Лекции 44 -45 Тема 10. Защита информации в сетях Основы защиты информации и сведений, составляющих государственную тайну. Типичные приемы атак на локальные и удаленные компьютерные системы. Методы защиты информации. Защита информации от компьютерных вирусов. Организационно-правовые основы программирования.
Основные понятия информационной безопасности Компьютерная система (КС) — организационно-техническая система, представляющую совокупность следующих взаимосвязанных компонентов: технические средства обработки и передачи данных; методы и алгоритмы обработки в виде соответствующего программного обеспечения; данные — информация на различных носителях и находящаяся в процессе обработки; конечные пользователи — персонал и пользователи, использующие КС с целью удовлетворения информационных потребностей; объект доступа, или объект, — любой элемент КС, доступ к которому может быть произвольно ограничен (файлы, устройства, каналы); субъект доступа, или субъект, — любая сущность, способная инициировать выполнение операций над объектом (пользователи, процессы).
Информационная безопасность — состояние КС, при котором она способна противостоять дестабилизирующему воздействию внешних и внутренних информационных угроз и при этом не создавать таких угроз для элементов самой КС и внешней среды. Конфиденциальность информации — свойство информации быть доступной только ограниченному кругу конечных пользователей и иных субъектов доступа, прошедших соответствующую проверку и допущенных к ее использованию. Целостность информации — свойство сохранять свою структуру и содержание в процессе хранения, использования и передачи. Достоверность информации — свойство, выражаемое в строгой принадлежности информации субъекту, который является ее источником. Доступ к информации — возможность субъекта осуществлять определенные действия с информацией. Санкционированный доступ к информации — доступ с выполнением правил разграничения доступа к информации.
Несанкционированный доступ (НСД) - доступ с нарушением правил разграничения доступа субъекта к информации, с использованием штатных средств (программного или аппаратного обеспечения), предоставляемых КС. Правила разграничения доступа — регламентация прав доступа субъекта к определенному компоненту системы. Идентификация — получение от субъекта доступа к сведениям (имя, учетный номер и т. д. ), позволяющим выделить его из множества субъектов. Аутентификация — получение от субъекта сведений (пароль, биометрические параметры и т. д. ), подтверждающих, что идентифицируемый субъект является тем, за кого себя выдает. Угроза информационной безопасности КС — возможность воздействия на информацию, обрабатываемую КС, с целью ее искажения, уничтожения, копирования или блокирования, а также возможность воздействия на компоненты КС, приводящие к сбою их функционирования.
Уязвимость КС - любая характеристика, которая может привести к реализации угрозы. Атака КС - действия злоумышленника, предпринимаемые с целью обнаружения уязвимости КС и получения несанкционированного доступа к информации. Безопасная, или защищенная КС - КС, снабженная средствами защиты для противодействия угрозам безопасности. Комплекс средств защиты — совокупность аппаратных и программных средств, обеспечивающих информационную безопасность. Политика безопасности — совокупность норм и правил, регламентирующих работу средств защиты от заданного множества угроз.
Юридические основы информационной безопасности Конституция Российской Федерации. Статья 23 гарантирует право на личную и семейную тайну, на тайну переписки, телефонных разговоров, почтовых, телеграфных и иных сообщений. Статья 29 - право свободно искать, получать, передавать, производить и распространять информацию любым законным способом. Статьи 41 и 42 гарантируют право на знание фактов и обстоятельств, создающих угрозу жизни и здоровью людей, право на знание достоверной информации о состоянии окружающей среды.
Уголовный кодекс Российской Федерации Глава 28 «Преступления в сфере компьютерной информации» содержит статьи 272 -274, посвященные преступлениям, связанным, соответственно, с неправомерным доступом к компьютерной информации, созданием, использованием и распространением вредоносных программ, нарушением правил эксплуатации ЭВМ, систем и сетей на их основе. Закон РФ «О государственной тайне» Гостайна определена как защищаемые государством сведения в области военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативнорозыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации. Здесь же дается описание средств защиты информации, к которым, относятся технические, криптографические, программные и другие средства, предназначенные для защиты сведений, составляющих государственную тайну.
Политика безопасности в компьютерных системах Защищенная КС обязательно должна иметь средства разграничения доступа пользователей к ресурсам КС, проверки подлинности пользователя и противодействия выводу КС из строя. В защищенной КС всегда присутствует субъект, выполняющий контроль операций субъектов над объектами, например, в операционной системе Windows таким субъектом является псевдопользователь SYSTEM. Политика безопасности включает: • множество субъектов; • множество объектов; • множество возможных операций над объектами; • множество разрешенных операций для каждой пары субъект -объект. Существуют два типа политики безопасности: дискретная (дискреционная) и мандатная (полномочная).
Основой дискретной политики безопасности является дискреционное управление доступом, которое определяется двумя свойствами: • все субъекты и объекты должны быть идентифицированы; • права доступа субъекта к объекту определяются на основе некоторого задаваемого набора правил. При реализации представляет собой матрицу, строками которой являются субъекты, а столбцами - объекты; элементы матрицы характеризуют набор прав доступа. Мандатная модель политики безопасности основывается на том, что: • все субъекты и объекты должны быть идентифицированы; • задан линейно упорядоченный набор меток секретности; • каждому объекту присвоена метка секретности, определяющая ценность содержащейся в ней информации — его уровень секретности; • каждому субъекту системы присвоена метка секретности, определяющая уровень доверия к нему — его уровень доступа.
Меры по поддержанию работоспособности компьютерных систем • администратор должен организовать поддержку пользователей при решении возникающих у них проблем, выявляя при этом общие вопросы, связанные с безопасностью и указывая пользователям способы их решения; • администратор должен следить за целостностью программного обеспечения, установленного на компьютерной системе, и ограничивать возможности самостоятельной установки пользователями дополнительных программ, которые могут содержать вредоносные коды, следить за изменением файлов программ, для чего периодически запускать утилиты, проверяющие целостность файлов программных кодов; • пользователь должен иметь возможность проводить резервное копирование своих данных, которые могут понадобиться для восстановления данных после аварии; резервные копии необходимо сохранять на съемных носителях или других внешних носителях с ограниченным правом доступа; • каждая компьютерная система должна быть в обязательном порядке снабжена источником бесперебойного питания, предотвращающего потерю информации при кратковременных перебоях с энергоснабжением.
Основные методы реализации угроз информационной безопасности • Непосредственное обращение к объектам доступа. Злоумышленник пытается войти в систему, используя подсмотренный полностью или частично пароль легального пользователя; пытается получить доступ к объектам, надеясь на ошибки в политике безопасности. • Создание программных и технических средств, выполняющих обращение к объектам доступа. Злоумышленник, получив в свое распоряжение файл паролей с помощью программ, осуществляющих перебор паролей, пытается его расшифровать; использует программы, просматривающие содержимое жестких дисков, с целью получения информации о незащищенных каталогах и файлах; использует в сети со связью по модему программы, выполняющие автодозвон и фиксирующие номера ответивших узлов; применяет программы перехвата и сохранения всего трафика сети. • Модификация средств защиты, позволяющая реализовать угрозы информационной безопасности. Злоумышленник, получив права доступа к подсистеме защиты, подменяет некоторые ее файлы с целью изменения реакции подсистемы на права доступа к объектам, расширяя права легальных пользователей или предоставляя права нелегальным пользователям. • Внедрение в технические средства программных или технических механизмов, нарушающих структуру и функции КС.
Механизмы проникновения из Интернета на локальный компьютер и в локальную сеть: • загружаемые в браузер Web-страницы могут содержать активные элементы Active. X или Java-апплеты, способные выполнять деструктивные действия на локальном компьютере; • некоторые Web-серверы размещают на локальном компьютере текстовые файлы cookie, используя которые можно получить конфиденциальную информацию о пользователе локального компьютера; • с помощью специальных утилит можно получить доступ к дискам и файлам локального компьютера и др.
Типичные приемы атак на локальные и удаленные компьютерные системы Программы, используемые для эксплуатации ошибок компьютерных систем, называются эксплоитами. Кража ключевой информации. Пароль может быть подсмотрен по движению рук на клавиатуре или снят видеокамерой. Некоторые программы входа в КС удаленного сервера допускают набор пароля в командной строке, где пароль отображается на экране, а иногда для ввода используются пакетные файлы для упрощения входа в ОС. Кража такого файла компрометирует пароль. Известны случаи, когда для кражи пароля использовался съем отпечатков пальцев пользователя с клавиатуры. Кража внешнего носителя с ключевой информацией. Сканирование файловой системы. Злоумышленник пытается просматривать файловую систему и прочесть, скопировать или удалить файлы. Если доступ к файлу закрыт, сканирование продолжается. Если объем файловой системы велик, то рано или поздно обнаружится хотя бы одна ошибка администратора. Такая атака проводится с помощью специальной программы, которая выполняет эти действия в автоматическом режиме.
Сборка мусора. Информация, удаляемая пользователем, не удаляется физически, а только помечается к удалению и помещается в сборщик мусора. Если получить доступ к этой программе, можно получить и доступ к удаляемым файлам. Сборка мусора может осуществляться и из памяти. В этом случае программа, запускаемая злоумышленником, выделяет себе всю допустимо возможную память и читает из нее информацию, выделяя заранее определенные ключевые слова. Превышение полномочий. Используя ошибки в системном программном обеспечении и/или политики безопасности, пользователь пытается получить полномочия, превышающие те, которые были ему выделены. Это воздействие может быть также результатом входа в систему под именем другого пользователя или заменой динамической библиотекой, которая отвечает за выполнение функций идентификации пользователя.
Программные закладки. Программы, выполняющие хотя бы одно из следующих действий: • внесение произвольных искажений в коды программ, находящихся в оперативной памяти (программная закладка первого типа); • перенос фрагментов информации из одних областей оперативной или внешней памяти в другие (программная закладка второго типа); • искажение информации, выводимой другими программами на внешние устройства или каналы связи (программная закладка третьего типа). Жадные программы. Программы, преднамеренно захватывающие значительную часть ресурсов КС, в результате чего другие программы работают значительно медленнее или не работают вовсе. Часто запуск такой программы приводит к краху ОС.
• Атаки на отказ в обслуживании (deny-of-service — Do. S). Атаки Do. S являются наиболее распространенными в компьютерных сетях и сводятся к выведению из строя объекта, а не к получению несанкционированного доступа. Они классифицируются по объекту воздействия: • перегрузка пропускной способности сети — автоматическая генерация, возможно, из нескольких узлов, большого сетевого трафика, которое полностью занимает возможности данного узла; • перегрузка процессора — посылка вычислительных заданий или запросов, обработка которых превосходит вычислительные возможности процессора узла; • занятие возможных портов — соединяясь с портами сервисов узла, занимает все допустимое число соединений на данный порт.
Атаки маскировкой. Маскировка — общее название большого класса сетевых атак, в которых атакующий выдает себя за другого пользователя. Если существенные права получают процессы, инициируемые доверенными хостами (т. е. пакеты с адресом доверенного источника пропускаются без применения к ним ограничивающих правил), то достаточно указать доверенный адрес отправителя, и он будет пропущен. Атаки на маршрутизацию. Для достижения узла — жертвы в таких атаках применяется изменение маршрута доставки пакета. Каждый путь может иметь свои права доступа, узел может по-разному реагировать на пакеты, поступившие различными путями. Поэтому интерес злоумышленника распространяется не только на сам атакуемый узел, но и на промежуточные пункты — маршрутизаторы.
Прослушивание сети (sniffing). Различают межсегментный и внутрисегментный сниффинг. В первом случае устройство подслушивания должно быть размещено у входа или выхода взаимодействующих узлов или у одного из транзитных узлов. Для защиты от прослушивания, в основном, используются средства шифрования. При внутрисегментном прослушивании в равноранговой сети с общей шиной (Ethernet), в качестве прослушивающего устройства может использоваться одна из КС сети. Для организации прослушивания необходимо, с помощью программы-сниффера, перевести режим Ethernet-карты в «неразборчивый режим» , когда карта принимает не только пакеты со своим сетевым адресом, но и все, проходящие по сети пакеты. Для борьбы со снифферами используются сниффер-детектор. Принцип его работы заключается в формировании пакета с некорректным сетевым адресом, который должен быть проигнорирован всеми узлами сети. Та КС, которая примет такой пакет, должна быть проверена на наличие сниффера. .
Противодействие нарушению конфиденциальности информации НСД может быть предотвращен или существенно затруднен при организации следующего комплекса мероприятий: • идентификация и аутентификация пользователей; • мониторинг несанкционированных действий - аудит; • разграничение доступа к КС; • криптографические методы сокрытия информации; • защита КС при работе в сети. При создании защищенных КС используют фрагментарный и комплексный подход. Фрагментарный подход предполагает последовательное включение в состав КС пакетов защиты от отдельных классов угроз. Комплексный подход - функций защиты введена в КС на этапе проектирования архитектуры аппаратного и системного программного обеспечения и является их неотъемлемой частью.
Административный контроль работы КС Основные задачи администратора по поддержанию средств защиты заключаются в следующем: • постоянный контроль корректности функционирования КС и ее защиты; • регулярный просмотр журналов регистрации событий; • организация и поддержание адекватной политики безопасности; • инструктирование пользователей ОС об изменениях в системе защиты, правильного выбора паролей и т. д. ; • регулярное создание и обновление резервных копий программ и данных; • постоянный контроль изменений конфигурационных данных и политики безопасности отдельных пользователей, чтобы вовремя выявить взлом защиты КС.
Методы разграничения доступа При организации доступа субъектов к объектам выполняются следующие действия: • идентификация и аутентификация субъекта доступа (иногда авторизация субъекта, под которой понимается создание программной среды для его работы); • проверка прав доступа субъекта к объекту; • ведение журнала учета действий субъекта. Для аутентификации субъекта чаще всего используются атрибутивные идентификаторы, которые делятся на следующие категории: • пароли; • съемные носители информации; • электронные жетоны; • пластиковые карты; • механические ключи. Паролем называют комбинацию символов, которая известна только владельцу пароля или, возможно, администратору системы безопасности.
При организации парольной защиты необходимо выполнять следующие рекомендации: • Пароль необходимо запоминать, а не записывать. • Длина пароля должна быть не менее девяти символов. • Пароли должны периодически меняться. • В КС должны фиксироваться моменты времени успешного получения доступа и неудачного ввода пароля. Информация о попытках неверного ввода пароля должны подвергаться статистической обработке и сообщаться администратору. • Пароли должны храниться в КС так, чтобы доступ к ним был затруднен: пароли хранятся в специальном ЗУ, запись в которое осуществляется в специальном режиме, пароли подвергаются шифрованию. • При вводе пароля не выдавать никаких сведений на экран, чтобы затруднить подсчет введенных символов. • Не использовать в качестве паролей имена и фамилии, дни рождения и географические или иные названия. Желательно менять при вводе пароля регистры, использовать специальные символы, набирать русский текст на латинском регистре, использовать парадоксальные сочетания слов.
Криптографические методы зашиты данных Метод шифрования характеризуется показателями надежности и трудоемкости. Стойкость — характеристика надежности, определяющая минимальный объем зашифрованного текста, который можно вскрыть статистическим анализом (стойкость шифра определяет допустимый объем информации, зашифровываемый при использовании одного ключа). Трудоемкость метода шифрования определяется числом элементарных операций, необходимых для шифрования одного символа исходного текста.
Криптографическое закрытие информации Шифрование заменой (подстановкой) Символы шифруемого текста заменяются другими символами, взятыми из одного (моноалфавитная подстановка) или нескольких (полиалфавитная подстановка) алфавитов. Шифрование методом перестановки Этот метод заключается в том, что символы шифруемого текста переставляются по определенным правилам внутри шифруемого блока символов. Методы шифрования, использующие ключи Методы, которые используют для шифрования и дешифрования один и тот же ключ, называются симметричными.
Системы с открытым ключом Методы с открытым ключом называются асимметричными методами криптозащиты. Для шифрования данных используется один ключ, а для дешифрования -другой. Первый ключ не является секретным и может быть опубликован для использования всеми пользователями системы, которые шифруют данные. Для дешифрования данных получатель использует второй ключ, который является секретным. Ключ дешифрования не может быть определен из ключа шифрования. Наиболее развитым методом криптографической защиты информации с открытым ключом является алгоритм RSA.
Шифрование с помощью хэш-функций Функции хэширования отображают сообщение любой длины в строку фиксированного размера. Особенностью ее применения является тот факт, что не существует функции, которая могла бы по сжатому отображению восстановить исходное сообщение, - это односторонняя хэш-функция. Получив в свое распоряжение файл, хранящий пароли пользователей, преобразованные хэш-функцией, злоумышленник не имеет возможности получить по ним сами пароли, а должен перебирать парольные комбинации символов, применять к ним хэшфункцию и проверять на соответствие полученной строки из файла хэшированных паролей. Эта работа затрудняется тем, что ему неизвестна и длина пароля, по которому хэш-функцией получено отображение.
Электронная цифровая подпись -это относительно небольшое количество дополнительной информации, передаваемой вместе с документом. Цифровая подпись шифруется с применением методов открытого ключа и связывает содержимое документа, самой подписи и пары ключей. Изменение хотя бы одного из этих элементов делает невозможным подтверждение подлинности цифровой подписи. 1. При формировании цифровой подписи генерируются два ключа: секретный и открытый. 2. Открытый ключ рассылается всем абонентам, которым будет направлен документ. Подпись, добавляемая к документу, содержит дату подписи, информацию об отправителе и имя открытого ключа. 3. С помощью хэш-функции, примененной ко всему документу, вычисляется небольшое число, характеризующее весь текст в целом. 4. Это число шифруется закрытым ключом, и является далее электронной цифровой подписью.
5. Получателю пересылается сам документ в открытом виде и электронная подпись. 6. При проверке цифровая подпись расшифровывается открытым ключом. 7. К полученному открытому документу применяется преобразование хэш-функцией. 8. Результат ее работы сравнивается с присланной электронной подписью. Если оба числа совпадают, то полученный документ — подлинный.
Защита информации от компьютерных вирусов Компьютерным вирусом называется программа, способная самостоятельно создавать свои копии и внедряться в другие программы, в системные области дисковой памяти компьютера, распространяться по каналам связи. Целью создания и применения программ-вирусов является нарушение работы программ, порча файловых систем и компонентов компьютера, нарушение нормальной работы пользователей. Стадии существования компьютерных вирусов: пассивная стадия, в которой вирус никаких действий не предпринимает; стадия размножения, когда вирус старается создать как можно больше своих копий; активная стадия, в которой вирус переходит к выполнению деструктивных действий.
Сетевые вирусы используют для своего распространения протоколы или команды компьютерных сетей и электронной почты. Основным принципом работы сетевого вируса является возможность самостоятельно передать свой код на удаленный сервер или рабочую станцию. Наиболее известны вирусы-репликаторы, называемые червями, которые вычисляют адреса сетевых компьютеров и рассылают по этим адресам свои копии, запуская их на выполнение. Файловые вирусы внедряются в исполняемые файлы, имеющие расширение. ехе и com, но могут внедряться и в файлы с компонентами операционных систем, драйверы внешних устройств, объектные файлы и библиотеки, в командные пакетные файлы. При запуске зараженных программ вирус на некоторое время получает управление и в этот момент производит запланированные деструктивные действия и внедрение в другие файлы программ. Загрузочные вирусы внедряются в загрузочный сектор дискеты или в главную загрузочную запись жесткого диска. Изменяет программу начальной загрузки операционной системы, запуская необходимые для нарушения конфиденциальности программы или подменяя, для этой же цели, системные файлы, в основном это файлы, обеспечивающие доступ пользователей в систему.
Документные вирусы (макровирусы) заражают текстовые файлы редакторов или электронных таблиц, используя макросы, которые сопровождают такие документы. Вирус активизируется, когда документ загружается в соответствующее приложение. Резидентные вирусы после завершения инфицированной программы остаются в оперативной памяти и продолжают свои деструктивные действия, заражая другие исполняемые программы, вплоть до выключения компьютера. Нерезидентные вирусы запускаются вместе с зараженной программой и удаляются из памяти вместе с ней. Паразитирующие - вирусы, изменяющие содержимое зараженных файлов. Эти вирусы легко обнаруживаются и удаляются из файла, так как имеют всегда один и тот же внедряемый программный код. Троянские кони — вирусы, маскируемые под полезные программы. Наряду с полезными функциями, соответствующими устанавливаемой программе, вирус может выполнять функции, нарушающие работу системы, или собирать информацию, обрабатываемую в ней.
Вирусы-невидимки способны прятаться при попытках их обнаружения. Они перехватывают запрос антивирусной программы и либо временно удаляются из зараженного файла, либо подставляют вместо себя незараженные участки программы. Мутирующие вирусы периодически изменяют свой программный код, что делает задачу обнаружения вируса очень сложной. • • • Основные признаки заражения: отказ в работе компьютера или отдельных компонентов; отказ в загрузке операционной системы; замедление работы компьютера; нарушение работы отдельных программ; искажение, увеличение размера или исчезновение файлов; уменьшение доступной программой оперативной памяти.
Способы защиты от вирусов Автоматический входной контроль всех данных, поступающих по сети, который выполняется сетевым экраном (брандмауэром), принимающим пакеты из сети только от надежных источников, рекомендуется проверять всю электронную почту на наличие вирусов, а почту, полученную от неизвестных источников, удалять не читая. Ограничение числа пользователей, которые могут записывать на жесткий диск файлы и запускать программы со съемных носителей. В обязательном порядке при подключении съемного носителя следует проверять его специальной антивирусной программой. Комплексное применение антивирусных средств. Брандмауэр (firewall — межсетевой экран) отслеживает передачу данных между сетями, осуществляет контроль текущих соединений, выявляет подозрительные действия и тем самым предотвращает несанкционированный доступ из Интернета в локальную сеть.
Классификация антивирусных средств Детекторы осуществляют поиск компьютерных вирусов в памяти и при обнаружении сообщают об этом пользователю. Ревизоры запоминают исходное состояние программ, каталогов, системных областей и периодически сравнивают их с текущими значениями. При изменении контролируемых параметров ревизоры сообщают об этом пользователю. Фильтры выполняют выявление подозрительных процедур, например, коррекция исполняемых программ, изменение загрузочных записей диска, изменение атрибутов или размеров файлов и др. При обнаружении подобных процедур фильтры запрашивают пользователя о правомерности их выполнения. Доктора не только обнаруживают, но и удаляют вирусный код из файла — «лечат» программы. Вакцины — это антивирусные программы, которые так модифицируют файл или диск, что он воспринимается программойвирусом уже зараженным и поэтому вирус не внедряется.
Правовая охрана программ и данных Программы по их юридическому статусу можно разделить на три большие группы: Лицензионные (в соответствии с лицензионным соглашением разработчики программы гарантируют ее нормальное функционирование в определенной операционной системе и несут за это ответственность). Условно бесплатные (shareware) - предоставляется версия программы с ограниченным сроком действия (после истечения указанного срока программа перестает работать, если за нее не произведена оплата) или версия программы с ограниченными функциональными возможностями. Свободно распространяемые программы (freeware).
Закон РФ «О правовой охране программ для электронных вычислительных машин и баз данных» Правовая охрана распространяется на все виды программ для ЭВМ (в том числе на операционные системы и программные комплексы), которые могут быть выражены на любом языке и в любой форме, включая исходный текст на языке программирования и машинный код. Однако правовая охрана не распространяется на идеи и принципы, лежащие в основе программы для ЭВМ, в том числе на идеи и принципы организации интерфейса и алгоритма. Для признания и осуществления авторского права на программы для ЭВМ не требуется ее регистрация в какойлибо организации. Авторское право на программы для ЭВМ возникает автоматически при их создании.
Для оповещения о своих правах разработчик программы может, начиная с первого выпуска в свет программы, использовать знак охраны авторского права, состоящий из трех элементов: • буквы С в окружности или круглых скобках ©; • наименования (имени) правообладателя; • года первого выпуска программы в свет. Например, © Корпорация Microsoft, 1993 -1997. В отношении организаций или пользователей, которые нарушают авторские права, разработчик может потребовать возмещения причиненных убытков и выплаты нарушителем компенсации в определяемой по усмотрению суда сумме от 5000 -кратного до 50 000 -кратного размера минимальной месячной оплаты труда.
Закон РФ «Об электронно-цифровой подписи» - основа электронного документооборота в России. Электронная цифровая подпись в электронном документе признается юридически равнозначной подписи в документе на бумажном носителе. При регистрации электронно-цифровой подписи в специализированных центрах корреспондент получает два ключа: секретный и открытый. Секретный ключ хранится на дискете или смарт-карте и должен быть известен только самому корреспонденту. Открытый ключ должен быть у всех потенциальных получателей документов и обычно рассылается по электронной почте.