Взлом информационных сетей

Введение

Все больше в прошлое  уходит бесполезное нагромождение  различных средств защиты, которое стало «модным» в результате реакции на первую волну страха перед компьютерными преступлениями. К тому, что защита информации должна носить комплексный характер, все начинают постепенно привыкать. При этом компании-заказчики больше не хотят выбрасывать деньги на ветер, они хотят приобретать только то, что им действительно необходимо для построения надежной системы защиты информации. Но организация обеспечения безопасности информации должна не просто носить комплексный характер, а еще и основываться на глубоком анализе возможных негативных последствий. При этом важно не упустить какие-либо существенные аспекты.

Но вся идеология  стандарта построена на необходимости глубокого изучения и анализа существующей обстановки и, особенно, выявлении актуальных угроз информационной безопасности. При этом должны быть оценены все угрозы, с которыми можно столкнуться, и выбраны только те, которые могут повлиять на безопасность информации. Стандарт предполагает, что при описании угроз должны быть идентифицированы источники этих угроз, методы воздействия, уязвимости, присущие объекту и многое другое.

Именно поэтому выбор  правильной методологии оценки возможных  угроз информационной безопасности является одним из основных направлений при переходе к международным требованиям.

Оценивать опасность  можно по-разному. Можно, например, ждать  каких-либо проявлений угроз, оценивать эти проявления, определять пути ликвидации и ждать следующего проявления. Однако, этот вариант дорог и, по всей вероятности, вряд ли вызовет энтузиазм у собственников защищаемой информации. Можно попробовать учиться на чужих ошибках, но, из-за большой латентности нарушений компьютерной безопасности, этот вариант не всегда сможет дать объективную картину.

Самым разумным остается сначала представить все возможные  варианты угроз, а затем отобрать наиболее применимые к конкретному случаю. Здесь опять-таки альтернатива: либо использовать накопленный банк данных уже случившихся вариантов проявлений угроз (и не быть до конца уверенным, что все варианты уже были), либо попытаться создать методологический инструмент формирования поля возможных проявлений угроз, основанный на изучении всех влияющих факторов и позволяющий рассмотреть все возможные, даже самые маловероятные варианты.

Такая методология анализа  и оценки возможностей реализации угроз  информационной безопасности должна быть основана на построении модели угроз, классификации, анализе и оценки источников угроз, уязвимостей (факторов) и методов реализации.

 

1. Сущность и ущерб  от взлома информационных систем.

Часто злоумышленники проникают  в систему не напрямую, «сражаясь» с системами шифрования или идентификации, а «в обход», используя либо явные  промахи создателей, не заметивших какой-либо очень простой метод обойти их систему, либо ошибки в реализации программ защиты. Также злоумышленники широко используют психологические приемы для того, чтобы получить нужную им информацию у рядовых сотрудников фирм.

Последнее время сообщения об атаках на информацию, о хакерах и компьютерных взломах наполнили все средства массовой информации. Что же такое «атака на информацию»? Дать определение этому действию на самом деле очень сложно, поскольку информация, особенно в электронном виде, представлена сотнями различных видов. Информацией можно считать и отдельный файл, и базу данных, и одну запись в ней, и целиком программный комплекс. И все эти объекты могут подвергнуться и подвергаются атакам со стороны некоторой социальной группы лиц.

При хранении, поддержании и предоставлении доступа к любому информационному объекту его владелец, либо уполномоченное им лицо, накладывает явно либо самоочевидно набор правил по работе с ней. Умышленное их нарушение классифицируется как атака на информацию.

С массовым внедрением компьютеров во все сферы деятельности человека объем информации, хранимой в электронном виде вырос в тысячи раз. И теперь скопировать за полминуты и унести дискету с файлом, содержащим план выпуска продукции, намного проще, чем копировать или переписывать кипу бумаг. А с появлением компьютерных сетей даже отсутствие физического доступа к компьютеру перестало быть гарантией сохранности информации.

Каковы возможные последствия  атак на информацию? В первую очередь, конечно, нас будут интересовать экономические потери:

-Раскрытие коммерческой информации может привести к серьезным прямым убыткам на рынке

-Известие о краже большого объема информации обычно серьезно влияет на репутацию фирмы, приводя косвенно к потерям в объемах торговых операций

-Фирмы-конкуренты могут воспользоваться кражей информации, если та осталась незамеченной, для того чтобы полностью разорить фирму, навязывая ей фиктивные либо заведомо убыточные сделки

-Подмена информации как на этапе передачи, так и на этапе хранения в фирме может привести к огромным убыткам

-Многократные успешные атаки на фирму, предоставляющую какой-либо вид информационных услуг, снижают доверие к фирме у клиентов, что сказывается на объеме доходов

Естественно, компьютерные атаки могут принести и огромный моральный ущерб. Само собой разумеется, что никакому пользователю компьютерной сети не хочется, чтобы его письма кроме адресата получали еще 5–10 человек, или, например, весь текст, набираемый на клавиатуре копировался в буфер, а затем при подключении к Интернету отправлялся на определенный сервер. А именно так и происходит в тысячах и десятках тысяч случаев. Доля атак, производимых сотрудниками фирм и предприятий, просто ошеломляет и заставляет вспомнить не только о технических, но и о психологических методах профилактики подобных действий.

Информация с точки  зрения информационной безопасности обладает следующими категориями:

конфиденциальность –  гарантия того, что конкретная информация доступна только тому кругу лиц, для  кого она предназначена; нарушение этой категории называется хищением либо раскрытием информации

целостность – гарантия того, что информация сейчас существует в ее исходном виде, то есть при ее хранении или передаче не было произведено  несанкционированных изменений; нарушение  этой категории называется фальсификацией сообщения

аутентичность – гарантия того, что источником информации является именно то лицо, которое заявлено как  ее автор; нарушение этой категории  также называется фальсификацией, но уже автора сообщения

апеллируемость –  довольно сложная категория, но часто применяемая в электронной коммерции – гарантия того, что при необходимости можно будет доказать, что автором сообщения является именно заявленный человек, и не может являться никто другой; отличие этой категории от предыдущей в том, что при подмене автора, кто-то другой пытается заявить, что он автор сообщения, а при нарушении апеллируемости – сам автор пытается «откреститься» от своих слов, подписанных им однажды.

В отношении информационных систем применяются иные категории:

надежность – гарантия того, что система ведет себя в  нормальном и внештатном режимах  так, как запланировано

точность – гарантия точного и полного выполнения всех команд

контроль доступа –  гарантия того, что различные группы лиц имеют различный доступ к информационным объектам, и эти ограничения доступа постоянно выполняются

контролируемость –  гарантия того, что в любой момент может быть произведена полноценная  проверка любого компонента программного комплекса

контроль идентификации  – гарантия того, что клиент, подключенный в данный момент к системе, является именно тем, за кого себя выдает

устойчивость к умышленным сбоям – гарантия того, что при  умышленном внесении ошибок в пределах заранее оговоренных норм система  будет вести себя так, как оговорено  заранее.

 

2. Основные виды и источники атак на информацию

Обзор наиболее распространенных методов «взлома»

Комплексный поиск возможных  методов доступа

Злоумышленники исключительно  тщательно изучают системы безопасности перед проникновением в нее. Очень  часто они находят очевидные и очень простые методы «взлома» системы, которые создатели просто «проглядели», создавая возможно очень хорошую систему идентификации или шифрования.

Терминалы защищенной информационной системы

Терминалы – это точки  входа пользователя в информационную сеть. В том случае, когда к ним имеют доступ несколько человек или вообще любой желающий, при их проектировании и эксплуатации необходимо тщательное соблюдение целого комплекса мер безопасности.

Получение пароля на основе ошибок администратора и пользователей

Дальнейшие действия взломщика, получившего доступ к  терминальной точке входа, могут  развиваться по двум основным направлениям:

а) попытки выяснения  пароля прямо или косвенно;

Получение пароля на основе ошибок в реализации

б) попытки входа в систему совершенно без знания пароля, основываясь на ошибках в реализации программного или аппаратного обеспечения.

Социальная психология и иные способы получения ключа

Иногда злоумышленники вступают и в прямой контакт с  лицами, обладающими нужной им информацией, разыгрывая довольно убедительные сцены. «Жертва» обмана, поверившая в реальность рассказанной ей по телефону или в электронном письме ситуации, сама сообщает пароль злоумышленнику.

Обратимся к наиболее популярным и очевидным технологиям  несанкционированного доступа. Рассмотрением их мы не должны пренебрегать по очень простому правилу: «прочность цепи не выше прочности самого слабого ее звена». Эта аксиома постоянно цитируется, когда речь идет о компьютерной безопасности. Например, как бы ни была прочна система, если пароль на доступ к ней лежит в текстовом файле в центральном каталоге или записан на экране монитора – это уже не конфиденциальная система. А примеров, в которых разработчики системы защиты забывают или просто не учитывают какие-либо примитивнейшие методы проникновения в систему, можно найти сотни, и мы будем с ними сталкиваться в ходе нашего курса.

Например, при работе в сети Internet не существует надежного  автоматического подтверждения  того, что данный пакет пришел именно от того отправителя (IP-адреса), который заявлен в пакете. А это позволяет даже при применении самого надежного метода идентификации первого пакета подменять все остальные, просто заявляя, что все они пришли тоже с этого же самого IP-адреса.

Примерно та же проблема существует в сети Novell NetWare 3.11 – в ней сервер может поддерживать одновременно до 254 станций, и при этом при наличии мощной системы идентификации аутентификация пакета ведется только по номеру станции. Это позволяло проводить следующую атаку – в присутствии в сети клиента-супервизора злоумышленнику достаточно послать 254 пакета с командой серверу, которую он хочет исполнить, перебрав в качестве псевдо-отправителя все 254 станции. Один из отправленных пакетов совпадет с номером соединения, на котором сейчас действительно находится клиент-супервизор, и команда будет принята сервером к исполнению, а остальные 253 пакета просто проигнорированы.

А в отношении шифрования – мощного средства защиты передаваемой информации от прослушивания и изменения  – можно привести следующий метод, неоднократно использованный на практике. Действительно злоумышленник, не зная пароля, которым зашифрованы данные или команды, передаваемые по сети, не может прочесть их или изменить. Но если у него есть возможность наблюдать, что происходит в системе после получения конкретного блока данных (например, стирается определенный файл или выключается какое-либо аппаратное устройство), то он может, не раскодируя информацию, послать ее повторно и добьется результатов, аналогичных команде супервизора.

Все это заставляет разработчиков  защищенных систем постоянно помнить  и о самых простых и очевидных  способах проникновения в систему  и предупреждать их в комплексе.

Несмотря на самоочевидность, все-таки наиболее распространенным способом входа в систему при атаках на информацию остается вход через официальный log-in запрос системы. Вычислительная техника, которая позволяет произвести вход в систему, называется в теории информационной безопасности терминалом. Терминология восходит ко временам суперЭВМ и тонких «терминальных» клиентов. Если система состоит всего из одного персонального компьютера, то он одновременно считается и терминалом и сервером. Доступ к терминалу может быть физическим, в том случае, когда терминал – это ЭВМ с клавиатурой и дисплеем, либо удаленным – чаще всего по телефонной линии (в этом случае терминалом является модем, подключенный либо непосредственно к системе, либо к ее физическому терминалу).

При использовании терминалов с физическим доступом необходимо соблюдать  следующие требования:

Защищенность терминала  должна соответствовать защищенности помещения: терминалы без пароля могут присутствовать только в тех  помещениях, куда имеют доступ лица соответствующего или более высокого уровня доступа. Отсутствие имени регистрации возможно только в том случае, если к терминалу имеет доступ только один человек, либо если на группу лиц, имеющих к нему доступ, распространяются общие меры ответственности. Терминалы, установленные в публичных местах должны всегда запрашивать имя регистрации и пароль.

Системы контроля за доступом в помещение с установленным  терминалом должны работать полноценно и в соответствии с общей схемой доступа к информации.

В случае установки терминала  в местах с широким скоплением народа клавиатура, а если необходимо, то и дисплей должны быть оборудованы устройствами, позволяющими видеть их только работающему в данный момент клиенту (непрозрачные стеклянные или пластмассовые ограждения, шторки, «утопленная» модель клавиатуры).

При использовании удаленных  терминалов необходимо соблюдать следующие правила:

Любой удаленный терминал должен запрашивать имя регистрации  и пароль. Того, что якобы никто  не знает шестизначного номера вашего служебного модема, отнюдь не достаточно для конфиденциальности вашей системы. Все дело в том, что при наличии программного обеспечения, которое не составит труда найти в сети Интернет, и тонового набора для одного звонка достаточно 4 секунд. Это означает, что за 1 минуту можно перебрать около 15 номеров телефонной станции с тем, чтобы узнать существует ли на этом телефонном номере модем. За час таким образом можно перебрать 1000 номеров, а за рабочий день с повтором в ночное время (это стандартная методика) – всю АТС (10000 номеров). Напомню, что в нашем городе существует только 9 АТС. Таким образом, за 10 дней можно проверить все телефоны такого среднего города, как Череповец. И подобные операции производятся довольно часто, особенно в отношении фирм, связанных с компьютерами и компьютерными сетями, а также в отношении промышленных предприятий. Так, некоторое время назад ходил список из 15 телефонных номеров одного из очень крупных промышленных предприятий нашего города, на которых находились модемы с доступом в его внутреннюю сеть.