных (компьютерных) систем.
Защита от несанкционированного доступа - предотвращение или существенное затруднение несанкционированного доступа.
Защищенное средство вычислительной техники (защищенная автоматизированная система) - средство вычислительной техники (автоматизированная система), в котором реализован комплекс средств защиты.
Идентификация – присвоение субъектам и объектам доступа идентификатора и (или) сравнение предъявляемого идентификатора с перечнем присвоенных идентификаторов.
Идентификация объекта - это процедура распознавания объекта по его идентификатору.
Идентификатор доступа - уникальный признак субъекта или объекта доступа.
Информационная безопасность (ИБ) защищенность ресурсов ИС от факторов, представляющих угрозу для конфиденциальности, целостности, доступности.
Информационная система общего пользования - информационная система, которая открыта для использования всеми физическими и юридическими лицами и в услугах которой этим лицам не может быть отказано.
Класс защищенности средств вычислительной техники (автоматизированной системы) - определенная совокупность требований по защите средств вычислительной техники (автоматизированной системы) от несанкционированного доступа к информации.
Класс рисков множество угроз ИБ, выделенных по определенному признаку (например, относящихся к определенной подсистеме или типу ресурса).
Комплекс средств защиты – совокупность программных и технических средств, создаваемая и поддерживаемая для обеспечения защиты средств вычислительной техники или автоматизированных систем от несанкционированного доступа к информации.
Конфиденциальная информация - информация, требующая защиты.
Корпоративная информационная система - информационная система, участниками которой может быть ограниченный круг лиц, определенный ее владельцем или соглашением участников этой информационной системы.
Мандатное управление доступом - разграничение доступа субъектов к объектам, основанное на характеризуемой меткой конфиденциальности информации, содержащейся в объектах, и официальном разрешении (допуске) субъектов обращаться к ин формации такого уровня конфиденциальности.
Матрица доступа - таблица, отображающая правила разграничения доступа.
Межсетевой экран (МЭ) - это локальное (однокомпонентное) или функционально- распределенное программное (программно-аппаратное) средство (комплекс), реализующее контроль за информацией, поступающей в АС и /или выходящей из АС. МЭ обеспечивает защиту АС посредством фильтрации информации, т.е. ее анализа по совокупности критериев и принятия решения о ее распространении в (из) АС на основе заданных правил, проводя таким образом разграничение доступа субъектов из одной АС к объектам другой АС.
Метка конфиденциальности - элемент информации, который характеризует конфиденциальность информации, содержащейся в объекте.
Многоуровневая защита - защита, обеспечивающая разграничение доступа субъектов с различными правами доступа к объектам различных уровней конфиденциальности.
Нарушитель правил разграничения доступа – субъект доступа, осуществляющий несанкционированный доступ к информации.
Несанкционированный доступ к информации - доступ к информации, нарушающий установленные правила разграничения доступа.
Объект доступа - единица информационного ресурса автоматизированной системы, доступ к которой регламентируется правилами разграничения доступа.
Оперативность доступа к информации - это способность информации или а которого информационного ресурса быть доступными конечному пользователю в соответствии с его оперативными потребностями.
Открытый ключ электронной цифровой подписи - уникальная последовательность символов, соответствующая закрытому ключу электронной цифровой подписи, доступная любому пользователю информационной системы и предназначенная для подтверждения с использованием средств электронной цифровой подписи подлинности электронной цифровой подписи в электронном документе.
Оценка рисков идентификация рисков, выбор параметров для их описания и получение оценок по этим параметрам.
Подтверждение подлинности электронной цифровой подписи в электронном документе - положительный результат проверки соответствующим сертифицированным средством электронной цифровой подписи с использованием сертификата ключа подписи принадлежности электронной цифровой подписи в электронном документе владельцу сертификата ключа подписи и отсутствия искажений в подписанном данной электронной цифровой подписью электронном документе.
Политика безопасности - это совокупность норм, правил и практических рекомендаций, регламентирующих работу средств защиты компьютерной системы (сети) от заданного множества угроз безопасности.
Полный анализ рисков анализ рисков для информационных систем, предъявляющих повышенные требования в области ИБ (более высокие, чем базовый уровень защищенности). Это предполагает: определение ценности ресурсов; оценку угроз и уязвимостей; выбор адекватных контрмер, оценку их эффективности.
Правила разграничения доступа - совокупность правил, регламентирующих права доступа субъектов - доступа к объектам доступа.
Ресурс - в широком смысле это все, что представляет ценность с точки зрения организации и является объектом защиты. В узком смысле ресурс часть информационной системы.
Риск нарушения ИБ возможность реализации угрозы.
Санкционированный доступ к информации - доступ к информации, не нарушающий правила разграничения доступа.
Сертификат защиты - документ, удостоверяющий соответствие средства вычислительной техники или автоматизированной системы набору определенных требований по защите от несанкционированного доступа к информации и дающий право разработчику на использование и/или распространение их как защищенных.
Сертификат ключа подписи - документ на бумажном носителе или электронный документ с электронной цифровой подписью уполномоченного лица удостоверяющего центра, которые включают в себя открытый ключ электронной цифровой подписи и выдаются удостоверяющим центром участнику ИС для подтверждения подлинности электронной цифровой подписи и идентификации владельца сертификата ключа подписи.
Сертификат средств электронной цифровой подписи - документ на бумажном носителе, выданный в соответствии с правилами системы сертификации для подтверждения соответствия средств электронной цифровой подписи установленным требованиям.
Сертификация уровня защиты - процесс установления соответствия средства вычислительной техники или автоматизированной системы набору определенных требований по защите.
Система защиты информации от несанкционированного доступа (СЗИ НСД) - комплекс организационных мер и программно-технических (в том числе криптографических) средств защиты от несанкционированного доступа к информации в автоматизированных системах.
Система разграничения доступа - совокупность реализуемых правил разграничения доступа в средствах вычислительной техники или автоматизированных системах.
Система управления ИБ комплекс мер, направленных на обеспечение режима ИБ на всех стадиях жизненного цикла ИС.
Средства электронной цифровой подписи - аппаратные и (или) программные средства, обеспечивающие реализацию хотя бы одной из следующих функций:
создание электронной цифровой подписи в электронном документе с использованием закрытого ключа электронной цифровой подписи;
подтверждение с использованием открытого ключа электронной цифровой подписи подлинности электронной цифровой подписи в электронном документе;
создание закрытых и открытых ключей электронных цифровых подписей.
Средство защиты от несанкционированного доступа - программное, техническое или программно-техническое средство, направленное на предотвращение или существенное затруднение несанкционированного доступа.
Средство криптографической защиты информации (СКЗИ) - средство вычислительной техники, осуществляющее криптографическое преобразование информации для обеспечения ее безопасности.
Субъект доступа - лицо или процесс, действия которых регламентируются правилами разграничения доступа.
Угроза совокупность условий и факторов, которые могут стать причиной нарушения целостности, доступности, конфиденциальности.
Угроза безопасности для системы (сети) - возможные воздействия, которые прямо или косвенно могут нанести ущерб ее безопасности.
Управление рисками - процесс определения контрмер в соответствии с оценкой рисков.
Уровень полномочий субъекта доступа - совокупность прав доступа субъекта доступа.
Ущерб безопасности подразумевает нарушение состояния защищенности информации, содержащейся и обрабатывающейся в системе (сети).
Уязвимость слабость в системе защиты, которая делает возможной реализацию угрозы.
Уязвимость системы (сети) - это любая характеристика компьютерной системы, использование которой может привести к реализации угрозы.
Целостность информации - способность средства вычислительной техники или автоматизированной системы обеспечивать неизменность информации в условиях случайного и(или) преднамеренного искажения (разрушения).
Целостность ресурса или компонента системы - это его свойство быть неизменным в семантическом смысле при функционировании системы в условиях случайных или преднамеренных искажений либо разрушающих воздействий.
Экранирование - функция МЭ, позволяющая поддерживать безопасность объектов внутренней области, игнорируя несанкционированные запросы из внешней области.
Электронный документ - документ, в котором информация представлена в электронно-цифровой форме.
Электронная цифровая подпись - реквизит электронного документа, предназначенный для защиты данного электронного документа от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа электронной цифровой подписи и позволяющий идентифицировать владельца сертификата ключа подписи, а также установить отсутствие искажения информации в электронном документе.

2. Учебное пособие

1. Базовые понятия и практические аспекты информационной безопасности, должностные обязанности специалиста по информационной безопасности в организации.



1.1.1. Информационные технологии и информационная безопасность

Прежде чем дать определение информационной безопасности, необходимо уточнить ряд понятий. Для начала остановимся на понятии «информация» в том смысле, в каком оно будет использоваться в этой дисциплине.
Федеральный закон «Об информации, информатизации и защите информации» определяет информацию как сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления. Далее мы будем говорить в основном о так называемой компьютерной информации. Компьютерная информация это информация, представленная в доступной для восприятия компьютером форме, зафиксированная в памяти компьютера, на машинном носителе или передаваемая по телекоммуникационным каналам.
С понятием «информация» тесно связано понятие «информационные ресурсы». Информационные ресурсы -это отдельные документы и массивы документов в библиотеках, архивах, фондах, банках данных и других информационных системах. Информационные ресурсы могут являться объектом права собственности и других вещных прав.
Один или несколько (объединенных в сеть) компьютеров в совокупности с предназначенным для решения определенных задач программным обеспечением и соответствующими информационными ресурсами образуют автоматизированную информационно-вычислительную систему. С методической точки зрения информационно-вычислительную систему можно представить также как совокупность аппаратных средств и информационных технологий, определяющих особенности представления и обработки информации в системе. Под пользователями (потребителями) информации далее мы будем понимать субъектов, обращающихся к информационно-вычислительной системе за необходимой им информацией.
Быстрое развитие и повсеместное проникновение информационных технологий в самые различные сферы деловой деятельности привело к тому, что компьютерная информация в настоящее время может иметь вполне определенный стоимостный вес, показателями которого может являться как прибыль, получаемая при ее использовании, так и размеры ущерба, наносимого владельцу информационных ресурсов или пользователям при нарушении установленных правил работы с информацией. Поэтому одной из важнейших проблем развития информационных технологий является надежное обеспечение информационной безопасности.
Вообще говоря, существует целый ряд определений информационной безопасности, отражающих ее различные аспекты. Здесь мы попытаемся сформулировать определение этого понятия, отражающее, с нашей точки зрения, как общие его свойства, так и направления, по которым мы будем анализировать его в книге.
Под информационной безопасностью (или безопасностью информационных технологий) подразумевается защищенность информации, обрабатываемой в информационно-вычислительной системе, от случайных или преднамеренных воздействий внутреннего или внешнего характера, чреватых нанесением ущерба владельцам информационных ресурсов или пользователям информации.
Следует подчеркнуть, что в соответствии с этим определением обеспечение информационной безопасности не сводится лишь к защите от действий злоумышленников -важнейшее значение здесь имеет и защита от возможных воздействий, носящих случайный и, так сказать, естественный характер (сбои и отказы оборудования, аварии систем электропитания, водоснабжения и отопления, протечки, пожары, природные катастрофы и т.п.), а также от случайных ошибок пользователей и обслуживающего персонала.
Информационная безопасность - многогранная, можно сказать, многомерная область деятельности, в которой успех может принести только систематический, комплексный подход. Проблемы обеспечения информационной безопасности можно классифицировать по трем группам признаков: задачи информационной безопасности; уровни обеспечения информационной безопасности; субъекты, заинтересованные в информационной безопасности (рис. 1.1).
Краткую характеристику этих групп признаков, которые можно назвать «гранями» информационной безопасности, будут даны в следующем разделе.

1.1.2. Грани информационной безопасности

Задачи информационной безопасности как обеспечения комбинации доступности, целостности и конфиденциальности информации определяются в ряде международных и российских руководящих документов, о- которых мы поговорим далее. В целом под этими терминами подразумевается соответственно:
возможность за приемлемое время получить требуемую информационную услугу, а также предотвращение несанкционированного отказа в получении информации;
предотвращение несанкционированной модификации или разрушения информации;
предотвращение несанкционированного ознакомления с информацией.

Доступность информации является ведущим аспектом информационной безопасности. Информационные системы создаются или приобретаются прежде всего для получения определенных информационных услуг. Если получение этих услуг становится невозможным, это наносит ущерб всем субъектам информационных отношений. Особенно ярко важность доступности как аспекта информационной безопасности проявляется в разного рода системах управления производством, транспортом. Менее критичными к отказам в доступе являются различные справочно-информационные услуги, которыми пользуется большое количество людей: продажа билетов, банковские операции, различного рода справки. Однако длительная недоступность ресурсов подобного рода может повлечь весьма неприятные последствия как в моральном, так и в материальном плане.
Целостность информации - также немаловажный аспект информационной безопасности, обеспечивающий предотвращение несанкционированных изменений и разрушений информации. Примерами нарушения целостности могут служить различные, совершенные при помощи вычислительных систем, кражи в банках, подделка кредитных карточек, изменения информации в различных информационных системах.
Самым проработанным и обширно представленным во всех измерениях является аспект конфиденциальности информации. На ее страже стоят законы, нормативные акты, технические средства и многолетний опыт различных государственных структур. Однако обеспечение конфиденциальности информации - один из самых сложных в практической реализации аспект информационной безопасности.





































Рис.1.1. Аспекты информационной безопасности

В обеспечении информационной безопасности нуждаются четыре существенно разные категории субъектов:
государство в целом;
государственные организации;
коммерческие структуры;
отдельные граждане.
Рассмотрим особенности мер по обеспечению информационной безопасности на различных уровнях ее обеспечения в соответствии с рис. 1.1.
На концептуально-политическом уровне принимаются документы, в которых определяются направления государственной политики информационной безопасности, формулируются цели и задачи обеспечения информационной безопасности всех перечисленных выше субъектов и намечаются пути и средства достижения поставленных целей и решения задач. Примером такого документа является Доктрина информационной безопасности РФ, рассмотрению основных положений которых мы займемся в дальнейшем.
На законодательном уровне создается и поддерживается комплекс мер, направленных на правовое регулирование обеспечения информационной безопасности, отражаемых в законах и других правовых актах (указы Президента, постановления Правительства и др.). Одной из важных задач этого уровня является создание механизма, позволяющего согласовать процесс разработки законов с прогрессом информационных технологий. Естественно, законы не могут опережать жизнь, но важно, чтобы отставание не было слишком большим, так как на практике, помимо прочих отрицательных моментов, это ведет к общему снижению информационной безопасности.
На нормативно-техническом уровне разрабатываются стандарты, руководящие материалы, методические материалы и другие документы, регламентирующие процессы разработки, внедрения и эксплуатации средств обеспечения информационной безопасности. Важной задачей этого уровня в настоящее время является, в частности, приведение российских стандартов в соответствие с международным уровнем информационных технологий вообще и информационной безопасности в частности. Есть много причин, по которым это должно быть сделано. Одна из них - необходимость взаимодействия с зарубежными компаниями и зарубежными филиалами российских компаний. Сейчас эта проблема решается по существу в обход действующего законодательства, путем получения разовых разрешений.
На уровне предприятия осуществляются конкретные меры по обеспечению информационной безопасности деловой деятельности. Их конкретный состав и содержание во многом определяется особенностями конкретного предприятия или организации. Например, даже из самых общих соображений понятно, что бессмысленно переносить практику режимных государственных организаций на коммерческие структуры, учебные заведения или персональные компьютерные системы. Тем не менее, здесь, как это и показано на рис. 1.1, можно выделить два характерных уровня обеспечения информационной безопасности - административный и программно-технический.
На административном уровне руководство организации реализует меры общего характера и конкретные меры обеспечения информационной безопасности. Основой мер общего характера служит так называемая политика безопасности. Под политикой безопасности понимается совокупность документированных управленческих решений, направленных на защиту информации и ассоциированных с ней ресурсов. Политика безопасности определяет стратегию организации в области информационной безопасности, а также количество ресурсов, которые руководство считает целесообразным выделить. Она строится на основе анализа рисков, которые признаются реальными для информационной системы организации. Когда риски проанализированы и стратегия защиты определена, составляется программа, реализация которой должна обеспечить информационную безопасность. Под эту программу выделяются ресурсы, назначаются ответственные, определяется порядок контроля выполнения программы и т.п.
В составе конкретных мер по обеспечению информационной безопасности можно выделить:
управление персоналом;
физическая защита;
поддержание работоспособности;
реагирование на нарушения режима безопасности;
планирование восстановительных работ.
В целом ряде отечественных организаций накоплен богатый опыт составления перечня и реализации подобных мер, процедурных (организационных) мер, однако проблема состоит в том, что они или пришли из докомпьютерного прошлого, поэтому нуждаются в существенном пересмотре, или просто не поспевают за стремительным развитием информационных технологий.
На программно-техническом уровне согласно современным представлениям должны быть доступны по крайней мере следующие механизмы безопасности:
идентификация и проверка подлинности пользователей;
управление доступ;
протоколирование, аудит и криптография;
экранирование;
обеспечение высокой доступности.
В принципе здесь сегодня (если иметь в виду зарубежные продукты), доступен полный спектр решений. Если же рассмотреть практическую ситуацию, осложненную разного рода законодательными ограничениями, то окажется, что обеспечение информационной безопасности на программно-техническом уровне является весьма непростой задачей.
Отдельные граждане. На сегодняшний день граждане являются самым незащищенным в правовом отношении субъектом информационных отношений. Остается надеяться, что с принятием законов «О праве на информацию» и «О персональных данных» это положение изменится. Основная сложность состоит в неосведомленности пользователей о проблемах информационной безопасности. Кроме того, в России пока отсутствует рынок индивидуальных средств защиты информации. Изделия, рассчитанные на корпоративных заказчиков, отдельным гражданам просто не подходят по цене.
Учебное пособие в основном посвящено вопросам обеспечения информационной безопасности на уровне предприятия, которые мы подробно рассмотрим в следующих разделах. Задачи государственного уровня, на котором, кстати, определены и задачи обеспечения информационной безопасности отдельных граждан, мы кратко рассмотрим в следующих разделах этой главы. Однако прежде стоит, вероятно, остановиться на актуальности обеспечения информационной безопасности предприятия.

2. Нормативно-правовая и нормативно-техническая база защиты информации в России

2.1. Основные положения Доктрины информационной безопасности РФ

9 сентября 2000 года Президентом Российской Федерации была утверждена Доктрина информационной безопасности РФ. Она развивает Концепцию национальной безопасности РФ применительно к информационной сфере. В этом разделе мы рассмотрим несколько основных положений этого важнейшего документа.

2.1.1. Государственная политика обеспечения информационной безопасности РФ

Государственная политика обеспечения информационной безопасности РФ определяет основные направления деятельности федеральных органов государственной власти и органов государственной власти субъектов РФ в этой области и порядок закрепления их обязанностей по защите интересов РФ в информационной сфере.
Доктрина определяет следующие основные принципы государственной политики в области информационной безопасности:
соблюдение Конституции РФ, законодательства РФ, общепризнанных принципов и норм международного права;
открытость в реализации функций федеральных органов государственной власти, органов государственной власти субъектов РФ и общественных объединений, предусматривающая информирование общества об их деятельности с учетом ограничений, установленных законодательством РФ;
правовое равенство всех участников процесса информационного взаимодействия вне зависимости от их политического, социального и экономического статуса;
приоритетное развитие отечественных современных информационных и телекоммуникационных технологий.
Доктриной, в частности, определено, что государство через свои органы обеспечивает выполнение следующих функций, важных в контексте данного материала:
осуществляет контроль за разработкой, созданием, развитием, использованием, экспортом и импортом средств защиты информации посредством их сертификации и лицензирования деятельности в области защиты информации;
проводит необходимую протекционистскую политику в отношении производителей средств информатизации и защиты информации на территории Российской Федерации и принимает меры по защите внутреннего рынка от проникновения на него некачественных средств информатизации и информационных продуктов;
способствует предоставлению физическим и юридическим лицам доступа к мировым информационным ресурсам, глобальным информационным сетям.

2.1.2. Первоочередные мероприятия по реализации государственной политики обеспечения информационной безопасности РФ

В составе предусмотренных Доктриной первоочередных мероприятий по реализации государственной политики обеспечения информационной безопасности РФ в контексте дисциплины можно выделить следующие:
разработка и внедрение механизмов реализации правовых норм, регулирующих отношения в информационной сфере, а также подготовка концепции правового обеспечения информационной безопасности РФ;
принятие и реализация федеральных программ, предусматривающих формирование общедоступных архивов информационных ресурсов федеральных органов государственной власти и органов государственной власти субъектов Российской Федерации, повышение правовой культуры и компьютерной грамотности граждан, развитие инфраструктуры единого информационного пространства России, комплексное противодействие угрозам информационной войны, создание безопасных информационных технологий для систем, используемых в процессе реализации жизненно важных функций общества и государства, пресечение компьютерной преступности, создание информационно-телекоммуникационной системы специального назначения в интересах федеральных органов государственной власти и органов государственной власти субъектов Российской Федерации, обеспечение технологической независимости страны в области создания и эксплуатации информационно-телекоммуникационных систем оборонного назначения;
гармонизация отечественных стандартов в области информатизации и обеспечения информационной безопасности автоматизированных систем управления, информационных и телекоммуникационных систем общего и специального назначения. Выполнение работ по реализации основных положений программы является важной задачей обеспечения национальной безопасности страны и проводится рядом министерств и ведомств РФ. В частности, Минсвязи России разработало проект федеральной программы реализации первоочередных мероприятий, предусмотренных Доктриной информационной безопасности РФ. В проекте определены основные направления программных мероприятий и образующих их проектов, в т.ч.:
совершенствование и развитие законодательства в области информационной безопасности;
комплексное противодействие угрозам информационной безопасности;
повышение правовой культуры и компьютерной грамотности граждан.

2.1.3. Действующие правовые документы в области защиты информации

В настоящее время правовую основу обеспечения информационной безопасности в России составляют несколько десятков федеральных законов, указов и распоряжений Президента РФ и постановлений и распоряжений Правительства РФ.
Одним из серьезных шагов в деле правового обеспечения деятельности в области защиты информации явилось принятие в 1995 году Федерального закона «Об информации, информатизации и защите информации». В этом законе официально введено понятие «конфиденциальная информация», установлены общие правовые требования к организации защиты такой информации в процессе ее обработки, хранения и циркуляции в технических устройствах и информационных и телекоммуникационных системах и комплексах и организации контроля за осуществлением мероприятий по защите конфиденциальной информации. При этом следует подчеркнуть, что Закон не разделяет государственную и частную информацию как объект защиты в том случае, если доступ к ней ограничивается.
Статья 19 Закона «Об информации, информатизации и защите информации» устанавливает обязательность сертификации средств обработки и защиты документированной информации с ограниченным доступом, предназначенных для обслуживания граждан и организаций, а также обязательность получения лицензий для организаций, осуществляющих проектирование и производство средств защиты информации. Пункт 3 статьи 21 возлагает контроль за соблюдением требований к защите информации, за эксплуатацией специальных средств защиты информации, а также обеспечение организационных мер защиты информационных систем, обрабатывающих информацию с ограниченным доступом в негосударственных структурах, на органы государственной власти.
Эти положения развиваются в Федеральном законе «О лицензировании отдельных видов деятельности», принятым в августе 2001 года.
В части деятельности по обеспечению информационной безопасности Законом определено, что лицензированию подлежат:
деятельность по распространению, техническому обслуживанию шифровальных (криптографических) средств и предоставлению услуг в области шифрования информации;
разработка, производство шифровальных (криптографических) средств;
деятельность по выдаче сертификатов ключей электронных цифровых подписей, регистрации владельцев электронных цифровых подписей, оказанию услуг, связанных с использованием электронных цифровых подписей, и подтверждению подлинности электронных цифровых подписей;
деятельность по выявлению электронных устройств, предназначенных для негласного получения информации, в помещениях и технических средствах;
деятельность по разработке и (или) производству средств защиты конфиденциальной информации;
деятельность по технической защите конфиденциальной информации;
разработка, производство, реализация и приобретение в целях продажи специальных технических средств, предназначенных для негласного получения информации, индивидуальными предпринимателями и юридическими лицами, осуществляющими предпринимательскую деятельность.
Порядок сертификации средств и лицензирования деятельности в области защиты информации определен рядом документов. Основной объем работ возлагается здесь на Федеральное агентство правительственной связи и информации при Президенте РФ (ФАПСИ) и Государственную техническую комиссию при Президенте РФ (Гостехкомиссия России). В сферу компетенции ФАПСИ входят сертификация средств и лицензирование деятельности с применением криптографической защиты, а Гостехкомиссии России - сертификация средств и лицензирование деятельности по защите информации без применения криптографии.
Ответственность за компьютерные преступления предусмотрена несколькими статьями Уголовного кодекса РФ, в т.ч.:
Статья 272. Неправомерный доступ к компьютерной информации.
Статья 273. Создание, использование и распространение вредоносных программ для ЭВМ.
Статья 274. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети.
В январе 2002 года Президентом РФ подписан Закон «Об электронной цифровой подписи» (ЭЦП).
Закон призван обеспечить правовые условия использования в электронных документах ЭЦП, которая представляет собой сложный набор символов, позволяющих идентифицировать ее владельца и установить отсутствие искажений информации в электронном документе. В законе отмечаются правовые последствия скрепления документов ЭЦП. Устанавливаются статусы файлов, подписанных ЭЦП (они имеют юридическую и доказательную силу в суде, наравне с документами на бумажных носителях), а также самой ЭЦП (она имеет такую же юридическую силу, как и собственноручная подпись физического лица, в случае если она проверена открытым ключом). Кроме того, в законе устанавливается уголовная и административная ответственность лиц, незаконно использующих ЭЦП другого лица, а также другие аспекты действия ЭЦП.
В целом правовая база обеспечения информационной безопасности еще далека от совершенства и нуждается в развитии.

2.1.4. Нормативно-техническая база защиты информации в России

В состав документов, определяющих нормативно-техническую базу защиты информации в России входят государственные стандарты и отраслевые материалы, в частности материалы ФАПСИ и Гостехкомиссии России.
В настоящее время сертификация средств защиты информации, отнесенных к компетенции ФАПСИ, определяется «Системой сертификации средств криптографической защиты информации». Этот документ определяет организационную структуру системы сертификации шифровальных средств ФАПСИ, а также устанавливает основные правила проведения сертификационных исследований и испытаний криптографических средств защиты информации и закрытых с их помощью систем и комплексов обработки, хранения и передачи информации Требования к средствам защиты, их характеристики, функции ими выполняемые и их классификация, а также термины и определения по защите от несанкционированного доступа приведены в руководящих документах Гостехкомиссии России:
«Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация АС и требования по защите информации».
«Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации».
«Защита от несанкционированного доступа к информации. Термины и определения».
Порядок сертификации средств защиты информации, отнесенных к компетенции Гостехкомиссии России определяется «Системой сертификации средств защиты информации по требованиям безопасности информации».
В последние 3-4 года утверждена большая серия международных стандартов по обеспечению безопасности информационных систем и их компонентов. Подавляющее большинство из этих стандартов относятся к телекоммуникациям, процессам и протоколам обмена информацией в распределенных системах и защите ИС от несанкционированного доступа. В зависимости от проблем, методов и средств защиты ИС международные стандарты ISO можно разделить на четыре группы.
Первая группа стандартов - ISO/IEC JTC1/SC22 «Поиск, передача и управление информацией для взаимосвязи открытых систем» -- посвящена развитию и детализации концепции ВОС. Защита информации в данной группе рассматривается как один из компонентов, обеспечивающих возможность полной реализации указанной концепции. Для этого определены услуги и механизмы защиты по уровням базовой модели ВОС, изданы и разрабатываются стандарты, последовательно детализирующие методические основы защиты информации и конкретные протоколы защиты на разных уровнях открытых систем.
Вторая группа стандартов - ISO/TEC JTC1/SC27 - ориентирована преимущественно на конкретные методы и алгоритмы защиты. В эту группу объединены методологические стандарты защиты информации и криптографии, независимо от базовой модели ВОС.
Третья группа стандартов - ISO/TC 68 «Банковское дело и соответствующие финансовые операции» - направлена на защиту функционирования банковских систем. Стандарты, объединенные в эту группу, ориентированы в основном на шифрование и аутентификацию при обмене финансовой информацией в процессе деятельности банков.
Четвертая группа стандартов - наиболее широко и детально методологические и системные задачи проектирования комплексной защиты ИС изложены в трех частях стандарта ISO 15408, первые проекты которых были опубликованы еще в 1993 году.
В первой, относительно небольшой части представлены цели и концепция обеспечения безопасности, а также общая модель построения защиты ИС.
В самой объемной второй части стандарта выделены и классифицированы одиннадцать групп (классов) базовых задач обеспечения безопасности ИС. Каждый класс детализирован наборами требований, которые реализуют определенную часть целей обеспечения безопасности и, в свою очередь, состоят из набора более мелких компонентов решения частных задач. Для каждой группы задач приводятся рекомендации по применению набора наиболее эффективных компонентов и процедур обеспечения безопасности ИС В приложениях изложены рекомендации по реализации средств для достижения основных функциональных целей и требований безопасности.
Третья часть стандарта посвящена целям, методам и уровням обеспечения гарантий качества процессов реализации требований к функциям обеспечения безопасности ИС. Здесь определены методы и средства, которые целесообразно использовать для корректной реализации жизненного цикла компонентов защиты и эффективного их применения.
Одной из важных задач развития нормативно-технической базы защиты информации является гармонизация российских стандартов с международными. В этом плане, в частности, на базе рассмотренного выше международного стандарта ISO 15408 ведется разработка российского ГОСТ Р ИСО/МЭК 15408 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий». Проект стандарта состоит из трех частей и определяет общие положения, термины и определения, функциональные и гарантийные требования, концепцию оценки безопасности продуктов и систем информационных технологий.

3. Виды и особенности угроз информационной безопасности

3.1 Классификация угроз информационной безопасности автоматизированных систем

Все множество потенциальных угроз по природе их возникновения можно разделить на два класса: естественные (объективные) и искусственные (субъективные). Общая классификация видов угроз в контексте данной книги представлена на рис. 2.1.
Далее мы рассмотрим состав и особенности выделенных типов угроз.

Естественные угрозы

Естественные угрозы - это угрозы, вызванные воздействиями на элементы системы объективных физических процессов или стихийных природных явлений, не зависящих от человека.     Одной из наиболее типичных естественных угроз системам обработки данных, не всегда связанной с деятельностью человека, является пожар. Поэтому при проектировании и эксплуатации систем обработки данных в обязательном плане


Угрозы информационной безопасности
13 EMBED MSPhotoEd.3 1415

Рис. 2.1. Угрозы информационной безопасности
решаются вопросы противопожарной безопасности. Особое внимание при этом следует уделить защите от пожара носителей компьютерных данных, файл-серверов, отдельных вычислительных машин, центров связи, архивов и другого оборудования, где концентрированы массивы важной информации. Для этих целей могут быть использованы специальные несгораемые сейфы, контейнеры и др., которые в силу своей специфики чаще всего применяются в банках, где потеря информации может привести к катастрофическим последствиям.     Другая угроза для систем обработки данных в компьютерных системах - удары молнии. Эта проблема возникает не часто, но ущерб может быть нанесен очень большой. Если не применены необходимые технические меры защиты от мощных электромагнитных излучений грозовых разрядов, из строя могут выйти отдельные рабочие станции или серверы сети. В результате на значительное время парализуется работа организации. Коммерческая фирма в такой ситуации теряет свой имидж надежного партнера и, как следствие, клиентов.     Для зданий, расположенных в долинах рек или на побережье, весьма вероятной угрозой является затопление. В этих случаях аппаратные средства не должны устанавливаться на нижних этажах зданий, и должны приниматься другие меры предосторожности.     Нанесение ущерба ресурсам систем обработки данных может также быть вызвано землетрясениями, ураганами, взрывами газа и т.д. Ущерб может быть нанесен при технических авариях, например, при внезапном отключении электропитания.     Однако более широк и опасен круг искусственных угроз, вызванных человеческой деятельностью, к рассмотрению которых мы и переходим.

Искусственные непреднамеренные угрозы

Под непреднамеренными искусственными угрозами понимаются действия, совершаемые людьми случайно или без злого умысла: по незнанию, невнимательности или халатности, из любопытства и др. В составе этих действий можно выделить:     неумышленные действия, приводящие к частичному или полному отказу системы или разрушению аппаратных, программных, информационных ресурсов системы (неумышленная порча оборудования, удаление, искажение файлов с важной информацией или программ, в том числе системных и т.п.);     неправомерное отключение оборудования или изменение режимов работы устройств и программ;     запуск технологических программ, способных при не компетентном использовании вызывать потерю работоспособности системы (зависания или зацикливания) или осуществляющих необратимые изменения в системе (форматирование или реструктуризацию носите лей информации, удаление данных и т.п.);     нелегальное внедрение и использование неучтенных программ (игровых, обучающих, технологических и др., не являющихся необходимыми для выполнения нарушителем своих служебных обязанностей) с по следующим необоснованным расходованием ресурсов (загрузка процессора, захват оперативной памяти и памяти на внешних носителях);     заражение компьютера вирусами;     разглашение, передача или утрата атрибутов разграничения доступа (паролей, ключей шифрования, идентификационных карточек, пропусков и т.п.);     некомпетентное использование, настройка или не правомерное отключение средств защиты персона лом службы безопасности;     ввод ошибочных данных.     Отметим, что не стоит думать, будто непредумышленные угрозы связаны лишь с недостаточной квалификацией и опытом персонала. Практика показывает, что значительная доля этих угроз возникает и со стороны опытных сотрудников, искренне пытающихся «усовершенствовать» работу системы, но совершающих при этом определенные ошибки. Борьба с этим видом угроз наиболее сложна, так как некоторые из таких сотрудников имеют привилегированный доступ к системе.

Искусственные преднамеренные угрозы

Под преднамеренными искусственными угрозами понимаются угрозы, связанные с корыстными устремлениями людей (злоумышленников).     Говоря об угрозах данного типа, можно выделить следующие основные возможные пути умышленной дезорганизации работы, вывода системы из строя, проникновения в систему и несанкционированного доступа к информации:     физическое разрушение системы (путем взрыва, поджога и т.п.) или вывод из строя всех или отдельных наиболее важных компонентов компьютерной системы (устройств, носителей важной системной информации, лиц из числа персонала и т.п.);     отключение или вывод из строя подсистем обеспечения функционирования вычислительных систем (электропитания, охлаждения и вентиляции, линий связи и т.п.);     действия по дезорганизации функционирования системы (изменение режимов работы устройств или программ, забастовка, саботаж персонала, постановка мощных активных радиопомех на частотах работы устройств системы и т.п.);     внедрение агентов в число персонала системы (в том числе, возможно, и в административную группу, отвечающую за безопасность);     вербовка (путем подкупа, шантажа и т.п.) персонала или отдельных пользователей, имеющих определенные полномочия;     перехват побочных электромагнитных, акустических и других излучений устройств и линий связи, а также наводок активных излучений на вспомогательные технические средства, непосредственно не участвующие в обработке информации (телефонные линии, сети питания, отопления и т.п.);     перехват данных, передаваемых по каналам связи, и их анализ с целью выяснения протоколов обмена, правил вхождения в связь и авторизации пользователя и последующих попыток их имитации для проникновения в систему;     хищение носителей информации (магнитных дисков, лент, микросхем памяти, запоминающих устройств и др.);     несанкционированное копирование носителей ин формации;     хищение производственных отходов (распечаток, записей, списанных носителей информации и т.п.);     чтение остаточной информации из оперативной памяти и с внешних запоминающих устройств;     незаконное получение паролей и других реквизитов разграничения доступа (агентурным путем, используя халатность пользователей, путем подбора, путем имитации интерфейса системы и т.д.) с по следующей маскировкой под зарегистрированного пользователя («маскарад»);     вскрытие шифров криптозащиты информации;     незаконное подключение к линиям связи с целью работы «между строк», с использованием пауз в действиях законного пользователя от его имени с последующим вводом ложных сообщений или модификацией передаваемых сообщений.     Следует заметить, что чаще всего для достижения поставленной цели злоумышленник использует не один, а некоторую совокупность из перечисленных выше путей.

Внешние и внутренние угрозы

Под внутренними угрозами понимаются угрозы информационной безопасности со стороны персонала организации или предприятия, а под внешними - угрозы от сторонних лиц или организаций. Если задать вопрос: «От кого надо защищать информацию?» неподготовленному человеку, то в большинстве случаев можно получить ответ:     «От хакеров!». По мнению большинства наших сограждан, основная опасность исходит именно от внешних злоумышленников, которые проникают в компьютерные системы банков, военных организаций и т.д. Такая опасность существует и нельзя ее недооценивать, но она слишком преувеличена. По зарубежной и отечественной статистике до 70-80% всех компьютерных преступлений связаны с внутренними нарушениями, т.е. осуществляются сотрудниками своей компании, работающими или уволенными. Свой сотрудник может реально оценить стоимость той или иной информации, а некоторые из них зачастую обладают привилегиями, которые могут использовать в корыстных интересах.
Что же касается внешних угроз, то их можно разделить на локальные и удаленные. Первые предполагают проникновение нарушителя на территорию организации и получения им доступа к отдельному компьютеру или локальной сети. Вторые характерны для систем, подключенных к общедоступным глобальным сетям (например, Интернет).     Основной особенностью любой сетевой системы является то, что ее компоненты распределены в пространстве и связь между ними физически осуществляется при помощи сетевых соединений (коаксиальный кабель, витая пара, оптоволокно и т.п.) и программно при помощи механизма сообщений. При этом все управляющие сообщения и данные, пересылаемые между объектами распределенной вычислительной системы (РВС), передаются по сетевым соединениям в виде пакетов обмена.     Сетевые системы отличаются тем, что, наряду с обычными (локальными) атаками, осуществляемыми в пределах одной компьютерной системы, к ним применим специфический вид атак, обусловленный распределенностью ресурсов и информации в пространстве. Это так называемые сетевые (или удаленные) атаки. Они характерны, во-первых, тем, что злоумышленник может находиться за тысячи километров от атакуемого объекта, и, во-вторых, тем, что нападению может подвергаться не конкретный компьютер, а информация, передающаяся по сетевым соединениям. С развитием локальных и глобальных сетей именно удаленные атаки становятся лидирующими как по количеству попыток, так и по успешности их применения и, соответственно, обеспечение безопасности РВС с точки зрения противостояния удаленным атакам приобретает первостепенное значение. Специфика РВС состоит в том, что если в локальных ВС наиболее частыми были угрозы раскрытия и целостности, то в сетевых системах на первое место выходит угроза отказа в обслуживании.

Удаленные атаки

Под удаленной атакой мы будем понимать информационное разрушающее воздействие на РВС, программно осуществляемое по каналам связи. Это определение охватывает обе особенности сетевых систем - распределенность компьютеров и распределенность информации. Удаленные атаки можно классифицировать по нескольким признакам (см.Рис.2.2).     Рассмотрим основные особенности выделенных признаков сетевых атак.    
Характер воздействия

Пассивным воздействием на распределенную вычислительную систему называется воздействие, которое не оказывает непосредственного влияния на работу системы, но может нарушать ее политику безопасности. Именно отсутствие непосредственного влияния на работу распределенной вычислительной системы (РВС) приводит к тому, что пассивное удаленное воздействие очень сложно обнаружить. Примером пассивного типового удаленного воздействия в РВС служит прослушивание канала связи в сети.
Активным воздействием на РВС называется воздействие, оказывающее непосредственное влияние на работу системы (изменение конфигурации РВС, нарушение работоспособности и т. д.) и нарушающее принятую в ней политику безопасности. Практически все типы удаленных атак являются активными воздействиями. Это связано с тем, что в самой природе разрушающего воздействия содержится активное начало. Очевидной особенностью активного воздействия по сравнению с пассивным является принципиальная возможность его обнаружения (естественно, с большей или меньшей степенью сложности), так как в результате его осуществления в системе происходят определенные изменения.

   13 EMBED MSPhotoEd.3 1415

Рис.2.2. Виды удаленных атак



Цель воздействия
    Этот классификационный признак является прямой проекцией трех основных типов угроз - нарушения конфиденциальности, целостности и отказа в обслуживании.     Основная цель практически любой атаки - получить несанкционированный доступ к информации. Существуют две принципиальные возможности доступа к информации: перехват и искажение. Возможность перехвата информации означает получение к ней доступа, но невозможность ее модификации. Следовательно, перехват информации ведет к нарушению ее конфиденциальности. Примером перехвата информации может служить прослушивание канала в сети. В этом случае имеется несанкционированный доступ к информации без возможности ее искажения. Очевидно также, что нарушение конфиденциальности информации является пассивным воздействием.     Возможность искажения информации означает либо полный контроль над информационным потоком между объектами системы, либо возможность передачи сообщений от имени другого объекта. Таким образом, очевидно, что искажение информации ведет к нарушению ее целостности. Данное информационное разрушающее воздействие представляет собой яркий пример активного воздействия.     Принципиально другой целью атаки является нарушение работоспособности системы. В этом случае не предполагается получение атакующим несанкционированного доступа к информации. Его основная цель - добиться, чтобы операционная система на атакуемом объекте вышла из строя и для всех остальных объектов системы доступ к ресурсам атакованного объекта был бы невозможен.    
Условия начала осуществления воздействия
    Удаленное воздействие, так же как и любое другое, может начать осуществляться только при определенных условиях.     При атаке по запросу от атакуемого объекта атакующий ожидает передачи от потенциальной цели атаки запроса определенного типа, который и будет условием начала осуществления воздействия. Важно отметить, что данный тип удаленных атак наиболее характерен для РВС.     При атаке по наступлению ожидаемого события на атакуемом объекте атакующий осуществляет постоянное наблюдение за состоянием операционной системы удаленной цели атаки и при возникновении определенного события в этой системе начинает воздействие. Как и в предыдущем случае, инициатором осуществления начала атаки выступает сам атакуемый объект.     При безусловной атаке она осуществляется немедленно и безотносительно к состоянию системы и атакуемого объекта. Следовательно, в этом случае атакующий является инициатором начала осуществления атаки.    
Наличие обратной связи с атакуемым объектом
    Удаленная атака, осуществляемая при наличии обратной связи с атакуемым объектом, характеризуется тем, что на некоторые запросы, переданные на атакуемый объект, атакующему требуется получить ответ, а, следовательно, между атакующим и целью атаки существует обратная связь, которая позволяет атакующему адекватно реагировать на все изменения, происходящие на атакуемом объекте. Подобные удаленные атаки наиболее характерны для РВС.     Атаки без обратной связи обычно осуществляются передачей на атакуемый объект одиночных запросов, ответы на которые атакующему не нужны. Подобную атаку можно называть однонаправленной удаленной атакой.    
Расположение субъекта атаки относительно атакуемого объекта
    Перед тем, как перейти к рассмотрению этого вида атак, приведем несколько определений. Субъект атаки (или источник атаки) - это атакующая программа или оператор, непосредственно осуществляющие воздействие. Хост (host) - сетевой компьютер. Маршрутизатор (router) - устройство, обеспечивающее маршрутизацию пакетов обмена в глобальной сети.     Подсеть (subnetwork) (в терминологии Интернет) - совокупность хостов, являющихся частью глобальной сети, для которых маршрутизатором выделен одинаковый номер подсети. Подсеть - логическое объединение хостов маршрутизатором. Хосты внутри одной подсети могут взаимодействовать между собой непосредственно, минуя маршрутизатор. Сегмент сети - физическое объединение хостов. Например, сегмент сети образуют совокупность хостов, подключенных к серверу по схеме «общая шина». При такой схеме подключения каждый хост имеет возможность подвергать анализу любой пакет в своем сегменте.     С точки зрения удаленной атаки чрезвычайно важно, как по отношению друг к другу располагаются субъект и объект атаки, то есть в одном или в разных сегментах они находятся. В случае внутрисегментной атаки, как следует из названия, субъект и объект атаки находятся в одном сегменте. При межсегментной атаке субъект и объект атаки находятся в разных сегментах.     Данный классификационный признак позволяет судить о так называемой «степени удаленности» атаки.     На практике межсегментную атаку осуществить значительно труднее, чем внутрисегментную. Но важно отметить, что межсегментная удаленная атака представляет гораздо большую опасность, чем внутрисегментная. Это связано с тем, что в случае межсегментной атаки объект ее и непосредственно атакующий могут находиться на расстоянии многих тысяч километров друг от друга, что может существенно воспрепятствовать мерам по отражению атаки.    
3.2. Виды нарушений информационной безопасности

Вкратце опишем самые распространенные атаки, которые присущи абсолютному большинству компаний. Во-первых, это вирусы. По различным данным в прошлом году вирусным атакам было подвержено от 65 до 80% компаний во всем мире. И эта цифра неуклонно растет. Далее следует назвать программы типа «троянский конь», которые могут быть незаметно для владельца установлены на его компьютер и также незаметно функционировать на нем. Самые распространенные варианты «троянского коня» выполняют всего лишь одну функцию - кража паролей, но есть и более «продвинутые» экземпляры, которые реализуют весь спектр функций для удаленного управления компьютером, включая просмотр содержимого экрана, перехват всех вводимых с клавиатуры клавиш, кража и изменение файлов.     Другим распространенным типом атак являются действия, направленные на выведение из строя того или иного узла сети. Эти атаки получили название «отказ в обслуживании». Известно более сотни различных вариантов этих действий. Как уже отмечалось выше, выведение из строя узла сети даже на несколько часов или минут может привести к серьезным последствиям. Например, неисправность сервера платежной системы банка приведет к невозможности осуществления платежей и, как следствие, к большим прямым и косвенным финансовым потерям.     Если говорить об общей классификации компьютерных преступлений, то термин «компьютерная преступность» появился в американской, а затем другой зарубежной печати в начале 60-х, когда были выявлены первые случаи преступлений, совершенных с использованием ЭВМ.     В уголовно-правовой литературе последних лет при характеристике интересующей нас темы используется целый ряд понятий: «информационное преступление», «компьютерное преступление», «преступление в сфере компьютерной информации». Первые два из них пересекаются, причем оба включают в себя в качестве части третье, более узкое по объему. Предметом информационного преступления является любая информация, в т.ч. и компьютерная. Под компьютерным преступлением в литературе чаще всего понимается деяние, в котором машинная информация и ЭВМ являются либо предметом либо средством (например, мошенничество с помощью компьютера).     Значительный опыт уголовно-правовой классификации преступлений в сфере компьютерной информации накоплен в ведущих промышленно развитых государствах мира.     Одной из наиболее распространенных из существующих классификаций преступлений в сфере компьютерной информации является кодификатор рабочей группы Интерпола, который был положен в основу автоматизированной информационно-поисковой системы, созданной в начале 90-х годов. В соответствии с названным кодификатором все компьютерные преступления классифицированы следующим образом:     QA - Несанкционированный доступ и перехват:     QAH - компьютерный абордаж (несанкционированный доступ);     QAJ - перехват с помощью специальных технических средств;     QAT - кража времени (уклонение от платы за пользование АИС);     QAZ - прочие виды несанкционированного доступа и перехвата.     QD - Изменение компьютерных данных:     QDL - логическая бомба;     QDT - троянский конь;     QDV - компьютерный вирус;     QDW- компьютерный червь;     QDZ - прочие виды изменения данных.     QF - Компьютерное мошенничество:     QFC - мошенничество с банкоматами;     QFF - компьютерная подделка;     QFG - мошенничество с игровыми автоматами;     QFM - манипуляции с программами ввода-вывода;     QFP - мошенничества с платежными средствами;     QFT - телефонное мошенничество;     QFZ - прочие компьютерные мошенничества.     QR - Незаконное копирование:     QRG - компьютерные игры;     QRS - прочее программное обеспечение;     QRT - топология полупроводниковых устройств;     QRZ - прочее незаконное копирование.     QS - Компьютерный саботаж:     QSH - с аппаратным обеспечением (нарушение работы компьютера);     QSS - с программным обеспечением (уничтожение, блокирование информации);     QSZ - прочие виды саботажа.     QZ - Прочие компьютерные преступления:     QZB - с использованием компьютерных досок объявлений; QZE - хищение информации, составляющей коммерческую тайну; QZS -передача информации, подлежащая судебному рассмотрению.     QZZ Иные компьютерные преступления.     Данная классификация применяется при отправлении запросов или сообщений о компьютерных преступлениях по телекоммуникационной сети Интерпола. Одним из ее достоинств является введение литеры «Z», отражающей прочие виды преступлений и позволяющей совершенствовать и дополнять используемую классификацию.    
Определенный интерес представляет следующая классификация:     1. Неправомерное завладение информацией или нарушение исключительного права ее использования.     1.1. Неправомерное завладение информацией как совокупностью сведений, документов (нарушение исключительного права владения).     1.2. Неправомерное завладение информацией как товаром.     1.3. Неправомерное завладение информацией как идеей (алгоритмом, методом решения задачи).     2. Неправомерная модификация информации.     2.1. Неправомерная модификация информации как товара с целью воспользоваться ее полезными свойствами (снятие защиты).     2.2. Неправомерная модификация информации как идеи, алгоритма и выдача за свою (подправка алгоритма).     2.3. Неправомерная модификация информации как совокупности фактов, сведений.     3. Разрушение информации.     3.1. Разрушение информации как товара.     3.2. Уничтожение информации.     4. Действие или бездействие по созданию (генерации) информации с заданными свойствами.     4.1. Распространение по телекоммуникационным каналам информационно-вычислительных сетей информации, наносящей ущерб государству, обществу и личности.     4.2. Разработка и распространение компьютерных вирусов и про чих вредоносных программ для ЭВМ.     4.3. Преступная халатность при разработке (эксплуатации) программного обеспечения, алгоритма в нарушение установленных технических норм и правил.     5. Действия, направленные на создание препятствий пользования информацией законным пользователям.     5.1. Неправомерное использование ресурсов автоматизированных систем (памяти, машинного времени и т. п.).     5.2. Информационное «подавление» узлов телекоммуникационных систем (создание потока ложных вызовов).     Опишем кратко основные особенности выделенных выше типов нарушений информационной безопасности.     Неправомерное завладение информацией как совокупностью сведений, фактов (нарушение исключительного права владения), т.е. ознакомление, а в некоторых случаях и распоряжение информацией субъектом, не имеющим на это законного права. Это наиболее часто встречающийся класс простейших преступных деяний, к которым относятся, как правило, без должного внимания. Примером данного вида деяний является ознакомление служащего банка с записью в базе данных о размере вклада того или иного клиента, его адресе, видах сделок и т. п. Результаты данного действия могут быть записаны на машинный носитель информации (магнитный или лазерный диск, магнитную ленту и т. п.), бумагу или просто остаться в памяти человека.     Неправомерное завладение информацией как товаром (незаконное копирование информации как товара). Это наиболее распространенный вид преступных деяний, который заключается в копировании программ или целой информационной системы (банка данных, электронного архива и т.п.) без согласия (разрешения) владельца или собственника. Данный вид деяний очень широко распространен в нашей стране как форма получения современного программного обеспечения. Еще более усложнилась задача защиты авторских прав в условиях развития глобальных сетей. Если на физических носителях правонарушители создают и распространяют хотя и большое, но все же конечное количество контрафактных экземпляров, то с публикацией в Интернет информация сразу становится доступной миллионам потребителей. Затруднено и установление фактических обстоятельств дела - субъектов, места совершения преступления, - ведь информация может быть размещена нарушителем на сервере, находящимся на территории другого государства.     Неправомерное завладение информацией как идеей, алгоритмом (методом преобразования информации). Данный вид преступления заключается в ознакомлении с использующимся методом расчета каких-либо оценок, алгоритмом принятия решений в экспертной системе или другой автоматизированной системе принятия решений. Примером такого деяния может быть ознакомление с методом расчета вероятности преодоления противоракетной обороны средствами воздушно-космического нападения вероятного противника, ознакомление с использующимся типом (механизмом) системы защиты информации в электронной системе платежей банка.     Неправомерная модификация информации как товара. Данный вид деятельности, так же как и неправомерное завладение информацией как товаром, получил большое распространение в России, однако ни в уголовном, ни в административно-правовом порядке ненаказуем. Многие фирмы-производители программного обеспечения, стараясь защитить себя от компьютерного пиратства, разрабатывают и используют различные методы защиты от копирования и анализа своих разработок. Однако экономические условия, в которых функционирует наша экономика, а также принципиальная невозможность создания абсолютных средств защиты информации приводят к тому, что в программное обеспечение или базу данных, полученную однажды законным (или «полузаконным» путем), вносится модификация, позволяющая делать неограниченное количество копий и использовать полезные свойства информации как товара без каких-либо ограничений (временных или по числу раз запуска), наложенных разработчиком.     Неправомерная модификация информации как идеи. Данный вид преступного деяния встречается гораздо реже и заключается не только в получении какого-либо программного обеспечения, но и его обязательный предварительный анализ. Примером такого рода действий могут служить широко известные случаи преступления в банковской сфере, когда в алгоритмы выполнения действий с записями на счетах, взимания процентов и пр. вносились незапланированные модификации, при которых с каждой операции на заранее подготовленный счет делались отчисления. Практически все известные на сегодняшний день преступления такого рода совершены разработчиками программного обеспечения и чаще всего теми же, которые его эксплуатируют.     Неправомерная модификация информации как совокупности фактов. Данный вид преступлений особенно широкое распространение получил в автоматизированных банковских системах, так как именно в них записи в полях баз данных отражают определенные денежные суммы или другие сведения, которые имеют конкретное денежное или иное экономическое выражение.     Разработка и распространение компьютерных вирусов. Этот вид деяний является очень распространенным в настоящее время и может соперничать по количеству зарегистрированных фактов разве что только с неправомерным завладением информацией как товаром.     Преступная халатность при разработке программного обеспечения, алгоритма в нарушение установленных технических норм и правил. Развитие вычислительной техники и информатики привело к тому, что автоматизированные системы управления находят свое применение практически во всех отраслях техники и экономики. Не являются исключением и вооружение, объекты атомной энергетики, непрерывные химические производства, системы управления воздушным движением, а также другие объекты, аварии и неисправности которых могут причинить огромный ущерб и непоправимые последствия. В связи с этим уже в настоящее время у нас в стране и за рубежом разработаны стандарты, инструкции и рекомендации, определяющие порядок разработки, испытания, эксплуатации и сопровождения программных средств критического приложения. Таким образом, здесь под составом преступления следует понимать нарушение этих установленных правил, которые повлекли за собой тяжкие последствия.     Неправомерное использование ресурсов автоматизированных систем. Развитие вычислительной техники, появление сетей привело к возможности их коллективного использования различными субъектами. При этом потребители запрашивают и оплачивают определенный вычислительный или временной ресурс. Под составом преступного деяния здесь следует понимать скрытый неправомерный захват вычислительного ресурса коллективного пользования каким-либо субъектом с намерениями минимизации либо полного исключения своих затрат за время его использования.     Информационное «подавление» узлов телекоммуникационных систем. Появление доступных информационных систем коллективного пользования, построенных на основе стандартных телефонных каналов взаимосвязанной системы связи России, позволило решать задачи информационного обеспечения самых широких кругов потребителей. В частности, с использованием этой информационной технологии разрабатывались системы электронных торгов на биржах, передачи ценовой информации, проведения электронных платежей. Большую роль в этом играет оперативность получения информации с использованием систем такого рода. Преднамеренная чрезмерная загрузка коммутирующих узлов делает оперативное получение информации невозможным.

4. Организационные методы информационной безопасности

4.1. Управление персоналом

С одной стороны, общепризнанно, что это одна из важнейших сторон обеспечения информационной безопасности предприятия. С другой - именно эта сторона может вызвать у вас чувство определенного дискомфорта, связанного с кажущимся недоверием к вам со стороны администрации организации или предприятия. В солидных организациях управление персоналом начинается еще до приема нового сотрудника на работу. Чем критичнее должность с точки зрения обеспечения информационной безопасности, тем тщательнее вас будут проверять, наводя справки самым различным образом (возможно через бывших сослуживцев, знакомых и пр., вплоть до правоохранительных органов). При приеме на работу от вас могут потребовать, например, подписать различные соглашения о неразглашении конфиденциальной информации. В ходе работы может проводиться проверка данных, записанных на вашем компьютере, за вами может вестись контроль с помощью видеокамер внутреннего наблюдения и т.д.     В общем случае ко всему этому нужно относиться с определенной долей понимания и здравого смысла, однако не стоит забывать и о собственных интересах.     С точки зрения информационной безопасности существует два общих принципа, используемых при управлении кадрами: разделение обязанностей и минимизация привилегий. Принцип разделения обязанностей состоит в таком распределении ролей и ответственности, чтобы один человек не смог нарушить критически важный для организации процесс. Принцип минимизации привилегий служит развитием предыдущего и предписывает выделять пользователям только те права доступа к информации, которые необходимы им для выполнения служебных обязанностей.     Смысл этих принципов очевиден - уменьшить ущерб от случайных или умышленных некорректных действий пользователей. Важно, однако, как конкретно реализованы эти принципы в организации или на предприятии и не окажетесь ли вы «крайним», когда будут искать виновника того или иного нарушения информационной безопасности.     Что можно сделать, чтобы хоть как-то защитить свои интересы? Формальных правил здесь, к сожалению нет, но можно дать несколько практических советов.     Во-первых, следует обязательно познакомиться с должностной инструкцией или другим документом, определяющим ваши права, обязанности и ответственность как сотрудника конкретной организации, в том числе и с точки зрения информационной безопасности. Если такого документа нет, желательно, чтобы эти вопросы явно были отражены в контракте или аналогичном документе. Тем самым вы сможете в какой-то мере избежать необоснованных претензий.     Во-вторых, можно потребовать, чтобы вас ознакомили (в пределах ваших полномочий) с основами общей политики безопасности, принятой на предприятии.     В-третьих, имеет смысл позаботиться о формальном протоколировании всех действий, связанных с предоставлением вам тех или иных полномочий доступа к информации и, что особенно важно, с передачей этих полномочий другим лицам (на время вашего отпуска, командировки, болезни и пр.). В последнем случае следует обязательно удостовериться, что переданные полномочия изъяты у другого лица после вашего возвращения.     И, наконец, стоит обратить внимание на то, могут ли получить доступ к конфиденциальной информации, с которой вы работаете, сотрудники внешних организаций, проводящих, например, обновление версий программного обеспечения, установку новых систем, профилактическое обслуживание, ремонт и т.п. В любом случае в ваших интересах, чтобы время проведения их работ протоколировалось тем или иным образом.

4.2. Физическая защита

Очевидно, что информационная безопасность компьютерной системы самым непосредственным образом зависит от окружения, в котором она работает. В частности, важное значение здесь имеют меры так называемой физической защиты, в состав которых входят:     физическое управление доступом;     противопожарные меры;     защита поддерживающей инфраструктуры;     защита от перехвата данных;     защита мобильных систем.     С какой точки зрения эти меры могут интересовать вас как пользователя, работающего с конфиденциальной информацией? Ответ простой - без соблюдения администрацией этих мер вы просто не можете нести ответственность за сохранность информации, с которой работаете.     Задача мер физического управления доступом - контроль и при необходимости ограничение входа и выхода сотрудников и посетителей как на общую территорию организации, так и в ее отдельные режимные помещения, например те, где расположены серверы, коммуникационная аппаратура, хранилища машинных носителей и т.п. Средства физического управления доступом известны давно - это охрана, двери с замками, перегородки, телекамеры, датчики движения и многое другое.     Ваша задача - убедиться в соответствии мер физической защиты предъявляемым к вам требованиям по работе с конфиденциальной информацией. Приведем несколько самых простых примеров. Может ли экран монитора, на котором вы работаете с конфиденциальной информацией, просматриваться посетителями или сотрудниками, не имеющими соответствующего допуска? Как хранятся конфиденциальные документы во время вашего отсутствия, могут ли получить к ним доступ посторонние лица? Таких вопросов можно задать еще очень много. Важны их последствия. Например, если в организации, где вы работаете, принято хранить конфиденциальные документы просто в ящике стола, установленного в комнате, где работают еще несколько человек, и приходят посетители, то брать на себя ответственность за их сохранность вряд ли будет разумным. Во избежание возможных неприятностей эти вопросы необходимо поставить перед непосредственным руководителем или службой безопасности.     Противопожарные меры и меры по защите поддерживающей инфраструктуры призваны свести к минимуму ущерб, вызванный огнем или авариями электропитания, водопровода, отопления и т.п. Здесь можно руководствоваться определенными соображениями здравого смысла. Есть инструкция по противопожарным мерам? Выполняйте ее неукоснительно, о нарушениях незамедлительно сообщайте руководству, иначе виновным можете оказаться именно вы. «Гуляет» или часто пропадает напряжение в сети - обязательно ставьте вопрос о приобретении источников бесперебойного питания, иначе можете потерять ценную информацию или нарушить ее целостность. Ветхие трубы отопления или водопровода (в том числе и над вашей комнатой) - бейте тревогу.     Как мы уже говорили во второй главе, перехват данных может осуществляться самыми различными, в том числе и очень изощренными способами. Самостоятельно решить проблему защиты от перехвата вы, разумеется, не сможете. Однако, если руководство постоянно подчеркивает конфиденциальность данных, с которыми вы работаете, имеет смысл явно поставить перед ним эту проблему. В принципе здесь может применяться экранирование помещения, использоваться различные зашумляющие устройства и т.п., выбор которых уж совсем не входит в ваши обязанности.     Если конфиденциальная информация записана на ноутбуке, который вы берете на деловые встречи и домой, то вполне возможный способ ее утечки - кража ноутбука. Здесь нужно обязательно обратить внимание, во-первых, на обеспечение сохранности ноутбука, а во-вторых - на защиту хранящейся на нем информации программно-техническими методами.

4.3. Поддержание работоспособности

Из самых общих соображений понятно, что эти меры имеют важное значение для нормального функционирования информационно-вычислительной системы. Организация их выполнения - задача соответствующей специализированной службы. На что вы должны обратить внимание, как пользователь? Здесь можно выделить следующие группы вопросов.     Во-первых, важно, как организовано (да и организовано ли вообще) на вашем предприятии так называемое резервное копирование. Оно необходимо для восстановления программ и данных после возможных умышленных нарушений информационной безопасности или после аварий. Восстановлением программ должны заниматься специализированные службы, а вот меры по обеспечению возможности восстановления вашей информации зачастую придется принимать непосредственно вам. Хорошо, если регулярность резервного копирования определяется должностной инструкцией или еще каким-то директивным документом. Тогда стоит лишь посмотреть, соответствуют ли эти требования реальному положению вещей. Например, документ может устареть или быть ориентированным на другой вид информации, в результате резервное копирование будет проводиться слишком часто, слишком редко или в нерациональном составе. А вот если такого документа нет, следует обязательно согласовать правила регулярного резервного копирования с руководством и службой информатизации. Практика показывает, что, несмотря на некоторую обременительность резервного копирования, пренебрегать им крайне опасно, можно полностью потерять всю информацию, накопленную за длительное время.     Во-вторых, важно, как организована на предприятии поддержка пользователей. По ходу работы даже у опытного пользователя могут возникать вопросы к системным администраторам и другим специалистам по работе конкретных программ и систем. В разрешении этих вопросов и состоит поддержка пользователей. В контексте данной книги очень важно, чтобы в общем потоке этих вопросов выявлялись проблемы, потенциально связанные с информационной безопасностью.     Работоспособность системы может быть нарушена непреднамеренными действиями пользователя. В этом плане мы настоятельно не рекомендуем вам самостоятельно устанавливать на компьютер новые программы или проводить обновление текущих версий. Пусть этим занимаются специалисты. Дело не только в том, что при этом вы можете занести в систему компьютерный вирус. (Это достаточно известный факт, хотя пользователи с упорством, достойным лучшего применения, продолжают наступать здесь на одни и те же грабли). При установке новой программы вы можете незаметно для себя сменить набор драйверов, настройки системных программ и т.п., что в принципе может повлечь нарушение работоспособности системы в целом или нарушение работы ее механизмов информационной безопасности.

4.4. Планирование восстановительных работ

Общее планирование восстановительных работ, как и реализация всех рассмотренных выше составляющих организационных мер обеспечения информационной безопасности - задача специализированной службы. Тем не менее и вы лично должны быть готовы к проведению работ по восстановлению вашей информации после аварии или умышленного нарушения целостности данных.     Прежде всего отметим формальный момент: нужно в общих чертах представлять себе весь план восстановительных работ организации и детально - свое место в этих работах.     С практической точки зрения не лишним будет составить и свой план восстановления, рассмотрев основные возможные проблемы, например, что вы будете делать, если выйдет из строя компьютер, на котором вы обычно работаете, если вирус разрушит информацию на вашем винчестере, если выйдет из строя сервер сети или нарушится передача информации по линиям связи. Важность наличия такого плана объясняется и тем обстоятельством, что восстановление часто проводится в условиях катастрофического дефицита времени, повышенной занятости системного персонала, зачастую в нервной обстановке, когда получить консультацию будет просто некогда или не у кого.     Следует иметь в виду, что восстановление работы с информацией сразу в полном объеме может оказаться практически невозможным. Поэтому имеет смысл подумать о том, как восстановить основные критические для работы организации функции хотя бы временным путем (использование другого компьютера или другого сегмента сети, обходных или временных каналов связи, частичное восстановление информации по резервным копиям, ручная обработка и пр.).

5. Программно-технические методы обеспечения информационной безопасности

5.1. Идентификация и аутентификация

Эти, на первый взгляд, достаточно формальные термины фактически являются основой всех программно-технических средств информационной безопасности, поскольку остальные средства, рассматриваемые ниже, рассчитаны на работу с уже идентифицированными пользователями. Часто процессы идентификации и аутентификации взаимосвязаны, поэтому возможна некоторая путаница этих понятий. Давайте остановимся на их смысле подробнее, опуская пока технические детали.     Идентификация процесс, позволяющий установить имя пользователя. Хорошим примером здесь, в частности, может служить вручение визитной карточки, где указаны имя, должность и другие атрибуты конкретного лица. Но как убедиться, что визитная карточка принадлежит действительно тому человеку, который называет ее своей?     Здесь потребуется уже процедура аутентификации. Аутентификация предполагает выполнение процесса проверки подлинности введенного в систему имени пользователя. На бытовом уровне аутентификация может, например, осуществляться с помощью фотографии. Еще одним примером аутентификации может служить узнавание голоса при звонках по телефону - вряд ли вы будете продолжать беседу с человеком, назвавшимся по телефону знакомой фамилией, но говорящим незнакомым голосом и с другими интонациями.     Средства идентификации и аутентификации могут и объединяться. Всем известным примером здесь может быть служебное удостоверение, где приведены и данные для идентификации (фамилия, должность и пр.) и данные для аутентификации (фотография). Важно отметить, что и сами средства идентификации и аутентификации могут иметь некоторые признаки, подтверждающие их подлинность. На удостоверении, например, это печати, подписи и, при необходимости, другие признаки защиты от подделок.     Предыдущий пример приведен неслучайно. В информационных технологиях способы идентификации и аутентификации являются своеобразным служебным удостоверением пользователя, обеспечивающим его доступ в информационное пространство организации в целом или отдельные разделы этого пространства.     Весьма значительное число используемых в настоящее время способов идентификации и аутентификации пользователя информационно-вычислительных систем можно разделить на следующие основные группы:     парольные методы;     методы с применением специализированных аппаратных средств;     методы, основанные на анализе биометрических характеристик пользователя.     Наибольшее распространение получили парольные методы, что объясняется относительной простотой их реализации. Смысл этих методов заключается в том, что для входа в систему пользователь вводит два кода: свое условное имя (идентификация) и уникальный, известный только ему одному код-пароль для аутентификации. При правильном использовании парольные схемы могут обеспечить приемлемый для многих организаций уровень безопасности. Тем не менее по совокупности характеристик они считаются сегодня самым слабым средством аутентификации. Дело в том, что надежность паролей очень сильно зависит от «человеческого фактора». Она изначально основана на способности людей помнить пароль и хранить его в тайне. Однако, чтобы пароль был запоминающимся, его зачастую делают простым, а простой пароль нетрудно угадать, особенно если знать пристрастия данного пользователя. Сложный пароль часто записывают на бумажке, которую не так уж трудно найти злоумышленнику. Кроме того, пароль можно подсмотреть при вводе, подобрать с помощью специальных программ и т.п.     Вторая из выделенных схем идентификации и аутентификации предполагает использование специальных устройств - магнитных карт, смарт-карт, так называемых таблеток, токенов и др., на которых записана уникальная информация. Эти методы отличаются большей устойчивостью, однако потребуют от вас в рабочее время постоянного ношения соответствующего блока. В принципе это необременительно, поскольку сейчас такие устройства по размеру и весу не больше обычного брелка для ключей (да, как правило, они и носятся таким же образом). Однако существует вполне реальная возможность потери или кражи аппаратного идентификатора, его можно просто забыть дома и т.п. Поэтому в ряде организаций практикуется получение аппаратных идентификаторов утром перед началом работы и возврат их на хранение перед уходом с предприятия с соответствующим документированием этой процедуры.     Наиболее перспективным в настоящее время считается использование средств идентификации пользователя по биометрическим признакам - отпечаток пальца, рисунок радужной оболочки глаз, отпечаток ладони и др. Эти методы обладают достаточно высокой надежностью и в то же время не требуют от пользователя запоминания и хранения в тайне сложных паролей или заботы о сохранности аппаратного идентификатора. Многим из вас, возможно, эти методы знакомы пока лишь по приключенческим кинофильмам, однако развитие информационных технологий ведет к тому, что стоимость этих средств становится доступной для большинства организаций. Правда, и эти средства не лишены недостатков. Не говоря уже о возможности использования «мертвой руки» или «мертвого пальца», здесь можно упомянуть о проблемах с идентификацией, возникающих из-за изменения радужной оболочки под воздействием некоторых лекарств или связанных с изменениями в кожном покрове под воздействием высокой или низкой температуры воздуха. Например, если вы вошли в помещение с замерзшими руками, система аутентификации по отпечаткам пальцев может вас не опознать.     С какими из рассмотренных методов придется иметь дело на практике? В принципе вопрос о применимости того или иного средства решается в зависимости от выявленных угроз и технических характеристик защищаемого объекта. Здесь обычно выбирается компромисс между надежностью, доступностью по цене, удобством использования и администрирования средств идентификации и аутентификации. Наверняка большинство из наших читателей уже тем или иным способом использовали парольную защиту. Вполне возможно, что в будущем вы столкнетесь и с аппаратными идентификаторами и с идентификацией по биометрическим характеристикам.




5.2. Разграничение доступа

Итак, с помощью средств идентификации и аутентификации вы получили доступ в систему. Теперь в дело вступают средства логического управления доступом. В принципе их задача примерно та же, что и у средств физического управления доступом, которые мы рассмотрели выше. Средства логического управления доступом тоже контролируют возможность попадания пользователя в тот или иной раздел информации, хранящейся в системе, только они реализуются программным путем. Логическое управление доступом - это основной механизм многопользовательских систем, призванный обеспечить конфиденциальность и целостность информации.     Нужно сказать, что тема логического управления доступом - одна из сложнейших в области информационной безопасности. Поскольку вам наверняка не придется разбираться в ней «изнутри», мы отметим лишь следующее. Схему управления доступом принято характеризовать так называемой матрицей доступа, в строках которой перечислены субъекты, в столбцах - объекты, а в клетках, расположенных на пересечении строк и столбцов, записаны разрешенные виды доступа и дополнительные условия (например, время и место действия).     Удобной надстройкой над средствами логического управления доступом является ограничивающий интерфейс, когда пользователя лишают самой возможности попытаться совершить несанкционированные действия, включив в число видимых ему объектов только те, к которым он имеет доступ. Подобный подход обычно реализуют в рамках системы меню и пользователю показывают лишь допустимые варианты выбора.

5.3. Протоколирование и аудит

Эти термины невольно вызывают ассоциации с правоохранительными органами и финансовой деятельностью. В информационной безопасности они имеют свою специфику.     Под протоколированием понимается сбор и накопление информации о событиях, происходящих в информационно-вычислительной системе. У каждой программы есть свой набор возможных событий, но в любом случае их можно подразделить на внешние - вызванные действиями других программ или оборудования, внутренние - вызванные действиями самой программы, и клиентские - вызванные действиями пользователей и администраторов.     Аудит - это анализ накопленной информации, проводимый оперативно, почти в реальном времени, или периодически.     Реализация протоколирования и аудита преследует следующие главные цели:     обеспечение подотчетности пользователей и администраторов;     обеспечение возможности реконструкции последовательности событий;     обнаружение попыток нарушений информационной безопасности;     предоставление информации для выявления и анализа проблем.     Вы, как пользователь, не в состоянии вмешаться в процесс протоколирования, а в процессе аудита будете участвовать скорее всего только тогда, когда по результатам аудита к вам будут претензии. Тем не менее не стоит забывать, что в хорошо сделанной системе фиксируются все ваши попытки доступа к информации и практически все виды действий, которые вы над этой информацией производите.     В принципе обеспечение подобной подотчетности считается одним из средств сдерживания попыток нарушения информационной безопасности - в этих условиях труднее замести следы, поэтому злоумышленнику нужно принимать какие-то дополнительные меры, а просто любопытные побоятся предпринимать несанкционированные действия. Если есть основания подозревать какого-то конкретного пользователя, его работу можно рассмотреть «под микроскопом» - регистрировать его действия особенно детально, например, до каждого нажатия клавиши. Последующая реконструкция событий позволяет выявить слабости в защите, найти виновника, определить способ устранения проблемы и вернуться к нормальной работе. Тем самым в определенной степени обеспечивается целостность информации.     Можно, однако, упомянуть и о другой стороне медали - если подобными средствами воспользуется злоумышленник, который тем или иным образом получил соответствующие полномочия, то работа системы будет перед ним как на ладони.

5.4. Криптографическое преобразование данных

Криптография, или шифрование - одна из самых наукоемких и до настоящего времени одна из самых закрытых областей информационной безопасности. Во многих отношениях она занимает центральное место среди программно-технических средств безопасности, являясь основой реализации многих из них и, если можно так выразиться, последним барьером, предотвращающим несанкционированный доступ к информации.     Поскольку разработка криптографических средств наверняка не входит в ваши обязанности, но использовать их вам скорее всего придется, мы ограничимся здесь самыми общими представлениями. В современной криптографии используются два основных метода шифрования - симметричное и асимметричное.     В симметричном шифровании один и тот же ключ используется и для шифровки, и для расшифровки сообщений. Существуют весьма эффективные методы симметричного шифрования. Имеется и российский стандарт на подобные методы - ГОСТ 28147-89 «Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования». Основным недостатком симметричного шифрования является то, что секретный ключ должен быть известен и отправителю, и получателю. С одной стороны, это ставит проблему безопасной пересылки ключей при обмене сообщениями.     С другой - получатель, имеющий шифрованное и расшифрованное сообщение, не может доказать, что он получил его от конкретного отправителя, поскольку такое же сообщение он мог сгенерировать и сам.     В асимметричных методах применяются два ключа. Один из них, несекретный, используется для шифровки и может без всяких опасений передаваться по открытым каналам, другой - секретный, применяется для расшифровки и известен только получателю.     Асимметричные методы шифрования позволяют реализовать так называемую электронную подпись, или электронное заверение сообщения. Идея состоит в том, что отправитель посылает два экземпляра сообщения - открытое и дешифрованное его секретным ключом (здесь следует учитывать, что дешифровка незашифрованного сообщения на самом деле есть форма шифрования). Получатель может зашифровать с помощью открытого ключа отправителя дешифрованный экземпляр и сравнить с открытым. Если они совпадут, личность и подпись отправителя можно считать установленными.     Существенным недостатком асимметричных методов является их низкое быстродействие, поэтому их приходится сочетать с симметричными. Так, для решения задачи рассылки ключей сообщение сначала симметрично шифруют случайным ключом, затем этот ключ шифруют открытым асимметричным ключом получателя, после чего сообщение и ключ отправляются по сети.     Обратим внимание на то, что при использовании асимметричных методов необходимо иметь гарантию подлинности пары (имя, открытый ключ) адресата. Для решения этой задачи вводится понятие сертификационного центра, который заверяет справочник имен/ключей своей подписью.     В любом случае вам нужно иметь в виду, что ахиллесовой пятой любого метода шифрования является секретный ключ. При его случайном или намеренном раскрытии все усилия по шифрованию пропадут даром. Поэтому определенную проблему здесь составляет надежное хранение закрытых ключей.

5.5. Экранирование

С развитием сетевых технологий все большую актуальность приобретает защита от случайных или намеренных воздействий из внешних сетей (например, Интернет), с которыми взаимодействует сеть предприятия. Для этой цели используются различные разновидности так называемых межсетевых экранов, а сам процесс защиты получил название экранирования. Если опустить технические подробности, то межсетевой экран - это специализированная программная система, ограничивающая возможность передачи информации как из внешней сети в сеть предприятия, так и из сети предприятия во внешнюю среду. Помимо функций разграничения доступа, экраны осуществляют также протоколирование информационных обменов.     Говоря об межсетевых экранах, нельзя не остановиться на одном из общих прагматических аспектов защиты информации. Любое подключение к сети в потенциале предоставляет «лазейку» для несанкционированного доступа к информации. Поэтому для надежного хранения конфиденциальных данных используются автономные, не подключаемые к сети системы. Средства защиты информации в сети имеет смысл использовать, только если эта информация как раз и предназначена для сетевого применения - например, в электронной коммерции, на информационных серверах Интернет и т.п.

6. Критерии оценки защищенности систем информационной безопасности

6.1. Международные критерии

До сравнительно недавнего времени основным международным документом, на который тем или иным образом ориентировались большинство национальных стандартов по оценке безопасности информационных продуктов, систем и технологий, была так называемая «Оранжевая УМК». По цвету обложки такое название получил опубликованный в 1983 году документ «Критерии оценки надежных компьютерных систем» (Trusted Computer Systems Evaluation Criteria, TCSEC), разработанный по заказу Министерства обороны США. «Оранжевая УМК» сыграла значительную роль в области защиты информации как основа для создания многих национальных (в том числе российских) стандартов и документов для сертификационных испытаний. В частности, на ее базе разработан ряд документов Гостехкомиссии России, о которых пойдет речь в следующем разделе.     В «Оранжевой книге» определены семь классов безопасности: А1, ВЗ, В2, B1, C2, C1, D (приведены в порядке уменьшения требований, т.е. класс ВЗ выше класса В1 или С2). Помимо своих специфических требований более высокий класс включает в себя требования, предъявляемые к более низкому классу. Уровень D предназначен для систем, признанных неудовлетворительными с точки зрения безопасности.     Однако основные концепции «Оранжевой книги» были ориентированы на защиту крупных вычислительных комплексов (так называемых мейнфреймов), в том числе специального назначения. По мере массового распространения персональных компьютеров и развития распределенных сетевых систем в принятом в «Оранжевой книге» классическом подходе к оценке безопасности выявился ряд недостатков. В частности, классификация уровней защищенности в «Оранжевой книге» не охватывала специфику широко распространенных на сегодняшний день коммерческих и банковских приложений, в ней недостаточно полно по современным требованиям были проработаны вопросы контроля за целостностью данных пользователя и др. В связи с этим возникла потребность в разработке более гибких и по-новому структурированных критериев.     Летом 1999 года Международная организация по стандартизации (ISO) приняла «Общие критерии оценки безопасности информационных технологий» в качестве международного стандарта ISO/TEC 15408: 1999. «Информационная технология - Методы и средства защиты информации -Критерии оценки безопасности ИТ».     «Общие критерии» представляют собой базовый стандарт, определяющий структуру и содержание двух документов, - «профиль защиты» (ПЗ) и «цель безопасности» (ЦБ). ПЗ разрабатывается для новых продуктов и систем и представляет собой независимую от особенностей реализации структуру для определения и обоснования требований безопасности, включающую неизменный и полный набор задач безопасности, функциональных и гарантийных требований. ПЗ может рассматриваться как детальное определение требований безопасности и гарантий, которые пользователи хотят видеть в продукте или системе. ЦБ разрабатывается для действующих или почти созданных продуктов и систем и может рассматриваться как описание в терминах требований безопасности того, что поставщик предлагает в продукте или системе. На основе ЦБ и делается оценка конкретного информационного продукта или системы, называемого предметом оценки безопасности (ЛОБ).     Стандарт «ISO/D5C 15408: 1999. Информационная технология - Методы и средства защиты информации - Критерии оценки безопасности ИТ» важен в качестве перспективной основы для создания согласованной с международными требованиями национальной нормативно-методической базы информационной безопасности. Как мы уже говорили выше, в настоящее время на его основе ведется разработка российского стандарта соответствующего назначения.
6.2. Основные принципы категорирования защищаемых ресурсов, принятые в России

В настоящее время эти принципы определяются рядом руководящих документов Гостехкомиссии России.    В частности, «Концепция защиты от несанкционированного доступа к информации» предусматривает оценку технических средств защиты от НСД по следующим основным параметрам:     степень полноты охвата правил разграничения до ступа реализованной системой разграничения до ступа и ее качество;     состав и качество обеспечивающих средств для системы разграничения доступа;     гарантии правильности функционирования системы разграничения доступа и обеспечивающих ее средств.
Концепция предполагает существование двух относительно самостоятельных и, следовательно, имеющих отличие направлений в проблеме защиты информации от НСД. Это направление, связанное со средствами вычислительной техники (СВТ), и направление, связанное с автоматизированными системами (АС). Отличие двух направлений объясняется тем, что СВТ разрабатываются и поставляются на рынок лишь как элементы, из которых в дальнейшем строятся функционально ориентированные АС, и поэтому, не решая прикладных задач, СВТ не содержат пользовательской информации. Помимо пользовательской информации при создании автоматизированных систем появляются такие отсутствующие при разработке СВТ характеристики АС, как полномочия пользователей, модель нарушителя, технология обработки информации.
Предлагаемая в документах Гостехкомисси России классификация СВТ по уровню защищенности от несанкционированного доступа к информации достаточно близка к классификации «Оранжевой книги». Здесь устанавливаются семь классов защищенности СВТ от НСД к информации. Самый низкий класс - седьмой, самый высокий первый. Классы подразделяются на четыре группы, отличающиеся качественным уровнем защиты:     первая группа содержит только один седьмой класс;     вторая группа характеризуется дискреционной защитой и содержит шестой и пятый классы;     третья группа характеризуется мандатной защитой и содержит четвертый, третий и второй классы;     четвертая группа характеризуется верифицирован ной защитой и содержит только первый класс.     Седьмой класс присваивают СВТ, к которым предъявлялись требования по защите от НСД к информации, однако при оценке защищенность СВТ оказалась ниже уровня требований шестого класса. В таблице приведены распределения показателей защищенности по шести классам СВТ.




Распределение показателей защищенности по шести классам СВТ
Наименование показателя
Класс защищенности



6
5
4
3
2
1

1 . Дискреционный принцип контроля доступа
+
+
+
=
+
=

2. Мандатный принцип контроля доступа
-
-
+
=
=
=

3. Очистка памяти
-
+
+
+
=
=

4. Изоляция модулей
-
-
+
=
+
=

5. Маркировка документов
-
-
+
=
=
=

6. Защита ввода и вывода на отчуждаемый физический носитель информации
-
-
+
=
=
=

7. Сопоставление пользователя с устройством
-
-
+
=
=
=

8. Идентификация и аутентификация
+
=
+
=
=
=

9. Гарантии проектирования
-
+
+
+
+
+

10. Регистрация
-
+
+
+
+
+

11. Взаимодействие пользователя с КСЗ
-
-
-
+
=
=

12. Надежное восстановление
-
-
-
+
=
=

17. Тестирование
+
+
+
+
+
=

18. Руководство пользователя
+
=
=
=
т
=

19. Руководство по КСЗ
+
+
=
+
+
=

20. Тестовая документация
+
+
+
+
+
=

21. Конструкторская (проектная) документация
+
+
+
+
+
+


































Обозначения: «-» - нет требований к данному классу;
«+» - новые или дополнительные требования; «=» - требования совпадают с требованиями к СВТ предыдущего класса; «КСЗ» - комплекс средств защиты.
    Классификация защищенности АС устроена несколько иначе. Устанавливается девять классов защищенности АС от НСД к информации. Каждый класс характеризуется определенной минимальной совокупностью требований по защите. Классы подразделяются на три группы, отличающиеся особенностями обработки информации в АС.     Третья группа классифицирует АС, в которых работает один пользователь, допущенный ко всей информации АС, размещенной на носителях одного уровня конфиденциальности. Группа содержит два класса - ЗБ и ЗА.     Вторая группа классифицирует АС, в которых пользователи имеют одинаковые права доступа (полномочия) ко всей информации АС, обрабатываемой и (или) хранимой на носителях различного уровня конфиденциальности. Группа содержит два класса - 2Б и 2А.     Первая группа классифицирует многопользовательские АС, в которых одновременно обрабатывается и (или) хранится информация разных уровней конфиденциальности и не все пользователи имеют право доступа ко всей информации АС. Группа содержит пять классов - 1Д, 1Г, 1В, 1Б и 1А. В таблице представлены требования ко всем девяти классам защищенности АС.

Требования к защищенности автоматизированных систем

Классы
Подсистемы и требования


ЗБ
ЗА








1. Подсистема управления доступом

1.1. Идентификация, проверка подлинности и контроль доступа субъектов:

в систему;
+
+
+
+
+
+
+
+
+

к терминалам, ЭВМ, узлам сети ЭВМ, каналам связи, внешним устройствам ЭВМ;
-
-
-
+
-
+
+
+
+

к программам;
-
-
-
+
-
+
+
+
+

к томам, каталогам, файлам, записям, полям записей.
-
-
-
+
-
+
+
+
+

1.2. Управление потоками информации.
-
-
-
+
-
-
+
+
+

2. Подсистема регистрации и учета

2.1. Регистрация и учет:

входа/выхода субъектов доступа в/из системы (узла сети);
+
+
+
+
+
+
+
+
+

выдачи печатных (графических) выходных документов;
-
+
-
+
-
+
+
+
+

запуска/завершения программ и процессов (заданий, задач);
-
-
-
+
-
+
+
+
+

доступа программ субъектов доступа к защищаемым файлам, включая из создания и удаления, передачу по линиям и каналам связи;
-
-
-
+
-
+
+
+
+

доступа программ субъектов доступа к терминалам, ЭВМ, узлам сети ЭВМ, каналам связи, внешним устройствам ЭВМ, программам, томам, каталогам, файлам, записям, полям записей;
-
-
-
+
-
+
+
+
+

изменения полномочий субъектов доступа;
-
-
-
-
-
-
+
+
+

создаваемых защищаемых объектов доступа.
-
-
-
+
-
-
+
+
+

2.2. Учет носителей информации.
+
+
+
+
+
+
+
+
+

2.3. Очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти ЭВМ и внешних накопителей.
-
+
-
+
-
+
+
+
+

2.4. Сигнализация попыток нарушения защиты.
-
-
-
-
-
-
+
+
+

3. Криптографическая подсистема

3.1. Шифрование конфиденциальной информации.
-
-
-
+
-
-
-
+
+

3.2. Шифрование информации, принадлежащей различным субъектам доступа (группам субъектов) на разных ключах.
-
-
-
-
-
-
-
-
+

3.3. Использование аттестованных (сертифицированных) криптографических средств.
-
-
-
+
-
-
-
+
+

4. Подсистема обеспечения целостности

4.1. Обеспечение целостности программных средств и обрабатываемой информации.
+
+
+
+
+
+
+
+
+

4.2. Физическая охрана средств вычислительной техники и носителей информации.
+
+
+
+
+
+
+
+
+

4.3. Наличие администратора (службы) защиты информации в АС.
-
-
-
+
-
-
+
+
+

4.4. Периодическое тестирование СЗИ НС Д.
+
+
+
+
+
+
+
+
+

4.5. Наличие средств восстановления СЗИ НСД.
+
+
+
+
+
+
+
+
+

4.6. Использование сертифицированных средств защиты.
-
+
-
+
-
-
+
+
+


Обозначения: «-» - нет требований к данному классу; «+» - есть требования к данному классу; «СЗИ НСД» - система защиты информации от несанкционированного доступа.

7. Защита от вирусов

7.1. Что такое «компьютерный вирус»?

   Принято считать, что термин «компьютерный вирус» впервые был употреблен на 7-й конференции по безопасности информации, проходившей в США. Может показаться странным, но с тех пор строгого определения, что же такое компьютерный вирус, так и не дано, несмотря на то, что попытки дать такое определение предпринимались неоднократно. Дело в том, что, большинство характерных отличительных свойств вирусов в той или иной степени присущи и другим программам, которые к вирусам не относятся. Не вдаваясь в теоретические тонкости мы, в контексте этой книги, будем считать, что компьютерный вирус - это специально написанная программа, которая может самопроизвольно внедряться в некоторые файлы компьютерной информации и выполнять на компьютере нежелательные для пользователя действия. Название «вирусы» подобные программы получили по аналогии со своими болезнетворными собратьями из реального физического мира.     Откуда берутся компьютерные вирусы? Вирусов, самозарождающихся в недрах вычислительных систем, т.е. вирусов, подготовленных компьютерами без участия человека, в настоящее время не существует. Все известные на сегодняшний день компьютерные вирусы представляют собой программы, изначально написанные людьми. «Вирусо-писатель» готовит специальный участок программного кода и определенным образом встраивает его в некоторый файл компьютерной информации. По сложившейся практике этот файл называется «зараженным».     Кто и зачем пишет вирусы? Многие из известных вирусов написаны, так сказать, любителями в свободное от основных занятий время. В числе авторов распространенных вирусов преобладают студенты, есть даже школьники. Мотивы этих авторов часто сводятся к желанию негласно продемонстрировать свое превосходство и квалификацию, а в основе этого стремления достаточно часто лежит своеобразный комплекс неполноценности. Одной из причин появления все большего количества «любительских» вирусов является доступность необходимой для написания вируса информации. Сегодня в Интернет есть сайты, на которых любой желающий может получить работающие вирусы с исходными текстами, комментариями и подробными инструкциями. Более того, существуют сайты с конструкторами вирусов -здесь для получения вируса достаточно просто заполнить форму с указанием его желаемых характеристик. В таких условиях изготовить собственный вирус может каждый.     Однако нельзя полностью исключить участие в подготовке различных вирусных программ профессионалов (как отдельных личностей, так и целых организаций). Здесь могут преследоваться цели компрометации конкурента путем нарушения работы его вычислительной сети, промышленного шпионажа, различных финансовых махинаций, а в глобальном смысле и о нарушении работы важнейших информационных систем определенного государства. Таким образом, по аналогии с реальным миром компьютерные вирусы можно разделить на, так сказать, «бытовые», сравнительно легко поддающиеся обнаружению и локализации (сравните, например, с ОРЗ), и промышленные или боевые (сравните со специально разрабатываемым бактериологическим оружием). В последнем случае речь может идти о так называемом информационном оружии, реальность существования которого является на сегодняшний день неоспоримым фактом. Сообщалось, например, о разработке специалистами Тайваня нескольких тысяч боевых компьютерных вирусов для использования против компьютерных систем КНР на случай возникновения кризисной ситуации. Проблемы защиты от информационного оружия решаются на государственном уровне и выходят за рамки этой УМК. Далее мы будем говорить только о «бытовых» вирусах.     Как работает компьютерный вирус? Прежде всего зараженный вирусом файл должен тем или иным образом попасть на ваш компьютер. Когда вы начинаете работать с этим файлом, незаметно для вас активизируется встроенный в него участок вирусного кода. Этот код выполняет, как правило, два основных типа действий: действия, направленные на внедрение вируса в другие файлы, имеющиеся на компьютере, и действия по нарушению нормальной работы компьютера. Последний вид действий может выполняться не сразу после активизации вируса, а, например, по наступлению определенной даты, определенному количеству внедрения вируса в другие файлы и т.п. По мере работы вируса число зараженных файлов на вашем компьютере увеличивается, соответственно увеличивается и вероятность того, что вы передадите зараженный файл коллеге или партнеру на дискете, по локальной сети или по Интернет. На их компьютерах ситуация в точности повторяется, и вирус начинает независимое от автора путешествие по виртуальному миру.     Какие воздействия на компьютер могут оказывать вирусы? Внешне действия вируса могут выражаться в том, что, например, по достижении определенного времени, он активизируется и выполняет какие-либо операции: выводит на экран посторонние надписи или графику, перезагружает компьютер, замедляет работу программ, удаляет файлы и каталоги, стирает выбранные случайным образом секторы жесткого диска. Некоторые эффекты, вызываемые вирусами, например, внезапная перезагрузка компьютера или его «зависание», могут восприниматься пользователем как неисправность аппаратуры компьютера. В последнее время вирусы все чаще используются для несанкционированного доступа в информационно-вычислительные системы.     С точки зрения информационной безопасности по характеру деструктивных возможностей вирусы можно разделить на следующие категории:     практически неопасные вирусы, влияние которых ограничивается уменьшением свободной памяти на диске, а также появлением графических, звуковых и других эффектов;     опасные вирусы, нарушающие целостность информации (удаление или порча файлов программ и данных, искажение информации в системных областях памяти и т.п.);     опасные вирусы, нарушающие конфиденциальность информации (расшифровка и кража паролей, личных данных пользователей и т.п.).     Какие бывают вирусы? Существуют многообразные способы классификации компьютерных вирусов, в основе которых лежат различные признаки последних. Поскольку многие из этих признаков имеют значение лишь для обнаружения кодов вируса при работе антивирусных программ, здесь мы дадим упрощенный вариант классификации с учетом интересов основного круга предполагаемых читателей этой книги. В основу этого способа классификации положено достаточно простое практическое соображение - способ распространения вируса. Прежде всего мы разделим вирусы на загрузочные и файловые. Первые внедряются в загрузочные сектора системных дисков, а вторые - в файлы компьютерной информации. Файловые вирусы, в свою очередь, можно разделить на:     вирусы в исполняемых программных файлах;     макро-вирусы;     скрипт-вирусы.     Существуют и комбинированные вирусы, заражающие как загрузочные сектора, так и файлы компьютерной информации.     В течение сравнительно длительного времени вирусы распространялись и выполняли свою деструктивную роль без обратной связи с автором, так сказать «отчужденно» от него. О масштабах распространения своего вируса автор получал информацию по сообщениям печати, электронных конференций и т.п. Однако в последнее время самое широкое распространение в Интернет и других сетях получили такие виды потенциально вредоносных компьютерных программ, как «троянские кони» и «черви». По сути они представляют собой файловые вирусы, однако отличаются от традиционных вирусов тем, что сохраняют связь с написавшим их автором, передавая по определенному сетевому адресу информацию о компьютерах, на которые они внедрены. В составе этой информации могут быть и конфиденциальные данные, например, пароли, идентификаторы пользователей в платежных системах, номера кредитных карт и др.     Далее мы рассмотрим выделенные типы вирусов подробнее.

7.2. Загрузочные вирусы
   Для пояснения работы этого типа вирусов рассмотрим упрощенную процедуру загрузки компьютера. В постоянном запоминающем устройстве, расположенном на системной плате компьютера, записана программа начальной проверки оборудования Power On Self Test (POST). Она начинает работу сразу после включения питания и определяет конфигурацию компьютера, работоспособность его основных узлов, считывает установки из энергонезависимой памяти CMOS и др. Если настройками BIOS Setup разрешена загрузка операционной системы с гибкого диска, то POST проверяет, вставлена ли дискета в дисковод А:. Если дискета вставлена, дальнейшая загрузка операционной системы происходит с этой дискеты, в противном случае загрузка выполняется с жесткого диска. В любом случае загрузка начинается с обращения к так называемой загрузочной записи, расположенной в определенном месте диска.     А вот теперь - внимание! Загрузочные вирусы изменяют загрузочную запись таким образом, что при обращении к ней управление получает вирус. Если в дисковод А: вставлена зараженная дискета, то вирус считывается в оперативную память компьютера и записывает себя в загрузочную запись жесткого диска, а далее передает управление стандартной процедуре загрузки. Все происходит как обычно, но ваш компьютер уже заражен. Теперь при последующей загрузке с жесткого диска вирус будет активизирован.     Для дальнейшего распространения вируса обычно применяется достаточно простая схема. Когда вы вставите в дисковод А: незараженную дискету, то при обращении к ней хотя бы только для просмотра записанных файлов, вирус поражает ее загрузочный сектор независимо от того, является ли эта дискета системной. Зараженную таким образом дискету вы можете передать на другой компьютер.     Возможно, у вас возникает вопрос: «Как можно заразиться подобным вирусом, если мой компьютер обычно загружается с жесткого диска?». Очень просто, для этого достаточно всего лишь забыть извлечь дискету из дисковода перед выключением компьютера. Тогда, если системная загрузка с гибкого диска разрешена, при очередном включении компьютер обратится к диску А. Все опять же будет происходить как обычно: появится сообщение, что вставлена не системная дискета с предложением вынуть ее из дисковода и нажать любую клавишу для продолжения. Вы вытащите дискету, нажмете клавишу, компьютер загрузится, но вирус уже будет внедрен на жесткий диск. Именно на эту ситуацию и рассчитывают авторы подобных вирусов.     Заметьте, кстати, что собственно передача зараженной дискеты в подавляющем большинстве случаев происходит совершенно непреднамеренно, поскольку тот, кто ее вам передает, может просто не догадываться о наличии в ней вируса.     Что же касается деструктивных воздействий этого типа вирусов, то они, как и у других типов, могут лежать в достаточно широких пределах, вплоть до полного разрушения информации на жестком диске.

7.3. Вирусы в исполняемых компьютерных файлах

   Под исполняемыми файлами мы будем понимать файлы, содержащие коды компьютерных команд. Большинству наших читателей наверняка известно что к таким файлам относятся файлы с расширениями .com и .ехе. Отметим, кстати, что структура этих файлов в MS DOS и Windows различна. Именно эти файлы и подвергались вирусному заражению на начальных этапах развития вирусных программ. Однако сегодня перечень исполняемых файлов, потенциально подверженных вирусному заражению, этим далеко не ограничивается. В их число входят файлы драйверов с расширениями .sys и .vsd, файлы динамических библиотек .dll, так называемые командные файлы .bat и некоторые другие. Отметим, что с определенной натяжкой к исполняемым файлам можно отнести и исходные, не откомпилированные тексты программ, а также промежуточные результаты компиляции (объектные модули) .obj, для которых к настоящему времени тоже созданы вирусы.     Непосредственно вы можете запустить на исполнение только командные файлы типа .com, .ехе и .bat, однако в них могут содержаться и вызовы исполняемых файлов другого типа.     В простейшем случае при заражении исполняемого файла тело вируса записывается в него таким образом, чтобы при запуске этого файла первым управление получил вирус. Получив управление, вирус активизируется и начинает выполнять действия для заражения других файлов компьютера. В зависимости от замысла автора вирус также может выполнять различные деструктивные воздействия на работу программ и информацию, хранящуюся на компьютере. Распространение вируса происходит при передаче зараженного файла на другой компьютер. Здесь, как и в предыдущем случае, распространение вируса часто производится непреднамеренно (за исключением, естественно, файлов, распространяемых вирусо-писателем или его сообщниками).     Для того, чтобы заразить свой компьютер подобным вирусом, достаточно запустить зараженный исполняемый файл. Он может, например, входить в состав файлов игры или полезной на первый взгляд программы, которую вы списали у приятеля.     Как мы уже говорили выше, вирусы этого типа часто комбинируются с загрузочными. При этом могут быть реализованы самые изощренные алгоритмы деструктивных воздействий. В качестве примера можно привести достаточно широко известное семейство комбинированных файлово-загрузочных вирусов OneHalf. При начальном запуске зараженного файла вирусы этой серии изменяют главную загрузочную запись жесткого диска. В результате при первой перезагрузке компьютера после заражения вирус получает управление, перехватывает системные прерывания и шифрует два последних цилиндра логического диска. При очередной загрузке шифруются два следующих цилиндра и так далее. С каждой перезагрузкой, которая может производиться по вполне понятным причинам (например, после выключения компьютера на ночь), зашифрованная область на диске увеличивается. Во время работы компьютера вирус остается резидентным в оперативной памяти и «на лету» расшифровывает измененные участки диска, к которым производится обращение, поэтому пользователь не замечает его присутствия. Вирус также заражает .com и .ехе файлы, если они вызываются в процессе работы. Основная проблема здесь в том, что, если такой вирус будет просто удален из загрузочной области некоторой антивирусной программой, работать с поврежденными им данными будет невозможно.     В последнее время появляются и нетрадиционные формы вирусов в исполняемых файлах. В качестве примера можно назвать вирусы, заражающие файлы помощи. В одном из таких вирусов - WinHLP.Demo - используется специальный прием, позволяющий переключить компьютер из режима обработки HLP-файла в режим обычного приложения Windows, в котором и выполняется вирусный код, встроенный в зараженный файл.

7.4. Макро-вирусы

   В течение сравнительно длительного по масштабам развития информационных технологий времени действующие разновидности компьютерных вирусов ограничивались рассмотренными выше типами. Никому и в голову не могло прийти, что вирус может внедриться, например, в файл, созданный текстовым процессором. Однако во второй половине 90-х годов по мере совершенствования офисных программ ситуация существенно изменилась.     Дело в том, что современные офисные программы (в частности, такие, как элементы пакета MS Office - Word, Excel, Access и PowerPoi) обладают встроенными средствами программирования на языке VBA (Visual Basic for Application). Целый ряд стандартных операций в этих программах (например, открытие и закрытие файлов) выполняется с помощью так называемых макросов - небольших программ, написанных на подмножестве этого языка. Пользователь может составлять собственные макросы для выполнения необходимых ему функций, внедряя их непосредственно в файл документа. С появлением все новых версий MS Office возможности работы с макросами постоянно увеличиваются. Сейчас с их помощью можно создавать несложные системы автоматизированного документооборота, интерактивные элементы интерфейса пользователя и пр. Однако вирусо-писатели тоже не преминули воспользоваться широкими возможностями макроязыка, в результате появились и получили очень широкое распространение так называемые макро-вирусы.     Основная идея макро-вируса состоит в следующем. Современные офисные программы (например, Word) устроены так, что открывая определенный файл они проверяют его на наличие встроенных автоматических или стандартных макросов. Упрощенно говоря, автоматические макросы -те, что выполняются при открытии или закрытии файлов, а стандартные - при выполнении функций по стандартным пунктам меню Word. Если таких встроенных макросов в файле нет, выполняются глобальные автоматические или стандартные макросы, хранящиеся в системной области Word. Автор макро-вируса может, например, встроить в некоторый файл Word с расширением .doc свой автоматический макрос, срабатывающий при открытии файла. Этот макрос изменит один или несколько глобальных макросов в системной области Word, записав в них вирусный макрокод. В результате, при следующем вызове Word вирус получает управление и начинает действовать. Например, если подменен макрос сохранения файла, вирус будет заражать все сохраняемые файлы. Часть вируса резидентно находится в оперативной памяти и может выполнять деструктивные воздействия различного характера от сравнительно безобидных до разрушительных.     Таким образом, для заражения компьютера макровирусом достаточно всего лишь открыть зараженный файл с документом, подготовленным в офисной программе. В настоящее время наиболее широко распространены макро-вирусы для различных версий программ MS Word и MS Excel, существуют вирусы для MS Access и даже для MS PowerPoi.

7.5. Скрипт-вирусы
   Этот тип вирусов получил распространение в связи с развитием средств обработки информации в Интернет. Одним из подобных средств являются так называемые скрипт-языки Java Script (JS) и Visual Basic Script (VBS). В настоящее время они (особенно JS) широко используются при разработке Web-сайтов. Часто программы на этих языках встраиваются в Web-страницу и выполняются при ее просмотре непосредственно на компьютере пользователя с использованием соответствующих интерпретаторов, входящих в состав браузера (например, Internet Explorer).     Работа подобных вирусов основана как на использовании обнаруженных «брешей» в системах защиты браузеров и почтовых программ, так и на применении вполне официальных средств доступа и обмена информацией, возможности которых постоянно возрастают с появлением новых версий программ. Вирусы этого типа распространяются посредством электронной почты или непосредственно с Web-сайта. В настоящее время механизмы построения скрипт-вирусов широко используются при разработке так называемых «троянских коней» и «червей», о которых мы поговорим в следующем разделе.

7.6. «Троянские кони» и «Черви»
   Общепризнанно, что основную опасность при работе в Интернет представляют сегодня именно эти виды потенциально вредоносных программ. Посмотрим, что же они из себя представляют.     Программы типа «троянский конь» известны сравнительно давно и применялись еще до массового распространения Интернет. Название свое они получили по аналогии с эпическим троянским конем, поскольку маскировали свою деструктивную сущность какой-либо полезной функцией, маскируясь под утилиты, игры и пр., предлагаемые пользователю бесплатно, например, в качестве подарка. Новую жизнь программы этого типа получили, используя Интернет в качестве средства своего распространения. Сегодня существует достаточно высокая вероятность, что вы получите файл «троянского коня» или, как еще говорят, «троянца», «трояна», вложенный в письмо электронной почты. Когда вы откроете вложение, дважды щелкнув мышью по имени этого файла, запустится соответствующее приложение Windows, «троянец» активизируется и заразит ваш компьютер. В принципе он может выполнять различные деструктивные действия, наиболее характерными из которых сегодня будет попытка добраться до ваших персональных данных (пароли, настройки, номера кредитных карт, личные данные и др.) или файлов с определенной информацией и скрытно передать их на замаскированный сервер вирусо-писателя.     В отличие от «троянца» основная задача «червя» - организовать с зараженного компьютера массовую рассылку своих копий по Интернет. Программу «червя» вы скорее всего тоже получите по электронной почте в качестве вложения в какое-нибудь письмо. Как и «троянец» она будет замаскирована под безобидный, на первый взгляд, файл. Когда вы откроете этот файл, «червь» заразит ваш компьютер и начнет процесс размножения. Например, он может незаметно для вас рассылать свои копии по всем абонентам из вашей адресной книги. Те, получив послание от вашего имени, в свою очередь откроют зараженный файл, «червь» начнет рассылку на их компьютерах и так далее. При благоприятных начальных условиях процесс может нарастать лавинообразно. Таким образом, основа деструктивного воздействия классического «червя» состоит в потенциальном повышении загрузки сети вплоть до нарушения ее работоспособности.     Отметим, что выше мы рассмотрели свойства «троянцев» и «червей», так сказать, в чистом виде. На самом деле сегодня распространены вредоносные программы, одновременно обладающие этими признаками, да вдобавок к тому еще и выполняющие деструктивные действия по разрушению информации, характерные для традиционных вирусов. Рассмотрим несколько примеров.     Для начала возьмем одно из самых известных событий. В мае 2000 года компьютерный мир был потрясен триумфальным шествием программы «вирус-червь», которая в средствах массовой информации, достаточно широко обсуждавших проблему, называлась I LOVE YOU. Начиналось все сравнительно безобидно. Пользователи получали по электронной почте письмо с темой I LOVE YOU и текстом примерно такого содержания: «kindly check the attached LOVE LETTER coming from me», приглашавшим прочитать любовное письмо, будто бы хранящееся во вложенном в письмо файле с именем LOVE-LETTER-FOR-YOU.TXT.vbs. На самом деле этот файл представлял собой скрипт-вирус на языке VBS. Психологический расчет автора вируса оказался безошибочным. Заинтригованные получатели открывали вложенный файл и заражали компьютер вирусом. Вирус немедленно активизировался и начинал рассылать подобные письма по адресам из адресной книги компьютера пользователя. Кроме того, он записывал свои копии в определенные типы файлов на жестком диске, необратимо разрушая в них информацию. От этого вируса пострадали десятки тысяч компьютеров по всему миру, работа некоторых организаций была парализована на несколько дней.     Перейдем к современным примерам. Целый ряд зарубежных и отечественных организаций, занимающихся проблемами антивирусной защиты ведет статистику относительного числа заражений компьютеров различными вирусами. Практически все они отмечают, что в 2001 году среди наиболее распространенных вредоносных программ лидерство принадлежит «червям», а наиболее опасными источниками этих программ являются электронная почта и Интернет. Так, по данным в сентябре-декабре 2001 года наибольшее число заражений отмечено для «червей» I-Worm.Badtransll (37%) и I-Worm.Sircam (около 15%).     Вирус-червь I-Worm.Badtransll распространяется по электронной почте в виде зараженного ЕХЕ-файла, вложенного в письмо формата HTML. Состоит из двух основных частей: «червь», рассылающий с зараженного компьютера электронные письма с копией вируса и «троянец», который выполняет шпионские функции. «Троянец» вируса определяет имя пользователя и обнаруженные пароли, а также включает компоненту, которая записывает в специальный шифрованный файл всю информацию, набираемую пользователем на клавиатуре. Эти данные пересылаются по установленным в вирусе сетевым адресам.     Вирус-червь I-Worm.Sircam также распространяется по электронной почте в виде вложения в электронное письмо. Если пользователь откроет это вложение, то «червь» внедряется в систему и начинает рассылать сообщения, содержащие вложенные файлы со своей копией. Кроме того он распространяется и по локальной сети, записывая свои копии на все доступные сетевые диски. Этот «червь» включает и деструктивную процедуру - при определенных значениях системной даты и времени он с вероятностью 5% удаляет все файлы и каталоги на диске, где установлена Windows.

7.7. Вирусы мистификации
   В заключение краткого обзора типов современных компьютерных вирусов следует упомянуть и еще об одном, который, строго говоря, вирусом в обычном понимании не является. В Интернет отмечается достаточно большое число случаев так называемых «компьютерных мистификаций», связанных, в частности, с проблемой вирусов. Вы можете получить по электронной почте письмо, в котором содержится информация о якобы только что обнаруженном новом очень опасном вирусе.     В тексте письма излагаются некоторые, якобы установленные, признаки этого вируса и просьба немедленно разослать это письмо возможно большему числу ваших знакомых, чтобы информировать их о грозящей опасности. Излишне доверчивый пользователь аккуратно выполняет эту просьбу и сеть загружается лавиной совершенно бесполезных сообщений. Не верьте таким письмам! Ни одна из заслуживающих доверия организаций их не рассылает. Выполняя изложенные в них просьбы, вы, в лучшем случае, только развлекаете подсмеивающегося над вами мистификатора, а в худшем - способствуете выполнению его замысла по нарушению нормальной работы сети.

7.8. Профилактика вирусного заражения

   Как может попасть вирус на ваш компьютер? Здесь можно выделить два пути - по зависящим от вас обстоятельствам и по обстоятельствам, изменить которые вы не в состоянии. В первом случае виновны в заражении компьютера будете именно вы, поэтому рассмотрим данный вариант подробнее.     Обсуждение этой темы можно начать с простых, известных с детства аналогий - «Мойте руки перед едой!» и «Не ешьте немытых фруктов!». Так же, как и заболевания в реальном мире, многие случаи заражения компьютеров связаны с пренебрежением пользователями элементарными правилами «компьютерной гигиены». Для примера возьмем тот же вирус I LOVE YOU. Неужели кто-то из служащих организаций, получивших электронное письмо с таким заголовком, мог предположить, что вложенный в него файл (да еще с расширением .vbs!) имеет хотя бы отдаленное отношение к их непосредственным служебным обязанностям? Тем не менее файл с любопытством открывали со всеми вытекающими отсюда последствиями. А теперь давайте рассмотрим основные правила «компьютерной гигиены» по порядку, не затрагивая пока вопрос об использовании специальных антивирусных программ, речь о которых пойдет в следующем разделе. Поговорим об элементарных способах начальной защиты от вирусов.     Одним из простейших способов защиты от загрузочных вирусов может быть отключение системной загрузки с гибкого диска в настройках BIOS. Таким образом вы сможете избежать заражения с дискеты, оставленной в дисководе при выключении компьютера. Если обслуживающий персонал вашей организации действительно следит за информационной безопасностью, это должно быть сделано при инсталляции операционной системы без ваших напоминаний, но проверить не помешает.     Обвинения в заражении компьютера вирусами в исполняемых файлах с гибких дисков и CD-ROM можно избежать достаточно простым способом - никогда не устанавливайте любые новые программы на компьютер самостоятельно. Это задача обслуживающего персонала, который должен профессионально провести антивирусную проверку и будет нести ответственность в случае вирусного заражения при установке новых программ.     С макро-вирусами дело обстоит намного сложнее, ведь вы наверняка должны самостоятельно работать с файлами офисных программ, в том числе и полученными от коллег или сторонних организаций. Здесь прежде всего можно порекомендовать установку в офисных программах среднего уровня безопасности при работе с макросами, который, впрочем, должен устанавливаться по умолчанию при инсталляции, например, Word 97 и Word 2000. В этом случае вы обычно получаете предупреждение, что в открываемом файле содержатся макросы, среди которых могут быть и вредоносные. К сожалению, этот способ не универсален. Во-первых, его нельзя использовать, если в файле есть полезные макросы, а во-вторых, некоторые макро-вирусы умеют отключать эту проверку. Обращайте особое внимание на файлы с расширениями .doc и .xls, в которых появление макро-вирусов наиболее вероятно. Эти файлы нужно обязательно проверять антивирусными программами. И, наконец, лучше перестраховаться - не открывайте файлы офисных программ, полученные из неизвестного источника.     Дело еще более осложняется, если вы активно используете электронную почту и Интернет. Как уже говорилось выше, эти источники сегодня представляют наибольшую опасность вирусного заражения. Очень важно, чтобы на компьютере были установлены все обновления почтовой программы и браузера, относящиеся к устранению обнаруженных в них «брешей», которыми могут воспользоваться вирусы. Здесь, кстати, можно привести пример проникновении вируса на компьютер по независящим от вас обстоятельствам. Целый ряд современных «червей», распространяемых по электронной почте, умеет, используя недостатки системы, автоматически проникать на компьютер, даже если вы и не открывали вложенного в.письмо зараженного файла. Для заражения достаточно всего лишь получить письмо с этим вирусом. Так, опасный вирус-червь I-Worm.Nimda для проникновения на компьютер использует «брешь» в системе безопасности Internet Explorer, обнаруженную в марте 2001 года. Если обслуживающий персонал вашей организации не потрудился установить выпущенное Microsoft обновление и соответствующие антивирусные программы, то соблюдение рассматриваемых правил компьютерной гигиены вам не поможет.     Что вы можете сделать самостоятельно для борьбы с «червями» и «троянцами»? Никогда не открывайте вложенные в письма файлы непосредственно из почтовой программы. Если тема и содержание письма имеют отношение к вашей работе, сохраните вложение на диске и проверьте его антивирусной программой. В противном случае лучше перестраховаться, просто удалив полученное неизвестно от кого и зачем письмо. При этом особое внимание следует обратить на вложенные файлы с расширениями .ехе и .vbs. Кто это из коллег или деловых партнеров вдруг будет вместо документов посылать вам программы или скрипты? Скорее всего, к вам пришел вирус.     Следует иметь в виду, что для маскировки зараженных файлов используются различные приемы. Один из достаточно простых, но, как показывает практика, действенных - маскировка под тип файла, в котором вирусов не может быть по определению. Например, вы можете получить письмо с вложенным файлом, имя которого выглядит так: foto.jpg <много пробелов>.ехе. Длинное имя этого файла, как правило, не умещается в окне почтовой программы, поэтому на экране вы увидите только «имя» foto.jpg. Многим известно, что в графических файлах с расширением jpg вирусы пока не передаются. Поэтому вы можете попытаться открыть этот файл, чтобы посмотреть якобы хранящуюся в нем фотографию. На самом же деле запустится исполняемый файл .ехе и вирус заразит ваш компьютер.     Упрощенная модификация этого способа использовалась вирусом I LOVE YOU, зараженный файл которого имел имя LOVE-LETTER-FOR-YOU.TXT.vbs. Здесь расчет был на то, что в Windows по умолчанию включена опция «Не показывать расширения для зарегистрированных типов файлов». В результате на экран выводилось имя файла LOVE-LETTER-FOR-YOU.TXT, а такие файлы вирусов содержать не могут, на что и «клюнули» многие пользователи. Поэтому упомянутую опцию в Windows лучше отключить.     В заключение краткого обзора мер антивирусной профилактики нельзя не остановиться на важности резервного копирования информации. Регулярно сохраняйте рабочие копии и окончательные варианты своих документов на внешних носителях (гибкий диск, ZIP-накопитель, CD-ROM и др.). В целом ряде случаев это может быть единственным средством восстановления информации после ее разрушения в результате вирусного заражения.     Соблюдение рассмотренных простейших мер антивирусной профилактики является необходимым, но далеко недостаточным условием надежной борьбы с вирусами. Здесь обязательно должны применяться специализированные комплексы антивирусных программ, к рассмотрению которых мы и переходим.

7.9. Виды антивирусных программ
   История развития антивирусных программ неразрывно связана с историей развития компьютерных вирусов. С появлением и началом распространения вирусов появились и первые антивирусные программы, которые на первых порах распространялись бесплатно. В виде законченных коммерческих проектов антивирусные программы появились немногим более 10 лет назад. В течение последних пяти лет, эта область защиты информации развивается высокими темпами, что связано с появлением все новых опасных типов вирусов - макро-вирусы, скрипт-вирусы, «черви» и др.     Каждый из разработчиков антивирусных программ называет компоненты этих систем немного по-своему. Тем не менее на сегодня можно выделить два наиболее распространенных типа подобных программ - антивирусные сканеры и антивирусные ревизоры.     Антивирусные сканеры (иногда их называют также фагами или полифагами) проверяют загрузочные сектора дисков, файлы и оперативную память на предмет обнаружения внедренных в них вирусов. При этом используются различные алгоритмы поиска вирусов. Например, для поиска известных вирусов может применяться метод «маски», в котором обнаруживается некоторая постоянная последовательность кодов команд, специфичная для конкретного вируса. Алгоритм поиска существенно усложняется при решении задачи обнаружения так называемых стелс-вирусов и полиморфных вирусов, в которых применяются изощренные способы маскировки кода. Современные сканеры в некоторых случаях позволяют выявить и файлы, потенциально зараженные новым, пока неизвестным типом вируса. Для этого применяется, в частности, так называемое «эвристическое сканирование».     Сканеры делятся на резидентные, которые обеспечивают антивирусную проверку оперативной памяти и вызываемых файлов «на лету», в ходе обычной работы компьютера, и не резидентные, проверяющие отдельные диски, каталоги и файлы по указанию пользователя. Резидентные сканеры называют также мониторами. Одной из функций такого монитора может быть проверка корректности обращений к дискам и другим элементам системы, чтобы предотвратить распространение или деструктивные действия вируса (функции «сторожа»). Можно выделить также универсальные сканеры, рассчитанные на определение большинства известных вирусов, и специализированные, предназначенные для борьбы с вирусами определенных типов (например, только для макро-вирусов).     Особенностью работы сканера является использование так называемых антивирусных баз, в которых хранится информация для поиска конкретных вирусов. Эти базы имеют достаточно большой объем и регулярно (зачастую ежедневно) обновляются разработчиками сканера по мере обнаружения новых вирусов.     Современные сканеры, как правило, включают и функцию «лечения» обнаруженных зараженных файлов. При этом код вируса «выкусывается» из тела файла, и файл приводится к изначальному виду. Антивирусные ревизоры используют другой принцип защиты, который упрощенно можно представить следующим образом. Ревизор запоминает основные характеристики (например, число, размер, контрольную сумму и др.) файлов, хранящихся на компьютере. При очередном запуске он проверяет эти характеристики и сравнивает их с запомненными. Информация об обнаруженных изменениях выводится пользователю. Например, появление новых незнакомых файлов или изменение файлов информации, с которыми вы не работали, может свидетельствовать о наличии вируса на компьютере. В настоящее время коммерческие антивирусные пакеты включают в себя оба рассмотренных выше типа программ, обеспечивая различные варианты настройки режимов их работы. Следует однако подчеркнуть, что антивирусных программ, обеспечивающих «абсолютную» стопроцентную защиту от вирусов, не существует.

7.10. Антивирусные программы на российском рынке
   Наиболее известными и распространенными отечественными антивирусными пакетами являются продукты компаний «Лаборатория Касперского» и «ДиалогНаука», знакомые большинству российских пользователей.     На начало 2002 года «Лаборатория Касперского» предлагала три варианта комплексных антивирусных пакетов - для домашних пользователей, для малого и среднего бизнеса и для корпоративных пользователей. Пакеты поставляются под торговой маркой «Антивирус Касперского» (ранее они выпускались под торговой маркой AVP). Друг от друга они отличаются масштабностью защиты компьютера от вирусов.     Например, для малого и среднего бизнеса предлагается программный антивирусный комплекс «Антивирус Касперского Business Optimal». Он предназначен для борьбы с вирусами различных типов в локальных сетях, содержащих до 100 рабочих станций, и состоит из трех основных частей, каждая из которых может работать в различных операционных средах:     защита для рабочих станций: Windows 95/98/ME, Windows 2000/ Workstation, OS/2, Linux;     защита для файловых серверов и серверов приложений: Windows 2000/ Server, Linux, Novell NetWare, FreeBSD, BSDi;     защита для почтовых шлюзов: MS Exchange Server, Lotus Notes, Sendmail, Qmail, Postfix.     При приобретении комплекса можно выбрать конкретный набор необходимых программ с соответствующими средствами сетевого администрирования.     Отметим, что защита для почтовых шлюзов включает, в частности, постоянную антивирусную проверку «на лету» всей входящей и исходящей корреспонденции электронной почты. Таким образом, наличие в сообщениях электронной почты различных типов потенциально вредоносных программ определяется до того, как они попадут на локальные компьютеры сети.     Для защиты информационной безопасности крупных корпоративных сетей с возможным подключением удаленных участков «Лаборатория Касперского» предлагает антивирусный комплекс Corporate Suite.     Компания «ДиалогНаука» представляет на отечественном рынке комплекс антивирусных программ «Doctor Web», включающий в себя:     сканер Doctor Web (Windows 95/98/Me//2000, DOS/386 и Windows 3.1x, Novell NetWare, OS/2, Linux/FreeBSD);     сторож SpIDer Guard (Windows 95/98/Me//2000);     ревизор дисков Adinf (Windows 95/98/Me//2000, Windows 3.1x, DOS);     «лекарь» ADinf Cure Module (Windows 3.1x, DOS), позволяющий восстановить некоторые зараженные файлы.     В целом комплексные пакеты компаний «Лаборатория Касперского» и «ДиалогНаука» представляют собой современные программы с оперативно обновляемыми антивирусными базами и удобным интерфейсом пользователя, регулярно показывающие высокие результаты в авторитетных международных тестах. Конкурируя на отечественном рынке, они в известной степени дополняют друг друга и «де-факто» стали уже практически неотъемлемой частью систем антивирусной защиты предприятия. На российском рынке доступен и целый ряд зарубежных комплексных антивирусных пакетов. К наиболее популярным из них можно отнести Norton Antivirus и другие продукты компании Symantic.     На вопрос «Какой антивирус лучше?» однозначный ответ дать сложно. Здесь нужно учитывать целый ряд факторов, в частности, полноту обнаружения вирусов, надежность работы (отсутствие непредсказуемых зависаний), удобство в эксплуатации, время сканирования файлов и еще много других. Поскольку выбор конкретной антивирусной программы вряд ли будет входить в ваши обязанности, скажем лишь, что для большинства российских организаций вполне достаточно будет использования рассмотренных выше российских продуктов. Здесь стоит также отметить, что зарегистрированные пользователи российских программ могут получить необходимые консультации в режиме «горячей линии». При обнаружении нового вируса зараженный файл можно отправить разработчикам антивируса и в течение нескольких дней получить программу для борьбы с ним.

7.11. Методика применения антивирусных программ
   В заключение краткого обзора проблемы антивирусной защиты можно дать некоторые рекомендации по практическому использованию антивирусных программ. Прежде всего должны использоваться официально приобретенные лицензионные антивирусные программы. Согласитесь, что при защите от вирусов в масштабе пусть даже небольшой организации достаточно наивно надеяться на «пиратские» копии.     Необходимо регулярно обновлять антивирусные базы. Сегодня этот процесс практически не представляет трудностей для легальных пользователей. Достаточно скопировать обновления с сайта компании разработчика.     Обязательно проверяйте антивирусной программой все файлы, поступившие из сторонних организаций или даже от ваших коллег. Имейте в виду, что зараженные файлы можно получить и от очень солидных организаций (конечно, они будут переданы вам не преднамеренно, а по недосмотру, но вам-то от этого не легче!).     Если вы активно работаете с электронной почтой, то для надежной антивирусной защиты сегодня необходимо использовать антивирус, «на лету» проверяющий файлы сообщений. Только таким образом можно получить (пусть и не полную) гарантию от заражения современными «червями», автоматически проникающими на компьютер при получении письма с вирусом.     Регулярно проверяйте компьютер антивирусными программами. Практически все из них предоставляют возможность запускать проверки автоматически по определенному расписанию, настроить которое вам должны помочь представители обслуживающего персонала службы информатизации или информационной безопасности. Если по каким-то причинам вам представляется, что опасность вирусного заражения особенно высока, используйте антивирусные мониторы и сторожи, которые предупредят вас о попытке выполнения «вирусоподобных» действий.     Если на компьютере обнаружен файловый вирус, то этот компьютер нужно отключить от сети и обратиться к системному администратору. Это в какой-то мере предотвратит распространение вируса по сети.     И, наконец, о так называемых «ложных срабатываниях». Случается, что для вполне безобидных файлов антивирусная программа выдает сообщение об их заражении или о возможном наличии в них вируса. Например, одна антивирусная программа обнаруживает вирус, а другая - нет. Решать эту проблему лучше не самостоятельно, а с помощью обслуживающего персонала, который должен иметь соответствующий опыт.

8. Защита от несанкционированного доступа к информации

8.1. Парольная защита с помощью стандартных системных средств

   Напомним, что под несанкционированным доступом к информации понимается доступ, нарушающий установленные правила использования информационных ресурсов компьютерной системы. В общем случае несанкционированный доступ является реализацией преднамеренной угрозы информационной безопасности. С практической точки зрения можно выделить следующие варианты несанкционированного доступа:     доступ к носителям информации;     локальный доступ к отдельным персональным компьютерам;     локальный доступ к ресурсам сети;     удаленный доступ к отдельным компьютерам или ресурсам сети.     Предотвращение несанкционированного доступа к носителям информации обеспечивается физическими мерами защиты (пропускной режим, охрана, замки на дверях, сейфы и т.д.). Естественно, что ряд подобных мер используется и для защиты от несанкционированного доступа к компьютерам в организации. Однако здесь очень большое значение имеют и программно-технические способы защиты от несанкционированного доступа, которые мы кратко рассмотрим в этой главе.     Методы, входящие в эту группу, представляют, так сказать, первый рубеж обороны от несанкционированного доступа. Как видно из названия, их особенностью является использование возможностей защиты, непосредственно встроенных в системные программы и операционные системы компьютеров. Поэтому использование этих методов не требует дополнительных затрат на приобретение специализированных программ или дополнительных технических средств.

8.2. Парольная защита отдельных персональных компьютеров

   Основная задача этого вида парольной защиты - предотвратить доступ посторонних лиц к информации на вашем компьютере в ваше отсутствие. Здесь уместна аналогия с обычной квартирой - вряд ли кто в здравом уме оставит дверь нараспашку, уходя, например, на работу. Напротив, большинство старается поставить надежные замки. В то же время многие пользователи оставляют компьютер включенным и спокойно уходят обедать, предоставляя свою информацию в распоряжение всем желающим. А ведь кроме преднамеренных корыстных действий злоумышленника вполне возможны и проблемы, вызванные непреднамеренными действиями ваших коллег. Например, кому-то срочно потребовалось просмотреть файл, полученный из сторонней организации. Ваш компьютер включен и свободен. Человек вставляет дискету и открывает файл в Word. Вот вирус и на вашем компьютере! Без вас кто-то по незнанию или по недоразумению может стереть или исказить файлы, да мало ли что еще может произойти. Впрочем, то же самое можно сказать и тогда, когда без присмотра остается даже выключенный компьютер, поскольку включить его может каждый. Для исключения подобных случаев и используется парольная защита.     В системных средствах компьютера существуют два вида парольной защиты - защита от включения компьютера и защита от доступа к включенному компьютеру в ваше отсутствие.     Защита от включения компьютера реализована с помощью установки пароля в BIOS. В этом случае после включения компьютера перед началом загрузки операционной системы на экран выводится запрос на ввод пароля. Пока не будет введен правильный пароль, компьютер не загрузится. Но, как и все известные методы защиты, пароль в BIOS не дает абсолютной гарантии от несанкционированного доступа. Посмотрим, что может сделать даже не очень квалифицированный взломщик.     Во-первых, имеется аппаратный способ отключения пароля в BIOS. Для этого достаточно вскрыть корпус системного блока и замкнуть определенные контакты на системной плате. Как это сделать, может узнать любой желающий. Однако в условиях учреждения выполнение подобной операции затруднено по понятным причинам - на виду у всех этого не сделаешь.     Во-вторых, во многих версиях BIOS имеются так называемые технологические пароли, введенные производителями. Списки этих паролей можно найти в Интернет. Зная такой пароль, его можно ввести вместо установленного вами и произвести загрузку компьютера.     И, наконец, пароль можно подобрать или просто подсмотреть. Как уже говорилось в первой части книги, пользователи часто выбирают достаточно очевидные короткие пароли, мнемоника которых облегчает подбор. Очень часто это краткие имена пользователей (например, Vova, Nina и др.), имена родственников, даты рождения и пр. Нередко встречаются и совсем уж курьезные случаи. Специалисты службы информатизации установили пользователю пароль в BIOS. Чтобы не забыть этот пароль, пользователь записывает его на бумажке, которую приклеивает на собственный монитор... Иногда применяются достаточно наивные уловки - например, многие считают верхом находчивости приклеить такую бумажку к нижней стороне столешницы своего стола, не подозревая, что именно там и будет искать ее злоумышленник.     Тем не менее при всей кажущейся простоте метод парольной защиты в BIOS является достаточно эффективным в условиях большинства обычных организаций. При правильном применении он позволит практически отсечь попытки доступа к вашему компьютеру коллег и посетителей, не ставивших себе целью предварительные действия по взлому или краже пароля. Отметим, что пароль в BIOS предотвращает не только попытки несанкционированной загрузки компьютера с жесткого диска, но и попытки загрузиться с гибкого системного диска или CD-ROM при включении компьютера. Кроме того, он препятствует и изменению настроек BIOS.     В качестве дополнительного средства защиты можно использовать так называемый пароль Windows, который блокирует только загрузку операционной системы, уже установленной на вашем компьютере. Для более надежной защиты от несанкционированного включения компьютера в обоснованных случаях применяются специализированные программно-технические средства, о которых пойдет речь в разделе 6.2.     Очевидным путем предотвращения доступа к уже включенному компьютеру является выключение его на время вашего отсутствия. Однако это далеко не всегда удобно. Кроме того, частое включение/выключение снижает ресурс компьютера, поскольку возникающие при этом перепады температуры и напряжения отрицательно сказываются на электронных компонентах.     Одним из простейших способов предотвращения несанкционированного доступа к включенному компьютеру является установка паролей в программах, называемых хранителями экрана. Подобные программы (Screen Savers) входят в состав всех версий Windows.     Установка пароля в хранителе экрана не представляет проблем даже для начинающих пользователей. Для этого достаточно выполнить несложные операции при выборе так называемой заставки, которая определяет тип изображения, появляющегося на мониторе при работе хранителя экрана. Здесь же можно задать и время, через которое запускается хранитель экрана, если на компьютере не проводится действий с клавиатурой или мышью (обычно это время задается в интервале 3-5 минут). После запуска хранителя экрана рабочее изображение на экране монитора скрывается динамическим рисунком. Обычно работа хранителя экрана прекращается после первого нажатия на клавиатуру или перемещения мыши. Однако если пароль установлен, то доступ к рабочим программам можно получить только после его ввода. Так ваш компьютер будет определенным образом защищен от посторонних, которые не только не смогут прочитать то, с чем вы работали в последний момент, но не смогут и вводить данные с клавиатуры или работать мышью.     Разумеется, и эта защита не является абсолютной. Простейшим случаем ее преодоления является, например, перезагрузка путем выключения компьютера или нажатием клавиши «Reset». Поэтому важно, чтобы этот способ защиты сочетался с рассмотренной выше защитой от несанкционированного доступа при загрузке компьютера.

8.3.Парольная защита в локальных сетях

   В локальных сетях парольная защита наряду с рассмотренными выше функциями выполняет и функции разграничения доступа пользователей к информационным ресурсам сети. Перед началом работы каждый пользователь вводит свое имя и соответствующий пароль, определяющий, например, к файлам каких сетевых дисков или каталогов имеет право доступа конкретный сотрудник. При этом может учитываться и способ доступа к файлам - только на чтение или и на чтение, и на модификацию файлов. Возможность установки подобного вида защиты заложена в стандартные средства известных операционных сред, например, Windows , Windows 2000 и др.     Способ разграничения доступа определяется в процессе так называемого администрирования локальной сети. Здесь вас может подстерегать определенная опасность. Грамотное администрирование сети требует, с одной стороны, определенных знаний, а с другой - наличия конкретных решений руководства организации или отдельного ее подразделения по разграничению доступа к информации. Если по недосмотру руководства или из-за недостаточной квалификации обслуживающего персонала все диски персональных компьютеров и серверов локальной сети выделены при администрировании в общий доступ - ваша информация практически не защищена. Все хранящиеся у вас на компьютере файлы доступны с любого компьютера сети, и ситуация ничем не лучше той, когда вы отставили без присмотра включенный компьютер. В некотором смысле она даже хуже, поскольку подходить к вашему компьютеру, чтобы «подсмотреть», скопировать или исказить вашу информацию нет необходимости - это можно сделать даже из другой комнаты. Более того, это может быть сделано и в вашем присутствии, а вы ничего не заметите. Поэтому следует обязательно выяснить, какие диски и каталоги вашего компьютера являются доступными в сети и кому конкретно они доступны на чтение и/или изменение данных. Подобную информацию может предоставить системный администратор сети. В ряде случаев для повышения надежности защиты вашей информации ее целесообразно хранить непосредственно на сервере, доступ к которому ограничивается мерами физической защиты.     Однако даже правильно сконфигурированная сеть, информационные ресурсы сервера и персональных станций которой защищены паролями, не предоставляет, к сожалению, абсолютно надежной защиты информации. Дело здесь опять в том, что пароль можно «подсмотреть» (если он, например, записан на бумажке) или подобрать.

8.4. Основные правила выбора пароля

   Перед тем как рассматривать эти правила, остановимся на некоторых обстоятельствах, из которых они вытекают.     Отметим, что термин «подобрать пароль» не следует понимать буквально. Вряд ли кому сегодня может прийти в голову мысль попытаться, например, подобрать имя и пароль пользователя в локальной сети, перебирая в уме возможные варианты и вводя их с клавиатуры. Кроме того, что скорость такого перебора не оставляет надежд на положительные результаты, в современных операционных системах количество идущих подряд ошибочных вводов имени пользователя и соответствующего ему пароля можно ограничить определенным числом (например, двумя или тремя). Если это число будет превышено, то вход в систему с использованием данного имени блокируется на определенное время или до вмешательства системного администратора.     На практике применяются методы взлома паролей путем анализа системных файлов, в которых хранятся сведения о пользователях и их паролях. Несмотря на то, что разработчики операционных систем применяют различные способы защиты этих файлов, злоумышленник путем определенных ухищрений, суть которых мы здесь не рассматриваем, может получить их копии в свое распоряжение. На понятийном уровне распространенные способы взлома парольной защиты можно описать следующим образом.     Как уже говорилось выше, информация о паролях пользователей хранится в специальных файлах операционной системы. В конкретных системах эти файлы могут быть организованы по-разному, однако их местонахождение не составляет секрета для специалиста. Информация в этих файлах зашифрована, причем алгоритмы шифрования достаточно стойки, поэтому дешифрация в большинстве случаев возможна только «лобовым методом», т.е. путем перебора.     Получив копию файла с зашифрованными паролями, взломщик использует два вида программ, работа которых основана на том, что конкретные алгоритмы шифрования в отдельных операционных системах известны. Программы первого вида выделяют из файла отдельные зашифрованные пароли. Программы второго вида генерируют различные пароли, шифруют их с помощью того же алгоритма, который используется в операционной системе, и сравнивают с выделенными из файла. Если совпадение обнаружено, то один из хранящихся в файле паролей будет вскрыт и может использоваться злоумышленником для входа в систему.     При подборе паролей программы перебора могут использовать как символьные последовательности, автоматически генерируемые из некоторого набора (например, букв или всех символов клавиатуры), так и специальные словари часто используемых паролей, которые можно найти, например, в Интернет.     В первом случае пароль из 2-3 символов подбирается за несколько секунд, а из 4-5 символов - за несколько минут работы современного персонального компьютера. При увеличении длины пароля подбор затрудняется, поскольку время подбора резко увеличивается. Например, для взлома пароля длиной 7 символов из числа букв английского алфавита и цифр (всего 36 символов) может потребоваться уже несколько часов, а если пароль содержит 8 символов, то и несколько дней. При расширении исходного набора символов пароля, например, за счет включения в него букв в разных регистрах, знаков препинания и специальных символов время подбора многократно возрастает.     Во втором случае достаточно быстро подбираются все пароли, представляющие собой общеупотребительные слова и имена собственные в определенном языке, например, английском.     Именно из этих обстоятельств и вытекают основные правила выбора паролей, которые кратко изложены ниже.     Старайтесь выбирать как можно более длинный пароль. Используйте максимальную длину пароля BIOS -7 символов и максимальную длину пароля, установленную в операционной системе. Кстати, в локальной сети системный администратор может ограничить минимальную длину пароля, принудив тем самым пользователей задавать пароли не короче указанной длины.     Избегайте при выборе пароля осмысленных сочетаний символов и используйте как можно более широкий набор знаков, в том числе и с учетом регистра. Например, пароль 7%pijGB? может оказаться значительно более стойким к взлому, чем, скажем, просто слово manager. Если вам приходится использовать несколько паролей, никогда не повторяйте их.     Возьмите за правило регулярно обновлять свой пароль. В этом вам опять может определенным образом «помочь» системный администратор. Он может активизировать в настройках операционной системы так называемый «режим устаревания паролей», принудительно задав время их действия и периодичность обновления. А чтобы вы при обновлении не смогли повторить старый пароль (например, если вам просто не хочется запоминать новый), он может включить режим хранения нескольких уже использованных паролей. Тогда операционная система просто не разрешит использовать старый пароль в качестве нового.




8.5. Защиты от несанкционированного доступа с помощью специализированных программно-технических средств

   В первой главе мы уже говорили, что в специализированных средствах защиты от несанкционированного доступа для повышения надежности защиты используются электронные идентификаторы пользователей или устройства считывания биометрических характеристик пользователей. В целом ряде подобных устройств дополнительно применяется и шифрование информации. На сегодняшний день рынок этих средств в России достаточно широк и подробно рассмотреть его в этой книге не представляется возможным, поскольку в продаже имеются продукты десятков фирм. В этом разделе мы ограничимся рассмотрением нескольких примеров наиболее характерных видов подобных средств, предлагаемых российскими компаниями. Следует оговориться, что состав примеров выбран из чисто методических соображений и не преследовал целью дать рекомендации по приобретению именно этих устройств. С нашей точки зрения выбор оборудования не входит в задачи читателей этой книги и должен проводиться специалистами соответствующей квалификации с учетом большого количества факторов, некоторые из них мы в книге просто не рассматриваем.

8.6. Электронные замки
   Эти средства обеспечивают идентификацию и аутентификацию пользователей для разрешения их доступа к компьютеру, а также могут выполнять целый ряд дополнительных функций.     Например, электронный замок «Соболь», созданный московской компанией «Информзащита», обеспечивает выполнение следующих функций защиты:     идентификация пользователей с помощью электронных идентификаторов типа Touch Memory;     аутентификация пользователей по паролю;     регистрация в специальной энергонезависимой памяти всех попыток включения компьютера и входов в систему;     контроль целостности файлов и физических секторов жесткого диска с блокировкой компьютера при нарушении целостности контролируемых файлов;     блокировка до 4-х устройств ввода-вывода (гибкий диск, CD-ROM, ZIP, LPT и др.);     блокировка входа в систему зарегистрированного пользователя при превышении им заданного количества неудачных попыток входа.     Плата контроллера «Соболь» устанавливается в разъем PCI системной платы компьютера, в комплект поставки входят, в частности, внешний считыватель Touch Memory и два электронных идентификатора с собственной памятью.     Для идентификации пользователю достаточно прикоснуться «таблеткой» электронного идентификатора к считывателю. Затем необходимо ввести пароль длиной до 16 символов. Контроль целостности реализован на аппаратном уровне и предназначен для того, чтобы убедиться, что системные программы и файлы компьютера не были модифицированы злоумышленником или посторонними программами.     Примерами электронных замков могут служить также аппаратно-программный комплекс «Криптон-Замок» зеленоградской фирмы «АНКАД» и комплекс «Аккорд 1.95» московской фирмы ОКБ САПР. В целом они выполняют сходные функции, однако имеют и определенные различия.     Например, «Аккорд 1.95» обеспечивает следующие функции защиты:     идентификация и аутентификация пользователей;     ограничение «времени жизни» паролей и времени доступа пользователей к компьютеру;     контроль целостности программ и данных, в том числе файлов ОС и служебных областей жесткого диска;     разграничение доступа к информационным и аппаратным ресурсам компьютера;     возможность временной блокировки компьютера и гашения экрана при длительной неактивности пользователя до повторного ввода идентификатора;     исключение возможности несанкционированного выхода в операционную систему, загрузки с дискеты и прерывания контрольных процедур с клавиатуры.     Контроллер «Аккорда» имеет собственный процессор, который защищает от прочтения и модификации флэш-память, где хранятся ключи пользователей и контрольные суммы, а также обеспечивает выполнение проверки целостности конфигурации системы до загрузки операционной системы.     Отметим, что электронные ключи, как правило, являются одним из элементов целого семейства программно-аппаратных комплексов защиты информации, предлагаемых на рынке конкретной компанией.

8.7. Средства шифрования информации на диске
   Задача подобных средств - создание специальной среды шифрования информации, работая с которой авторизованный пользователь видит дополнительный логический диск, на котором в зашифрованном виде представляется конфиденциальная информация. Информация обычно шифруется и расшифровывается «на лету», пользователь этого может и не замечать. Однако если кто-то, не имея идентификатора и не зная пароля, попытается работать с компьютером, этого диска он просто не увидит. Примером подобного средства может быть, в частности, система защиты конфиденциальной информации Secret Disk московской компании «Аладдин».     Secret Disk создает в компьютере «секретные» логические диски, при сохранении информации на которых она автоматически шифруется в «прозрачном» режиме. Чтобы получить доступ к такому диску, необходимо использовать электронный идентификатор и набрать пароль. Секретная информация хранится в специальном зашифрованном файле, который может располагаться на локальном или сетевом диске или на внешних носителях.     Система Secret Disk позволяет использовать самые различные виды электронных идентификаторов компании «Аладдин»:     электронные ключи HASP, подключаемые к параллельному порту компьютера с сохранением возможности подключения к этому порту принтеров и других устройств;     смарт-карты (для тех, кто о них не знает, скажем, что они похожи на проездные в метро для студентов);     карты PCCard для ноутбуков;     электронные брелки eToken, подключаемые к порту USB.     Система реализует ряд функций защиты, характерных и для электронных ключей, например, запуск хранителя экрана при отключении электронного идентификатора от компьютера, нажатии заданной комбинации клавиш или неактивности пользователя в течение определенного времени. Компьютер при этом блокируется и может быть разблокирован лишь вводом правильного пароля при подключенном электронном идентификаторе. Кроме того, интерес представляют функции создания защищенных архивов и так называемый «вход по принуждению». На последней функции стоит остановиться особо.     Если кто-то, завладев электронным идентификатором, принуждает пользователя сообщить пароль, пользователь может указать злоумышленнику специальный пароль входа по принуждению. В этом случае система имитирует все характерные признаки системного сбоя или неисправности компьютера, а сама в это время в зависимости от настройки может стереть секретный диск или данные в электронном идентификаторе.     На рынке имеются и системы защиты от НСД, обеспечивающие хранение зашифрованной информации на отдельном физическом жестком диске. Например, совместный продукт российских предприятий «НИИМВ» и «ЭЛиПС», выпускаемый под маркой «ГРИМ-ДИСК» выполнен в виде блока-контейнера, размещаемого в стандартном отсеке корпуса компьютера. В контейнере находятся жесткий диск емкостью 20 Мб и плата-шифратор. На контейнере укреплено устройство считывания ключей Touch Memory. «Прозрачное» шифрование реализовано аппаратно на уровне интерфейса. В нерабочее время контейнер можно извлечь из компьютера и, например, положить в сейф, что повышает надежность защиты информации.     Чтобы начать работу с «ГРИМ-ДИСК», пользователь должен приложить электронный идентификатор Touch Memory к окошку считывания на контейнере и ввести свой пароль. Происходит загрузка ОС, в процессе которой «ГРИМ-ДИСК» определяется в качестве дополнительного диска системы и становится виден пользователю. При перезагрузке без использования идентификатора диск в системе не виден и работа с ним невозможна.

8.8. Дактилоскопическая система защиты

   Подобные устройства считаются сегодня одними из наиболее перспективных для идентификации пользователей компьютерных систем. Как правило, они состоят из дактилоскопического сканера, встраиваемого в переднюю панель компьютера, клавиатуру или (чаще всего) в мышь, и соответствующего комплекса программ.     Свет, отраженный от прижатого к поверхности сканера пальца, через оптическую систему попадает на светочувствительный датчик, который фиксирует узоры папиллярных линий. Это изображение оцифровывается, передается в компьютер и сравнивается с введенным ранее узором пальца-образца. По имеющейся статистике ложный допуск по отпечатку пальца может произойти не чаще, чем в одном случае на миллион. С функциональной точки зрения использование дактилоскопического идентификатора не отличается от ввода пароля или применения электронного идентификатора. Например, вместо ввода пароля нужно приложить палец к определенному месту мыши. Однако, с точки зрения пользователя, это гораздо более удобно, поскольку не
·нужно запоминать длинный пароль или носить с собой электронный идентификатор.     Устройства подобного типа сравнительно недавно появились на российском рынке и не получили пока большого распространения. Примерами таких устройств могут служить мыши с дактилоскопическим вводом UMATCH BioLink Mouse и EyeD Opti Mouse. Как отмечается в, при неплохих эргономических характеристиках эти средства не обеспечивают должной надежности хранения конфиденциальной информации. Управление системой защиты реализовано в них чисто программными средствами, а все атрибуты защиты хранятся в памяти компьютера. Поэтому сломать такой механизм защиты и получить доступ к защищаемой информации сравнительно нетрудно.     В целом использовать дактилоскопические мыши UMATCH BioLink Mouse и EyeD Opti Mouse в комплекте с поставляемыми программами как самостоятельное средство защиты от НСД целесообразно лишь в тех случаях, когда информация не представляет большой ценности и должна быть закрыта только от массовых пользователей, а не от специалистов по взлому защиты. Их лучше рассматривать как элемент комплексной системы защиты информации, в которой они выполняют только функции идентификации или аутентификации пользователей. При этом цифровые образы отпечатков должны храниться в труднодоступной для злоумышленника внутренней памяти системы защиты от НСД.

8.9.Средства защиты от НДС в локальных сетях

   К этому виду средств защиты от НСД мы отнесем системы защиты информации, обладающие развитыми функциями для работы в составе локальной сети. В качестве одного из примеров здесь можно привести систему защиты информации Secret Net компании «Информзащита». Она имеет широкие возможности по управлению полномочиями пользователей в сети, существенно дополняя возможности уже упоминавшегося электронного замка «Соболь». Система имеет модификации для работы в средах Windows 9х и Windows в вариантах автономного и сетевого использования.     Основные возможности Secret Net : идентификация пользователей при помощи аппаратных средств (Touch Memory, Smart Card и др.);     криптографическая аутентификация пользователей на файловом сервере;     полномочное разграничение доступа к конфиденциальным данным на рабочей станции и на файловом сервере;     регламентация прав на вывод конфиденциальных данных на отчуждаемые носители; контроль целостности модулей системы защиты, системных областей диска и модулей операционной системы при загрузке компьютера; регистрация всех действий пользователей в защищенном журнале;     централизованный сбор, хранение и обработка на сервере управления доступом журналов регистрации рабочих станций сети;     централизованное управление настройками средств разграничения доступа на рабочих станциях сети и правами доступа к совместно используемым ресурсам;     оповещение администратора безопасности обо всех событиях, связанных с попытками несанкционированного доступа к информации на рабочих станциях; оперативный контроль за работой пользователей сети, изменение режимов функционирования рабочих станций и возможность блокировки любой станции сети;     интеграция средств управления доступом и стандартных компонентов Windows для обеспечения настройки встроенных защитных механизмов операционной системы; защита данных, передаваемых по сети; криптографическая защита данных на локальных и совместно используемых сетевых дисках.     Для идентификации пользователей в системе может применяться и электронный замок «Соболь». Отметим, что в системе предусмотрено автоматическое уничтожение данных на магнитных носителях при стирании файлов пользователями. Необходимость этой операции объясняется тем, что в общем случае при стирании файла редактируется только информация в так называемой таблице размещения файлов компьютера, а собственно содержание секторов диска, в которых был записан файл, не изменяется. Система поддерживает также автоматическую смену пароля пользователя при истечении срока действия пароля.     В целом Secret Net имеет достаточно гибкие средства администрирования системы защиты от НСД и может применяться в самых разнообразных конфигурациях - от защиты одного или группы отдельных компьютеров до совместной защиты локальной сети головной организации и локальных сетей ее филиалов.

8.10. Межсетевые экраны как средство защиты от несанкционированного доступа
   Как мы уже неоднократно говорили выше, подключение отдельного компьютера или локальной сети к Интернет создает потенциальную возможность удаленного несанкционированного доступа к информации. Злоумышленник может проникнуть в ваш компьютер не выходя из собственного дома. Через Интернет нарушитель может получить пароли, адреса, скопировать файлы с конфиденциальной информацией, установить на ваш компьютер вредоносные программы и пр. Поскольку на сегодняшний день полностью защититься от этой опасности практически невозможно, особо ценная конфиденциальная информация должна храниться на компьютерах, не имеющих выхода в Интернет или другие общедоступные сети. Однако и обычная информация, циркулирующая, например, в локальной сети организации, имеющей выход в Интернет, должна быть защищена от несанкционированного доступа. Средством подобной защиты служат так называемые межсетевые экраны, которые называют также брандмауэрами или английским термином firewall. Это достаточно сложные программные или аппаратно-программные комплексы, подробное рассмотрение принципов работы которых выходит далеко за рамки данной книги. Установка и настройка сетевых экранов выполняется квалифицированными специалистами, а пользователи могут даже не замечать работы сетевого экрана. Тем не менее вам, с нашей точки зрения, будет полезно знать некоторые самые основные положения, касающиеся работы этого средства защиты от несанкционированного доступа.



Назначение межсетевого экрана
   Если не вдаваться в детали, межсетевой экран выполняет функции охраны, стоящей у входа на предприятие или в организацию.     В общем случае, чтобы попасть на территорию охраняемого предприятия, нужно получить пропуск и предъявить его охране. Для выхода с предприятия часто требуется также предъявить пропуск. Перечень свободно вносимых на территорию и выносимых с территории предметов иногда тоже может быть ограничен. Эти правила имеют очень близкие аналогии с правилами работы межсетевого экрана, только экран имеет дело не с людьми, а с элементами информации, которой локальная сеть пытается обмениваться с другой локальной сетью или Интернет.     На понятийном уровне межсетевой экран представляет собой программный или аппаратно-программный комплекс, установленный, например, между локальной сетью предприятия и ее выходом в Интернет. Любая поступающая из Интернет информация должна иметь «пропуск на вход», чтобы попасть в локальную сеть. С другой стороны, любая информация, выходящая из локальной сети в Интернет, также должна иметь соответствующий «пропуск на выход».     Продолжая используемую аналогию скажем, что строгость «пропускного режима» определяется настройками сетевого экрана. Здесь возможны два основных варианта: первый - разрешено все, что не запрещено в явной форме, и второй - запрещено все, что не разрешено в явной форме. Настройки экрана выполняются обслуживающим персоналом с помощью так называемых менеджеров безопасности межсетевого экрана или других соответствующих программных элементов.     Упрощенно работу межсетевого экрана можно представить следующим образом. При приеме информации элементы сетевого экрана анализируют, какая информация приходит из Интернет, например, адрес отправителя, вид представления данных и др. Если прием такой информации запрещен настройками сетевого экрана, он эту информацию дальше не пропускает. То же самое происходит и при передаче информации из локальной сети в Интернет. Например, если производится попытка передачи информации по запрещенному или не входящему в список разрешенных адресу, межсетевой экран такую информацию не пропустит.     Таким образом, межсетевые экраны играют важную роль в соблюдении общей политики безопасности предприятия или организации в части взаимодействия одних локальных сетей с другими или с Интернет. Если межсетевой экран не используется, реализация этих элементов политики безопасности возлагается непосредственно на пользователей и зависит от их лояльности руководству и квалификации.     На российском рынке сегодня доступны десятки вариантов межсетевых экранов, предлагаемых различными фирмами. Они отличаются набором функциональных возможностей и, соответственно, стоимостью. Можно выделить две основные группы межсетевых экранов - простейшие персональные и мощные корпоративные. Ниже мы рассмотрим примеры экранов, входящих в эти группы.

8.10.1. Персональные межсетевые экраны

   Задачей этих экранов является защита отдельных компьютеров, подключенных к Интернет, от несанкционированного доступа. Они могут использоваться, например, в малых офисах с небольшим количеством компьютеров, один или несколько из которых имеют связь с Интернет.     К настоящему времени в России наибольшее распространение получили следующие два вида таких экранов, разработанные зарубежными фирмами:     AtGuard Personal Firewall компании WRQ.     ZoneAlarm компании ZoneLabs.     Outpost Firewall компании Agnitum.     В данном разделе краткое описание особенностей этих и других средств мы приведем по материалам статьи.     Персональный межсетевой экран AtGuard, в течение сравнительного длительного времени распространявшийся бесплатно, на сегодняшний день является условно-бесплатной программой, входящей в семейство Norton Internet Security компании Symantic. Он имеет простой интерфейс с большим количеством настроек, включая как контроль передачи мобильного кода Java и ActiveX, так и блокировку вывода рекламных баннеров и файлов cookies. Настройка AtGuard может осуществляться в двух режимах - стандартном и обучающем. В первом случае нужно заранее задать все правила ограничения доступа к вашему компьютеру. Во втором - при каждой попытке доступа к вашему компьютеру из Интернет или передаче данных в Интернет AtGuard выдает сообщение с указанием основных характеристик запроса на передачу информации. Таким образом, вы сами сможете принять решение, выполнять запрос или нет.     Персональный межсетевой экран ZoneAlarm поставляется в двух модификациях - платная (ZoneAlarm Pro) и бесплатная (ZoneAlarm). Эту программу можно рекомендовать даже неподготовленному пользователю, поскольку при настройке она предоставляет возможность использования так называемых уровней безопасности, которые похожи на те, что применяются и в Internet Explorer. Эти уровни делятся на две категории - для доступа в Internet и для доступа в локальную сеть. Уровни каждой категории в свою очередь подразделяются на подуровни, которые и определяют степень защиты компьютера от злоумышленников. Отметим, что ZoneAlarm способен также контролировать и вложения электронной почты. Кроме того, он может предоставить пользователю общую информацию об обнаруженной удаленной атаке (описание атаки, ее особенности, средства реализации и т.д.). Пакет позволяет также определить, каким программам вашего компьютера разрешен доступ к Интернет. Эта мера защиты предназначена для блокировки вредоносных программ (например, «троянских коней»), внедрившихся на компьютер и пытающихся передать через Интернет украденную у вас информацию. Есть и еще одна интересная возможность -вообще заблокировать доступ в Интернет на время вашего отсутствия.     В нашем кратком обзоре можно упомянуть и еще один персональный межсетевой экран - Outpost Firewall компании Agnitum. Разработчики попытались совместить в этой программе все преимущества AtGuard и ZoneAlarm. Кроме того, Outpost Firewall имеет возможность подключения дополнительных модулей (plugin), разрабатываемых пользователями самостоятельно и расширяющих функции исходной версии.

8.10.2. Корпоративные межсетевые экраны

   В этом разделе мы рассмотрим основные функциональные возможности двух корпоративных межсетевых экранов: Check Poi Fire Wall-1 компании Check Poi Software Technologies, предлагаемый на отечественном рынке несколькими российскими фирмами, и «Застава» российской компании «Элвис+».     Межсетевой экран Check Poi FireWall-1 представляет собой комплекс продуктов сетевой безопасности, обеспечивающий контроль доступа в сетях Интернет, Интранет, Экстранет, а также контроль удаленного доступа с расширенными функциями авторизации и установления подлинности пользователей. FireWall-1 позволяет организации создать единую интегрированную политику безопасности, управление которой может проводиться с любой точки сети этого предприятия.     Check Poi Firewall-1 использует трехуровневую архитектуру и состоит из следующих компонентов:     Firewall Module, который реализует все функции по разграничению доступа, регистрации событий, генерации сигналов тревоги и т.д.     Manageme Server, который управляет всеми подключенными к нему модулями. При этом Manageme Server может управлять не только Firewall Module, но и другими компонентами, входящими в семейство решений компании Checkpoi.     Консоль управления (GUI), которая реализует графический интерфейс, облегчающий управление всеми модулями, подключенными к Manageme Server.     Check Poi Firewall-1 обеспечивает выполнение следующих основных функций:     защита корпоративных ресурсов от внешних и внутренних злоумышленников;     аутентификация внешних и внутренних пользователей для доступа к защищаемым ресурсам корпоративной сети и ресурсам Интернет;     защита от вирусов и фильтрация содержания Интернет-трафика;     централизованное управление безопасностью уда ленных офисов и филиалов;     интеграция с продуктами других фирм;     поддержка большого числа платформ;     различные уровни доступа по управлению межсетевым экраном;     обеспечение высокой доступности и отказоустойчивости;     генерация различных отчетов, имеющих как графическое, так и текстовое представление.     В зависимости от технологии обработки информации, принятой в организации, может использоваться локальная или распределенная схема применения этого сетевого экрана. Первая схема предназначена для тех случаев, когда организация (как правило, небольшого размера) имеет только одну точку выхода в сети открытого доступа, которая и защищается при помощи межсетевого экрана. Консоль управления (GUI) при этом устанавливается в удобном для администратора месте. Вторая схема используется в крупных организациях и предполагает распределенную установку Firewall Module и Manageme Server. Модули, отвечающие за разграничение доступа к корпоративным ресурсам, устанавливаются в заранее определенных местах, и управляются с одного сервера управления.     Межсетевой экран «Застава» предназначен для защиты ресурсов корпоративной сети, открытых для доступа из Интернет - таких, как WWW, FTP, E-MAIL, NEWS-серверы, позволяет организовать безопасный доступ ее пользователей в Интернет, а также решить задачу внутреннего сегментирования сети в соответствии с организационной структурой и политикой безопасности предприятия.     Он, в частности, обеспечивает:     регистрацию и учет запросов на установление виртуальных соединений;     идентификацию и аутентификацию администратора защиты при его локальных запросах на до ступ;     локальную сигнализацию попыток нарушения правил фильтрации;     возможность идентификации и аутентификации по идентификатору (коду) и паролю условно- постоянного действия;     запрет доступа неидентифицированного субъекта или субъекта, подлинность идентификации которого при аутентификации не подтвердилась. Межсетевой экран «Застава» обеспечивает возможность дистанционного управления своими компонентами, в том числе, возможность конфигурирования фильтров, проверки взаимной согласованности всех фильтров, анализа регистрационной информации. Одна из его отличительных особенностей - наличие защиты канала дистанционного управления.

9. Информационная безопасность в электронной коммерции

9.1. Электронная коммерция сегодня
   Следует сразу отметить, что электронная коммерция -явление далеко не новое и начало свое оно берет в 60-х годах. В течение всех этих лет бизнес пользовался системами электронного обмена данными (Electronic Data Ierchange -EDI) для размещения заказов и их оплаты поставщикам. Однако при этом не использовались так называемые сети общего доступа, поскольку их просто не было.     Что же сегодня имеют в виду, когда говорят об электронной коммерции, e-Commerce, iCommerce, и т.д.? Эксперты определяют электронную коммерцию как торговлю товарами и услугами, при которой окончательный заказ размещается через Интернет. Другими словами, электронная коммерция - это заключение сделок в электронной форме, а Интернет-торговля - только оплата покупок через Интернет, то есть незначительная часть той же электронной коммерции. Таким образом, хотя электронную коммерцию часто путают с Интернет-торговлей, первое из этих понятий - более широкое.     Основными моделями глобальной электронной коммерции являются торговые отношения между предприятиями (В2В - business-to-business) и между предприятием и покупателем (В2С - business-to-customer).     Объем мирового оборота электронной коммерции через Интернет в 2003 году, по прогнозам компании Forrester Tech., будет составлять от 1,8 триллиона до 3,2 триллиона долларов. Предполагается, что верхняя граница этого диапазона будет достигнута при обеспечении надлежащей безопасности процессов покупки и продажи через Интернет. Если безопасность электронной коммерции сохранится на сегодняшнем уровне, предполагается, что мировой оборот достигнет нижней из указанных отметок. Таким образом, именно проблемы безопасности являются самым серьезным препятствием на пути развития электронной коммерции и бизнеса.     Электронная коммерция объединяет множество различных функций. Она использует новые технологии для изменения способов организации контакта покупателей и продавцов, методов представления, обсуждения и изменения заказа, продажи товаров и услуг, а также процесса осуществления платежей.     Сегодня на рынке уже представлено достаточно большое число готовых программных решений для организации электронных торговых цепочек. В качестве примера можно привести такие продукты, как Net. Commerce компании ШМ, Inoternet Commerce Server 1.1 (или ICS) корпорации Oracle, Site Server корпорации Microsoft, Domino Mercha 2.0 корпорации Lotus Developme, i.Sell компании Informix, eStore компании PeopleSoft, Business-to-Business Procureme Release 2.0 компании SAP AG, CommerceXpert корпорации Netscape Communications, LiveCommerce фирмы OpenMarket, и др. Рынок таких программ довольно разнообразен. Подобные «готовые магазины» дополняются заказными программными системами повышенной гибкости в использовании, с широкими возможностями удовлетворения специфических требований компаний и высоким уровнем интеграции с бизнес-процессами.     В России электронная коммерция тоже развивается сравнительно быстрыми темпами, хотя и сдерживается недостаточно развитой инфокоммуникационной структурой. Российские компании, которые только начинают работать на этом рынке, очень уязвимы для злоумышленников. Постоянно обостряющаяся борьба среди конкурентов иногда вынуждает их выходить на рынок практически неподготовленными с точки зрения безопасности. И только когда на Iernet-магазин совершается виртуальное нападение, руководство компаний начинает задумываться о защите своих ресурсов.     На отечественном рынке предлагается ряд программно-технических решений для реализации систем электронной коммерции и электронной торговли в секторах В2В и В2С. Ниже мы рассмотрим некоторые из механизмов безопасности, которые в них используются. Однако в начале стоит остановиться на общих проблемах информационной безопасности в электронной коммерции.

9.2. Проблемы безопасности электронной коммерции
   Когда речь заходит о безопасности электронной коммерции, о чем сразу вспоминает потенциальный потребитель? О доверии при совершении электронных сделок. Однако, если вглядеться поглубже в проблематику обеспечения информационной безопасности при электронном ведении бизнеса, она намного шире. Доверие к транзакциям - это только верхушка айсберга, которая видна пользователю.     Рассмотрим наиболее типичный пример электронной торговли - приобретение продуктов и услуг через Интернет. Этот процесс может быть описан 7 шагами:     Заказчик выбирает продукт или услугу через Web- сервер электронного магазина и оформляет соответствующий заказ.     Заказ заносится в базу данных заказов магазина.     Проверяется доступность заказанного продукта или услуги через центральную базу данных.     Если продукт не доступен, то заказчик получает об этом уведомление и процесс приобретения продукта или услуги завершается. В зависимости от реализации магазина, запрос на продукт может быть (с разрешения заказчика) перенаправлен на другой склад (например, в другом городе).     При наличии продукта или услуги заказчик подтверждает оплату, и заказ помещается в соответствующую базу данных. Электронный магазин посылает заказчику подтверждение заказа. В большинстве случаев (особенно у начинающих компаний) существует единая база данных для заказов, про верки наличия товаров и т.д.     Клиент в режиме online оплачивает заказ.     Товар доставляется заказчику.     По мнению обычного пользователя, основная проблема с обеспечением безопасности возникает на 6-м этапе, когда через Интернет передается номер кредитной карты и сопутствующая информация. Однако компания, реализующая услуги электронного магазина, начинает встречаться с вопросами, связанными с безопасностью, уже на первом этапе. И эти вопросы ее преследуют на всем протяжении осуществления электронной сделки.     Перечислим основные угрозы, которые подстерегают ведущую электронную торговлю компанию:     Подмена страницы Web-сервера электронного магазина. Основной способ реализации этой угрозы - переадресация запросов пользователя на другой сервер. Наибольшей опасности данная угроза достигает на шестом этапе, когда заказчик вводит но мер своей кредитной карты.     Создание ложных заказов и мошенничество со стороны сотрудников электронного магазина. Проникновение в базу данных и изменение процедур обработки заказов позволяет как внешним, так и внутренним злоумышленникам осуществлять различные несанкционированные манипуляции с базой данных. Отметим, что по статистике больше половины всех компьютерных инцидентов связано с собственными сотрудника ми.     Перехват данных, передаваемых в системе электронной коммерции. Особую опасность представляет собой перехват информации о кредитной карте заказчика.     Проникновение во внутреннюю сеть компании и компрометация компонентов электронного магазина.     Реализация атак типа «отказ в обслуживании» и на рушение функционирования или выведение из строя узла электронной коммерции.     В результате всех этих угроз компания - провайдер электронных сделок - теряет доверие клиентов, теряет деньги от потенциальных, но несовершенных сделок. В некоторых случаях этой компании можно предъявить иск за раскрытие номеров кредитных карт. В случае реализации атак типа «отказ в обслуживании» может быть нарушено функционирование электронного магазина, на восстановление работоспособности которого будут затрачены как человеческие и временные, так и материальные ресурсы на замену вышедшего из строя оборудования.     Третья описанная угроза (перехват данных) не зависит от используемого программного и аппаратного обеспечения и присуща любым системам электронной коммерции, функционирующим в Интернет.     Обратимся к другим угрозам. Их можно разделить на две категории. Первая связана с нарушением доступности узлов электронной коммерции. Вторая с неправильной конфигурацией и настройкой программного и аппаратного обеспечения электронного магазина.     Обеспечению доступности серверов электронной коммерции сейчас уделяется особое внимание, особенно после известных случаев выведения из строя известных серверов в начале февраля 2000 года. 7 и 8 февраля 2000 года было зафиксировано нарушение функционирования таких популярных и ведущих Iernet-серверов, как Yahoo (http://www.yahoo.com), eBay (http://www.ebay.com), Amazon (http://www.amazon.com), Buy (http://www.buy.com) и CNN (http://www.cnn.com). 9 февраля аналогичная участь постигла серверы ZDNet (http://www.zdnet.com), Datek (http://www.datek.com) и E*Trade (http://www.etrade.com). Проведенное ФБР расследование показало, что указанные серверы вышли из строя из-за огромного числа направленных им запросов, это и привело к тому, что эти серверы не могли обработать трафик такого объема и вышли из строя. Например, организованный на сервер Buy трафик превысил средние показатели в 24 раза и в 8 раз превысил максимально допустимую нагрузку на серверы, поддерживающие работоспособность Buy и достиг отметки в 800 Мбит/сек. По разным оценкам нанесенный ущерб достиг цифры в полтора миллиарда долларов.     Этот пример лишний раз подтверждает тезис о необходимости построения комплексной системы защиты, эффективно работающей на всех рассмотренных выше уровнях. Однако, как показывает опыт, основное внимание часто уделяется только нижним двум уровням - уровню сети и операционной системы. На уровне сети применяются маршрутизаторы и межсетевые экраны. На уровне ОС -встроенные средства разграничения доступа. Сегодня этих средств явно недостаточно.     Представим, что злоумышленник получил идентификатор и пароль пользователя базы данных электронного магазина. Сделать это сравнительно несложно. Можно просто перехватить их в процессе передачи по сети или подобрать при помощи специальных программ, о которых мы уже говорили. В результате и межсетевой экран, и операционная система пропускает злоумышленника ко всем ресурсам, потому что им были предъявлены идентификатор и пароль авторизованного пользователя. И это не недостаток реализованных механизмов, а просто объективная особенность их функционирования.     Для поиска решений этих проблем был создан независимый консорциум - Inoternet Security Task Force (ISTF) -общественная организация, состоящая из представителей и экспертов компаний-поставщиков средств информационной безопасности, электронных бизнесов и провайдеров Интернет-инфраструктуры. Среди членов консорциума -такие лидеры рынка поставщиков электронной инфраструктуры, как Cisco Systems, eToys, Sabre, Travelocity, Verio и CA. Консорциум был создан специально для разработки технических, организационных и операционных руководств по безопасности Интернет, нацеленных на предотвращение атак хакеров.     Консорциум ISTF выделяет двенадцать областей информационной безопасности, на которых в первую очередь должны сконцентрировать свое внимание создатели электронного бизнеса, чтобы обеспечить его работоспособность. Список, в частности, включает следующие пункты:     аутентификация (механизм объективного подтверждения идентифицирующей информации);     право на частную, персональную информацию;     определение событий безопасности (Security Eves);     защита корпоративного периметра;     определение атак;     контроль за потенциально опасным содержимым (Malicious Coe);     контроль доступа;     администрирование;     реакция на события (Incide Response).     Рекомендации ISTF предназначены для существующих или вновь образуемых компаний электронной коммерции и бизнеса. Рекомендации помогают определить потенциальные бреши и дыры в их компьютерных сетях, которые, если не обратить на них должного внимания, могут использоваться взломщиками-хакерами. Это может привести к атакам на систему электронной коммерции, потрясениям и даже к потенциальному крушению электронного бизнеса! Консорциум ISTF настоятельно рекомендует воспользоваться его наработками еще до начала организации электронной коммерции и бизнеса.     Начальный набор рекомендаций включает обстоятельства, часто незаметные, но легко обнаруживаемые в большинстве систем, развертываемых сегодня в Интернет. Среди них, в частности, требование не использовать значения, задаваемые «по умолчанию» во время установки и настройки приложений, поскольку это ведет к тому, что:     установленные по умолчанию имена пользователей и пароли становятся широко известными;     отсутствует защита от несанкционированного вторжения хакеров во внутреннюю и внешнюю сеть;     отсутствует возможность организации аудита после проведения изменений в среде электронного бизнеса таких, например, как установка новых приложений и компьютеров;     как правило, мы имеем дело с непрофессиональным и слабым администрированием, приводящим к не полному уничтожению устаревших имен пользователей и пр.     В электронном бизнесе информационная безопасность и защита являются критичными для непрерывности бизнеса как такового. Безопасность больше не является дополнительным свойством: ведь даже 97-процентная надежность системы означает, что за год для бизнеса будут потеряны 293 часа! Что является камнем преткновения для информационной безопасности в электронной коммерции? Как ни странно, в этой роли выступают некоторые ее основополагающие принципы:     Сложность приложений. Логически «разгружая» клиентскую рабочую станцию, упрощая и унифицируя пользовательский интерфейс, разработчики все более усложняют приложения на сервере, а также и окружающую среду эксплуатации.     Интеграция с существующими приложениями или другими системами. Как показывает статистика, каждая большая организация, фирма, корпорация поддерживает в среднем шесть операционных сред и более 150 различных приложений на рабочих станциях пользователей.     В целом комплексные системы информационной безопасности электронной коммерции должны включать следующие основные функциональные компоненты:     коммуникационные протоколы;     средства криптографии;     механизмы авторизации и аутентификации;     средства контроля доступа к рабочим местам сети и из сетей общего пользования;     антивирусные комплексы;     программы обнаружения атак и аудита;     средства централизованного управления контролем доступа пользователей, а также безопасного обмена пакетами данных и сообщениями любых приложений по открытым сетям.     Необходимо отметить, что далеко не всегда все эти механизмы встраиваются поставщиками в готовые приложения для электронной коммерции. Зачастую главную работу по созданию информационной защиты и безопасности электронной коммерции и бизнеса должны взять на себя именно специалисты по информационной безопасности -системные интеграторы в этой области. Без их участия ваша информационная защита всегда будет иметь потенциальные прорехи.     Особенности большинства из перечисленных выше элементов комплексной системы информационной безопасности мы уже коротко рассмотрели в предыдущих главах. Далее мы остановимся на таких важных элементах, как криптографические коммуникационные протоколы и электронная подпись.

9.3. Защищенные протоколы обмена данными в Интернет
   В отличие от локальных сетей, сеть Интернет является так называемой «открытой» системой. Основана на открытых стандартах, и фирмы используют ее для продвижения продукции на мировой рынок. Под открытыми системами понимают совокупность всевозможного вычислительного и телекоммуникационного оборудования разного производства, совместное функционирование которого обеспечивается соответствием требованиям стандартов, прежде всего международных. Термин «открытые» подразумевает также, что если вычислительная система соответствует стандартам, то она будет открыта для взаимосвязи с любой другой системой, соответствующей тем же стандартам. Это, в частности, относится и к криптографической защите информации или к защите от несанкционированного доступа к информации.     В мировом сообществе уже давно существует целый ряд комитетов по стандартизации, куда входят, в основном, организации-добровольцы, которые ведут работы по стандартизации предлагаемых технологий Интернет. Эти комитеты, составляющие основную часть Рабочей группы инженеров Интернет (Inoternet Engineering Task Force - IETF), провели стандартизацию нескольких важных протоколов обмена данными, тем самым ускорив их внедрение. Среди результатов работы IETF такие протоколы, как семейство ТСР/ГР для передачи данных, SMTP (Simple Mail Transport Protocol) и POP (Post Office Protocol) для электронной почты, а также SNMP (Simple Network Manageme Protocol) для управления сетью. Однако усилия по стандартизации своих решений предпринимает и ряд фирм-разработчиков программно-технических решений для Интернет. В частности это относится и к так называемым протоколам безопасной передачи данных. В этой области на сегодняшний день в Интернет стандартами де-факто стали сравнительно недавно появившиеся протоколы SSL и SET, о которых мы коротко расскажем ниже.

9.3.1. Протоколы SSL
   Этот протокол разработан американской компанией Netscape Communications Corp. как средство, обеспечивающее защиту данных между сервисными протоколами (такими как HTTP, FTP и др.) и транспортными протоколами (TCP/IP) с помощью современной криптографии.     Протокол SSL предназначен для решения традиционных задач обеспечения защиты информационного взаимодействия, которые в среде «клиент-сервер» интерпретируются следующим образом:     при подключении пользователь и сервер должны быть взаимно уверены, что они обмениваются информацией не с подставными абонентами, не ограничиваясь паролевой защитой;     после установления соединения между сервером и клиентом весь информационный поток должен быть защищен от несанкционированного доступа;     при обмене информацией стороны должны быть уверены в отсутствии случайных или умышленных искажений при ее передаче.     Протокол SSL позволяет серверу и клиенту перед началом информационного взаимодействия провести проверку подлинности друг друга, согласовать алгоритм шифрования и сформировать общие криптографические ключи. С этой целью в протоколе используются двухключевые (асимметричные) криптосистемы.     Конфиденциальность информации, передаваемой по установленному защищенному соединению, обеспечивается путем шифрования потока данных на сформированном общем ключе с использованием симметричных криптографических алгоритмов. Контроль целостности передаваемых блоков данных производится за счет использования так называемых кодов аутентификации сообщений (Message Auteification Code - MAC).

9.3.2. Протоколы SET
   Стандартный многосторонний протокол SET разработан компаниями MasterCard и Visa при участии ШМ, GlobeSet и других партнеров. Он позволяет покупателям приобретать товары через Интернет с помощью пластиковых карточек, используя самый защищенный на данный момент механизм выполнения платежей. SET обеспечивает кросс-аутентификацию счета держателя карты, продавца и банка продавца для проверки готовности оплаты, целостность и секретность сообщения, шифрование ценных и уязвимых данных. Поэтому SET правильнее называть стандартной технологией или системой протоколов выполнения безопасных платежей с использованием пластиковых карт через Интернет.     В отличие от других протоколов, SET позволяет решать базовые задачи защиты информации в целом. В частности, он обеспечивает следующие специальные требования защиты операций электронной коммерции:     секретность данных оплаты и конфиденциальность информации заказа, переданной наряду с данными об оплате;     сохранение целостности данных платежей, что обеспечивается с помощью цифровой подписи;     специальную криптографию с открытым ключом для проведения аутентификации;     аутентификацию держателя по кредитной карточке с применением цифровой подписи и сертификатов держателя карт;     аутентификацию продавца и его возможности принимать платежи по пластиковым карточкам с применением цифровой подписи и сертификатов продавца;     аутентификацию банка продавца как действующей организации, которая может принимать платежи по пластиковым карточкам через связь с процессинговой карточной системой (аутентификация осуществляется с использованием цифровой подписи и сертификатов банка продавца);     готовность оплаты транзакций в результате аутентификации сертификата с открытым ключом для всех сторон;     безопасность передачи данных посредством пре имущественного использования криптографии.     Основное преимущество SET заключается в применении так называемых цифровых сертификатов, которые ассоциируют держателя карты, продавца и банк продавца с рядом банковских учреждений, входящих в платежные системы Visa и MasterCard.     Цифровые сертификаты содержат открытые криптографические ключи абонентов, заверенные электронной цифровой подписью центра сертификации, и обеспечивают однозначную аутентификацию участников обмена. Цифровой сертификат - это определенная последовательность битов, основанных на криптографии с открытым ключом, представляющая собой совокупность персональных данных владельца и открытого ключа его электронной подписи (при необходимости, и шифрования), связанных в единое неизменяемое целое электронной подписью центра сертификации. Цифровой сертификат оформляется в виде файла или области памяти и может быть записан на дискету, интеллектуальную карту, элемент touch-memory, любой другой носитель данных.     Цифровые сертификаты предотвращают возможность подделок, от которых не застрахованы существующие виртуальные системы. Сертификаты также дают уверенность держателю карты и продавцу в том, что их транзакции будут обработаны с таким же высоким уровнем защиты, что и традиционные транзакции. Упрощенно говоря, по своим функциям цифровые сертификаты аналогичны обычной печати, которой удостоверяют подпись на бумажных документах.

9.4. Российские стандарты по защите взаимосвязи открытых систем
   Среди различных отечественных стандартов по безопасности информационных технологий можно отметить несколько современных стандартов и документов, регламентирующих защиту взаимосвязи открытых систем (ВОС):     ГОСТ Р ИСО 7498-2-99. Информационная технология. Взаимосвязь открытых систем. Базовая эталонная модель. Часть 2. Архитектура защиты информации.      ГОСТ Р ИСО/МЭК 9594-8-98. Информационная технология. Взаимосвязь открытых систем. Справочник. Часть 8. Основы аутентификации.     ГОСТ Р ИСО/МЭК 9594-9-95. Информационная технология. Взаимосвязь открытых систем. Справочник. Часть 9. Дублирование.     К ним можно добавить нормативные документы, посвященные средствам, системам и критериям оценки защищенности средств вычислительной техники и автоматизированных систем:     Руководящий документ «РД. СВТ. Межсетевые эк раны. Защита от НСД к информации. Показатели защищенности от НСД к информации». (Гостехкомиссия России, 1997).     ГОСТ Р 50739-95. Средства вычислительной техники. Защита от несанкционированного доступа к информации. Общие технические требования.     ГОСТ 28147-89. Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования.     ГОСТ Р 34.10-94. Информационная технология. Криптографическая защита информации. Процедуры выработки и проверки электронной подписи на базе асимметричного криптографического алгоритма.     ГОСТ Р 34.11-94. Информационная технология. Криптографическая защита информации. Функция хеширования.

9.5. Электронная подпись
   Применение глобальных коммуникаций в коммерческой деятельности и повседневной жизни привело к появлению принципиально новой области юридических отношений, связанных с электронным обменом данными. В таком обмене участвуют производители товаров и услуг, оптовые и розничные торговцы, дистрибьюторы, перевозчики, банки, страхователи, органы государственной власти и их организации, а также физические лица в своих деловых и личных отношениях. Поэтому здесь необходимы специальные средства, гарантирующие подтверждение подлинности и авторства документа. В настоящее время основным из этих средств служит так называемая электронная подпись.

9.5.1. Что такое электронная подпись?
   Идея цифровой подписи, как законного средства подтверждения подлинности и авторства документа в электронной форме, впервые была сформулирована явно в 1976 году в статье двух молодых американских специалистов по вычислительным наукам из Стэнфордского университета Уитфилда Диффи и Мартина Хеллмана.     Суть ее состоит в том, что для гарантированного подтверждения подлинности информации, содержащейся в электронном документе, а также для возможности неопровержимо доказать третьей стороне (партнеру, арбитру, суду и т.п.), что электронный документ был составлен именно конкретным лицом или по его поручению, и именно в том виде, в котором он предъявлен, автору документа предлагается выбрать свое индивидуальное число (называемое обычно индивидуальным ключом, паролем, кодом, и т.д.) и каждый раз для «цифрового подписывания» сворачивать (замешивать) этот свой индивидуальный ключ, хранимый в секрете от всех, с содержимым конкретного электронного документа. Результат такого «сворачивания» - другое число, и может быть назван цифровой подписью данного автора под данным конкретным документом.     Для практического воплощения этой идеи требовалось найти конкретные и конструктивные ответы на следующие вопросы:     Как «замешивать» содержание документа с индивидуальным ключом пользователя, чтобы они стали неразделимы?     Как проверять, что содержание подписываемого документа и индивидуальный ключ пользователя были подлинными, не зная заранее ни того, ни другого?     Как обеспечить возможность многократного использования автором одного и того же индивидуального ключа для цифрового подписывания большого числа электронных документов?     Как гарантировать невозможность восстановления индивидуального ключа пользователя по любому количеству подписанных с его помощью электронных документов?     Как гарантировать, что положительный результат проверки подлинности цифровой подписи и содержимого электронного документа будет в том и только в том случае, когда подписывался именно данный документ и именно с помощью данного индивидуального ключа?     Как обеспечить юридическую полноправность электронного документа с цифровыми подписями, существующего только в электронном виде без бумажного дубликата или заменителей?     Для полноценных удовлетворительных ответов на все эти вопросы потребовалось около 20 лет. Сейчас можно точно и определенно сказать, что практические ответы на все эти вопросы получены. Сегодня имеется целый арсенал программно-технических средств авторизации электронных документов с помощью цифровой подписи.     На сегодняшний день ответ на вопрос: «Что такое ЭЦП?» - можно ответить так:     ЭЦП - реквизит электронного документа, предназначенный для защиты данного электронного документа от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа электронной цифровой подписи и позволяющий идентифицировать владельца сертификата ключа подписи, а также установить отсутствие искажения информации в электронном документе.     Использование ЭЦП является необходимым, но недостаточным элементом обеспечения безопасности электронных сделок (электронной коммерции). С помощью средств ЭЦП обеспечивается аутентификация сторон сделки при обмене сообщениями и проверяется целостность сообщений. Конфиденциальность же содержания сообщений по сделкам достигается с помощью средств шифрования.     Однако сфера применения ЭЦП не ограничивается электронной коммерцией и охватывает также публично-правовые отношения (внутри государственного сектора), взаимоотношения с государственными органами и организациями и частно-правовые («межличностные») отношения, не связанные с коммерцией.     При использовании ЭЦП возникают новые права и обязанности субъектов правоотношений, для удостоверения подлинности ЭЦП формируется система специальных организаций, права, обязанности и ответственность которых также должны быть законодательно установлены. Нормативным актом, устанавливающим права, обязанности, ответственность субъектов, может быть только закон. Подзаконные акты вправе конкретизировать правовые механизмы им установленные. С учетом таких актов впоследствии и формируется российское законодательство об ЭЦП.

9.5.2. Основы алгоритмов цифровой подписи
   Одна из самых сложных задач при использовании ЭЦП - обеспечение надлежащей гарантии невозможности восстановления ключа подписывания по ключу проверки и любому количеству подписанных электронных документов.     Основная идея решения этой задачи состоит в том, чтобы использовать такие процедуры подписи и проверки, что практическое восстановление ключей подписи по ключам проверки требует выполнения весьма трудоемких (а, следовательно, и длительных, вычислений).     Практически оказалось, что при всем многообразии известных сложных вычислительных задач, применимой оказалась одна. Это так называемая задача дискретного логарифмирования.     В простейшем варианте ее можно сформулировать так. Если заданы три больших целых положительных числа а, n, х, то располагая даже несложными арифметическими устройствами типа карманного калькулятора или просто карандашом и бумагой, можно довольно быстро вычислить число ах как результат умножения числа а на себя х раз, а затем и остаток от деления этого числа нацело на n, записываемый как b = ax mod n. Задача дискретного логарифмирования состоит в том, чтобы по заданным числам а, b, n, связанным таким соотношением, найти то число х, из которого по этой формуле было вычислено число b.     Оказывается, что задача дискретного логарифмирования при правильном выборе исходных чисел настолько сложна, что позволяет надеяться на практическую невозможность восстановления числа х, - индивидуального ключа подписывания, по числу b, применяемому в качестве ключа проверки. Например, если а=10, ах = 21, то для решения этой задачи известными на сегодня методами потребуется около 30 лет работы 1000 современных суперкомпьютеров.     Среди конкретных алгоритмов, реализующих эту идею, можно упомянуть о следующих основных. Алгоритм RSA. Это один из первых по времени изобретения алгоритмов цифровой подписи, разработанный в 1977 году в Массачусетсом технологическом институте.     По современным оценкам сложность задачи разложения на простые множители при целых числах n из 64 байт составляет порядка 1017 - 1018 операций, т.е. находится где-то на грани досягаемости для серьезного «взломщика». Поэтому обычно в системах цифровой подписи на основе алгоритма RSA применяют более длинные целые числа n (обычно от 75 до 128 байт).     Это соответственно приводит к увеличению длины самой цифровой подписи относительно 64-байтного варианта примерно в два раза (в данном случае ее длина совпадает с длиной записи числа n), а также на порядок и более увеличивает время вычислений при подписывании и проверке. Кроме того, при генерации и вычислении ключей в системе RSA необходимо проверять большое количество довольно сложных дополнительных условий на простые числа р и q (что сделать достаточно трудно и чего обычно не делают, пренебрегая вероятностью неблагоприятного исхода - возможной подделки цифровых подписей), а невыполнение любого из них может сделать возможным фальсификацию подписи со стороны того, кто обнаружит невыполнение хотя бы одного из этих условий (при подписывании важных документов допускать, даже теоретически, такую возможность нежелательно).     Алгоритм EGSA. Существенным шагом вперед в разработке современных алгоритмов цифровой подписи был новый алгоритм Т. Эль-Гамаля, предложенный им в 1984 году. В этом алгоритме целое число n полагается равным специально выбранному большому простому числу р, по модулю которого и производятся все вычисления. Такой выбор позволяет повысить стойкость подписи при ключах из 64 байт примерно в 1000 раз, т.е. при такой длине ключей обеспечивается необходимый нам уровень стойкости порядка 10**21. Правда, при этом длина самой цифровой подписи увеличивается в два раза и составляет 128 байт.     Алгоритм DSA. Национальным институтом стандартов и технологий США в 1991 году на основе алгоритма Эль-Гамаля был разработан и представлен на рассмотрение Конгресса США новый алгоритм цифровой подписи, получивший название DSA (сокращение от Digital Signature Algorithm). Алгоритм DSA имеет по сравнению с алгоритмом RSA целый ряд преимуществ:     при заданном уровне стойкости цифровой подписи целые числа, с которыми приходится проводить вычисления, имеют запись как минимум на 20% короче, что соответственно уменьшает сложность вычислений не менее, чем на 70% и позволяет заметно сократить объем используемой памяти;     при выборе параметров достаточно проверить всего три легко проверяемых условия;     процедура подписывания по этому методу не позволяет вычислять (как это возможно в RSA) цифровые подписи под новыми сообщениями без знания секретного ключа.     Эти преимущества, а также ряд других соображений послужили главным мотивом для принятия в 1994 году национального стандарта цифровой подписи DSS на основе алгоритма DSA.     Алгоритм ГОСТ Р 34,10-94. Введен в действие с 1 января 1995 года. Алгоритмы вычисления и проверки подписи в этом ГОСТе устроены аналогично алгоритму DSA, но предварительная обработка электронных документов перед подписыванием (так называемое хеширование) выполняются по другому, существенно более медленному способу.

9.5.3. Электронная цифровая подпись на практике
   Прежде всего нам хотелось бы обратить внимание читателей на ряд отличий традиционной подписи от цифровой:     Рукописные подписи находятся полностью под контролем подписывающего лица, цифровые же создаются с использованием компьютера и программного обеспечения, которые могут работать, а могут и не работать так, чтобы выполняемым ими действиям можно было доверять.     Рукописные подписи, в отличие от цифровых, имеют оригинал, который можно копировать.     Рукописные подписи не слишком тесно связаны с тем, что ими подписывается, содержание подписанных бумаг может быть изменено после подписания. Цифровые подписи сложным образом связаны с конкретным содержимым данных, которые ими подписаны.     Способность выполнять рукописную подпись не может быть предметом хищения, в отличие от за крытого ключа.     Рукописные подписи могут копироваться с раз ной долей сходства, а копии цифровых подписей могут создаваться только путем использования похищенных ключей и имеют при этом стопроцентную идентичность подписи реального владельца ключа.     И, наконец, некоторые протоколы аутентификации требуют подписи данных цифровой подписью от вашего имени, и при этом вы никогда не узнаете, что именно было подписано. В потенциале вас мо гут заставить подписывать цифровой подписью практически что угодно.     Вопросы практического использования ЭЦП в России регулируются Законом «Об электронной цифровой подписи», подписанным Президентом РФ 11 января 2002 года и вступившем в силу с 15 января 2002 года. Отметим, что закон об электронной цифровой подписи был принят в США тоже сравнительно недавно - летом 2000 года, после чего аналогичные законы были приняты и ведущими европейскими державами.     Закон «Об электронной цифровой подписи» направлен на обеспечение правовых условий использования электронной цифровой подписи в электронных документах, при соблюдении которых электронная цифровая подпись в электронном документе признается равнозначной собственноручной подписи в документе на бумажном носителе.     В новом законе электронная цифровая подпись определяется как «реквизит электронного документа, предназначенный для его защиты от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа электронной цифровой подписи». Электронная цифровая подпись позволяет идентифицировать владельца сертификата ее ключа, а также установить отсутствие искажения информации в электронном документе.     Чтобы применять ЭЦП, пользователь должен стать владельцем специального сертификата, который выдает удостоверяющий центр. В качестве удостоверяющего центра может выступать организация, которая соответствует определенным требованиям. Перечень этих требований определит Правительство РФ.     Установлено также, что участник информационной системы может быть владельцем одновременно нескольких сертификатов ключей подписей. При этом документ с ЭЦП будет иметь юридическую силу только в рамках тех отношений, которые указаны в сертификате.

9.6. Средства обнаружения атак и анализа защищенности системы
   Как уже говорилось выше, для повышения надежности обеспечения информационной безопасности нужно применять новые современные механизмы защиты. Одним из таких механизмов является обнаружение атак (irusion detection). Средствам обнаружения атак в настоящий момент уделяется очень много внимания во всем мире. Особенность этих средств в том, что они с одинаковой эффективностью функционируют как внутри сети, защищая от внутренних злоумышленников, так и снаружи, защищая от внешних несанкционированных воздействий. В т.ч. эти средства позволяют своевременно обнаруживать и блокировать сетевые атаки типа «отказ в обслуживании», направленные на нарушение работоспособности электронного магазина. Одним из ярких примеров средств обнаружения атак можно назвать систему RealSecure, разработанную компанией Internet Security Systems, Inc. Согласно упоминавшемуся отчету компании IDC, система RealSecure захватила 52,8% рынка средств обнаружения атак.     Естественно, что лучше заранее предупредить атаку, чем предпринимать последующие действия по ее обнаружению, отражению и ликвидации последствий. Поэтому в настоящее время активно развиваются средства анализа защищенности (security assessme systems) или сканеры безопасности (security scanners). Эти средства могут обнаружить и устранить тысячи уязвимых мест на десятках и сотнях узлов, в т.ч. и удаленных на значительные расстояния. И в этой области также лидирует компания Internet Security Systems со своим семейством SAFEsuite, содержащим не только названную систему RealSecure, но и три системы поиска уязвимостей, работающих на различных уровнях информационной системы: Internet Scanner, System Scanner и Database Scanner.

10. Методы взлома компьютерных систем

В общем случае программное обеспечение любой универсальной компьютерной системы состоит из трех основных компонентов: операционной системы, сетевого программного обеспечения (СПО) и системы управления базами данных (СУБД). Поэтому все попытки взлома защиты компьютерных систем можно разделить на три группы:
атаки на уровне операционной системы;
атаки на уровне сетевого программного обеспечения;
атаки на уровне систем управления базами данных.
Атаки на уровне систем управления базами данных
Защита СУБД является одной из самых простых задач. Это связано с тем, что СУБД имеют строго определенную внутреннюю структуру, и операции над элементами СУБД заданы довольно четко. Есть четыре основных действия поиск, вставка, удаление и замена элемента. Другие операции являются вспомогательными и применяются достаточно редко. Наличие строгой структуры и четко определенных операций упрощает решение задачи защиты СУБД. В большинстве случаев хакеры предпочитают взламывать защиту компьютерной системы на уровне операционной системы и получать доступ к файлам СУБД с помощью средств операционной системы. Однако в случае, если используется СУБД, не имеющая достаточно надежных защитных механизмов, или плохо протестированная версия СУБД, содержащая ошибки, или если при определении политики безопасности администратором СУБД были допущены ошибки, то становится вполне вероятным преодоление хакером защиты, реализуемой на уровне СУБД. Кроме того, имеются два специфических сценария атаки на СУБД, для защиты от которых требуется применять специальные методы. В первом случае результаты арифметических операций над числовыми полями СУБД округляются в меньшую сторону, а разница суммируется в некоторой другой записи СУБД (как правило, эта запись содержит личный счет хакера в банке, а округляемые числовые поля относятся к счетам других клиентов банка). Во втором случае хакер получает доступ к полям записей СУБД, для которых доступной является только статистическая информация. Идея хакерской атаки на СУБД так хитро сформулировать запрос, чтобы множество записей, для которого собирается статистика, состояло только из одной записи.
Атаки на уровне операционной системы
Защищать операционную систему, в отличие от СУБД, гораздо сложнее. Дело в том, что внутренняя структура современных операционных систем чрезвычайно сложна, и поэтому соблюдение адекватной политики безопасности является значительно более трудной задачей. Среди людей несведущих бытует мнение, что самые эффективные атаки на операционные системы могут быть организованы только с помощью сложнейших средств, основанных на самых последних достижениях науки и техники, а хакер должен быть программистом высочайшей квалификации. Это не совсем так. Никто не спорит с тем, что пользователю следует быть в курсе всех новинок в области компьютерной техники. Да и высокая квалификация совсем не лишнее. Однако искусство хакера состоит отнюдь не в том, чтобы взламывать любую самую "крутую" компьютерную защиту. Нужно просто суметь найти слабое место в конкретной системе защиты. При этом простейшие методы взлома оказываются ничуть не хуже самых изощренных, поскольку чем проще алгоритм атаки, тем больше вероятность ее завершения без ошибок и сбоев, особенно если возможности предварительного тестирования этого алгоритма в условиях, приближенных к "боевым", весьма ограничены. Успех реализации того или иного алгоритма хакерской атаки на практике в значительной степени зависит от архитектуры и конфигурации конкретной операционной системы, являющейся объектом этой атаки. Однако имеются атаки, которым может быть подвергнута практически любая операционная система: кража пароля; подглядывание за пользователем, когда тот вводит пароль, дающий право на работу с операционной системой (даже если во время ввода пароль не высвечивается на экране дисплея, хакер может легко узнать пароль, просто следя за перемещением пальцев пользователя по клавиатуре); получение пароля из файла, в котором этот пароль был сохранен пользователем, не желающим затруднять себя вводом пароля при подключении к сети (как правило, такой пароль хранится в файле в незашифрованном виде), поиск пароля, который пользователи, чтобы не забыть, записывают на календарях, в записных книжках или на оборотной стороне компьютерных клавиатур (особенно часто подобная ситуация встречается, если администраторы заставляют пользователей применять трудно запоминаемые пароли), кража внешнего носителя парольной информации (дискеты или электронного ключа, на которых хранится пароль пользователя, предназначенный для входа в операционную систему), полный перебор всех возможных вариантов пароля; подбор пароля по частоте встречаемости символов и биграмм, с помощью словарей наиболее часто применяемых паролей, с привлечением знаний о конкретном пользователе его имени, фамилии, номера телефона, даты рождения и т. д., с использованием сведений о существовании эквивалентных паролей, при этом из каждого класса опробуется всего один пароль, что может значительно сократить время перебора; сканирование жестких дисков компьютера (хакер последовательно пытается обратиться к каждому файлу, хранимому на жестких дисках компьютерной системы, если объем дискового пространства достаточно велик, можно быть вполне уверенным, что при описании доступа к файлам и каталогам администратор допустил хотя бы одну ошибку, в результате чего все такие каталоги и файлы будут прочитаны хакером, для сокрытия следов хакер может организовать эту атаку под чужим именем: например, под именем пользователя, пароль которого известен хакеру); сборка "мусора" (если средства операционной системы позволяют восстанавливать ранее удаленные объекты, хакер может воспользоваться этой возможностью, чтобы получить доступ к объектам, удаленным другими пользователями: например, просмотрев содержимое их "мусорных" корзин); превышение полномочий (используя ошибки в программном обеспечении или в администрировании операционной системы, хакер получает полномочия, превышающие полномочия, предоставленные ему согласно действующей политике безопасности); запуск программы от имени пользователя, имеющего необходимые полномочия, или в качестве системной программы (драйвера, сервиса, домена и т. д.); подмена динамически загружаемой библиотеки, используемой системными программами, или изменение переменных среды, описывающих путь к таким библиотекам; модификация кода или данных подсистемы защиты самой операционной системы; отказ в обслуживании (целью этой атаки является частичный или полный вывод из строя операционной системы); захват ресурсов (хакерская программа производит захват всех имеющихся в операционной системе ресурсов, а затем входит в бесконечный цикл); бомбардировка запросами (хакерская программа постоянно направляет операционной системе запросы, реакция на которые требует привлечения значительных ресурсов компьютера); использование ошибок в программном обеспечении или администрировании. Если в программном обеспечении компьютерной системы нет ошибок, и ее администратор строго соблюдает политику безопасности, рекомендованную разработчиками операционной системы, то атаки всех перечисленных типов, малоэффективны. Дополнительные меры, которые должны быть предприняты для повышения уровня безопасности, в значительной степени зависят от конкретной операционной системы, под управлением которой работает данная компьютерная система. Тем не менее, приходится признать, что вне зависимости от предпринятых мер полностью устранить угрозу взлома компьютерной системы на уровне операционной системы невозможно. Поэтому политика обеспечения безопасности должна проводиться так, чтобы, даже преодолев защиту, создаваемую средствами операционной системы, хакер не смог нанести серьезного ущерба.
Атаки на уровне сетевого программного обеспечения
СПО является наиболее уязвимым, потому что канал связи, по которому передаются сообщения, чаше всего не защищен, и всякий, кто может иметь доступ к этому каналу, соответственно, может перехватывать сообщения и отправлять свои собственные. Поэтому на уровне СПО возможны следующие хакерские атаки: прослушивание сегмента локальной сети (в пределах одного и того же сегмента локальной сети любой подключенный к нему компьютер в состоянии принимать сообщения, адресованные другим компьютерам сегмента, а следовательно, если компьютер хакера подсоединен к некоторому сегменту локальной сети, то ему становится доступен весь информационный обмен между компьютерами этого сегмента); перехват сообщений на маршрутизаторе (если хакер имеет привилегированный доступ к сетевому маршрутизатору, то он получает возможность перехватывать все сообщения, проходящие через этот маршрутизатор, и хотя тотальный перехват невозможен из-за слишком большого объема, чрезвычайно привлекательным для хакера является выборочный перехват сообщений, содержащих пароли пользователей и их электронную почту); создание ложного маршрутизатора (путем отправки в сеть сообщений специального вида хакер добивается, чтобы его компьютер стал маршрутизатором сети, после чего получает доступ ко всем проходящим через него сообщениям); навязывание сообщений (отправляя в сеть сообщения с ложным обратным сетевым адресом, хакер переключает на свой компьютер уже установленные сетевые соединения и в результате получает права пользователей, чьи соединения обманным путем были переключены на компьютер хакера); отказ в обслуживании (хакер отправляет в сеть сообщения специальною вида, после чего одна или несколько компьютерных систем, подключенных к сети, полностью или частично выходят из строя). Поскольку хакерские атаки на уровне СПО спровоцированы открытостью сетевых соединений, разумно предположить, что дли отражения этих атак необходимо максимально защитить каналы связи и тем самым затруднить обмен информацией по сети для тех, кто не является легальным пользователем. Ниже перечислены некоторые способы такой защиты: максимальное ограничение размеров компьютерной сети (чем больше сеть, тем труднее ее защитить); изоляция сети от внешнего мира (по возможности следует ограничивать физический доступ к компьютерной сети извне, чтобы уменьшить вероятность несанкционированного подключения хакера); шифрование сетевых сообщений (тем самым можно устранить угрозу перехвата сообщений, правда, за счет снижения производительности СПО и роста накладных расходов); электронная цифровая подпись сетевых сообщений (если все сообщения, передаваемые по компьютерной сети, снабжаются электронной цифровой подписью, и при этом неподписанные сообщения игнорируются, то можно забыть про угрозу навязывания сообщений и про большинство угроз, связанных с отказом в обслуживании); использование брандмауэров (брандмауэр является вспомогательным средством защиты, применяемым только в том случае, если компьютерную сеть нельзя изолировать от других сетей, поскольку брандмауэр довольно часто не способен отличить потенциально опасное сетевое сообщение от совершенно безвредного, и в результате типичной является ситуация, когда брандмауэр не только не защищает сеть от хакерских атак, но и даже препятствует ее нормальному функционированию).
11. Защита системы от взлома

Перечисленные выше методы хакерской атаки на компьютерную систему являются наиболее типичными и описаны в общей форме. Самые распространенные из этих методов будут рассмотрены ниже более подробно, поскольку их применение в конкретных случаях имеет свои особенности, которые требуют применения дополнительных защитных мер. А пока для обобщенной модели взлома компьютерных систем можно сформулировать универсальные правила, которых следует придерживаться, чтобы свести риск к минимуму. Не отставайте от хакеров: будьте всегда в курсе последних разработок из области компьютерной безопасности. Оформите подписку на несколько специализированных журналов, в которых подробно освещаются вопросы защиты компьютерных систем от взлома. Регулярно просматривайте материалы, помещаемые на хакерских серверах Internet (например. astalavista.box.sk). Руководствуйтесь принципом разумной достаточности: не стремитесь построить абсолютно надежную защиту. Ведь чем мощнее защита, тем больше ресурсов компьютерной системы она потребляет и тем труднее использовать ее. Храните в секрете информацию о принципах действия защитных механизмов компьютерной системы. Чем меньше хакеру известно об этих принципах, тем труднее будет для него организовать успешную атаку. Постарайтесь максимально ограничить размеры защищаемой компьютерной сети и без крайней необходимости не допускайте ее подключения к Internet. Перед тем как вложить денежные средства в покупку нового программного обеспечения, поищите информацию о нем, имеющуюся на хакерских серверах Internet. Размещайте серверы в охраняемых помещениях. Не подключайте к ним клавиатуру и дисплеи, чтобы доступ к этим серверам осуществлялся только через сеть. Абсолютно все сообщения, передаваемые по незащищенным каналам связи, должны шифроваться и снабжаться цифровой подписью. Если защищаемая компьютерная сеть имеет соединение с незащищенной сетью, то все сообщения, отправляемые в эту сеть или принимаемые из нее, должны проходить через брандмауэр, а также шифроваться и снабжаться цифровой подписью. Не пренебрегайте возможностями, которые предоставляет аудит. Интервал между сеансами просмотра журнала аудита не должен превышать одних суток. Если окажется, что количество событий, помешенных в журнал аудита, необычайно велико, изучите внимательно все новые записи, поскольку не исключено, что компьютерная система подверглась атаке хакера, который пытается замести следы своего нападения, зафиксированные в журнале аудита. Регулярно производите проверку целостности программного обеспечения компьютерной системы. Проверяйте ее на наличие программных закладок. Регистрируйте все изменения политики безопасности в обычном бумажном журнале. Регулярно сверяйте политику безопасности с зарегистрированной в этом журнале. Это поможет обнаружить присутствие программной закладки, если она была внедрена хакером в компьютерную систему. Пользуйтесь защищенными операционными системами. Создайте несколько ловушек для хакеров (например, заведите на диске файл с заманчивым именем, прочитать который невозможно с помощью обычных средств, и если будет зафиксировано успешное обращение к этому файлу, значит, в защищаемую компьютерную систему была внедрена программная закладка). Регулярно тестируйте компьютерную систему с помощью специальных программ, предназначенных для определения степени ее защищенности от хакерских атак.

12. Программные закладки

Современная концепция создания компьютерных систем предполагает использование программных средств различного назначения в едином комплексе. К примеру, типовая система автоматизированного документооборота состоит из операционной среды, программных средств управления базами данных, телекоммуникационных программ, текстовых редакторов, антивирусных мониторов, средств для криптографической защиты данных, а также средств аутентификации и идентификации пользователей. Главным условием правильного функционирования такой компьютерной системы является обеспечение защиты от вмешательства в процесс обработки информации тех программ, присутствие которых в компьютерной системе не обязательно. Среди подобных программ, в первую очередь, следует упомянуть компьютерные вирусы. Однако имеются вредоносные программы еще одного класса. От них, как и от вирусов, следует с особой тщательностью очищать свои компьютерные системы. Это так называемые программные закладки, которые могут выполнять хотя бы одно из перечисленных ниже действий: вносить произвольные искажения в коды программ, находящихся в оперативной памяти компьютера (программная закладка первого типа); переносить фрагменты информации из одних областей оперативной или внешней памяти компьютера в другие (программная закладка второго типа); искажать выводимую на внешние компьютерные устройства или в канал связи информацию, полученную в результате работы других программ (программная закладка третьего типа). Программные закладки можно классифицировать и по методу их внедрения в компьютерную систему: программно-аппаратные закладки, ассоциированные с аппаратными средствами компьютера (их средой обитания, как правило, является BIOS набор программ, записанных в виде машинного кода в постоянном запоминающем устройстве ПЗУ); загрузочные закладки, ассоциированные с программами начальной загрузки, которые располагаются в загрузочных секторах (из этих секторов в процессе выполнения начальной загрузки компьютер считывает программу, берущую на себя управление для последующей загрузки самой операционной системы); драйверные закладки, ассоциированные с драйверами (файлами, и которых содержится информация, необходимая операционной системе для управления подключенными к компьютеру периферийными устройствами); прикладные закладки, ассоциированные с прикладным программным обеспечением общего назначения (текстовые редакторы, утилиты, антивирусные мониторы и программные оболочки); исполняемые закладки, ассоциированные с исполняемыми программными модулями, содержащими код этой закладки (чаше всего эти модули представляют собой пакетные файлы, т. е. файлы, которые состоят из команд операционной системы, выполняемых одна за одной, как если бы их набирали на клавиатуре компьютера);закладки-имитаторы, интерфейс которых совпадает с интерфейсом некоторых служебных программ, требующих ввод конфиденциальной информации (паролей, криптографических ключей, номеров кредитных карточек); замаскированные закладки, которые маскируются под программные средства оптимизации работы компьютера (файловые архиваторы, дисковые дефрагментаторы) или под программы игрового и развлекательного назначения. Чтобы программная закладка могла произвести какие-либо действия по отношению к другим программам или по отношению к данным, процессор должен приступить к исполнению команд, входящих в состав кода программной закладки. Это возможно только при одновременном соблюдении следующих условий: программная закладка должна попасть в оперативную память компьютера (если закладка относится к первому типу, то она должна быть загружена до начала работы другой программы, которая является целью воздействия закладки, или во время работы этой программы); работа закладки, находящейся в оперативной памяти, начинается при выполнении ряда условий, которые называются активизирующими. Интересно, что иногда сам пользователь провоцируется на запуск исполняемого файла, содержащего код программной закладки. Известен такой случай. Среди пользователей свободно распространялся набор из архивированных файлов. Для извлечения файлов из него требовалось вызвать специальную утилиту, которая, как правило, есть почти у каждого пользователя и запускается после указания ее имени в командной строке. Однако мало кто из пользователей замечал, что в полученном наборе файлов уже имелась программа с таким же именем и что запускаюсь именно она. Кроме разархивирования файлов, эта программная закладка дополнительно производила ряд действий негативного характера. С учетом замечания о том, что программная закладка должна быть обязательно загружена в оперативную память компьютера, можно выделить резидентные закладки (они находятся в оперативной памяти постоянно, начиная с некоторого момента и до окончания сеанса работы компьютера, т. с. до его перезагрузки или до выключения питания) и нерезидентные (такие закладки попадают в оперативную память компьютера аналогично резидентным, однако, в отличие от последних, выгружаются по истечении некоторого времени или при выполнении особых условий). Существуют три основные группы деструктивных действий, которые могут осуществляться программными закладками: копирование информации пользователя компьютерной системы (паролей, криптографических ключей, кодов доступа, конфиденциальных электронных документов), находящейся в оперативной или внешней памяти этой системы либо в памяти другой компьютерной системы, подключенной к ней через локальную или глобальную компьютерную сеть; изменение алгоритмов функционирования системных, прикладных и служебных программ (например, внесение изменений в программу разграничения доступа может привести к тому, что она разрешит вход в систему всем без исключения пользователям вне зависимости от правильности введенного пароля); навязывание определенных режимов работы (например, блокирование записи на диск при удалении информации, при этом информация, которую требуется удалить, не уничтожается и может быть впоследствии скопирована хакером). У всех программных закладок (независимо от метода их внедрения в компьютерную систему, срока их пребывания в оперативной памяти и назначения) имеется одна важная общая черта: они обязательно выполняют операцию записи в оперативную или внешнюю память системы. При отсутствии данной операции никакого негативного влияния программная закладка оказать не может. Ясно, что для целенаправленного воздействия она должна выполнять и операцию чтения, иначе в ней может быть реализована только функция разрушения (например, удаление или замена информации в определенных секторах жесткого диска).
12.1. Модели воздействия программных закладок на компьютеры

Перехват
В модели перехват программная закладка внедряется в ПЗУ системное или прикладное программное обеспечение и сохраняет всю или выбранную информацию, вводимую с внешних устройств компьютерной системы или выводимую на эти устройства, в скрытой области памяти локальной или удаленной компьютерной системы. Объектом сохранения, например, могут служить символы, введенные с клавиатуры (все повторяемые два раза последовательности символов), или электронные документы, распечатываемые на принтере.
Данная модель может быть двухступенчатой. На первом этапе сохраняются только, например, имена или начала файлов. На втором накопленные данные анализируются злоумышленником с целью принятия решения о конкретных объектах дальнейшей атаки. Модель типа "перехват" может быть эффективно использована при атаке на защищенную операционную систему Windows . После старта Windows на экране компьютерной системы появляется приглашение нажать клавиши ++. После их нажатия загружается динамическая библиотека MSGINA.DLL, осуществляющая прием вводимого пароля и выполнение процедуры его проверки (аутентификации). Описание всех функций этой библиотеки можно найти в файле Winwlx.h.
Также существует простой механизм замены исходной библиотеки MSGINA.DLL на пользовательскую (для этого необходимо просто добавить специальную строку в реестр операционной системы Windows и указать местоположение пользовательской библиотеки). В результате злоумышленник может модифицировать процедуру контроля над доступом к компьютерной системе, работающей под управлением Windows .
Искажение
В модели искажение программная закладка изменяет информацию, которая записывается в память компьютерной системы в результате работы программ, либо подавляет, инициирует возникновение ошибочных ситуаций в компьютерной системе. Можно выделить статическое и динамическое искажение.
Статическое искажение происходит всего один раз. При этом модифицируются параметры программной среды компьютерной системы, чтобы впоследствии в ней выполнялись нужные злоумышленнику действия. К статическому искажению относится, например, внесение изменений в файл AUTOEXEC.BAT операционной системы Windows 95/98, которые приводят к запуску заданной программы, прежде чем будут запущены все другие, перечисленные в этом файле. Специалистам российского Федерального агентства правительственной связи и информации (ФАПСИ) удалось выявить при анализе одной из отечественных систем цифровой подписи интересное статистическое искажение Злоумышленник (сотрудник отдела информатизации финансовой организации, в которой была внедрена данная система) исправил в исполняемом ЕХЕ-модуле программы проверки правильности цифровой подписи символьную строку "ПОДПИСЬ НЕКОРРЕКТНА" на символьную строку "ПОДПИСЬ КОРРЕКТНА".
В результате вообще перестали фиксироваться документы с неверными цифровыми подписями, и, следовательно, в электронные документы стало можно вносить произвольные изменения уже после их подписания электронной цифровой подписью. Динамическое искажение заключается в изменении каких-либо параметром системных или прикладных процессов при помощи заранее активизированных закладок. Динамическое искажение можно условно разделить так: искажение на входе (когда на обработку попадает уже искаженный документ) и искажение на выходе (когда искажается информация, отображаемая для восприятия человеком, или предназначенная для работы других программ).
Практика применения цифровой подписи в системах автоматизированного документооборота показала, что именно программная реализация цифровой подписи особенно подвержена влиянию программных закладок типа "динамическое искажение", которые позволяют осуществлять проводки фальшивых финансовых документов и вмешиваться в процесс разрешения споров по фактам неправомерного применения цифровой подписи.
Например, в одной из программных реализаций широко известной криптосистемы PGP электронный документ, под которым требовалось поставить цифровую подпись, считывался блоками по 512 байт, причем процесс считывания считался завершенным, если в прочитанном блоке данные занимали меньше 512 байт. Работа одной программной закладки, выявленной специалистами ФАПСИ, основывалась на навязывании длины файла. Эта закладка позволяла считывать только первые 512 байт документа, и в результате цифровая подпись определялась на основе только этих 512 байт.
Такая же схема действовала и при проверке поставленной под документом цифровой подписи. Следовательно, оставшаяся часть этого документа могла быть произвольным образом искажена, и цифровая подпись под ним продолжала оставаться "корректной". Существуют 4 основных способа воздействия программных закладок на цифровую подпись: искажение входной информации (изменяется поступающий на подпись электронный документ); искажение результата проверки истинности цифровой подписи (вне зависимости от результатов работы программы цифровая подпись объявляется подлинной); навязывание длины электронного документа (программе цифровой подписи предъявляется документ меньшей длины, чем на самом деле, и в результате цифровая подпись ставится только под частью исходною документа); искажение программы цифровой подписи (вносятся изменения в исполняемый код программы с целью модификации реализованного алгоритма).
В рамках модели "искажение" также реализуются программные закладки, действие которых основывается на инициировании или подавлении сигнала о возникновении ошибочных ситуаций в компьютерной системе, т. е. тех, которые приводят к отличному от нормального завершению исполняемой программы (предписанного соответствующей документацией).
Для инициирования статической ошибки на устройствах хранения информации создается область, при обращении к которой (чтение, запись, форматирование и т. п.) возникает ошибка, что может затруднить или блокировать некоторые нежелательные для злоумышленника действия системных пли прикладных программ (например, не позволять осуществлять корректно, уничтожить конфиденциальную информацию на жестком диске). При инициировании динамической ошибки для некоторой операции генерируется ложная ошибка из числа тех ошибок, которые могут возникать при выполнении данной операции. Например, для блокирования приема или передачи информации в компьютерной системе может постоянно инициироваться ошибочная ситуация "МОДЕМ ЗАНЯТ". Или при прочтении первого блока информации длиной 512 байт может устанавливаться соответствующий флажок для того, чтобы не допустить прочтения второго и последующих блоков и в итоге подделать цифровую подпись под документом. Чтобы маскировать ошибочные ситуации, злоумышленники обычно используют подавление статической или динамической ошибки.
Целью такого подавления часто является стремление блокировать нормальное функционирование компьютерной системы или желание заставить ее неправильно работать. Чрезвычайно важно, чтобы компьютерная система адекватно реагировала на возникновение всех без исключения ошибочных ситуаций, поскольку отсутствие должной реакции на любую ошибку эквивалентно ее подавлению и может быть использовано злоумышленником. Известен случай успешной атаки пары аргентинских самолетов-торпедоносцев на английский эсминец "Шеффилд", закончившийся нанесением серьезных повреждений этому кораблю. Из-за ошибок в программном обеспечении установленная на нем система противовоздушной обороны не смогла выбрать цель, которую полагалось сбивать первой, поскольку атакующие самолеты летели слишком близко друг от друга. Разновидностью искажения является также модель типа троянский конь. В этом случае программная закладка встраивается в постоянно используемое программное обеспечение и по некоторому активизирующему событию вызывает возникновение сбойной ситуации в компьютерной системе.
Тем самым достигаются сразу две цели: парализуется ее нормальное функционирование, а злоумышленник, получив доступ к компьютерной системе для устранения неполадок, сможет, например, извлечь из нее информацию, перехваченную другими программными закладками. В качестве активизирующего события обычно используется наступление определенного момент, времени, сигнал из канала модемной связи или состояние некоторых счетчиков (например, счетчика количества запусков программы).
Уборка мусора
Как известно, при хранении компьютерных данных на внешних носителях прямого доступа выделяется несколько уровней иерархии: сектора, кластеры и файлы. Сектора являются единицами хранения информации на аппаратном уровне. Кластеры состоят из одного или нескольких подряд идущих секторов. Файл это множество кластеров, связанных по определенному закону. Работа с конфиденциальными электронными документами обычно сводится к последовательности следующих манипуляций с файлами:
создание;
хранение;
коррекция;
уничтожение.
Для защиты конфиденциальной информации обычно используется шифрование. Основная угроза исходит отнюдь не от использования нестойких алгоритмов шифрования и "плохих" криптографических ключей (как это может показаться на первый взгляд), а от обыкновенных текстовых редакторов и баз данных, применяемых для создания и коррекции конфиденциальных документов! Дело в том, что подобные программные средства, как правило, в процессе функционирования создают в оперативной или внешней памяти компьютерной системы временные копии документов, с которыми они работают. Естественно, все эти временные файлы выпадают из поля зрения любых программ шифрования и могут быть использованы злоумышленником для того, чтобы составить представление о содержании хранимых в зашифрованном виде конфиденциальных документов.
Важно помнить и о том, что при записи отредактированной информации меньшего объема в тот же файл, где хранилась исходная информация до начала сеанса ее редактирования, образуются так называемые "хвостовые" кластеры, в которых эта исходная информация полностью сохраняется. И тогда "хвостовые" кластеры не только не подвергаются воздействию программ шифрования, но и остаются незатронутыми даже средствами гарантированного стирания информации. Конечно, рано или поздно информация из "хвостовых" кластеров затирается данными из других файлов, однако по оценкам специалистов ФАПСИ из "хвостовых" кластеров через сутки можно извлечь до 85%, а через десять суток до 2540% исходной информации.
Пользователям необходимо иметь в виду и то, что команда удаления файла (DEL) операционной системы DOS2 не изменяет содержания файла, и оно может быть в любой момент восстановлено, если поверх него еще не был записан другой файл. Распространенные средства гарантированного стирания файлов предварительно записывают на его место константы или случайные числа и только после этого удаляют файл стандартными средствами DOS. Однако даже такие мощные средства оказываются бессильными против программных закладок, которые нацелены на то, чтобы увеличить количество остающихся в виде "мусора" фрагментов конфиденциальной информации. Например, программная закладка может инициировать статическую ошибку, пометив один или несколько кластеров из цепочки, входящей в файл, меткой "СБОЙНЫЙ". В результате при удалении файла средствами операционной системы или средствами гарантированного уничтожения та его часть, которая размещена в сбойных кластерах, останется нетронутой и впоследствии может быть восстановлена с помощью стандартных утилит.
Наблюдение и компрометация
Помимо перечисленных, существуют и другие модели воздействия программных закладок на компьютеры. В частности, при использовании модели типа наблюдение программная закладка встраивается в сетевое или телекоммуникационное программное обеспечение. Пользуясь тем, что подобное программное обеспечение всегда находится в состоянии активности, внедренная в него программная закладка может следить за всеми процессами обработки информации в компьютерной системе, а также осуществлять установку и удаление других программных закладок. Модель типа компрометация позволяет получать доступ к информации, перехваченной другими программными закладками. Например, инициируется постоянное обращение к такой информации, приводящее к росту соотношения сигнал/шум. А это, в свою очередь, значительно облегчает перехват побочных излучений данной компьютерной системы и позволяет эффективно выделять сигналы, сгенерированные закладкой типа "компрометация", из общего фона излучения, исходящего от оборудования.
12.2. Защита от программных закладок
Задача защиты от программных закладок может рассматриваться в трех принципиально различных вариантах: не допустить внедрения программной закладки в компьютерную систему; выявить внедренную программную закладку; удалить внедренную программную закладку. При рассмотрении этих вариантов решение задачи защиты от программных закладок сходно с решением проблемы защиты компьютерных систем от вирусов. Как и в случае борьбы с вирусами, задача решается с помощью средств контроля над целостностью запускаемых системных и прикладных программ, а также за целостностью информации, хранимой в компьютерной системе и за критическими для функционирования системы событиями.
Однако данные средства действенны только тогда, когда сами они не подвержены влиянию программных закладок, которые могут: навязывать конечные результаты контрольных проверок; влиять на процесс считывания информации и запуск программ, за которыми осуществляется контроль; изменять алгоритмы функционирования средств контроля. При этом чрезвычайно важно, чтобы включение средств контроля выполнялось до начала воздействия программной закладки либо когда контроль осуществлялся только с использованием программ управления, находящихся в ПЗУ компьютерной системы.
Защита от внедрения программных закладок
Универсальным средством защиты от внедрения программных закладок является создание изолированного компьютера. Компьютер называется изолированным, если выполнены следующие условия: в нем установлена система BIOS, не содержащая программных закладок; операционная система проверена на наличие в ней закладок; достоверно установлена неизменность BIOS и операционной системы для данного сеанса; на компьютере не запускалось и не запускается никаких иных программ, кроме уже прошедших проверку на присутствие в них закладок; исключен запуск проверенных программ в каких-либо иных условиях, кроме перечисленных выше, т. е. вне изолированного компьютера. Для определения степени изолированности компьютера может использоваться модель ступенчатого контроля.
Сначала проверяется, нет ли изменений в BIOS. Затем, если все в порядке, считывается загрузочный сектор диска и драйверы операционной системы, которые, в свою очередь, также анализируются на предмет внесения в них несанкционированных изменений. И, наконец, с помощью операционной системы запускается драйвер контроля вызовов программ, который следит за тем, чтобы в компьютере запускались только проверенные программы. Интересный метод борьбы с внедрением программных закладок может быть использован в информационной банковской системе, в которой циркулируют исключительно файлы-документы. Чтобы не допустить проникновения программной закладки через каналы связи, в этой системе не допускается прием никакого исполняемого кода. Для распознавания событий типа "ПОЛУЧЕН ИСПОЛНЯЕМЫЙ КОД" и "ПОЛУЧЕН ФАЙЛ-ДОКУМЕНТ" применяется контроль над наличием в файле запрещенных символов: файл признается содержащим исполняемый код, если в нем присутствуют символы, которые никогда не встречаются в файлах-документах.
Выявление внедренной программной закладки
Выявление внедренного кода программной закладки заключается в обнаружении признаков его присутствия в компьютерной системе. Эти признаки можно разделить на следующие два класса: качественные и визуальные; обнаруживаемые средствами тестирования и диагностики.
К качественным и визуальным признакам относятся ощущения и наблюдения пользователя компьютерной системы, который отмечает определенные отклонения в ее работе (изменяется состав и длины файлов, старые файлы куда-то пропадают, а вместо них появляются новые, программы начинают работать медленнее, или заканчивают свою работу слишком быстро, или вообще перестают запускаться). Несмотря на то, что суждение о наличии признаков этого класса кажется слишком субъективным, тем не менее, они часто свидетельствуют о наличии неполадок в компьютерной системе и, в частности, о необходимости проведения дополнительных проверок присутствия программных закладок.
Например, пользователи пакета шифрования и цифровой подписи "Криптоцентр" с некоторых пор стали замечать, что цифровая подпись под электронными документами ставится слишком быстро. Исследование, проведенное специалистами ФАПСИ, показало присутствие программной закладки, работа которой основывалась на навязывании длины файла.
В другом случае тревогу забили пользователи пакета шифрования и цифровой подписи "Криптон", которые с удивлением отметили, что скорость шифрования по криптографическому алгоритму ГОСТ 28147-89 вдруг возросла более чем в 30 раз. А в третьем случае программная закладка обнаружила свое присутствие в программе клавиатурного ввода тем, что пораженная ею программа перестала нормально работать. Признаки, выявляемые с помощью средств тестирования и диагностики, характерны как для программных закладок, так и для компьютерных вирусов. Например, загрузочные закладки успешно обнаруживаются антивирусными программами, которые сигнализируют о наличии подозрительного кода в загрузочном секторе диска.
С инициированием статической ошибки на дисках хорошо справляется Disk Doctor, входящий в распространенный комплект утилит Norton Utilities. А средства проверки целостности данных на диске типа Adinf позволяют успешно выявлять изменения, вносимые в файлы программными закладками. Кроме того, эффективен поиск фрагментов кода программных закладок по характерным для них последовательностям нулей и единиц (сигнатурам), а также разрешение выполнения только программ с известными сигнатурами.
Удаление внедренной программной закладки
Конкретный способ удаления внедренной программной закладки зависит от метода ее внедрения в компьютерную систему. Если это программно-аппаратная закладка, то следует перепрограммировать ПЗУ компьютера. Если это загрузочная, драйверная, прикладная, замаскированная закладка или закладка- имитатор, то можно заменить ее соответствующей загрузочной записью, драйвер, утилиту, прикладную или служебную программу, полученную от источника, заслуживающего доверия. Наконец, если это исполняемый программный модуль, то можно попытаться добыть его исходный текст, убрать из него имеющиеся закладки или подозрительные фрагменты, а затем заново откомпилировать.

13. Клавиатурные шпионы

Одна из наиболее распространенных разновидностей программных закладок клавиатурные шпионы. Такие программные закладки нацелены на перехват паролей пользователей операционной системы, а также на определение их легальных полномочий и прав доступа к компьютерным ресурсам. Клавиатурные шпионы явление отнюдь не новое в мире компьютеров. В свое время они разрабатывались и для OS/370, и для UNIX, и для DOS. Их поведение в общем случае является довольно традиционным: типовой клавиатурный шпион обманным путем завладевает пользовательскими паролями, а затем переписывает эти пароли туда, откуда их может без особого труда извлечь злоумышленник. Различия между клавиатурными шпионами касаются только способа, который применяется ими для перехвата пользовательских паролей. Соответственно все клавиатурные шпионы делятся на три типа имитаторы, фильтры и заместители.
Имитаторы
Клавиатурные шпионы этого типа работают по следующему алгоритму. Злоумышленник внедряет в операционную систему программный модуль, который имитирует приглашение пользователю зарегистрироваться для того, чтобы войти в систему. Затем внедренный модуль (в принятой терминологии имитатор) переходит в режим ожидания ввода пользовательского идентификатора и пароля. После того как пользователь идентифицирует себя и введет свой пароль, имитатор сохраняет эти данные там, где они доступны злоумышленнику.
Далее имитатор инициирует выход из системы (что в большинстве случаев можно сделать программным путем), и в результате перед глазами у ничего не подозревающего пользователя появляется сто одно, но на этот раз уже настоящее приглашение для входа в систему. Обманутый пользователь, видя, что ему предлагается еще раз внести пароль приходит к выводу о том, что он допустил какую-то ошибку во время предыдущего ввода пароля, и послушно повторяет всю процедуру входа в систему заново. Некоторые имитаторы для убедительности выдают на экран монитора правдоподобное сообщение о якобы совершенной пользователем ошибке.
Например, такое: "НЕВЕРНЫЙ ПАРОЛЬ. ПОПРОБУЙТЕ ЕЩЕ РАЗ". Написание имитатора не требует от его создателя каких-либо особых навыков. Злоумышленнику, умеющему программировать на одном из универсальных языков программирования (к примеру, на языке BASIC), понадобятся на это считанные часы. Единственная трудность, с которой он может столкнуться, состоит в том, чтобы отыскать в документации соответствующую программную функцию, реализующую выход пользователя из системы.
Перехват пароля зачастую облегчают сами разработчики операционных систем, которые не затрудняют себя созданием усложненных по форме приглашений пользователю зарегистрироваться для входа в систему. Подобное пренебрежительное отношение характерно для большинства версий операционной системы UNIX, в которых регистрационное приглашение состоит из двух текстовых строк, выдаваемых поочередно на экран терминала:
login:
password:
Чтобы подделать такое приглашение, не нужно быть семи пядей во лбу. Однако само по себе усложнение внешнего вида приглашения не создает для хакера, задумавшего внедрить в операционную систему имитатор, каких-либо непреодолимых препятствий. Для этого требуется прибегнуть к более сложным и изощренным мерам защиты. В качестве примера операционной системы, в которой такие меры в достаточно полном объеме реализованы на практике, можно привести Windows .
Системный процесс WinLogon, отвечающий в операционной системе Windows за аутентификацию пользователей, имеет свой собственный рабочий стол совокупность окон, одновременно видимых на экране дисплея. Этот рабочий стол называется столом аутентификации. Никакой другой Процесс, в том числе и имитатор, не имеет доступа к рабочему столу аутентификации и не может расположить на нем свое окно. После запуска Windows на экране компьютера возникает так называемое начальное окно рабочего стола аутентификации, содержащее указание нажать на клавиатуре клавиши ++. Сообщение о нажатии этих клавиш передается только системному процессу WinLogon, а для остальных процессов, в частности, для всех прикладных программ, их нажатие происходит совершенно незаметно.
Далее производится переключение на другое, так называемое регистрационное окно рабочего стола аутентификации. В нем-то как раз и размещается приглашение пользователю ввести свое идентификационное имя и пароль, которые будут восприняты и проверены процессом WinLogon. Для перехвата пользовательского пароля внедренный в Windows имитатор обязательно должен уметь обрабатывать нажатие пользователем клавиш ++. В противном случае произойдет переключение на регистрационное окно рабочего стола аутентификации, имитатор станет неактивным и не сможет ничего перехватить, поскольку все символы пароля, введенные пользователем, минуют имитатор и станут достоянием исключительно системного процесса WinLogon. Как уже говорилось, процедура регистрации в Windows устроена таким образом, что нажатие клавиш ++ проходит бесследно для всех процессов, кроме WinLogon, и поэтому пользовательский пароль поступит именно ему.
Конечно, имитатор может попытаться воспроизвести не начальное окно рабочего стола аутентификации (в котором высвечивается указание пользователю одновременно нажать клавиши ++), а регистрационное (где содержится приглашение ввести идентификационное имя и пароль пользователя). Однако при отсутствии имитаторов в системе регистрационное окно автоматически заменяется начальным по прошествии короткого промежутка времени (в зависимости от версии Windows он может продолжаться от 30 с до 1 мин), если в течение этого промежутка пользователь не предпринимает никаких попыток зарегистрироваться в системе.
Таким образом, сам факт слишком долгого присутствия на экране регистрационного окна должен насторожить пользователя Windows и заставить его тщательно проверить свою компьютерную систему на предмет наличия в ней программных закладок. Подводя итог сказанному, можно отметить, что степень защищенности Windows от имитаторов достаточно высока. Рассмотрение защитных механизмов, реализованных в этой операционной системе, позволяет сформулировать два необходимых условия, соблюдение которых является обязательным для обеспечения надежной защиты от имитаторов: системный процесс, который при входе пользователя в систему получает от него соответствующие регистрационное имя и пароль, должен иметь свой собственный рабочий стол, недоступный другим процессам; переключение на регистрационное окно рабочего стола аутентификации должно происходить абсолютно незаметно для прикладных программ, которые к тому же никак не могут повлиять на это переключение (например, запретить его). К сожалению, эти два условия ни в одной из операционных систем, за исключением Windows , не соблюдаются.
Поэтому для повышения их защищенности от имитаторов можно порекомендовать воспользоваться административными мерами. Например, обязать каждого пользователя немедленно сообщать системному администратору, когда вход в систему оказывается невозможен с первого раза, несмотря на корректно заданное идентификационное имя и правильно набранный пароль.
Фильтры
Фильтры "охотятся" за всеми данными, которые пользователь операционной системы вводит с клавиатуры компьютера. Самые элементарные фильтры просто сбрасывают перехваченный клавиатурный ввод на жесткий диск или в какое-то другое место, к которому имеет доступ злоумышленник. Более, изощренные программные закладки этого типа подвергают перехваченные данные анализу и отфильтровывают информацию, имеющую отношение к пользовательским паролям.
Фильтры являются резидентными программами, перехватывающими одно или несколько прерываний, которые связаны с обработкой сигналов от клавиатуры. Эти прерывания возвращают информацию о нажатой клавише и введенном символе, которая анализируется фильтрами на предмет выявления данных, имеющих отношение к паролю пользователя. Известны несколько фильтров, созданных специально для различных версий операционной системы DOS. В 1997 г. отмечено появление фильтров для операционных систем Windows 3.11 и Windows 95.
Надо сказать, что изготовить подобного рода программную закладку не составляет большого труда. В операционных системах Windows 3.11 и Windows 95/98 предусмотрен специальный программный механизм, с помощью которого в них решается ряд задач, связанных с получением доступа к вводу с клавиатуры, в том числе и проблема поддержки национальных раскладок клавиатур. К примеру, любой клавиатурный русификатор для Windows представляет собой самый, что ни на есть настоящий фильтр, поскольку призван перехватывать все данные, вводимые пользователем с клавиатуры компьютера. Нетрудно "доработать" его таким образом, чтобы вместе со своей основной функцией (поддержка национальной раскладки клавиатуры) он заодно выполнял бы и действия по перехвату паролей.
Тем более что, но многих учебных пособиях и руководствах пользователя операционных систем Windows имеются исходные тексты программных русификаторов клавиатуры. "Перепрофилировав" этот русификатор так, чтобы он взял на себя выполнение функций клавиатурного шпиона, его можно встроить перед настоящим русификатором или после него, и в результате вся информация. 4 вводимая пользователем с клавиатуры, пойдет и через клавиатурного шпиона.
Таким образом, задача создания фильтра становится такой простой, что не требует наличия каких-либо специальных знаний у злоумышленника. Ему остается только незаметно внедрить изготовленную им программную закладку в операционную систему и умело замаскировать ее присутствие. В общем случае можно утверждать, что если в операционной системе разрешается переключать клавиатурную раскладку во время ввода пароля, то для этой операционной системы возможно создание фильтра. Поэтому, чтобы обезопасить ее от фильтров, необходимо обеспечить выполнение следующих трех условий: во время ввода пароля переключение раскладок клавиатуры не разрешается; конфигурировать цепочку программных модулей, участвующих в работе с паролем пользователя, может только системный администратор; доступ к файлам этих модулей имеет исключительно системный администратор.
Соблюсти первое из этих условий в локализованных для России версиях операционных систем принципиально невозможно. Дело в том, что средства создания учетных пользовательских записей на русском языке являются неотъемлемой частью таких систем. Только в англоязычных версиях систем Windows и UNIX предусмотрены возможности, позволяющие поддерживать уровень безопасности, при котором соблюдаются все 3 перечисленные условия.
Заместители
Заместители полностью или частично подменяют собой программные модули операционной системы, отвечающие за аутентификацию пользователей. Подобного рода клавиатурные шпионы могут быть созданы для работы в среде практически любой многопользовательской операционной системы. Трудоемкость написания заместителя определяется сложностью алгоритмов, реализуемых подсистемой аутентификации, и интерфейсов между ее отдельными модулями.
Также при оценке трудоемкости следует принимать во внимание степень документированности этой подсистемы. В целом можно сказать, что задача создания заместителя значительно сложнее задачи написания имитатора или фильтра. Поэтому фактов использования подобного рода программных закладок злоумышленниками пока отмечено не было. Однако в связи с тем, что в настоящее время все большее распространение получает операционная система Windows , имеющая мощные средства защиты от имитаторов и фильтров, в самом скором будущем от хакеров следует ожидать более активного использования заместителей в целях получения несанкционированного доступа к компьютерным системам.
Поскольку заместители берут на себя выполнение функций подсистемы аутентификации, перед тем как приступить к перехвату пользовательских паролей они должны выполнить следующие действия: подобно компьютерному вирусу внедриться в один или несколько системных файлов; использовать интерфейсные связи между программными модулями подсистемы аутентификации для встраивания себя в цепочку обработки введенного пользователем пароля.
Для того чтобы защитить систему от внедрения заместителя, ее администраторы должны строго соблюдать адекватную политику безопасности. И что особенно важно, подсистема аутентификации должна быть одним из самых защищенных элементов операционной системы. Однако, как показываем практика, администраторы, подобно всем людям, склонны к совершению ошибок. А, следовательно, соблюдение адекватной политики безопасности в течение неограниченного периода времени является невыполнимой задачей. Кроме того, как только заместитель попал в компьютерную систему, любые меры защиты от внедрения программных закладок перестают быть адекватными, и поэтому необходимо предусмотреть возможность использования эффективных средств обнаружения и удаления внедренных клавиатурных шпионов. Это значит, что администратор должен вести самый тщательный контроль целостности исполняемых системных файлов и интерфейсных функций, используемых подсистемой аутентификации для решения своих задач. Но и эти меры могут оказаться недостаточно эффективными.
Ведь машинный код заместителя выполняется в контексте операционной системы, и поэтому заместитель может предпринимать особые меры, чтобы максимально затруднить собственное обнаружение. Например, он может перехватывать системные вызовы, используемые администратором для выявления программных закладок, с целью подмены возвращаемой ими информации. Или фильтровать сообщения, регистрируемые подсистемой аудита, чтобы отсеивать те, которые свидетельствуют о его присутствии в компьютере.

Как защитить систему от клавиатурных шпионов
Клавиатурные шпионы представляют реальную угрозу безопасности современных компьютерных систем. Чтобы отвести эту угрозу, требуется реализовать целый комплекс административных мер и программно-аппаратных средств защиты. Надежная защита от клавиатурных шпионов может быть построена только тогда, когда операционная система обладает определенными возможностями, затрудняющими работу клавиатурных шпионов. Они были подробно описаны выше, и не имеет смысла снова на них останавливаться.
Однако необходимо еще раз отметить, что единственной операционной системой, в которой построение такой защиты, возможно, является Windows . Да и то с оговорками, поскольку все равно ее придется снабдить дополнительными программными средствами, повышающими степень ее защищенности. В частности, в Windows необходимо ввести контроль целостности системных файлов и интерфейсных связей подсистемы аутентификации.
Кроме того, для надежной защиты от клавиатурных шпионов администратор операционной системы должен соблюдать политику безопасности, при которой только администратор может: конфигурировать цепочки программных модулей, участвующих в процессе аутентификации пользователей; осуществлять доступ к файлам этих программных модулей; конфигурировать саму подсистему аутентификации. И наконец, при организации защиты от клавиатурных шпионов всегда следует иметь в виду, что ни неукоснительное соблюдение адекватной политики безопасности, ни использование операционной системы, имеющей в своем составе средства, существенно затрудняющие внедрение клавиатурных шпионов и облегчающие их своевременное обнаружение, ни дополнительная реализация контроля за целостностью системных файловой и интерфейсных связей сами по себе не могут служить залогом надежной защиты информации в компьютере. Все эти меры должны осуществляться в комплексе. Ведь жертвой клавиатурного шпиона может стать любой пользователь операционной системы, поскольку ее администраторы тоже люди, время от времени, и они допускают ошибки в своей работе, а для внедрения клавиатурного шпиона достаточно всего одной оплошности администратора.
Парольные взломщики

Проблему безопасности компьютерных сетей надуманной не назовешь. Практика показывает: чем масштабнее сеть и чем более ценная информация доверяется подключенным к ней компьютерам, тем больше находится желающих нарушить ее нормальное функционирование ради материальной выгоды или просто из праздного любопытства. В самой крупной компьютерной сети в мире (Internet) атаки на компьютерные системы возникают подобно волнам цунами, сметая все защитные барьеры и оставляя после себя впавшие в паралич компьютеры и опустошенные винчестеры. Эти атаки не знают государственных границ. Идет постоянная виртуальная война, в ходе которой организованности системных администраторов противостоит изобретательность компьютерных взломщиков. Основным защитным рубежом против злонамеренных атак в компьютерной сети является система парольной защиты, которая имеется во всех современных операционных системах. В соответствии с установившейся практикой перед началом сеанса работы с операционной системой пользователь обязан зарегистрироваться, сообщив ей свое имя и пароль. Имя требуется операционной системе для идентификации пользователя, а пароль служит подтверждением правильности произведенной идентификации. Информация, введенная пользователем в диалоговом режиме, сравнивается с той, что имеется в распоряжении операционной системы. Если проверка лает положительный результат, то пользователю становятся доступны все ресурсы операционной системы, связанные с его именем.
Что такое парольный взломщик
Трудно представить, что сегодня какому-нибудь злоумышленнику может придти в голову шальная мысль о том, чтобы попытаться подобрать имя и пароль для входа в операционную систему, по очереди перебирая в уме все возможные варианты и вводя их с клавиатуры. Скорость такого подбора пароля будет чрезвычайно низкой, тем более что в операционных системах с хорошо продуманной парольной защитой количество подряд идущих повторных вводов конкретного пользовательского имени и соответствующего ему пароля всегда можно ограничить двумя-тремя и сделать так, что если это число будет превышено, то вход в систему с использованием данного имени блокируется в течение фиксированного периода времени или до прихода системного администратора. Гораздо более эффективным является другой метод взлома парольной защиты, при котором атаке подвергается системный файл, содержащий информацию о ее легальных пользователях и их паролях. Однако любая современная операционная система надежно защищает при помощи шифрования пользовательские пароли, которые хранятся в этом файле. Доступ к таким файлам, как правило, по умолчанию запрещен даже для системных администраторов, не говоря уже о рядовых пользователях. Тем не менее, в ряде случаев злоумышленнику удается путем различных ухищрений получить в свое распоряжение файл с именами пользователей и их зашифрованными паролями. И тогда ему на помощь приходят так называемые парольные взломщики специализированные программы, которые служат для взлома паролей операционных систем.
Как работает парольный взломщик
Криптографические алгоритмы, применяемые для шифрования паролей пользователей в современных операционных системах, в подавляющем большинстве случаев являются слишком стойкими, чтобы можно было надеяться отыскать методы их дешифрования, которые окажутся более эффективными, чем тривиальный перебор возможных вариантов. Поэтому парольные взломщики иногда просто шифруют все пароли с использованием того же самого криптографического алгоритма, который применяется для их засекречивания в атакуемой операционной системе, и сравнивают результаты шифрования с тем, что записано в системном файле, где находятся шифрованные пароли ее пользователей. При этом в качестве вариантов паролей парольные взломщики используют символьные последовательности, автоматически генерируемые из некоторого набора символов. Данный способ позволяет взломать все пароли, если известно их представление в зашифрованном виде, и они содержат только символы из данного набора. За счет очень большого числа перебираемых комбинаций, которое растет экспоненциально с увеличением числа символов в исходном наборе, такие атаки парольной защиты операционной системы могут занимать слишком много времени. Однако хорошо известно, что большинство пользователей операционных систем не затрудняют себя выбором стойких паролей (т. е. таких, которые трудно взломать).
Поэтому для более эффективного подбора паролей парольные взломщики обычно используют так называемые словари, представляющие собой заранее сформированный список слов, наиболее часто применяемых на практике в качестве паролей. Для каждого слова из словаря парольный взломщик использует одно или несколько правил. В соответствии с этими правилами слово изменяется и порождает дополнительное множество опробуемых паролей.
Производится попеременное изменение буквенного регистра, в котором набрано слово, порядок следования букв в слове меняется на обратный, в начало и в конец каждого слова приписывается цифра 1, некоторые буквы заменяются на близкие по начертанию цифры (в результате, например, из слова password получается pa55wOrd). Это повышает вероятность подбора пароля, поскольку в современных операционных системах, как правило, различаются пароли, набранные заглавными и строчными буквами, а пользователям этих систем настоятельно рекомендуется выбирать пароли, в которых буквы чередуются с цифрами. Одни парольные взломщики поочередно проверяют каждое слово из словаря, применяя к нему определенный набор правил для генерации дополнительного множества опробуемых паролей.
Другие предварительно обрабатывают весь словарь при помощи этих же правил, получая новый словарь большего размера, и затем из него черпают проверяемые пароли. Учитывая, что обычные словари человеческих языков состоят всего из нескольких сотен тысяч слов, а скорость шифрования паролей достаточно высока, парольные взломщики, осуществляющие поиск с использованием словаря работают достаточно быстро. Пользовательский интерфейс подавляющего большинства парольных взломщиков трудно назвать дружественным. После их запуска на экране Дисплея, как правило, появляется лаконичный запрос File, означающий, что необходимо ввести имя файла, где хранится словарь.
Да и документацию к парольным взломщикам обильной не назовешь. Правда, для этого есть свои объективные причины. Во-первых, парольные взломщики предназначены исключительно для подбора паролей. Такая узкая специализация не способствует разнообразию их интерфейса и обилию сопроводительной документации. Во-вторых, авторами большей части парольных взломщиков являются люди компьютерного подполья, которые создают их "на лету" для удовлетворения собственных сиюминутных потребностей, и поэтому редко снабжают их подробной документацией и встроенными справочными системами.
Приятное исключение из этого правила составляют только парольные взломщики, созданные специалистами в области компьютерной безопасности для выявления слабостей в парольной защите операционных систем. В этом случае дистрибутив парольного взломщика, помимо самой программы, обязательно включает разнообразные дополнительные сведения, касающиеся технических сторон ее эксплуатации, а также небольшой словарь.
15. Взлом парольной защиты операционной системы UNIX

В операционной системе UNIX информацию о пароле любого пользователя можно отыскать в файле passwd, находящемся в каталоге etc. Эта информация хранится в зашифрованном виде и располагается через двоеточие сразу после имени соответствующего пользователя. Например, запись, сделанная в файле passwd относительно пользователя с именем bill, будет выглядеть примерно так: bill:5fg63fhD3d5g:9406:12:Bill Spencer: /home/fsg/will: /bin/bash. Здесь 5fg63fhD3d5g это и есть информация о пароле пользователя bill. При первоначальном задании или изменении пользовательского пароля операционная система UNIX генерирует два случайных байта (в приведенном выше примере 5 и f) к которым добавляются байты пароля.
Полученная в результате байтовая строка шифруется при помощи специальной криптографической процедуры Crypt2 (в качестве ключа используется пароль пользователя) и в зашифрованном виде (g63fliD3d5g) вместе с двумя случайными байтами (5f) записывается в файл /etc/passwd после имени пользователя и двоеточия. Если злоумышленник имеет доступ к парольному файлу операционной системы UNIX, то он может скопировать этот файл на свой компьютер и затем воспользоваться одной из программ для взлома парольной защиты UNIX. Самой эффективной и популярной такой программой является Crack.
И хотя она предназначена для запуска на компьютерах, работающих только по: управлением операционных систем семейства UNIX, инициируемый ею процесс поиска паролей может быть без особых усилий распределен между различными платформами, подключенными к единой компьютерной сет. Среди них могут оказаться и IBM-совместимые персональные компьютеры, с операционной системой Linux, и рабочие станции RS/6000 с AIX. и Maciosh с A/UX. CrackJack еще одна известная программа для взлома паролей операционной системы UNIX. К сожалению, работает она только под управлением операционной системы DOS, но зато весьма непритязательна в том, что касается компьютерных ресурсов.
К другим недостаткам этого парольного взломщика можно отнести запрет на одновременное использование сразу нескольких словарей и принципиальную невозможность запуска CrackJack под Windows 95/98. В отличие от CrackJack, парольный взломщик PaceCrack95 работает пол Windows 95/98 в качестве полноценного DOS-приложения. К тому же он достаточно быстр, компактен и эффективен. Парольные взломщики Q-Crack и John the Ripper примечательны тем, что существуют версии этих взломщиков, предназначенные для работы не только на DOS/Windows-платформах, но и на компьютерах с операционной системой Linux. А парольный взломщик Hades лучше остальных документирован и содержит ряд очень полезных утилит, которые позволяют осуществлять слияние нескольких словарей в один большой словарь, удалять из словаря повторяющиеся слова и добавлять в уже имеющийся словарь пароли, взломанные в процессе работы Hades.
Существует множество других программ взлома паролей операционной системы UNIX. Они устойчивы к сбоям электропитания компьютеров, на которых работают (XiT), позволяют планировать время своей работы (Star Cracker), при выполнении монополизируют процессор для достижения максимальной производительности (Killer Cracker), не только взламывают пароли операционной системы UNIX, но и помогают преодолеть парольную защиту других программ, которые требуют, чтобы пользователь зарегистрировался путем ввода своего имени и соответствующего пароля (Claymore).
Что же касается защиты от взлома паролей операционной системы UNIX, то ее пользователям следует настоятельно порекомендовать применять только стойкие пароли, а в качестве критерия стойкости пароля использовать его отсутствие в словарях, предназначенных для парольных взломщиков. Да и сами файлы с информацией о пользовательских паролях следует прятать подальше от посторонних любопытных глаз. Достигается это обычно с помощью так называемого затенения (shadowing), когда в файле passwd шифрованные пароли пользователей заменяются служебными символами (например, звездочками), а вся парольная информация скрывается в каком-нибудь укромном месте. И хотя существуют программы, специально созданные для отыскания спрятанных парольных файлов операционной системы UNIX, к счастью для системных администраторов эти программы далеко не универсальны и успешно срабатывают не для всех операционных систем семейства UNIX
16. Взлом парольной защиты операционной системы Windows
База данных учетных записей пользователей
Одним из основных компонентов системы безопасности Windows является диспетчер учетных записей пользователей. Он обеспечивает взаимодействие других компонентов системы безопасности, приложений и служб Windows с базой данных учетных записей пользователей (Security Accou Manageme Database, SAM).
Эта база обязательно имеется на каждом компьютере с операционной системой Windows . В ней хранится вся информация, используемая для аутентификации пользователей Windows при интерактивном входе в систему и при удаленном доступе к ней по компьютерной сети. База данных SAM представляет собой один из кустов (hive) системного реестра (registry) Windows .
Этот куст принадлежит ветви (subtree) HKEY_LOCAL_MACHINE и называется SAM. Он располагается в каталоге \wm_root\System32\ConfIg (win_root условное обозначение каталога с системными файлами Windows ) в отдельном файле, который тоже называется SAM. Информация в базе данных SAM хранится в основном в двоичном виде.
Доступ к ней обычно осуществляется через диспетчер учетных записей. Изменять записи, находящиеся в базе данных SAM, при помощи программ, позволяющих напрямую редактировать реестр Windows (REGEDT или REGEDT32), не рекомендуется. По умолчанию этого и нельзя делать, т. к. доступ к базе данных SAM запрещен для всех без исключения категорий пользователей операционной системы Windows .
Хранение паролей пользователей
Именно в учетных записях базы данных SAM находится информация о пользовательских именах и паролях, которая необходима для идентификации и аутентификации пользователей при их интерактивном входе в систему.
Как и в любой другой современной многопользовательской операционной системе, эта информация хранится в зашифрованном виде. В базе данных SAM каждый пароль пользователя обычно бывает представлен в виде двух 16-байтовых последовательностей, полученных разными методами.
При использовании первого метода строка символов пользовательского пароля хэшируется с помощью функции MD4. В итоге из символьного пароля, введенного пользователем, получается 16-байтовая последовательность хэшированный пароль Windows . Данная последовательность затем шифруется по DES-алгоритму5, и результат шифрования сохраняется в базе данных SAM. При этом в качестве ключа используется так называемый относительный идентификатор пользователя (Relative Ideifier, RID), который представляет собой автоматически увеличивающийся порядковый номер учетной записи данного пользователя в базе данных SAM.
Для совместимости с другим программным обеспечением корпорации Microsoft (Windows for Workgroups, Windows 95/98 и Lan Manager) в базе данных SAM хранится также информация о пароле пользователя в стандарте Lan Manager. Для ее формирования используется второй метод. Все буквенные символы исходной строки пользовательского пароля приводятся к верхнему регистру, и, если пароль содержит меньше 14 символов, то он дополняется нулями. Из каждой 7-байтовой половины преобразованного таким образом пароля пользователя отдельно формируется ключ для шифрования фиксированной 8-байтовой последовательности по DES-алгоритму.
Полученные в результате две 8-байтовые половины хэшированного пароля Lan Manager еще раз шифруются по DES-алгоритму (при этом в качестве ключа используется RID пользователя) и помещаются в базу данных SAM.
Использование пароля
Информация о паролях, занесенная в базу данных SAM, служит для аутентификации пользователей Windows . При интерактивном или сетевом входе в систему введенный пользователем пароль сначала хэшируется и шифруется, а затем сравнивается с 16-байтовой последовательностью, записанной в базе данных SAM. Если они совпадают, пользователю разрешается вход в систему. Обычно в базе данных SAM хранятся в зашифрованном виде оба хэшированных пароля.
Однако в некоторых случаях операционная система вычисляет только один из них. Например, если пользователь домена Windows изменит свой пароль, работая на компьютере с Windows for Workgroups, то в его учетной записи останется только пароль Lan Manager. А если пользовательский пароль содержит более14 символов или если эти символы не входят в так называемый набор поставщика оборудования (original equipme manufacturer, OEM), то в базу данных SAM будет занесен только пароль Windows .
Возможные атаки на базу данных SAM
Обычно основным предметом вожделения, испытываемого взломщиком парольной защиты операционной системы, являются административные полномочия. Их можно получить, узнав в хэшированном или символьном виде пароль администратора системы, который хранится в базе данных SAM.
Поэтому именно на базу данных SAM бывает направлен главный удар взломщика парольной защиты Windows . По умолчанию в операционной системе Windows доступ к файлу \win_root\System32\Config\SAM заблокирован для всех без исключения ее пользователей. Тем не менее, с помощью программы BACKUP любой обладатель права на резервное копирование файлов и каталогов Windows может перенести этот файл с жесткого диска на магнитную ленту. Резервную копию реестра также можно создать утилитой REG ВАК из Windows Resource Kit. Кроме того, несомненный интерес для любого взломщика представляют резервная копия файла SAM (SAM.SAV) в каталоге \win_root\System32\Config и сжатая архивная копия SAM (файл SAM._) в каталоге \win_root\Repair.
При наличии физической копии файла SAM извлечь хранимую в нем информацию не представляет никакого труда. Загрузив файл SAM в реестр любого другого компьютера с Windows (например, с помощью команды Load Hive программы REGEDT32), можно в деталях изучить учетные записи пользователей, чтобы определить значения RID пользователей и шифрованные варианты их хэшированных паролей. Зная RID пользователя и имея зашифрованную версию его хэшированного пароля, компьютерный взломщик может попытаться расшифровать этот пароль, чтобы использовать его, например, для получения сетевого доступа к другому компьютеру.
Однако для интерактивного входа в систему одного лишь знания хэшированного пароля недостаточно. Необходимо получить его символьное представление. Для восстановления пользовательских паролей операционной системы Windows в символьном виде существуют специальные парольные взломщики, которые выполняют как прямой подбор паролей, так и поиск по словарю, а также используют комбинированный метод взлома парольной зашиты, когда в качестве словаря задействуется файл с заранее вычисленными хэшированными паролями, соответствующими символьным последовательностям, которые часто применяются в качестве паролей пользователей операционных систем.
Одной из самых известных программ взлома паролей операционной системы Windows является LOphtCrack (http://www.10pht.com/IOphtcrack/). Другим распространенным парольным взломщиком Windows является Advanced Security Explorer (сокращенно AExp). Его можно найти в Internet по адресу http://www.elcomsoft.com/aexp.html. AExp имеет удобный пользовательский интерфейс. Пользователь может задать набор символов, из которых будут формироваться последовательности, используемые в качестве вариантов паролей, а также верхнюю и нижнюю границу длины перебираемых паролей. Кроме того, можно выбрать тип атаки на парольную защиту Windows и применить либо атаку методом "грубой силы", либо словарную атаку.
Защита системы от парольных взломщиков
Итак, вывод однозначен: одна из главных задач системного администратора Windows состоит в защите от несанкционированного доступа той информации, которая хранится в базе данных SAM. С этой целью ему, прежде всего, необходимо ограничить физический доступ к компьютерам сети и, прежде всего к контроллерам доменов.
Дополнительно, при наличии соответствующих программно-аппаратных средств, следует установить пароли BIOS на включение компьютеров и на изменение настроек BIOS. Затем, используя настройки BIOS, рекомендуется отключить загрузку компьютеров с гибких и компакт-дисков. А для обеспечения контроля доступа к файлам и папкам операционной системы Windows системный раздел жесткого диска должен иметь формат FS. Каталог \win_root\repair нужно средствами операционной системы закрыть для доступа всех пользователей, включая администраторов, и разрешать к ней доступ только во время работы утилиты RDISK, создающей в этом каталоге архивные копии системного реестра Windows .
Системные администраторы также должны внимательно следить за тем, где и как хранятся дискеты аварийного восстановления (Emergency Repair Disks) и архивные копии на магнитных лентах, если на последних присутствует дубликат системного реестра Windows . Если компьютер с операционной системой Windows входит в домен, то по умолчанию имена и хэшированные пароли последних 10-ти пользователей, регистрировавшихся на этом компьютере, сохраняются (кэшируются) в его локальном системном реестре (в разделе SECURITY\Policy\Secrets куста HKEY LOCAL_MACHINE). Чтобы отменить кэширование паролей на компьютерах домена, нужно с помощью утилиты REGEDT32 в раздел Microsoft\Windows\CurreVersion\Winlogon куста HKEY_LOCAL MACHINE добавить параметр CashedLogonsCou, установив его значение равным нулю, а тип REG_SZ. Для защиты базы данных SAM можно применить утилиту SYSKEY, входящую в состав пакета обновления Windows Service Pack 3.
Эта утилита позволяет включить режим дополнительного шифрования информации о паролях, которая хранится в базе данных SAM. Уникальный 128-битовый ключ для дополнительного шифрования паролей (так называемый ключ шифрования паролей Password Encryption Key, РЕК) автоматически сохраняется в системном реестре для дальнейшего использования. Перед помещением в системный реестр ключ РЕК шифруется при помощи другого 128-битового ключа, который называется системным ключом (System Key), и может храниться либо в системном реестре, либо в файле с именем STARTUP.KEY в корневом каталоге на отдельной дискете.
Можно не сохранять системный ключ на магнитном носителе, и тогда каждый раз при запуске операционной системы он будет вычисляться с помощью алгоритма MD5 на основе пароля, набираемого на клавиатуре в диалоговом окне утилиты SYSKEY. Последние два способа хранения системного ключа обеспечивают максимальную защиту паролей в базе данных SAM, однако приводят к невозможности автоматической перезагрузки операционной системы, поскольку для завершения процесса перезагрузки потребуется либо вставить дискету с системным ключом и подтвердить ее наличие в дисководе путем нажатия кнопки ОК в появившемся диалоговом окне, либо вручную ввести системный ключ с клавиатуры.
Для повышения стойкости паролей пользователей операционной системы Windows к взлому рекомендуется с помощью утилиты Диспетчер пользователей (User Manager) задать минимальную длину пользовательских паролей равной не менее 8 символов и включить режим устаревания паролей, чтобы пользователи периодически их обновляли. При этом, чем выше вероятность атак на парольную защиту Windows , тем короче должен быть срок такого устаревания. А чтобы пользователи не вводили свои старые пароли повторно, необходимо включить режим хранения некоторого числа ранее использовавшихся паролей.
Утилита PASSPROP из состава Windows Resource Kit, запущенная с ключом /COMPLEX, заставляет пользователей вводить более устойчивые пароли, которые или сочетают буквы в разном регистре, или буквы с цифрами, или буквы со специальными символами. Более строгие правила фильтрации нестойких паролей можно задать после установки любого из пакетов обновления Windows , начиная с Service Pack 2. Тогда специальная библиотека PASSFJLT.DLL, находящаяся в каталоге \win_root\System32, будет следить за тем, чтобы каждый пользовательский пароль состоял не менее чем из 5 символов, не содержал имени пользователя, включал символы, по крайней мере, трех наборов из четырех возможных, составленных из прописных букв, строчных букв, цифр и специальных символов (знаков препинания и т. д.) соответственно.
Чтобы задать такой режим проверки паролей пользователей, необходимо в раздел HKEY_LOCAL_MACHINE\SYSTEM \CurreCoroISet\Corol\Lsa системного реестра с помощью программы REGEDT32 добавить параметр Notification Packages типа REG_MULTI_SZ и вписать в него строку PASSFILT Если этот параметр уже имеется, то новую строку следует дописать после уже существующей.
В заключение необходимо отметить, что хотя в умелых руках злоумышленника программы взлома паролей операционных систем представляют огромную опасность для их парольной защиты, сами парольные взломщики все же являются не менее ценным инструментом для системных администраторов, которые заинтересованы в выявлении слабых мест в парольной защите своих операционных систем. Основная проблема состоит не в том что на свете существуют парольные взломщики, а в том, что ими недостаточно часто пользуются системные администраторы.
17. Сканеры

Когда-то давным-давно жесткие диски персональных компьютеров были объемом всего-навсего 10 Мбайт, а их оперативная память не превышала 640 Кбайт. Модемы работали на скоростях от 300 до 1200 бит/с, и мало кто из пользователей "персоналок" слышал о глобальной компьютерной сети Internet. Конечно, эта сеть существовала уже тогда, но использовалась исключительно в военных целях, а работа с ней осуществлялась только при помощи командной строки.
Но не это служило основным препятствием для массового доступа к сети Internet. Вычислительные машины, которые могли быть задействованы в качестве серверов, были очень дорогими их стоимость исчислялась цифрами с пятью-шестью нулями (в долларах). Да и сами персональные компьютеры стоили тогда весьма недешево, и были по карману только обеспеченным людям. Итак, представим себе пригородный район, в котором проживают люди с достатком. Солидные дома с просторными гаражами и аккуратно подстриженными газонами. Близится полночь.
На улицах пустынно, в окнах темно. И только одно окно ярко светится в темноте. Там, за персональным компьютером сидит юноша лет 1517 и обзванивает при помощи модема телефонные номера, которые ему сообщил приятель. В большинстве случаев на другом конце провода оказывается другой модем, и на экране персонального компьютера появляется приглашение зарегистрироваться, т. е. ввести имя и пароль. Каждый раз, получив такое регистрационное приглашение юноша начинает лихорадочно перебирать различные пары имен и соответствующих им паролей. Наконец, одна пара подходит, и юный взломщик получает возможность управлять удаленным компьютером, сидя дома. Сейчас уже трудно поверить, что первым компьютерным взломщикам приходилось так напрягаться. Ведь известно, что они очень не любят выполнять рутинную работу и при всяком удобном случае стараются заставить свои компьютеры заниматься такой работой.
Поэтому неудивительно, что компьютерные взломщики вскоре создали специальное программное средство, чтобы не набирать вручную дюжину команд. Это программное средство назвали боевым номеронабирателем. Боевой номеронабиратель представляет собой программу, обзванивающею заданные пользователем телефонные номера в поисках компьютеров, которые в ответ на поступивший звонок выдают регистрационное приглашение Программа аккуратно сохраняет в файле на жестком диске все такие телефонные номера вместе с данными о скорости соединения с ними.
Одним из самых известных и совершенных боевых номеронабирателей является TONELOC, предназначенный для работы в среде операционной системы DOS (он может быть запущен под управлением Windows 95/98 в режиме командной строки). Дальнейшее совершенствование боевых номеронабирателей привело к созданию сканеров. Первые сканеры были весьма примитивными и отличались от боевых номеронабирателей только тем, что специализировались исключительно на выявлении компьютеров, подключенных к сети Internet пли к другим сетям, использующим протокол TCP/IP.
Они были написаны на языке сценариев программной оболочки операционной системы UNIX.
Такие сканеры пытались подсоединиться к удаленной хост-машине через различные порты TCP/IP, отправляя всю информацию, которая выводилась на устройство стандартного вывода этой хост-машины, на экран монитора того компьютера, где был запущен сканер. Ныне сканеры стали весьма грозным оружием как нападения, так и защиты в Internet. Что же представляет собой современный сканер?
Сканер в вопросах и ответах
Что такое сканер?
Сканер это программа, предназначенная для автоматизации процесса поиска слабостей в защите компьютеров, подключенных к сети в соответствии с протоколом TCP/IP. Наиболее совершенные сканеры обращаются к портам TCP/IP удаленного компьютера и в деталях протоколируют отклик, который они получают от этого компьютера. Запустив сканер на своем компьютере, пользователь, скажем, из подмосковной Малаховки, лаже не выходя из дома, может найти бреши в защитных механизмах сервера, расположенного, например, в Лос-Анджелесе.
Каковы системные требования для работы со сканерами?
Большинство сканеров предназначено для работы в среде операционном системы UNIX, хотя к настоящему времени такие программы имеются практически для любой операционной системы. Возможность запустить сканер на конкретном компьютере зависит от операционной системы, под управлением которой работает этот компьютер, и от параметров подключения к Internet. Есть сканеры, которые функционируют только в среде UNIX, а с остальными операционными системами оказываются несовместимыми.
Другие отказываются нормально работать на устаревших компьютерах с Windows 3.11 и с медленным (до 14 400 бит/с) доступом к Internet, осуществляемым по коммутируемым линиям. Такие компьютеры будут надоедать сообщениями о переполнении стека, нарушении прав доступа или станут просто зависать. Критичным является и объем оперативной памяти компьютера. Сканеры которые управляются при помощи командной строки, как правило, более умеренны в своих требованиях, предъявляемых к объему оперативной памяти. А самыми "прожорливыми" являются сканеры, снабженные оконным графическим интерфейсом пользователя.
Трудно ли создать сканер?
Написать сканер не очень трудно. Для этого достаточно хорошо знать протоколы TCP/IP, уметь программировать на С или Perl и на языке сценариев, а также разбираться в программном обеспечении сокетов. Но и в этом случае не следует ожидать, что созданный вами сканер принесет большую прибыль, поскольку в настоящее время предложение на рынке сканеров значительно превышает спрос на них. Поэтому наибольшая отдача от усилий, вложенных в написание сканера, будет скорее моральной (от осознания хорошо выполненной работы), чем материальной.
Что не по силам даже самому совершенному сканеру?
Не следует переоценивать положительные результаты, которых можно достичь благодаря использованию сканера. Действительно, сканер может помочь выявить дыры в защите хост-машины, однако в большинстве случаев информацию о наличии этих дыр сканер выдает в довольно завуалированном виде, и ее надо еще уметь правильно интерпретировать. Сканеры редко снабжаются достаточно полными руководствами пользователя. Кроме того сканеры не в состоянии сгенерировать пошаговый сценарий взлома исследуемой компьютерной системы. Поэтому для эффективного использования сканеров на практике прежде всего необходимо научиться правильно интерпретировать собранные с их помощью данные, а это возможно только при наличии глубоких знаний в области сетевой безопасности и богатого опыта.
Насколько легальны сканеры?
Обычно сканеры создаются и используются специалистами в области сетевой безопасности. Как правило, они распространяются через сеть Internet. чтобы с их помощью системные администраторы могли проверять компьютерные сети на предмет наличия в них изъянов. Поэтому обладание сканерами, равно как и их использование на практике, вполне законно.
Однако рядовые пользователи, не являющиеся системными администраторами должны быть готовы к тому, что, если они будут применять сканеры для обследования чужих сетей, то могут встретить яростное сопротивление со стороны администраторов этих сетей. Более того, некоторые сканеры в процессе поиска брешей в защите компьютерных сетей предпринимают такие действия, которые по закону могут квалифицироваться как несанкционированный доступ к компьютерной информации, или как создание, использование и распространение вредоносных программ, или как нарушение правил эксплуатации компьютеров, компьютерных систем и сетей.
И если следствием этих деяний стало уничтожение, блокирование, модификация или копирование информации, хранящейся в электронном виде, то виновные в них лица в соответствии с российским законодательством подлежат уголовному преследованию. А значит, прежде чем начать пользоваться первым попавшимся под руку бесплатным сканером для UNIX-платформ, стоит убедиться, а не копирует ли случайно этот сканер заодно и какие-нибудь файлы с диска тестируемой им хост-машины (например, файл password из каталога /ETC).
В чем различие между сканерами и сетевыми утилитами?
Часто к сканерам ошибочно относят утилиты типа host, rusers, finger. Traceroute, Showmou. Связано это с тем, что, как и сканеры, данные утилиты позволяют собирать полезную статистическую информацию о сетевых службах на удаленном компьютере. Эту информацию можно затем проанализировать на предмет выявления ошибок в их конфигурации. Действительно, сетевые утилиты выполняют ряд функций, которые характерны для сканеров.
Однако в отличие от последних использование этих утилит вызывает меньше подозрений у системных администраторов. Выполнение большинства сетевых утилит на удаленной хост-машине практически не оказывает никакого влияния на ее функционирование. Сканеры же зачастую ведут себя как слон в посудной лавке и оставляют следы, которые трудно не заметить. Кроме того, хороший сканер явление довольно редкое, а сетевые утилиты всегда под рукой. К недостаткам сетевых утилит можно отнести то, что приходится выполнять вручную слишком большую работу, чтобы добиться того же результата, который при помощи сканера получается автоматически. Упомянутые выше сетевые утилиты можно встретить в любой операционной системе семейства UNIX.
Однако предоставляемые ими возможности для сбора данных об удаленной хост-машине интересуют не только пользователей UNIX. Поэтому неудивительно, что многие из этих утилит были перенесены в другие операционные системы. Для Windows 95/98 имеются программные пакеты NetScan Tools (http://www.eskimo.com/~nwps/index.html). Network Toolbox (http: //www.jriver. com/netbox.html) и TCP/IP Surveyor (http://www.rocketdownload.com/details/ ie/wssrv32nsrc.htm), которые реализуют выполнение сетевых утилит host, rusers, finger, Traceroute, ping, WHOIS.
Последний из упомянутых пакетов не только осуществляет сбор информации о сети и подключенных к ней компьютерах, но и представляет собранную таким образом информацию в виде графа, вершинами которого служат найденные в сети маршрутизаторы, серверы и рабочие станции. Пользователям персональных компьютеров типа Maciosh можно посоветовать обратить внимание на программные пакеты МасТСР Watcher http://waldo.wi.mit.edu/WWW/tools/util/Mac/MacTCP_Watchei),Querylt! (http://tucows.online.ru/mac/adnload/dlqueryitinac.html) и What Route (http: //homepages.ihug.co.nz/ ~ bryanc).
Сканер в действии
Сканеры безусловно способствуют повышению уровня сетевой безопасности. Их с полным правом можно назвать санитарами компьютерных сетей. При этом не так уж и важно, в чьих руках находятся сканеры: хакеров или взломщиков. Если эти средства анализа защищенности сетей используются системным администратором, то положительный эффект от их применения не вызывает сомнений. Случай, когда взломщик применяет сканер для преодоления защитных механизмов компьютерной сети, рано или поздно будет выявлен, проанализирован, а в защитные механизмы сети внесены необходимые поправки, чтобы исключить повторный взлом. Глупо думать, что сканеры вслепую рыщут по сети, отыскивая возможную мишень для взлома. Отнюдь нет.
Все сканеры создаются в расчете на уже найденные дыры в защите хост-машин конкретного типа. Им остается только обнаружить хост-машину этого типа и проверить, действительно ли она сконфигурирована таким образом, что известная дыра все еще не "залатана". Для иллюстрации того, как можно использовать сканер, рассмотрим следующий пример. В конце 1995 г. американская корпорация Silicon Graphics Incorporated (SGI) начала массовое производство мощных компьютеров серии WebForce. Для них имелось специальное программное обеспечение, предназначенное для создания Web-страниц, насыщенных мультимедийными приложениями. Эти компьютеры работали под управлением операционной системы IRIX (разновидность UNIX). Вскоре в Internet разнесся слух о том, что некоторые версии IRIX имеют дефект, который позволяет удаленному пользователю регистрироваться в ней под именем 1р, при этом пароля вводить не нужно.
В результате компьютерный взломщик, беспрепятственно вошедший в IRIX под именем 1р, обладал достаточными привилегиями, чтобы скопировать файл password, содержащий зашифрованные имена и пароли пользователей, с компьютера серии WebForce на свой компьютер. Дальше взломщик мог в спокойной обстановке попытаться дешифровать скопированный им файл, чтобы получить полный список имен и паролей пользователей компьютера SGI.
Итак, дыра в защите компьютеров серии WebForce была обнаружена. Оставалось только отыскать эти компьютеры в Internet. Поскольку их системные администраторы лучше разбирались в компьютерной графике и почти ничего не смыслили в вопросах сетевой безопасности, то некоторые каталоги на дисках вверенных их заботам компьютеров были доступны для всеобщего обозрения через Internet. В одном из этих каталогов содержался стандартный файл password из дистрибутива операционной системы IRIX. Большинство перечисленных в нем регистрационных имен пользователей были характерны для любой другой операционной системы семейства UNIX.
Однако имелись среди них и имена, которые являлись уникальными именно для IRIX. Таким образом, пользуясь любой поисковой машиной сети Internet, можно было задать в качестве искомой информации ли имена и получить готовый список компьютеров серии WebForce. Тем не менее, данный метод оказался не очень надежным, поскольку через несколько месяцев системные администраторы компьютеров серии WebForce спохватились и убрали файл password из общедоступных каталогов.
Кроме того, не все версии операционной системы IRIX имели рассмотренный дефект. По этой причине взломщики решили прибегнуть к помощи, сканера. Был написан сканер, который случайным образом или на основе .каких-то дополнительных сведений выбирал некоторые сетевые адреса. Результаты обращения по этим адресам фиксировались в специальном текстовом файле. Его потом можно было проверить на наличие в нем строк типа:
Trying 199.200.0.1
Connecting to 199.200.0.1
Escape character is "]"
IRIX 4.1
Welcome to Graphics Town!
Login:
Некоторые взломщики автоматизировали этот процесс, заставив сканер регистрироваться в качестве 1р на удаленном компьютере. Если регистрация проходила успешно, то информация об этом факте заносилась в файл вместе с указанием адреса найденного компьютера.
SATAN, Jackal и другие сканеры
Среди сканеров наибольшую известность получил SATAN (Security Administrator's Tool for Analyzing Networks). Этот сканер распространяется через Internet (его можно найти, например, по адресу http://www.fish.com), начиная с апреля 1995 г. Ни одно средство анализа сетевой безопасности не вызывало столько споров, сколько пришлось на долю сканера SATAN. Газеты и журналы отреагировали на его появление пространными статьями, в которых изображали SATAN чуть ли не сатанинским изобретением. В телевизионных выпусках новостей звучали грозные предупреждения об опасности, которую для всех пользователей сетей представлял этот сканер. И действительно, SATAN был довольно необычным для своего времени программным пакетом.
Предназначенный для использования на рабочих станциях, работающих под управлением операционной системы UNIX, он обладает дружественным пользовательским интерфейсом. В нем имеются готовые формуляры, в которые пользователю остается только внести минимальные сведения об анализируемом сетевом объекте, а также таблицы, которые автоматически заполняются по мере накопления информации.
При нахождении какого-либо изъяна в сетевой защите пользователю предлагается воспользоваться контекстно-зависимой справкой, чтобы лучше понять суть обнаруженного изъяна. Под стать своему необычному детищу были и сами авторы SATAN американцы Д. Фармер (D. Farmer) и У. Венема (W. Venema) талантливые программисты, хакеры и авторитетные специалисты в области сетевой безопасности. SATAN предназначен исключительно для работы в среде UNIX.
Для его установки и запуска необходимы права администратора. Основная задача SATAN, как это следует из его названия, состоит в том, чтобы отыскивать изъяны в защитных механизмах компьютерной сети, в которой используется протокол TCP/IP. Следует особо подчеркнуть, что речь идет об уже известных изъянах.
Это означает, что SATAN не делает ничего такого, что не по силам совершить опытному компьютерному взломщику, который вручную пытается преодолеть сетевую защиту. Еще одной отличительной особенностью SATAN является его повышенная требовательность к системным ресурсам, особенно к производительности центрального процессора и объему оперативной памяти. Поэтому тем пользователям, которые хотят воспользоваться сканером SATAN, но имеют компьютеры с ограниченными ресурсами, можно посоветовать их увеличить. Если это по каким-либо причинам не реализуемо, следует попытаться избавиться от выполнения лишних процессов и работать с SATAN с помощью командной строки.
Сканер Strobe (Super Optimized TCP Port Surveyor) исследует порты TCP/IP выбранного компьютера и протоколирует все полученные сведения. Основное достоинство Strobe быстрота сканирования. Если компьютер, на котором запущен Strobe, подключен к Internet через модем, работающий со скоростью 28800 бит/с, то на полное сканирование сервера ему понадобится всего около 30с. Однако полученная информация будет довольно скудной лишь общие диагностические сведения о сетевых службах сервера.
Кроме того, в хост-машине, подвергшейся сканированию с помощью Strobe, этот факт не останется не замеченным (скорее всего, он будет зафиксирован в файле /var/adm/messages). Сканер Strobe можно скачать из Internet по адресу http://www.thedarkside.demon.co.uk/download/security/strobe.tgz. Jackal (доступен в Internet по адресу http://www.giga.or.at/pub/hacker/unix) это сканер-"призрак". Он анализирует сетевые домены, проникая сквозь брандмауэры и не оставляя при этом никаких следов своего проникновения Сканер NSS (Network Security Scanner) замечателен прежде всего тем, что написан на языке Perl и, следовательно, может быть легко перенесен на любую платформу, для которой имеется интерпретатор этого языка.
Другим достоинством NSS является скорость его работы. Желающие познакомиться с NSS поближе также могут обратиться в Internet по адресу http://www.giga.or.at/pub/hacker/unix. Более узкая специализация характерна для IdeTCPscan (предназначен для определения регистрационного имени пользователя, работающего с данным портом TCP/IP), FSPScan (осуществляет поиск серверов, которые поддерживают сетевой протокол FSP), XSCAN (анализирует Х-серверы с целью нахождения изъянов в их конфигурации) и CONNECT (ищет серверы, работающие с протоколом TFTP). Все эти сканеры можно найти там же, где и Jackal с NSS. Исторически сложилось, что подавляющее большинство сканеров было создано для операционной системы UNIX.
Поэтому довольно трудно отыскать предназначенные для других платформ сканеры, которые по своей мощи, удобству использования и богатству возможностей могли бы сравниться с SATAN. Кроме того, многие отличные от UNIX платформы, поддерживающие протокол TCP/IP, реализуют его в неполном объеме. Пользователям Windows 95/98, которые непременно хотят поскорее попробовать свои силы в поиске изъянов сетевой защиты, можно посоветовать применить сканер, который входит в упоминавшийся выше программный пакет Network Toolbox. Следует отметить, что в средствах защиты сетей от взлома постоянно обнаруживаются новые изъяны.
Соответственно претерпевают изменения и сканеры. Внесение в них поправок дело не особенно трудоемкое: достаточно Дописать исходный код сканера с учетом недавно найденных брешей в сетевых защитных механизмах, и новая, более совершенная, версия сканера готова! Вот почему сканеры продолжают оставаться одним из самых главных средств защиты сетей. Системным администраторам необходимо иметь в распоряжении как можно больше таких средств хороших и разных.
18. Анализаторы протоколов

В настоящее время технология построения компьютерных сетей Ethernet стала самым распространенным решением. Сети Ethernet завоевали огромную популярность благодаря хорошей пропускной способности, простоте установки и приемлемой стоимости сетевого оборудования. Участки сетей для которых скорости передачи данных 10 Мбит/с недостаточно, можно довольно легко модернизировать, чтобы повысить эту скорость до 100 Мбит/с (Fast Ethernet) или даже до 1 Гбит/с (Gigabit Ethernet). Однако технология Ethernet не лишена существенных недостатков. Основной из них передаваемая информация не защищена. Компьютеры, подключенные к сети Ethernet, оказываются в состоянии перехватывать информацию, адресованную своим соседям. Основной причиной тому является принятый в сетях Ethernet так называемый широковещательный механизм обмена сообщениями.
Локальное широковещание
В сети типа Ethernet подключенные к ней компьютеры, как правило, совместно используют один и тот же кабель, который служит средой для пересылки сообщений между ними. Если в комнате одновременно громко говорят несколько людей, разобрать что-либо из сказанного ими будет очень трудно. Когда по сети начинают "общаться" сразу несколько компьютеров, выделить из их "цифрового гвалта" полезную информацию и понять, кому именно она предназначена, практически невозможно.
В отличие от человека, компьютер не может поднять руку и попросить тишины, поэтому для решения данной проблемы требуются иные, более сложные действия. Компьютер сети Ethernet, желающий передать какое-либо сообщение по общему каналу, должен удостовериться, что этот канал в данный момент свободен. В начале передачи компьютер прослушивает несущую частоту сигнала, определяя, не произошло ли искажения сигнала в результате возникновения коллизий с другими компьютерами, которые ведут передачу одновременно с ним. При наличии коллизии компьютер прерывает передачу и "замолкает".
По истечении некоторого случайного периода времени он пытается повторить передачу. Если компьютер, подключенный к сети Ethernet, ничего не передает сам, он, тем не менее, продолжает "слушать" все сообщения, передаваемые по сети другими компьютерами. Заметив в заголовке поступившей порции данных свой сетевой адрес, компьютер копирует эти данные в свою локальную память. Существуют два основных способа объединения компьютеров в сеть Ethernet. В первом случае компьютеры соединяются при помощи коаксиального кабеля. Этот кабель черной змейкой вьется от компьютера к компьютеру, соединяясь с сетевыми адаптерами Т-образным разъемом. Такая топология на языке профессионалов называется сетью Ethernet IOBase2.
Однако ее еще можно назвать сетью, в которой "все слышат всех". Любой компьютер, подключенный к сети, способен перехватывать данные, посылаемые по этой сети другим компьютером. Во втором случае каждый компьютер соединен кабелем типа витая пара с отдельным портом центрального коммутирующего устройства концентратора или с коммутатора. В таких сетях, которые называются сетями Ethernet IOBaseT, компьютеры поделены на группы, именуемые доменами коллизий.
Домены коллизий определяются портами концентратора пли коммутатора замкнутыми на общую шину. В результате коллизии возникают не между всеми компьютерами сети, а по отдельности между теми из них, которые входят в один и тот же домен коллизий, что повышает пропускную способность всей сети. В последнее время в крупных сетях стали появляться коммутаторы нот но типа, которые не используют широковещание и не замыкают группы порки; между собой. Вместо этого все передаваемые по сети данные буферизуются в памяти и отправляются по мере возможности. Однако подобных сетей пока довольно мало не более 10% от общего числа сетей типа Ethernet.
Таким образом, принятый в подавляющем большинстве Ethernet-сетей алгоритм передачи данных требует от каждого компьютера, подключенного к сети, непрерывного "прослушивания" всего без исключения сетевого трафика. Предложенные алгоритмы доступа, при использовании которых компьютеры отключались бы от сети на время передачи "чужих" сообщений, так и остались нереализованными из-за их чрезмерной сложности и малой эффективности.
Анализатор протоколов как он есть
Как уже было сказано, сетевой адаптер каждого компьютера в сети Ethernet как правило "слышит" все, о чем "толкуют" между собой его соседи по сегменту этой сети. Но обрабатывает и помещает в свою локальную память он только те порции (так называемые кадры) данных, которые содержат его уникальный сетевой адрес. В дополнение к этому подавляющее большинство современных Ethernet-адаптеров допускают функционирование в особом режиме, называемом беспорядочным (promiscuous). При использовании данного режима адаптер копирует в локальную память компьютера все без исключения передаваемые по сети кадры данных. Специализированные программы, переводящие сетевой адаптер в беспорядочный режим и собирающие весь трафик сети для последующего анализа, называются анализаторами протоколов.
Администраторы сетей широко применяют анализаторы протоколов для осуществления контроля за работой этих сетей и определения их перегруженных участков, отрицательно влияющих на скорость передачи данных. К сожалению, анализаторы протоколов используются и злоумышленниками, которые с их помощью могут перехватывать чужие пароли и другую конфиденциальную информацию. Надо отметить, что анализаторы протоколов представляют серьезную опасность. Само присутствие в компьютерной сети анализатора протоколов указывает на то, что в ее защитных механизмах имеется брешь.
Установить анализатор протоколов мог посторонний человек, который проник в сеть извне (например, если сеть имеет выход в Internet). Но это могло быть и делом рук доморощенного злоумышленника, имеющего легальный доступ к сети. В любом случае к сложившейся ситуации нужно отнестись со всей серьезностью. Специалисты в области компьютерной безопасности относят атаки на компьютеры при помощи анализаторов протоколов к так называемым атакам второго уровня. Это означает, что компьютерный взломщик уже сумел проникнуть сквозь защитные барьеры сети и теперь стремится развить свой успех.
При помощи анализатора протоколов он может попытаться перехватить регистрационные имена и пароли пользователей, их секретные финансовые данные (например, номера кредитных карточек) и конфиденциальные сообщения (к примеру, электронную почту). Имея в своем распоряжении достаточные ресурсы, компьютерный взломщик в принципе может перехватывать всю информацию, передаваемую по сети.
Анализаторы протоколов существуют для любой платформы. Но даже если окажется, что для какой-то платформы анализатор протоколов пока еще не написан, с угрозой, которую представляет атака на компьютерную систему при помощи анализатора протоколов, по-прежнему приходится считаться. Дело в том, что анализаторы протоколов исследуют не конкретный компьютер, а протоколы.
Поэтому анализатор протоколов может обосноваться в любом узле сети и оттуда перехватывать сетевой трафик, который в результате широковещательных передач попадает в каждый компьютер, подключенный к сети. Одна из первых атак, проведенных при помощи анализаторов протоколов, была зафиксирована в 1994 г. в США. Тогда неизвестный злоумышленник разместил анализатор протоколов на различных хостах и магистральных узлах сетей Internet и Milnet, в результате чего ему удалось перехватить более 100 тыс. регистрационных имен и паролей пользователей. Среди пострадавших от атаки оказались Калифорнийский государственный университет и Ракетная лаборатория министерства обороны США. Наиболее частыми целями атак компьютерных взломщиков, которые те осуществляют, используя анализаторы протоколов, являются университеты.
Хотя бы из-за огромного количества различных регистрационных имен и паролей, которые могут быть украдены в ходе такой атаки. Да и сами студенты отнюдь не брезгуют возможностями анализаторов протоколов. Нередким является случай, когда несколько студентов, заняв компьютер, подключенный к локальной сети университетской библиотеки, быстро устанавливают с нескольких дискет анализатор протоколов. Затем они просят ничего не подозревающую жертву, сидящую за соседним компьютером: "Вы не могли бы заглянуть в свой почтовый ящик, а то у нас почему-то электронная почта не работает?" Несколько минут спустя вся эта группа компьютерных взломщиков-любителей, перехватив регистрационное имя и пароль доступа соседа к почтовому серверу, с удовольствием знакомится с содержимым его почтового ящика и посылает письма от его имени. Использование анализатора протоколов на практике не является такой уж легкой задачей, как это может показаться.
Чтобы добиться от него хоть какой- то пользы, компьютерный взломщик должен хорошо знать сетевые технологии. Просто установить и запустить анализатор протоколов нельзя, поскольку даже в небольшой локальной сети из пяти компьютеров трафик составляет тысячи и тысячи пакетов в час. И следовательно, за короткое время выходные данные анализатора протоколов заполнят жесткий диск полностью.
Поэтому компьютерный взломщик обычно настраивает анализатор протоколов так, чтобы он перехватывал только первые 200300 байт каждого пикета, передаваемого по сети. Обычно именно в заголовке пакета размешается информация о регистрационном имени и пароле пользователя, который, как правило, больше всего интересуют взломщика. Тем не менее, если в распоряжении взломщика имеется достаточно пространства на жестком диске, то увеличение объема перехватываемого трафика пойдет ему только на пользу. В результате он может дополнительно узнать много интересного.
На серверах в сети Internet есть множество анализаторов протоколов, которые отличаются лишь набором доступных функций. Например, поиск по запросам protocol analyzer и sniffer на сервере www.softseek.comсразу лает ссылки на добрый десяток программных пакетов. Для компьютеров, работающих под управлением операционных систем Windows, одними из лучших являются анализаторы протоколов Lan Explorer компании Iellimax и NetXRay компании Network Associates. NetXRay (в переводе с английского Сетевой рентген) обладает обширным набором функций, которые позволяют делать моментальный снимок "внутренностей" сети Ethernet, определять, какие ее узлы и сегменты несут наибольшую нагрузку, составлять отчеты и строить диаграммы на основе полученных данных. Бесплатная версия NetXRay доступна в Internet по адресу [ Cкачайте файл, чтобы посмотреть ссылку ].
Анализатор протоколов Lan Explorer (в переводе с английского Анализатор ЛВС) не уступает по своей функциональности NetXRay, имеет очень хороший пользовательский интерфейс, удобен и прост в использовании. Пробная 15-дневная версия Lan Explorer доступна по адресу http:// www.ieHimax.com/ftpsites.htm. Анализатор протоколов Network Monitor входит в состав операционной системы Windows 4.0 Server корпорации Microsoft. Для его установки следует в Панели управления (Corol Panel) дважды щелкнуть на пиктограмме Сеть (Network), затем перейти на вкладку Службы (Sen ice-, к нажать кнопку Добавить (Add) и в появившемся диалоговом окне выбран, Network Monitor Tools and Age. После установки Network Monitor можно запустить из папки Network Analysis Tools раздела Администрирование (Administrative Tools) в меню Программы (Programs).
Защита от анализаторов протоколов
Надо сразу оговориться, что в советах относительно того, как защищаться от анализатора протоколов, нуждаются только те, кто желает дать отпор компьютерным взломщикам, использующим анализаторы протоколов для организации атак на компьютерные системы, подключенные к сети. В руках сетевого администратора анализатор протоколов является весьма полезным инструментом, помогающим находить и устранять неисправности, избавляться от узких мест, снижающих пропускную способность сети, и обнаруживать проникновение в нее компьютерных взломщиков.
Посоветовать можно следующее: обзаведитесь сетевым адаптером, который принципиально не может функционировать в беспорядочном режиме. Такие адаптеры в природе существуют. Одни адаптеры не поддерживают беспорядочный режим на аппаратном уровне (их меньшинство), а остальные просто снабжаются драйвером, не допускающим работу в беспорядочном режиме, хотя режим и реализован в них аппаратно.
Чтобы отыскать адаптер, не поддерживающий беспорядочный режим, достаточно связаться со службой технической поддержки любой компании, торгующей анализаторами протоколов, и выяснить, с какими адаптерами их программные пакеты не работают. Учитывая, что спецификация РС99, подготовленная по инициативе корпораций Microsoft и Iel, требует безусловного наличия в сетевой карте беспорядочного режима, приобретите современный сетевой интеллектуальный коммутатор, который буферизует каждое отправляемое по сети сообщение в памяти и отправляет его по мере возможности точно по адресу.
В результате надобность в "прослушивании" сетевым адаптером всего трафика для того, чтобы выбирать из него сообщения, адресатом которых является данный компьютер, отпадает. Не допускайте несанкционированной установки анализаторов протоколов на компьютеры сети. Для этого следует применять средства из арсенала, который повсеместно используется для борьбы с программными закладками и, в частности, с троянскими программами. Шифруйте весь трафик сети. Имеется широкий спектр программных пакетов, которые позволяют делать это достаточно эффективно и надежно.
Возможность шифрования почтовых паролей предоставляется надстройкой над почтовым протоколом POP (Post Office Protocol) протоколом АРОР (Autheication POP). При работе с АРОР по сети каждый раз передается новая зашифрованная комбинация, которая не позволяет злоумышленнику извлечь какую-либо практическую пользу из информации, перехваченной с помощью анализатора протоколов. Проблема только в том, что не все почтовые серверы и клиенты поддерживают АРОР.
Другой продукт под названием Secure Shell, или сокращенно SSL, был изначально разработан финской компанией SSH Communications Security (http://www.ssh.fi) и в настоящее время имеет множество реализаций, доступных бесплатно через Internet. SSL представляет собой защищенный протокол для осуществления безопасной передачи сообщений по компьютерной сети с помощью шифрования. Особую известность среди компьютерных пользователей приобрела серия программных пакетов, предназначенных для защиты передаваемых по сети данных путем шифрования и объединенных присутствием в их названии аббревиатуры PGP, которая означает Pretty Good Privacy. Бесплатно распространяемые версии программ шифрования из этой серии можно отыскать в Internet по адресу http://www.pgpi.org.











































3.2. Лабораторные работы
Лабораторные работы выполняются на компьютерах с операционной системой Windows XP.

Лабораторная работа №1
Настройка параметров безопасности Вашего компьютера.
Проверьте, какие компоненты безопасности включены для защиты Вашего компьютера (Пуск – Настройка – Панель управления – Центр обеспечения безопасности). Для защиты Вашего компьютера рекомендуется включение трех основных компонент безопасности: Брандмауэр Windows, Автоматическое обновление, Защита от вирусов.
Проверьте установлено ли на Вашем компьютере антивирусное программное обеспечение. Используйте Центр обеспечения безопасности для проверки функционирования антивирусного ПО (Пуск – Настройка – Панель управления – Центр обеспечения безопасности). Следуйте его рекомендациям.
Проверьте настройку параметров антивирусного ПО. Необходимо, чтобы были выбраны параметры, которые отвечают за запуск антивирусной программы при запуске компьютера и за выполнение автоматического сканирования всех файлов в процессе их использования. Этот параметр может называться «фоновым сканированием», «наблюдением в режиме реального времени» или «постоянная защита».
Также необходимо убедиться, что антивирусная программа обновляется последними файлами определения вирусов. Найдите параметры обновления в области настройки параметров программы и выберите для них необходимый режим обновления. При использовании антивирусной программы, обнаруживаемой Windows, в центре обеспечения безопасности отслеживается ее работа и отображается предупреждение, если программа устаревает и перестает выполняться.

Лабораторная работа №2
Использование антивирусной программы для защиты от вредоносного ПО. Установка антивирусного программного обеспечения, выбор необходимых параметров настройки, проверка на вирус.
Если на Вашем компьютере отсутствует антивирусное программное обеспечение, его следует приобрести и установить обновленную антивирусную программу для защиты компьютера. При установке антивирусного ПО следуйте рекомендациям Мастера установки.
Если на компьютере установлено антивирусное программное обеспечение и требуется установить новый продукт другой марки, перед его установкой следует удалить текущее программное обеспечение (Пуск – Настройка – Панель управления – Установка и удаление программ). Наличие на компьютере двух различных антивирусных программ может вызвать неполадки.
После установки антивирусного ПО можно будет выбрать различные параметры настройки ПО. Необходимо выбрать параметр, который отвечает за запуск антивирусной программы при запуске компьютера и за выполнение автоматического сканирования всех файлов в процессе их использования. Этот параметр может называться «фоновым сканированием», «наблюдением в режиме реального времени» или «постоянная защита». В ПО Kaspersky Ai-Virus он называется «постоянная защита».
Для выбора необходимых параметров настройки запустите антивирусную программу и откройте область настройки параметров. Убедитесь в том, что сканирование включено (текущее, фоновое, сканирование в режиме реального времени или постоянная защита).
Также необходимо убедиться, что антивирусная программа обновляется последними файлами определения вирусов. Найдите параметры обновления в области настройки параметров программы и выберите для них необходимый режим обновления.
Регулярное обновление антивирусного ПО. Большинство антивирусных программ разработано с возможностью автоматического обновления. В ПО Kaspersky Ai-Virus для этого предназначена функция «Настройка обновления». Задайте параметры обновления: регулярно, через 6 часов.
Но можно также обновлять программу самим. В ПО Kaspersky Ai-Virus для этого используйте функцию «Загрузка обновлений». Можно так же выполнить эту операцию, перейдя на веб-узел поставщика антивирусного программного обеспечения, и на веб-узле следует найти раздел загрузки. Найдите обновление для конкретной версии программы и версии операционной системы. Выполните обновление антивирусного ПО различными способами.
С помощью установленного антивирусного ПО, выполните проверку на вирус Вашей дискеты.
Выполните проверку на вирус папки «Мои документы» диска C:

Лабораторная работа №3
Управление доступом пользователей. Создание учетных записей и паролей пользователей, групп пользователей.
Чтобы пользователь, не имеющий на компьютере учетной записи, не мог войти на компьютер через экран приветствия, оключите учетную запись гостя (Пуск – Настройка – Панель управления – Администрирование – Учетные записи пользователей – Учетная запись «Гость» - Отключить учетную запись «Гость»).
Каждый пользователь, работающий на ПК должен иметь свою учетную запись. Создайте учетные записи с ограниченными правами для нескольких пользователей (user1, user2, user3, user4, user5, user6, user7). (Пуск – Настройка – Панель управления – Администрирование – Учетные записи пользователей – Создание учетной записи).
Для каждого пользователя задайте свой пароль для входа в систему (Пуск – Настройка – Панель управления – Администрирование – Учетные записи пользователей – Изменение учетной записи – Создание пароля).
Создайте 3 группы пользователей (group1, group2, group3) и разместите пользователей по этим группам (group1: user1, user2, user3; group2: user4, user5; group3: user6, user7) (Пуск – Настройка – Панель управления – Администрирование – Управление компьютером – Служебные программы – Локальные пользователи и группы – Группы – Создать группу (контекстное меню). Для ввода пользователей в группу используйте кнопку «Добавить» в окне «Новая группа».

Лабораторная работа №4
Настройка локальной политики безопасности. Установка срока действия паролей на вход в систему, условий и времени блокировки учетных записей. Работа с Журналом безопасности.
Установите сроки действия и требование неповторяемости для паролей пользователей (Пуск – Настройка – Панель управления – Администрирование – Локальная политика безопасности – Политики учетных записей – Политика паролей).
Определите условия и период времени блокировки учетных записей (Пуск – Настройка – Панель управления – Администрирование – Локальная политика безопасности – Политики учетных записей – Политика блокировки учетных записей).
Определите, какие события безопасности необходимо заносить в журнал безопасности данного компьютера. Также определите, заносить ли в журнал безопасности успешные попытки, неудачные попытки или и те, и другие. (Журнал безопасности является частью раздела «Просмотр событий».) (Пуск – Настройка – Панель управления – Администрирование – Локальная политика безопасности – Локальные политики – Политика аудита).
Для просмотра записей о событиях аудита откройте Журнал безопасности (Пуск – Настройка – Панель управления – Администрирование – Просмотр событий -Безопасность).

Лабораторная работа №5
Управление доступом к объектам. Настройка доступа к папкам для групп пользователей.
Чтобы сделать возможной настройку доступа групп пользователей к определенным папкам, надо выключить режим «Использовать простой общий доступ к файлам», т.е. убрать галочку в этой строке (Пуск – Настройка – Панель управления – Свойства папки – Вид). После того, как мы выключили режим «Использовать простой общий доступ к файлам», стала видимой закладка «Безопасность» для каждой папки из контекстного меню папки «Свойства».
Создайте 3 папки: Папка1, Папка2, Папка3.
Используйте закладку «Безопасность» в Свойствах этих папок, чтобы определить права доступа групп пользователей (режим «Свойства» из контекстного меню папки). В закладке «Безопасность» для выбранной папки для выбора группы пользователей щелкните кнопку «Добавить», в строке «Типы объектов» выберите тип «Группа», для выбора имен групп щелкните кнопку «Дополнительно», затем кнопку «Поиск». В открывшемся списке групп выберите необходимую группу пользователей, затем в окне разрешений для выбранной группы проставьте необходимые разрешения и запрещения.
Для Папки1 сделайте запрет доступа пользователям, входящим в Группу3; пользователям Группы2 разрешите чтение и выполнение для папки, но запретите запись в Папку1; пользователям Группы1 разрешите полный доступ к папке.
Для Папки2: пользователям группы1 запретите доступ к папке; пользователям Группы3 разрешите чтение и выполнение для папки, но запретите запись в папку; пользователям Группы2 разрешите полный доступ к папке.
Для Папки3: пользователям группы2 запретите доступ к папке; пользователям Группы1 разрешите чтение и выполнение для папки, но запретите запись в папку; пользователям Группы3 разрешите полный доступ к папке.
Проверьте, как работают установленные права доступа групп пользователей к папкам 1, 2 и 3. Для этого завершите сеанс работы текущего пользователя-администратора и откройте сеанс работы пользователя из группы1. Проверьте, какие есть возможности работы данного пользователя с папками 1, 2 и 3.
Также откройте поочередно сеансы работы пользователей из групп 2 и 3 и проверьте, какие есть возможности работы их с папками 1, 2 и 3.
Измените права для Группы1. Для Папки1 запретить доступ. Для Папки2 разрешить только чтение и выполнение. Для Папки 3 разрешить полный доступ. Проверьте, как работают новые права доступа.
Удалите установленные права группам пользователей. Контекстное меню папки (Папка1, Папка2, Папка3) – Свойства - Закладка «Безопасность», выделите группу (Группа1, Группа2, Группа3) и щелкните кнопку «Удалить».


Лабораторная работа №6
Управление доступом к объектам. Настройка общего доступа к объектам для всех пользователей. Настройка доступа к папкам для отдельных пользователей.
Чтобы разрешить общий доступ к объектам (папкам и файлам) для всех пользователей, надо поместить эти объекты в папку «Общие документы».
Создайте Папку1, в нее скопируйте или создайте 2 документа Word и поместите Папку1 в папку «Общие документы».
Выйдите из сеанса текущего пользователя и зайдите под именем другого пользователя (Пуск – Выход из системы – Смена пользователя). Откройте папку «Общие документы» и проверьте возможность работы с Папкой1 (чтение и изменение документов, создание новых документов).
Чтобы сделать возможной настройку доступа отдельных пользователей к определенным папкам, надо выключить режим «Использовать простой общий доступ к файлам», т.е. убрать галочку в этой строке (Пуск – Настройка – Панель управления – Свойства папки – Вид). После того, как мы выключили режим «Использовать простой общий доступ к файлам», стала видимой закладка «Безопасность» для каждой папки из контекстного меню папки «Свойства».
Создайте 2 папки: Папка2, Папка3.
Для Папки2 сделайте запрет доступа пользователям user1 и user3; пользователям user4 и user5 разрешите чтение и выполнение для папки, но запретите запись в Папку2; пользователю user2 разрешите полный доступ к папке.
Для Папки3 сделайте запрет доступа пользователям user1 и user2; пользователям user4 и user5 разрешите чтение и выполнение для папки, но запретите запись в Папку3; пользователю user3 разрешите полный доступ к папке.
Чтобы определить права доступа пользователей к папкам, используйте закладку «Безопасность» в Свойствах этих папок, (режим «Свойства» из контекстного меню папки). Чтобы выбрать пользователей, надо в закладке «Безопасность» для папки щелкнуть кнопку «Добавить», затем в строке «Типы объектов» выбрать тип «Пользователи», для выбора имен пользователей щелкнуть кнопку «Дополнительно», затем кнопку «Поиск». В открывшемся списке пользователей выберите необходимых пользователей, затем в окне разрешений для выбранных пользователей проставьте необходимые разрешения и запрещения.
Проверьте, как работают установленные права доступа пользователей к папкам 2 и 3. Для этого завершите сеанс работы текущего пользователя-администратора и откройте сеанс работы пользователя user1 (Пуск – Выход из системы – Смена пользователя). Проверьте, какие есть возможности работы данного пользователя с папками 2 и 3.
Также откройте поочередно сеансы работы пользователей user2 и user4 и проверьте, какие есть возможности работы их с папками 2 и 3.
Измените права для user4. Для Папки2 запретить доступ. Для Папки 3 разрешить полный доступ.
Удалите установленные права пользователей user1 и user2. Контекстное меню папки (Папка2, Папка3) – Свойства - Закладка «Безопасность», выделите пользователя (user1, user2) и щелкните кнопку «Удалить».
Проверьте, как работают измененные права доступа.
Удалите папки 1, 2 и 3.

Лабораторная работа №7
Управление доступом к объектам в сети. Настройка доступа к папкам для возможности групповой работы с ними в сети.
Создайте папки: Папка1, Папка2 и Папка3.
Откройте общий доступ к этим папкам для пользователей со следующими разрешениями:
Для Папки1: разрешить чтение для всех пользователей, полный доступ для user1;
Для Папки2: полный доступ для user2, только чтение для user1, чтение и изменение для user3;
Для Папки3: полный доступ для user3, только чтение для user1, чтение и изменение для user2.
Пользователи user1, user2, user3 – это имена пользователей на других компьютерах, подключенных к сети.
Чтобы открыть общий доступ к папкам для пользователей в сети, надо в контекстном меню папки (щелкнуть правой кнопкой мыши на нужной папке) выбрать режим «Общий доступ и безопасность». На закладке «Доступ» установите метку (галочку) в строке «Открыть общий доступ к этой папке». Далее на закладке «Доступ» щелкните кнопку «Разрешения». В окне «Разрешения для общего ресурса» надо выбрать пользователей сети, кому разрешается доступ к этой папке. По умолчанию разрешается доступ на чтение всем пользователям (группа Все). Чтобы установить доступ конкретным пользователям в сети, используйте кнопки «Добавить», «Дополнительно», «Поиск». В списке пользователей выделите нужного пользователя и щелкните ОК. Затем в окне «Разрешения» выберите необходимые разрешения для данного пользователя (Полный доступ, Изменения или Чтение).
После того, как будут установлены настройки общего доступа к папкам 1, 2 и 3 для пользователей user1, user2, user3, чтобы исключить доступ к папке других пользователей, надо удалить группу «Все» из «Разрешения для общего доступа».
Проверьте с других компьютеров (user1, user2, user3), как работают сделанные настройки доступа.
Измените настройки общего доступа к папкам (например, для Папки1 разрешите user1 только чтение, user2 – чтение и изменение, user3 – полный доступ) и проверьте, как работают измененные настройки общего доступа в сети.
Удалите созданные папки 1, 2 и 3.






































Заключение
Мы завершили обзор основных положений информационной безопасности и защиты информации в информационных системах.
Сложность информационных систем возрастает. Современные ИС по своей структуре, принципам организации, используемым механизмам относятся к распределенным, разнородным, многосервисным системам. В них широко используются сетевые технологии. Все это неизменно вызывает рост числа уязвимостей в ИТ-компонентах и средствах защиты. Эти уязвимости активно используются злоумышленниками для проведения различных видов атак, организации сбоев в работе критических приложений, сетей передачи данных и в предоставлении сервисов, а также в кражах конфиденциальных данных и в других подобных действиях.
Появляются новые угрозы безопасности, вирусы, способы атак. Методы и инструменты проведения атак постоянно совершенствуются, скорость их распространения стремительно растет (корпоративную систему можно вывести из строя за несколько секунд), а последствия иногда оказываются катастрофическими для деятельности организации.
Проблема обеспечения безопасности информационных систем приобретает все большую актуальность. Ее решение требует комплексного, систематического подхода, необходимости сочетания законодательных, организационных и программно-технических мер. На законодательном уровне особого внимания заслуживают правовые акты и стандарты, регламентирующие аспекты и критерии безопасности, которым должны соответствовать современные ИС. Практические правила обеспечения ИБ на всех этапах жизненного цикла информационной системы также должны носить комплексный характер и основываться на проверенных практикой приемах и методах. Например, в информационной системе должны обязательно использоваться некоторые средства идентификации и аутентификации пользователей (сервисов), средства резервного копирования, антивирусный контроль и т.д.
Тема информационной безопасности ИС необычайно важная и обширная. Задачи обеспечения ИБ в информационных системах усложняются с каждым днем по мере все более интенсивного использования информационных компьютерных технологий практически во всех сферах человеческой деятельности. Это ведет к необходимости всестороннего анализа проблем безопасности ИС, обобщения опыта разработки и применения мер, направленных на защиту ИС, создания комплексных систем обеспечения безопасности ИС.














13PAGE 15


13PAGE 1410015



Программно-технический

Административный

Отдельные граждане

Предприятие

Нормативно-
технический

Законода-
тельный

Концептуально-
политический

Государство

Уровни
обеспечения

Конфиденциальность

Целостность

Доступность

Задачи

Информационная
безопасность



Root Entry

Приложенные файлы

  • doc 8904948
    Размер файла: 4 MB Загрузок: 0

Добавить комментарий