Современные угрозы и каналы утечки информации в компьютерных сетях

Введение. Информация, её жизненный цикл.

Информация является результатом отображения и обработки в человеческом сознании многообразия окружающего мира, представляет собой сведения об окружающих человека предметах, явлениях природы, деятельности других людей.

Когда используется термин данные, то речь идет об информации, предоставленной в формализованном виде, пригодном для автоматической обработки при возможном участии человека. Данные, которыми обменивается человек через машину с другим человеком или с машиной, является объектом защиты. Однако защите подлежат не всякие данные, которые имеют цену.

Под защитой информации в настоящее время понимается область науки и техники, которая включает совокупность средств, методов и способов человеческой деятельности, направленных на обеспечение защиты всех видов информации в организациях и предприятиях различных направлений деятельности и различных форм собственности.

Информация, которая подлежит защите, может быть представлена на любых носителях, может храниться, обрабатываться и передаваться различными способами и средствами.

Ценность информации является критерием при принятии любого решения о ее защите. Существуют различные подходы к определению ценности информации. Одна из известных классификаций видов информации учитывает различные градации ее важности. При этом выделяются следующие уровни важности информации:

жизненно важная незаменимая информация, наличие которой необходимо для функционирования организации;

важная информация – информация, которая может быть заменена или восстановлена, но процесс восстановления очень труден и связан с большими затратами;

полезная информация – информация, которую трудно восстановить, однако, организация может эффективно функционировать и без нее;

персональная информация – информация, которая представляет ценность только для какого – нибудь одного человека;

несущественная информация – информация, которая больше не нужна организации.

Уровень важности может измениться на различных этапах ее жизненного цикла.

Начало жизненного цикла информации связано с ее получением (этап 1). Далее происходит оценка информации (этап 2), и в зависимости от результата оценки часть информации может уничтожаться (этап завершающий) или готовиться к хранению (этап 3) и затем храниться (этап 4) в соответствующем хранилище. Информация, необходимая пользователю в данный момент подлежит выборке (этап 5) и дальнейшей обработке (этап 6) в определенных целях. Информация, полученная в ходе формирования отчета (этап 8), проходит тот же цикл (этапы 2-7). На этапе 5 (выборке) данные могут вновь подвергаться оценке, и старые сведения подлежат уничтожению.

Основные этапы жизненного цикла информации можно наглядно изобразить с помощью схемы, представленной на рис. 1.

Время жизненного цикла информации определяется многими факторами, но, как правило, зависит от лица, которое является ее пользователем или владельцем.

1 ИНФОРМАЦИЯ КАК ОБЪЕКТ ПРАВА СОБСТВЕННОСТИ

Комплекс проблем, связанных с информационной безопасностью, включает в себя не только технические, программные и технологические аспекты защиты информации, но и вопросы защиты прав на нее. Таким образом, информация может рассматриваться как объект права собственности. С этой точки зрения можно выделить следующие особенности информационной собственности:

информация не является материальным объектом;

информация копируется с помощью материального носителя, т.е. является перемещаемой;

информация является отчуждаемой от собственника.

Право собственности на информацию включает правомочия собственника, составляющие содержание (элементы) права собственности, к которым относятся:

право распоряжения;

право владения;

право пользования.

В рассматриваемом случае информационной собственности закон должен регулировать отношения субъектов и объектов права собственности на информацию в целях защиты информационной собственности от разглашения, утечки и несанкционированной обработки.

Правовое обеспечение защиты информации включает:

правовые нормы, методы и средства защиты охраняемой информации в Российской Федерации;

правовые основы выявления и предупреждения утечки охраняемой информации;

правовое регулирование организации и проведения административного расследования к фактам нарушения порядка защиты информации.

Существует ряд документов, которые регламентируют информацию в качестве объекта права. В первую очередь здесь следует указать на первую часть гражданского кодекса Российской Федерации ( ст. 128, 18, 139, 209 ), принятого 21.04.94.

Среди законов Российской Федерации, относящихся к рассматриваемой проблеме, можно выделить Федеральный закон « Об информации, информатизации и защите информации» от 20.01.95, а также закон Российской Федерации « О государственной тайне». Эти вопросы нашли также частичное отражение в законе Российской Федерации от 2.11.90 «О банках и банковской деятельности».

Среди перечня документов, которые регламентируют вопросы защиты информации можно упомянуть также Постановление Правительства РСФСР №35 от 05.12091 « О передаче сведений, которые не могут составлять коммерческую тайну».

2 КАНАЛЫ УТЕЧКИ ИНФОРМАЦИИ

Интегральная защита это монолитная непроницаемая защита. Аналогом ее может служить монолитные забор по периметру зоны безопасности. В реальной же жизни обычно строятся мощные ворота на дорогах, объехать которые по бездорожью «нет проблем». Реальная система безопасности сегодняшнего дня больше напоминает изгородь на отдельных участках с сияющими в ней дырами.

Ярким примером подобной реальной системы безопасности может служить, например, организация с мощной системой контроля доступа, системой видионаблюдения, криптозащитой и т.п., но без блокирования каналов утечки, например за счет побочных излучений мониторов компьютеров. В этом случае все конкуренты, расположенные в радиусе до 1,5 км., имеют реальную возможность, использовать соответствующие технические средства, читать всю информацию с экрана дисплеев конкурентов, не покидая своих офисов. При интегральном подходе к созданию системы безопасности подобные казусы исключены.

Одним из основных требований интегральной защиты является системный подход, поэтому при выявлении технических каналов утечки информации необходимо рассматривать всю совокупность элементов защиты, включающую основное оборудование технических средств обработки информации (ТСОИ), соединительные линии, распределительные и коммунитационные устройства, системы электропитания, системы заземления и т.п.

Наряду с основными техническими средствами, непосредственно связанными с обработкой и передачей конфиденциальной информации, необходимо учитывать и вспомогательные технические средства и системы (ВТСС), такие, как технические средства открытой телефонной, факсимальной, громкоговорящей связи, системы охранной о пожарной сигнализации, радиофикации, электробытовые приборы и другое.

В качестве каналов утечки большой интерес представляют вспомогательные средства, выходящие за пределы контролируемой зоны, а также посторонние провода и кабели, к ним не относящиеся, но проходящие через помещение, где установлены основные и вспомогательные технические средства, металлические трубы систем отопления, водоснабжения и другие токопроводящие металлоконструкции.

В зависимости от способа перехвата, от физической природы возникновения сигналов, а также среды их распространения технические каналы утечки информации можно разделить на электромагнитные, электрические и параметрические.

2.1 Электромагнитные каналы

Для электромагнитных каналов характерными являются побочные излучения:

электромагнитные излучения технических средств обработки информации. Носителем информации является электрический ток. Сила тока, напряжение, частота или фаза которого изменяется по закону информационного сигнала;

электромагнитные излучения на частотах работы высокочастотных генераторов технических средств обработки информации, вспомогательных средств обработки информации. В результате внешних воздействий информационного сигнала на элементах генераторов наводятся электрические сигналы, которые могут вызвать непреднамеренную модуляцию собственных высокочастотных колебаний генераторов и излучение в окружающее пространство.

электромагнитные излучения на частотах самовозбуждения усилителей низкой частоты ТСПИ. Самовозбуждение возможно за счет случайных преобразований отрицательных обратных связей в паразитные положительные, что приводит к переводу усилителя из режима усиления в режим автогенерации сигналов, причем сигнал на частотах самовозбуждения, как правило, оказывается промодулированным информационным сигналом.

2.2 Электрические каналы

Возможными причинами возникновения электрических каналов утечки могут быть:

наводки электромагнитных технических средств обработки информации. Возникают при излучении элемента технических средств обработки информации информационных сигналов, а также при наличии гальванической связи, где есть соединительные линии технических средств обработки информации и посторонних проводников или линии вспомогательных средств обработки информации;

просачивание электромагнитных сигналов в цепи электропитания. Возможно при наличии магнитной связи между выходными трансформатором усилителя и трансформатором электропитания, а также за счет неравномерной нагрузки на выпрямитель, что приводит к изменению потребляемого тока по закону изменения информационного сигнала;

просачивание информационных сигналов в цепи заземления. Образуется за счет гальванической связи с землей различных проводников, выходящих за пределы контролируемой зоны, в том числе нулевого провода сети электропитания, экранов, металлических труб систем отопления и водоснабжения, металлической арматуры и т.п.;

съем информации с использованием закладных устройств. Представляют собой минипередатчики, устанавливаемые в технических средствах обработки информации, излучение которых модулируется информационным сигналов и принимаются за пределами контролируемой зоны.

2.3 Параметрические каналы

Параметрические каналы утечки информации формируются путем «высокочастотного облучения» технических средств обработки информации, при взаимодействии электромагнитного поля с элементами технических средств обработки информации происходит переизлучение электромагнитного поля, промодулированного информационным сигналом.

Анализ возможных каналов утечки и несанкционированного доступа, показывает, что существенную их часть составляют технические каналы утечки акустической информации, носителем которой являются акустические сигналы. В зависимости от среды распространения акустических колебаний, способов их перехвата и физической природы возникновения информационных сигналов технические каналы утечки акустической информации можно разделить на воздушные, вибрационные, электроакустические, оптико-электронные и параметрические.

2.3.1 Воздушные технические каналы

В воздушных технических каналах утечки информации средой распространения акустических сигналов является воздух, и для их перехвата используются миниатюрные высокочувствительные и направленные микрофоны, которые соединяются с диктофонами или специальными минипередатчиками. Подобные автономные устройства, объединяющие микрофоны и передатчики, обычно называют закладными устройствами или акустическими закладками. Перехваченная этими устройствами акустическая информация может передаваться по радиоканалу, по сети переменного тока, соединительным линиям, посторонним проводникам, трубам и т.п.

Особого внимания заслуживают закладные устройства, прием информации с которых можно осуществлять с обычного телефонного аппарата. Для этого их устанавливают либо непосредственно в корпусе телефонного аппарата, либо подключают к телефонной линии в телефонной розетке. Подобные устройства, конструктивно объединяющие микрофон и специальный блок коммутации, часто называют «телефонным ухом». При подаче в линию кодированного сигнала или при дозвоне к контролируемому телефону по специальной схеме блок коммутации подключает микрофон к телефонной линии и осуществляет передачу акустической (обычно речевой) информации по линии практически на неограниченное расстояние.

2.3.2 Вибрационные каналы

В отличие от рассмотренных выше каналов в вибрационных, или структурных, каналах утечки информации средой распространения акустических сигналов является не воздух, конструкции зданий (стены, потолки, полы), трубы водо- и теплоснабжения, канализации и другие твердые тела. В этом случае доля перехвата акустических сигналов используются контактные, электронные (с усилителем) и радиостетоскопы (при передаче по радиоканалу).

2.3.3 Электроакустические каналы

Электроакустические каналы утечки информации обычно образуются за счет электроакустических преобразований акустических сигналов в электрические по двум основным направлениям: путем «высокочастотного навязывания» и путем перехвата через дополнительные технические средства и системы. Технический канал утечки информации путем высокочастотного навязывания образуется путем несанкционированного контактного введения токов высокой частоты от ВЧ - генераторов в линии, имеющие функциональные связи с элементами вспомогательных технических средств и систем, на которых происходит модуляция ВЧ - сигнала информационным. Наиболее часто подобный канал утечки информации используют для перехвата разговоров, ведущихся в помещении, через телефонный аппарат, имеющий выход за пределы контролируемой зоны. С другой стороны, вспомогательные технические средства и системы могут сами содержать электроакустические преобразования. К таким вспомогательным техническим средствам и системам относятся некоторые датчики пожарной сигнализации, громкоговорители ретрансляции сети и т.д. Используемый в них эффект обычно называют микрофонным эффектом.

Перехват акустических колебаний в этом случае осуществляется исключительно просто. Например, подключая рассмотренные средства к соединительным линиям телефонных аппаратов с электромеханическими звонками, можно при положенной трубке прослушивать разговоры, ведущиеся в помещениях, где установлены эти телефоны.

2.3.4 Оптико-электронный канал

При облучении лазерным лучом вибрирующих в акустическом поле тонких отражающих поверхностей, таких, как стекла окон, зеркал, картин и т.п., создается оптико-электронный, или лазерный, канал утечки акустической информации. Отраженное лазерное излучение модулируется по амплитуде и фазе, и принимаются приемником оптического излучения, при демодуляции которого выделяется речевая информация. Для перехвата речевой информации по данному каналу используются локационные системы, работающие, как правило, в ближнем инфракрасном диапазоне волн и известных как «лазерные микрофоны». Дальность перехвата составляет несколько сотен метров.

2.3.5 Параметрический канал

Параметрический канал утечки информации образуется в результате воздействия акустического поля на элементы высокочастотных генераторов и изменения взаимного расположения элементов схем, проводов, дросселей и т.п., что приводит к изменениям параметров сигнала, например модуляции его информационным сигналом. Промодуливанные высокочастотные колебания излучаются в окружающее пространство и могут быть перехвачены и детектированы соответствующими средствами. Параметрический канал утечки информации может быть создан и путем «высокочастотного облучения» помещения, где установлены полуактивные закладные устройства, имеющие элементы, параметры которых (добротность, частота и т.п.) изменяются по закону изменения акустического (речевого) сигнала.

Необходимо отметить, что акустический канал может быть источником утечки не только речевой информации. В литературе описаны случаи, когда с помощью статистической обработки акустической информации с принтера или клавиатуры удавалось перехватывать компьютерную текстовую информацию, в том числе осуществлять съем информации по системе централизованной вентиляции.

Особый интерес представляет перехват информации при ее передаче по каналам связи, Это вызвано тем, что в этом случае обеспечивается свободный несанкционированный доступ к передаваемым сигналам. Единственным гарантированным методом защиты информации в этом случае является криптографическая защита. В зависимости от вида каналов связи технические каналы перехвата информации можно разделить на электромагнитные, электрические и индукционные.

Электромагнитные излучения передатчиков средств связи, модулированные информационным сигналом, могут перехватываться естественным образом с использованием стандартных технических средств. Этот электромагнитный канал перехвата информации широко используются для прослушивания телефонных разговоров, ведущихся по радиотелефонам, сотовым телефонам или по радиорелейным и спутниковым линиям связи.

Электрический канал перехвата информации, передаваемой по кабельным линиям связи, предполагает контактное подключение к этим линиям. Этот канал наиболее часто используется для перехвата телефонных разговоров, при этом перехватываемая информация может быть записана на диктофон или передана по радиоканалу. Подобные устройства, подключаемые к телефонным линиям связи и содержащие радиопередатчики для ретрансляции перехваченной информации, обычно называются телефонными закладками.

Однако непосредственное электрическое подключение аппаратуры перехвата является компрометирующем признаком. Поэтому чаще используется индукционный канал перехвата, не требующий контактного подключения к каналам связи. Современные индукционные датчики способны снимать информацию с кабелей, защищенных не только изоляцией, но и двойной броней из стальной ленты и стальной проволоки, плотно обвивающих кабель.

В последнее время стало уделяться большое внимание утечки видовой информации, получаемой техническими средствами в виде изображений объектов или копий документов путем наблюдения за объектом, съемки объекта и съемки (копирования) документов. В зависимости от условий наблюдения обычно используются соответствующие технические средства, например оптика.

Для документирования результатов наблюдения проводится съемка объектов, для чего используются фотографические и телевизионные средства, соответствующие условиям съемки. Для снятия копий документов используются электронные и специальные (закамуфлированные) фотоаппараты, Для дистанционного съема видовой информации используют видеозакладки.

Наиболее динамично развиваются в последнее время методы съема компьютерной информации. Основные возможности несанкционированного доступа обеспечиваются специальным математическим обеспечение, включающим в себя такие составляющие, как компьютерные вирусы, «логические бомбы», «троянские кони», программные закладки.

Рассмотренные выше методы получения информации основаны на использовании внешних каналов утечки. Однако необходимо остановиться и на внутренних каналах утечки информации. Внутренние каналы утечки связаны, как правило, с администрацией и обслуживающим персоналом, с качеством организации режима работы. Из них в первую очередь можно отметить такие каналы утечки, как хищение носителей информации, съем информации с ленты принтера и плохо стертых дискет, использование производственных и технологических отходов, визуальный съем информации с дисплея и принтера, несанкционированного копирования и т.п.

3 ПРОГРАММНЫЕ ЗАКЛАДКИ

Программные закладки класс программ с потенциально опасными последствиями, обязательно выполняющие следующие функции:

разрушают код программы в памяти;

сохраняют фрагменты информации из оперативной памяти в некоторой области внешней памяти прямого доступа;

искажает произвольным образом, блокирует или подменяет выводимые во внешнюю память или в канал связи массив информации, образовавшийся в результате работы прикладных программ.

Программная реализация несанкционированного доступа к информации на основе использование программных закладок. Под несанкционированным доступом (НСД) к ресурсам компьютерной системы понимаются по использованию, изменению и уничтожению используемых данных указанной системы, производимые субъектом, не имеющие права на такие действия. Если компьютерная система содержит механизмы защиты от несанкционированного доступа, то несанкционированные действия могут быть вызваны:

отключением или видоизменением защитных механизмов нелегальным пользователям;

входом в систему под именем и с полномочиями реального пользователя.

В первом случае злоумышленник должен видоизменить программу, защитные механизмы в системе (например, отключить программу запросов пользователей), во втором – каким-либо образом выяснить или подделать идентификатор реального пользователя (например, подсмотреть или вычислить пароль, вводимый с клавиатуры).

В обоих случаях несанкционированный доступ можно представить моделью опосредованного доступа, когда проникновение в систему осуществляется на основе некоторого воздействия, произведенного предварительно внедренной в систему программой или несколькими программами.

Особый интерес представляют уязвимые места компьютерных систем, используемые для внедрения программных закладок. Основные известные способы внедрения программных закладок приведены в таблице 1.

Таблица 1 Способы внедрения программных закладок

Способы внедрения Характеристика

Внесение программных дефектов вирусного типа Внедрение возможно на всех участках жизненного цикла программного обеспечения:

эскизного и технического проектирования;

рабочего проектирования;

внедрения;

эксплуатации, включая сопровождение и модернизацию.

Несанкционированный доступ к ресурсам компьютерной системы Несанкционированный доступ к ресурсам компьютерной системы – действия по использованию, изменению и уничтожению используемых модулей и массивов данных, производимые субъектом, не имеющим права на такие действия

Несанкционированное вмешательство в процесс обмена сообщениями между узлами связи локально вычислительных сетей. Осуществляется путем передачи следующих сообщений:

разрушающих;

искажающих;

имитирующих;

хаотических.

Под уязвимостью компьютерной системы понимается некоторая слабость системы безопасности, которая может послужить причиной нанесения компьютерной системе ущерба. Обычно слабые (уязвимые) места в компьютерной системе называются дырами, люками, брешами.

Люк механизм внутри операционной системы (программное обеспечение), позволяющий программе злоумышленника получить привилегированную функцию. Умышленный люк может присутствовать в программе из-за того, что программист умышленно оставил его в программе, например:

для обеспечения тестирования или выполнения оставшейся части отладки;

в интересах облегчения окончательной сборки конечного программного продукта;

с тем, чтобы иметь скрытое средство доступа к программе уже после того, как она вошла в состав конечного продукта.

В найденной бреши программа «разрывается, и туда дополнительно вставляют одну или несколько команд. Этот люк «открывается» по мере необходимости, а встроенные команды автоматически осуществляют свою задачу. Люк это возможность получить управление системой в обход защиты.

Изо всех известных угроз наиболее часто встречаются программные закладки типа «троянского коня» и «компьютерного червя».

«Троянский конь» программа, имеющая законный доступ к системе. Но выполняющая и скрытые функции. Закладки типа «троянский конь» проявляют себя в различных в определенных условиях (по времени, ключевым сообщениям) и могут разрушать (искажать) информацию, копировать фрагменты конфиденциальной информации или пароли (ключи), засылать сообщения не по адресу или блокировать прием (отправку) сообщений.

Март 1998: Макро-вирус «Cross» - первый вирус, заражающий два различных приложения MS Office: Access и Word. Следом за ним появились еще несколько макро-вирусов, переносящих свой код из одного Office-проложения в другое.

Май 1998: вирус «RedTeam». Заражает EXE-файлы Windows, рассылает зараженные файлы при помощи электронной почты Eudora.

Июнь: эпидемия вируса «Win95.CIH», ставшая сначала массовой, затем глобальной, а затем повальной - сообщения о заражении компьютерных сетей и домашних персональных компьютеров исчислялись сотнями, если не тысячами. Начало эпидемии зарегистрировано на Тайване, где неизвестный хакер заслал зараженные файлы в местные Интернет - конференции. Оттуда вирус пробрался в США, где по недосмотру зараженными оказались сразу несколько популярных Web-серверов - они распространяли зараженные вирусом игровые программы. Скорее всего, именно эти зараженные файлы на игровых серверах и послужили причиной повальной эпидемии вируса, не ослабевавшей в течении всего года. По результатам рейтингов «популярности» вирус «подвинул» таких вирусных суперзвезд, как «Word.CAP» и «Excel.Laroux». Следует обратить внимание также на опасное проявление вируса: в зависимости от текущей даты вирус стирал Flash BIOS, что в некоторых случаях могло привести к необходимости замены материнской платы.

Август 1998: появление нашумевшего «BackOrifice» («Backdoor.BO») - утилиты скрытого (хакерского) администрирования удаленных компьютеров и сетей. Следом за «BackOrifice» появились несколько других аналогичных программ: «NetBus», «Phase» и прочие.

Также в августе появился первый вирус, заражающий выполняемые модули Java – «Java.StangeBrew». Данный вирус не представлял какой - либо опасности для пользователей Интернет, поскольку на удаленном компьтере невозможно использовать необходимые для размножения функции. Однако он проиллюстрировал тот факт, что атакованы вирусами также могут быть и приложения, активно используемые при просмотре Web-серверов.

Ноябрь 1998: «VBScript.Rabbit» – интернетэкспансия компьютерных паразитов продолжилась тремя вирусами, заражающими скрипты VisualBasic (VBS-файлы), которые активно применяются при написании Web-страниц. Как логическое следствие VBScript-вирусов стало появление полноценного HTML-вируса («HTML.Internal»). Становится достаточно очевидным, что усилия вирусописателей начинают концентрироваться вокруг сетевых приложений, и дело идет к появлению полноценного сетевого вируса-червя, использующего возможности MS Windows, Office и заражающего удаленные компьютеры, Web-сервера и/или активно распространяющегося по электронной почте.

Произошли также заметные перестановки в антивирусном мире. В мае 1998 компании Symantec и IBM объявили об объединении своих усилий на антивирусном фронте: совместный продукт при этом распространяется фирмой Symantec под той же маркой Norton Anti-Virus, а IBM Anti-Virus (IBMAV) прекращает свое существование. На это моментально отреагировали основные конкуренты: Dr.Solomon и NAI (ранее - McAfee) тут же выпустили пресс-релизы с предложениями о льготном опдейте бывших пользователей IBMAV своими собственными антивирусами.

Не прошло и месяца, как прекратил свое существование и сам Dr.Solomon. Он был куплен компанией NAI (McAfee) за 640 миллионов долларов путем обмена акций. Данное событие вызвало шок в антивирусном мире: конфликт между двумя крупнейшими игроками антивирусного бизнеса закончился куплей/продажей, в результате которой с рынка исчез один из наиболее заметных и технологически сильных производителей антивирусного программного обеспечения.

4.8 Вирусописание как психологический феномен

Говорят, что компьютерные вирусы – это первый удачный эксперимент по созданию искусственной жизни с неудачным выбором формы ее жизнедеятельности.

Специфика этой формы жизни состоит в том, что вирусы выступают в роли арены борьбы одной части человечества с другой (программистов – вирусописателей и создателей антивирусов), причем именно эта борьба приводит к эволюции данной формы жизни. Аналогом с обычными формами вирусов и бактерий предостаточно. Ученые придумывают противоядия для борьбы с тем или иным штаммом, а микроорганизмы, в свою очередь, приспосабливаются, эволюционируют, становясь в определенном смысле более совершенными. Примерно то же происходит и с компьютерными вредоносными программами.

Вероятно, многие задумывались над вопросом, какие же качества человеческой психики приводят к такому парадоксальному феномену, как вирусописание? С точки зрения формальной логики это явление объяснить довольно сложно. Вирусописатели не получают за свой труд денег, преследуются по закон, сами страдают от вирусных атак и тем не менее продолжают свою деятельность. Более того, на «содержании» вирусописателей находятся десятки компаний, которые успешно продают антивирусные программы, имеют и признание и деньги. И тем не менее в стан программистов, занятых созданием антивирусов, не перебегают все те, кто профессионально занимается созданием вирусов, а ведь они подчас обладают очень высокой квалификацией.

Весьма точное объяснение данного парадокса заключается в гениальном высказывании, которое принадлежит перу Ларошфуко: « самая чистая форма радости – это злорадство». Действительно, какая «прибыль» от того, что у соседа «повис» компьютер? Никакой. А если это произошло с тысячей компьютеров?

Желание разрушить великое творение рук человеческих и тем самым как бы возвыситься над его создателем известно со времен Герострата. Видимо, перспектива вывода из строя такого чуда разума, как компьютерная система, и дает современным геростратам надежду на то, что они войдут в историю.Выбор не случаен.

Вирусописателей можно разделить на три категории: первые пишут вирусы и пытаются их внедрить в компьютерные системы собственными силами.

Вторая категория – это те, кто создает конструкторы для написания вирусов. Сами по себе авторы подобных разработок не запускают вредоносных программ, однако рассчитывают на то, что сделают это чужими руками.

Третья категория – исследователи – вообще не стремятся к распространению вирусов, ими движут чисто научные вопросы, например «какие существуют принципиально новые методы внедрения вирусов в новые операционные системы» и т.п. Но, как говориться, то, что придумано светлыми головами, нередко попадает в нечистые руки.

Интересно отметить, что причины многих вирусных эпидемий кроются не только в действиях вирусописателей, но и в психологии вирусополучателей. Известно, что почтовые вирусы должны заставить получателя открыть приложение от неизвестного посланника, что в принципе не так просто сделать, особенно сейчас, когда всем отлично известно, насколько это опасно. И здесь авторы вирусов (тонкие психологи) используют слабые места человеческой натуры. Так, любопытство переопределило успех вируса, в котором все искали фото Курниковой, чувство одиночества и дефицит любви проложили путь вирусу «I love you», жадность заставляет читать незнакомые письма, если там написано, что вы должны оплатить счет за сервис, которым вы никогда не пользовались, и т.д.

Воистину, человек интересное создание, мотивация его поступков нетривиальна. Остается только удивляться его способности разрушать природу, которая обеспечивает его жизнь, и желанию разрушать компьютерные системы, от которых зависит его безопасность.

Однако на проблему можно посмотреть и с другой стороны. Результатом борьбы с вирусами является эволюция не только вирусов, но и систем безопасности. Вирусы находятся находят все новые и новые «дыры» в этих системах и тем самым становятся стимулом для их совершенствования.

5 АНТИВИРУСЫ

Наиболее распространенным средством нейтрализации вирусов являются программные антивирусы. Антивирусы появились более десяти лет назад, в первое время они распространялись как бесплатное противоядие. Не было должной поддержки сервиса, поскольку проекты были не коммерческие. Как индустрия служба создания и предоставления антивирусных программ оформилась примерно в 1992 году.

Антивирусы, исходя из реализованного в них подхода к выявлению и нейтрализации вирусов, принято делит на следующие группы: детекторы, фаги, вакцины, прививки, ревизоры, мониторы.

5.1 Детекторы

Детекторы обеспечивают выявление вирусов посредством просмотра исполняемых файлов и поиска так называемых – сигнатур – устойчивых последовательностей байтов, имеющихся в телах известных вирусов. Наличие сигнатуры в каком-либо файле свидетельствует о его заражении соответствующим вирусом. Антивирус, обеспечивающий возможность поиска различных сигнатур, называют полидетектором.

5.2 Фаги

Фаги выполняют функции, свойственные детекторам, но, кроме того, «излечивают» инфицированные программы посредством «выкусывания» («пожирания») вирусов из их тел. По аналогии с полидетекторами фаги, ориентированные на нейтрализацию различных вирусов, именуют полифагами.

5.3 Вакцины

В отличие от детекторов и фагов, вакцины по своему принципу действия напоминают сами вирусы. Вакцина имплантируется в защищаемую программу и запоминает ряд количественных и структурных характеристик последней.

Если вакцинированная программа не была к моменту вакцинации инфицированной, то при первом же после заражения запуске произойдет следующее.

Активизация вирусоносителя приведет к получению управления вирусом, который, выполнив свои целевые функции, передаст управление вакцинированной программе.

В последней, в свою очередь, сначала управление получит вакцина, которая выполнит проверку соответствия заполненных ею характеристик аналогичным характеристикам, полученным в текущий момент. Если указанные наборы характеристик не совпадают, то делается вывод об изменении текста вакцинированной программы вирусом. Характеристиками, используемыми вакцинами, могут быть длина программ, ее контрольная сумма и т.п.

5.4 Прививки

Принцип действия прививок основан на учете того обстоятельства, что любой вирус, как правило, помечает инфицированные программы каким-либо признаком с тем, чтобы не выполнять их повторное заражение. В ином случае имело бы место многократное инфицирование, сопровождаемое существенным и поэтому легко обнаруживаемым увеличением объема зараженных программ.

Прививка, не внося никаких других изменений в текст защищаемой программы, помечает ее тем же признаком, что и вирус, который, таким образом, после активизации и проверки наличия указанного признака считает ее инфицированной и «оставляет в покое».

5.5 Ревизоры

Ревизоры обеспечивают слежение за состоянием файловой системы, используя для этого подход, аналогичный реализованному в вакцинах. Программа-ревизор в процессе своего функционирования выполняет применительно к каждому исполняющему файлу сравнение его текущих характеристик с аналогичными характеристиками, полученными в ходе предшествующего просмотра файлов.

Если при этом обнаруживается, что согласно имеющейся системной информации файл с момента предшествующего просмотра не обновлялся пользователем, а сравниваемые наборы характеристик не совпадают, то файл считается инфицированным.

Характеристики исполняемых файлов, получаемые в ходе очередного просмотра, запоминаются в отдельном файле, в связи с чем увеличение длин исполняемых файлов, имеющего место при вакцинировании, в данном случае не происходит. Другое отличие ревизоров от вакцин состоит в том, что каждый просмотр исполняемых файлов ревизором требует повторного запуска.

5.6 Монитор

Монитор представляет собой резидентную программу, обеспечивающую перехват потенциально опасных прерываний, характерных для вирусов, и запрашивающую у пользователей подтверждение на выполнение операций, следующих за прерыванием. В случае запрета или отсутствия подтверждения монитор блокирует выполнение пользовательской программы.

Антивирусы рассмотренных типов существенно повышают вирусозащитность отдельных ПЭВМ и информационно-вычислительных сетей в целом, однако в связи со свойственными им ограничениями, естественно, не являются панацеей. Так, для разработки детекторов, фагов и прививок нужно иметь тексты вирусов, что возможно только для выявленных вирусов.

Вакцины обладают потенциальной способностью защиты программ не только от известных, но и от новых вирусов, однако обнаруживают факт заражения только в тех случаях, если сами были имплантированы в защищаемую программу раньше вируса.

Результативность применения ревизоров зависит от частоты их запуска, которая не может быть выше 1-2 раз в день в связи со значительными затратами времени на просмотр файлов.

Мониторы контролируют процесс функционирования пользовательских программ постоянно, однако характеризуются чрезмерной интенсивностью ложных срабатываний, которые развивают у оператора «рефлекс подтверждения» и тем самым по существу минимизируют эффект от такого контроля.

Анализ современных антивирусных программ показывает, что в последнее время наметилось явно выраженная тенденция к интеграции различных видов программ в единое программное средство с функциями детектора – ревизора - доктора, что делает это средство удобным для пользователя. Однако приходится констатировать, что в настоящее время абсолютной защиты от неизвестных вирусов не существует, поэтому антивирусные программы постоянно обновляются, как правило не реже одного раза в месяц.

5.7 Классификация антивирусов по способу воздействия на вирусы

Все антивирусы можно разделить на два больших класса: чистые антивирусы и антивирусы двойного назначения.

5.7.1 Чистый антивирус

Чистый антивирус отличается наличием антивирусного ядра, которое выполняет функцию сканирования по образцам. Принципиальная особенность в этом случае заключается в возможности лечения. Далее чистые антивирусы подразделяются по типу доступа к файлам на две категории – on access и on demand, которые соответственно осуществляют контроль по доступу или проверку по требованию.

Например, в терминологии продуктов «Лаборатории Касперского» on access – продукт – это «Монитор», а on demand – продукт – это «Сканер».

On demand – продукт работает по следующей схеме: пользователь хочет что-либо проверить и выдает запрос (demand), после чего осуществляется проверка.

On access – продукт – это резидентная программа, которая отслеживает доступ и в момент доступа осуществляет проверку.

5.7.2 Программа двойного назначения

Программа двойного назначения – это программы, используемые и в антивирусах и в ПО, которое не является антивирусом.

Разновидностью программ двойного назначения являются поведенческие блокираторы, которые анализируют поведение других программ и при обнаружении подозрительных действий блокируют их.

От классического антивируса с антивирусным ядром, «узнающим» и лечащим от вирусов, которые анализировались в лаборатории и к которым был прописан алгоритм лечения, поведенческие блокираторы отличаются тем, что лечить от вирусов не умеют, поскольку ничего о них не знают. Это свойство блокираторов полезно тем, что они могут работать с любыми вирусами, в том числе и с неизвестными. Это сегодня особенно актуально, поскольку распространители вирусов и антивирусов используют одни и те же каналы передача данных, то есть Интернет. При этом вирус всегда имеет некоторую фору (время задержки), поскольку антивирусной компании всегда нужно время на то, чтобы получить сам вирус, проанализировать его и написать соответствующие лечебные модули.

Программы из группы двойного назначения как раз и позволяют блокировать распространение вируса до того момента, пока компания не напишет лечебный модуль.

На российском рынке в настоящее время присутствуют программные средства обнаружения и обезвреживания компьютерных вирусов, представлены в таблице 3.

Таблица 3 Современные антивирусные программные средства

Средство защиты Назначение Принцип действия

Детектор Обнаружение зараженных вирусом файлов Поиск участка кода, принадлежащего известному вирусу

Фильтр Перехват «подозрительных» обращений к операционной системе и сообщение о них пользователю Контроль действий, характерных для поведения вируса

Доктор (фаг) «Лечение» зараженных программы или дисков Уничтожение тела вируса

Ревизор Постоянная ревизия целостности файлов Запоминание сведений о состоянии программ и системных областей дисков, сравнение их состояния с исходным

Доктор - ревизор Обнаружение и «лечение» зараженных файлов Обнаружение изменений в файлах и дисках и возврат их в исходное состояние

Анализ современных антивирусных программ показывает, что в последнее время наметилась явно выраженная тенденция к интеграции различных видов программ в единое программное средство с функциями детектора- ревизора – доктора, что делает это средство удобным для пользователя. Однако приходится констатировать, что в настоящее время абсолютной защиты от неизвестных вирусов не существует, поэтому антивирусные программы постоянно обновляются, как правило не реже одного раза в месяц. Надежно защитить компьютер от вирусов может только сам пользователь. В первую очередь необходимо правильно организовать работу и избегать бесконтрольной переписи программ с других компьютеров. Далее, особу бдительность необходимо проявлять при работе с выходом в компьютерную сеть, где вероятность внедрения компьютерных вирусов резко возрастает. Учитывая то, что в основе большинства вредоносных программ присутствуют программные вирусы, последние всегда должны быть в поле зрения пользователя.

Далее рассмотрим наиболее популярные антивирусные программы представленные на российском рынке и их производителей.

5.8 Производители антивирусных программ

5.8.1 Российские производители антивирусных программ

5.8.1.1 «Лаборатория Касперского»

«Лаборатория Касперского» является крупнейшим российским разработчиком антивирусных систем безопасности. Как независимое юридическое лицо компания была образована в июне 1997 года. Разработка основного продукта «Лаборатории Касперского» - антивирусного комплекса «Антивирус Касперского» началась в 1989 году.

В России и странах бывшего СССР компанию представляют более 100 дилеров и дистрибьюторов. Свыше 30 российских производителей устанавливают продукты «Лаборатории Касперского» на компьютеры своей сборки.

Клиенты компании: Администрация Президента РФ; Федеральное агентство правительственной связи и информации при Президенте РФ; Конституционный суд РФ; Центральный банк РФ; Государственная налоговая полиция РФ; Российские представительства зарубежных банков и фирм Credit Swiss, Microsoft, Daimler Chrysler и многие другие.

AVP. Это российский программный пакет уже завоевал большую популярность в России. В нем присутствуют все мыслимые антивирусные модули, многочисленные настройки и варианты конфигураций. Программа хорошо зарекомендовала себя на многих предприятиях, однако даже ориентированный на индивидуального пользователя вариант явно предполагает достаточно высокую квалификацию владельца компьютера. Иначе говоря, не все пользователи смогут оценить некоторые особенности программного пакета:

Огромное количество кнопок, окошек и настроек может поставить в тупик, а несколько запутанные системные сообщения способны сбить с толку неопытного пользователя;

У автора имели место проблемы с установкой пакета в операционную систему Windows 2000 SP – 2, подобные случаи наблюдались и с операционной системой Windows NT;

В программе отсутствует собственный деинсталятор (есть только стандартный Windows), что затрудняет пользователю общение с компьютером при возникновении непонятных ситуации и конфликтов с другими ПО.

Разработка группы Евгения Касперского (1993 год). Прославилась своей способностью восстанавливать абсолютное большинство зараженных файлов, в том числе и таких, от восстановления которых отказывались российские и зарубежные аналоги.

5.8.1.2.«Диалог Наука»

ЗАО «Диалог Наука» создано 31 января 1992 года. Учредители – СП «Диалог» и Вычислительный центр Российской Академии наук. До этого 2 года коллектив был известен как Научный центр СП «Диалог» при Вычислительном центре РАН. В «Диалог Науке» работают 30 сотрудников, в основном выпускники МГУ, МФТИ, МИФИ, МАИ и других ведущих российских вузов.

ЗАО «Диалог Наука» ежегодно поставляет на рынок новые антивирусные программы и услуги, многие из которых не имеют аналогов в мире. Программы, созданные в «Диалог Науке», уже много лет являются самыми популярными антивирусами в России и других странах СНГ.

Сканер Doctor Web с 1966 года неизменно показывает высокие результаты в международных тестах журнала Virus Bulletin (Великобритания) и центра VTC (Германия). Программа Doctor Web многократно получала престижную награду «100% Virus Bulletin». В ней впервые в мире реализована полная проверка всей памяти Windows 9х, что позволяет непосредственно в памяти находить и обезвреживать сложные троянские программы и вирусы типа Back Orifice, Win.95.CIH («Чернобыль»), Win.32.Kriz, Code Red Worm и др. В резидентном стороже SpiDer Guard впервые в мире была реализована интеллектуальная технология контроля вирусной активности. Dos – версия этой программы хорошо знакома большому числу пользователей. Продукция компании «ДиалогНаука» уже несколько лет используется во многих государственных и образовательных учреждениях России, однако индивидуальный пользователь начал было постепенно отвыкать от знакомого паучка в углу экрана. Несмотря на традиционно сильный антивирусный сканер и блок эвристического анализа программы, те, кто отдавал предпочтение Windows– интерфейсу, до недавнего времени были склоны выбирать внешнее более привлекательные графические интерфейсы пакетов AVPили Norton Antivirus.

Первая версия Doctor Web с графическим интерфейсом появилась в апреле 1998 г., после чего пакет постоянно развивался и дополнялся, в том числе и резидентным монитором (сторожем)SpIDer Guard. Сегодняшняя версия пакета обрела удобную, интуитивно понятую и наглядную графическую оболочку. Что же касается его возможностей по поиску вирусов и рабочих характеристик, то их высокая оценка подтверждается победами в тестах авторитетного журнала Virus Bulletin. Так, например, этот антивирусный пакет оказался единственным в мире, способным обнаружить в памяти компьютера и обезвредить вирус – невидимку нового поколения, «прославившийся» под именем Code Red Worm в августе 2001 года. Идеальных программных продуктов не существует, но некоторое своеобразие поведения Doctor Web, возможно, в определенной степени связано с особенностями работы программы:

несколько замедленный (до 30 секунд) запуск программной оболочки (использование фирменной технологии полномасштабного сканирования системной памяти при каждом старте программы);

с настройками «по умолчанию» программа при обнаружении вируса сама не предлагает вариантов решений, ожидая реакции пользователя.

Абсолютно уникальные и высокоэффективные антивирусные механизмы впервые в мире были реализованы в ревизоре Adinf и универсальном лекаре Adinf Cure Module. Созданный в декабре 1996 года сервис «Скорая антивирусная помощь» в виде антивирусной online-помощи явился первой бесплатной и свободной услугой, представленной на мировом рынке антивирусного обслуживания в рамках глобальной сети Интернет.

ЗАО «Диалог Наука» имеет лицензию на деятельность в области защиты информации и сертификат на производство комплекта антивирусных программ от Государственной технической комиссии при Президенте Российской Федерации, а так же сертификат на антивирусные программы от Министерства обороны РФ.

Потребителями антивирусных программ и услуг ЗАО «Диалог Наука» являются более двух тысяч корпоративных клиентов в России и СНГ, в том числе такие общенациональные отечественные структуры, как Администрация Президента РФ, ГАС «Выборы», ГУИР ФАПСИ, министерства обороны, экономики и развития, финансов, промышленности, науки и технологий, образования, ФСН, РФФИ, Пенсионный фонд и др.

К сожалению, многие пользователи компьютеров не используют лицензионные версии антивирусных программ и на регулярной основе, что зачастую приводит к печальным последствиям. После каждой глобальной эпидемии какого-либо нового «шумного» компьютерного вируса, что пострадали именно те и только те, кто или вообще не использует антивирусные программы, или использует их очень старые (годовой давности) версии.

5.8.2 Западные производители антивирусных программ

5.8.2.1 Symantec

Norton antivirus является программой разработанной компанией Symanteс начиная с версии 3.0 продукт с каждой новой версией приобретает новые возможности, расширяя и совершенствуя уже имеющиеся. Именно в нем были впервые применены такие революционные возможности, как механизм эвристического анализа данных на предмет «вирусоподобных» инструкций и обновление антивирусной базы по сети Internet (Live Update). Именно Symantec первым добился в своем комплексе практически полного снятия необходимости контроля его работы. Все что требовалось от пользователя, - это канал доступа в Internet для автоматического получения обновлений. Этот серьезный и качественный продукт достаточно популярен во всем мире, в том числе и России. Присутствуют все самые современные функции, в том числе интеграция с офисным пакетом Microsoft Office 2000 (любой открываемый документ автоматически проверяется на наличие макровирусов). Настройки удобны и понятны, но при этом как бы «спрятаны за ширмой»: не очень квалифицированный пользователь может даже не догадываться об их существовании. Помимо обновлений антивирусной базы этот программный пакет получает по сети Интернет все обновления собственно антивирусных программ, а потому независимо от сроков приобретения данной системы защиты у пользователя всегда будет самая последняя ее версия.

Правда, здесь имеются свои «но»:

последние версии пакета существуют на нескольких языках, но русский в их§ число не входит;

по истечение года с момента регистрации потребуется внести абонементную§ плату за пользование постоянно обновляемой базой данных – в российских условиях оплачивать данную подписку непросто по разным, в том числе и по техническим причинам;

возникают определенные трудности (в том числе географические и языковые) с§ получением технической поддержке.

6 СОВРЕМЕННЫЕ УГРОЗЫ УТЕЧКИ ИНФОРМАЦИИ

Для защиты от разного рода атак можно применить две стратегии. Первая заключается в приобретении самых расхваливаемых (хотя не всегда самых лучших) систем защиты от всех возможных видов атак. Вторая стратегия, заключающаяся в предварительном анализе вероятных угроз и последующем выборе средств защиты от них.

Анализ угроз, или анализ риска, также может осуществляться двумя путями. Сложный, однако, более эффективный способ заключается в том, что прежде, чем выбирать наиболее вероятные угрозы, осуществляется анализ информационной системы, обрабатываемой в ней информации, используемого программно-аппаратного обеспечения и т.д. Это позволит существенно сузить спектр потенциальных атак и тем самым повысить эффективность вложения денег в приобретаемые средства защиты. Однако такой анализ требует времени, средств и, что самое главное, высокой квалификации специалистов, проводящих инвентаризацию анализируемой сети. Можно сделать выбор средств защиты на основе так называемых стандартных угроз, то есть тех, которые распространены больше всего.

Какие же виды угроз и атак являются самыми распространенными? Кто же чаще всего совершает компьютерные преступления и реализует различные атаки? Какие угрозы самые распространенные? Данные, полученные самым авторитетным в этой области источником – Институт компьютерной безопасности (CSI) и группой компьютерных нападений отделения ФБР в Сан-Франциско, в марте 2000 года в ежегодном отчете «2000 CSI/FBI Computer Crime and Security Survey» согласно этим данным:

90% респондентов (крупные корпорации и государственные организации) зафиксировали различные атаки на свои информационные ресурсы;

70% респондентов зафиксировали серьезные нарушения политики безопасности, например вирусы, атаки типа «отказ в обслуживании», злоупотребления со стороны сотрудников т.д.;

74% респондентов понесли немалые финансовые потери вследствие этих нарушений.

Таблица 4. Источники атак

Наименование %

Недобросовестные сотрудники 81

Хакеры 77

Конкуренты (на территории США) 44

Зарубежные компании 26

Зарубежные правительства 21

Таблица 5. Частота обнаружения атак

Тип атаки %

Вирусы 85

Злоупотребления в Internet

со стороны сотрудников 79

Несанкционированный доступ

со стороны сотрудников 71

Отказ в обслуживании 27

Атаки внешних злоумышленников 25

Кража конфиденциальной информации 20

Саботаж 17

Финансовые мошенничества 11

Мошенничества с телекоммуникационными

устройствами 11

Таблица 6. Размер потерь от атак (млн. долл.).

Тип атаки 1988 1999 2000

Вирусы 7,9 5,3 29,2

Злоупотребления в Internet со стороны

Сотрудников 3,7 7,6 28,0

Несанкционированный доступ

со стороны сотрудников 50,6 3,6 22,6

Отказ в обслуживании 2,8 3,3 8,2

Атаки внешних злоумышленников 1,6 2,9 7,1

Кража конфиденциальной информации 33,6 42,5 66,7

Саботаж 2,1 4,4 27,1

Финансовые мошенничества 11,2 42,5 56,0

Мошенничества с телекоммуникационными

устройствами 17,3 0,8 4,0

За последние несколько лет также возрос объем потерь вследствие нарушений политики безопасности. Если в 1997 году сумма потерь равнялась 100 млн. долл., в 1999-м 124 млн., то в 2000-м эта цифра возросла до 266 млн. долл.. Размер потерь от атак типа «отказ в обслуживании» достиг 8,2 млн. долл. К другим интересным данным можно отнести источник атак (табл. 4), типы распространенных атак (таблица 5) и размеры потерь от них (табл. 6).

Другой авторитетный источник – координационный центр CERT – также подтверждает эти данные. Кроме того, согласно собранным им данным (http:/www.cert.org/stats/cert-stats.html), рост числа инцидентов, связанных с безопасностью, совпадает с распространением internet.

В 80-е – начале 90-х годов внешние злоумышленники атаковали узлы internet из любопытства или для демонстрации своей квалификации. Сейчас атаки чаще всего преследуют финансовые или политические цели. Число успешных проникновений в информационные системы только в 1999 году возросло вдвое по сравнению с предыдущим годом (с 12 до 23%). И в 2000-м, и 2001-м годах эта тенденция сохраняется.

В данной области существует и российская статистика. За 2000 год, согласно данным МВД, было зарегистрировано 1375 компьютерных преступлений. По сравнению с 1999 годом эта цифра выросла более чем в 1,6 раза. Данные управления по борьбе с преступлениями в сфере высоких технологий МВД РФ (Управление «Р») показывают, что больше всего преступлений – 584 от общего количества – относиться к неправомерному доступу к компьютерной информации; 258 случаев – это причинение имущественного ущерба с использованием компьютерных средств; 172 преступления связано с созданием и распространением различных вирусов, а вернее, «вредоносных программ для ЭВМ»; 101 преступление – из серии «незаконное производство или приобретение с целью сбыта технических средств для незаконного получения информации», 210 – мошенничество с применением компьютерных и телекоммуникационных сетей; 44 – нарушение правил эксплуатации ЭВМ и их сетей.

Существенную роль в реализации несанкционированного доступа к информации играет компьютерная сеть Интернет, являясь чуть ли самым популярным каналом утечки информации. Поэтому на ее примере целесообразно рассмотреть современные угрозы безопасности и методы защиты от них, используемые средства защиты и услуги безопасности.

Интернет действительно становится всемирной глобальной магистралью. В сеть Интернет можно входить не только по проводным телефонным линиям, но и по радиоканалу. Используя оптико-волоконные и спутниковые линии связи, как со стационарных, так и с мобильных объектов, как с суши, так и с моря, с воздуха, из космоса. Новая прогрессивная технология DirecPC обеспечивает прямой (непосредственный) доступ к Интернету с использованием бытового телевизионного приемника и т.д. и т.п. Необычайно широкие возможности Интернета как магнит притягивают к нему все больше и больше пользователей, и он растет как снежный ком. Концепция «открытых дверей», провозглашенная в Интернете, с одной стороны, способствует ее невероятным темпам роста, а с другой стороны, существенно обостряет проблемы обеспечения безопасности в сети.

Магистраль – это большая дорога. И сегодня, следуя традициям, на ней появились и разбойники; это в первую очередь хакеры, различные криминальные элементы, любители быстрой наживы, просто любители острых ощущений и т.п.

Можно сделать вывод о достаточно высокой эффективности хакерского программного обеспечения и необходимости поиска методов и средств активного противодействия. Результаты исследования показывают, что даже хорошо оснащенные современные банковские системы в настоящее время являются практически беззащитными против хорошо подготовленной атаки. Это же самое можно сказать и о важных военных и научных центрах, даже имеющих защищенный выход в компьютерную (телекоммуникационную) сеть.

Обобщив рассмотренные выше результаты, можно провести классификацию возможных угроз безопасности автоматизированных сетей обработки информации (АСОИ), которая представлена на рис.4.

Представленная классификация угроз безопасности является достаточно полной, понятной и не требует особых пояснений.

Одной из важнейших составляющих политики безопасности является поиск потенциально опасных мест в системе защиты. Обнаружение угрозы уже процентов на семьдесят предопределяет ее уничтожение (ликвидацию).

Установлено, что наибольшие угрозы в сети исходят от специальных программ несанкционированного доступа, компьютерных вирусов и программных закладок, которые представляют угрозу для всех основных объектов сети ЭВМ, в том числе абонентских пунктов, серверов, коммутационных машин и каналов связи.

Принципиальная открытость сети Интернет делает ее не только уникальной по масштабам, но и создает существенные трудности в обеспечении безопасности. Являясь исключительно динамичной сетью, Интернет постоянно испытывает воздействия с использованием несанкционированного доступа. В недрах сети постоянно идут невидимые миру войны в полном соответствии с требованиями современной войны. Имеется эффективное информационное оружие (как нападения, так и защиты). Имеются серьезные трофеи (например, большие суммы денег, переведенные на соответствующие счета банков). Имеются убитые и раненные (например, от инфарктов, полученных после проведения очередной «операции») и т.п. Однако нет самого главного: нет конкретного физического противника, а есть виртуальный противник, которого нельзя физически наблюдать, чувствовать, слышать и т.п. Его наличие можно определить лишь по косвенным признакам, по результатам его деятельности, которые также тщательно скрываются. Однако результаты являются самыми что ни на есть реальными, иногда даже роковыми.

Типовая операция враждебного воздействия в общем случае содержит следующие этапы:

1. подготовительный;

2. несанкционированный доступ;

3. основной (разведывательный или диверсионный);

4. скрытая передача информации (основной или вспомогательной);

5. сокрытие следов воздействия.

7 ТЕХНИЧЕСКИЕ СРЕДСТВА ОБНАРУЖЕНИЯ УГРОЗ

Угрозы безопасности (личной, имущества и информации) окружают нас на каждом шагу. Специалисты утверждают, что надежное обнаружение угрозы – это уже процентов на семьдесят решение задачи ликвидации угрозы. Вот почему в последнее время внимание к техническим средствам поиска и обнаружения угроз безопасности значительно усилилось. Детекторы и обнаружители являются сегодня основными элементами большинства систем безопасности.

Что представляют собой современные обнаружители угроз безопасности? На рисунке 5 в соответствии с классификацией по видам обеспечения безопасности приведены основные технические средства обнаружения угроз безопасности, предлагаемые сегодня российским коммерческим рынком.

Как видно из рисунка, на сегодняшний день не существует универсальных обнаружителей, причем каждый вид обнаружителей рассчитан на использование при решение определенного класса задач.

Наиболее обширную группу образуют технические средства, используемые для обеспечения информационной безопасности, в частности для обнаружения радио-, видео- и телефонных закладок (жучков). Для более полного анализа рынка рассмотрим кратко назначение и основные возможности устройств поиска и обнаружения, в наибольшей степени представленных на рынке. Прежде всего это устройства поиска по электромагнитному излучению: приемники, сканеры, шумометры, детекторы инфракрасного излучения, анализаторы спектра, частотомеры, панорамные приемники, селективные микровольтметры и т.д. Общим для всех этих устройств является задача обнаружения сигнала.

Специальные приемники для поиска работающих передатчиков в широком диапазоне частот на российском рынке представлены рядом фирм США, Германии и Японии. Подобные широкополосные приемники (сканеры), как правило, обладают частотным диапазоном не менее 30…1500МГц и чувствительностью порядка 1 мкВ. Поэтому сканеры – довольно сложные и дорогие устройства. Так, самый дешевый компактный японский сканер AR-8000 стоит порядка 700 долларов, а самый дорогой IC-R9000 – порядка 7500 долларов.

Как правило, современные сканеры имеют возможность подключения к компьютеру. В этом случае специально разработанные программы позволяют автоматически управлять всеми режимами, отображать результаты работы на мониторе, записывать и хранить эти результаты в памяти компьютера, отображать на мониторе спектр в текущем времени и сравнивать его с предыдущим, выводить материалы на печать и т.д.

Процесс обнаружения закладок методом радиомониторинга еще более упрощается при использовании сканеров, реализующих дополнительную функцию измерения частоты (так называемых частотомеров).

Отдельную группу составляют приборы на основе приемников-сканеров, реализующие одновременно несколько функций по поиску закладок, ярким представителем которых является комплекс OSCOR-5000. Этот комплекс автоматически проводит мониторинг источников опасности 24 ч. в сутки. Имеется возможность перехода от обзора широкого спектра к детальному анализу индивидуального сигнала с его демодуляцией и построением графика. Радиоприемник построен по схеме супергетеродина с четырьмя преобразованиями частоты и тремя синтезаторами фазовой подстройки частоты. Предусмотрена демодуляция сигналов в режимах: АМ, FM, FMW, FMSC, SSB CW. Имеется жидкокристаллический дисплей и термопринтер. Конструктивно прибор выполнен в корпусе кейса, общий вес комплекса составляет 12,7 кг.

Существенно облегчить просмотр радиоапазона позволяют анализаторы спектра, среди которых можно отметить отечественные разработки анализаторов СМ-4-2 и СМ-4-21.

Для решения задач скрытного выявления радиопередатчиков в ближней зоне (вблизи носимого радиопередатчика, на малоразмерных объектах) успешно используются детекторы электромагнитного поля. Операция выявления в этом случае заключается в обнаружении радиопередатчика по увеличению напряженности электромагнитного поля в ближней зоне антенны передатчика. Детекторы поля, как правило, изготовляются и используются в носимом варианте с размещением их в часах (Ej-6), в авторучке (PK 860), в пачке сигарет (PK 865), на теле оператора (DM-19), в кейсе (VL-22H) или в книге (VL-34), но могут использоваться и в стационарном варианте с размещением их в коробке сигар (PK 865-3), в цифровых часах (V-4330) и т.п. Характерной особенностью детекторов поля является широкая полоса тракта приема и отсутствие настройки на частоты сигналов. Недостаточная чувствительность детекторов поля и наличие ложных срабатываний приводят к снижению надежности обнаружения и увеличения времени поиска. Кроме того, подобные устройства не обнаруживают передатчиков с программным и дистанционным управлением.

Свободными от указанных недостатков являются обнаружители, принципы работы которых основаны на эффекте «нелинейной радиолокации». Принцип действия таких устройств (нелинейных радиолокаторов) основан на том факте, что при облучении радиоэлектронных устройств, содержащих нелинейные элементы, такие, как диоды, транзисторы и т.д., происходит отражение сигнала на высших кратных гармониках. Отраженные сигналы регистрируются локатором независимо от режима работы радиоэлектронного устройства (включено выключено).

В настоящее время нелинейные локаторы в России активно совершенствуются и находят применение в следующих областях:

обнаружение и определение местоположения скрытых электронных средств§ промышленного шпионажа (объекты обнаружения – приемопередающие устройства подслушивания и передачи данных, магнитофоны);

обнаружение электронных компонентов и радиоаппаратуры при попытке скрытно§ провести их через контрольно – пропускные пункты заводов, складов и таможен;

обнаружение несанкционированного выноса маркированных предметов из§ служебных помещений (объекты обнаружения – материальные и культурные ценности, снабженные пассивными нелинейными маркерами);

дистанционный контроль багажа авиапассажиров (объекты контроля –§ радиоэлектронные системы, входящие в состав взрывных устройств, размещенные в багаже);

поиск маркированных нелинейных пассивными маркерами людей в снежных§ завалах, разрушенных зданиях и др.

Особое место среди обнаружителей угроз безопасности занимают детекторы паразитных излучений аппаратуры, предназначенные для выявления работающих средств приема и регистрации аудио-, видео- и иной информации. Среди них на практике в основном используются детекторы магнитофонов и обнаружители телекамер. Детекторы магнитофонов применяются, как правило, для скрытного выявления носимых магнитофонов и конструктивно выполняются как в носимом, так и в стационарном варианте. Операция выявления заключается в обнаружении паразитного излучения генераторов стирания, двигателей магнитофонов, электронных схем и т.п.

7.1 Методы и средства блокирования каналов утечки информации

В настоящее время номенклатура технических средств коммерческой разведки весьма обширна, что делает задачу надежного блокирования каналов утечки и несанкционированного доступа к информации исключительно сложной.

Таблица 7 Основные методы и средства несанкционированного получения информации и возможная защита от них

№ Действие человека (типовая ситуация) Каналы утечки информации Методы и средства получения информации Методы

и

средства защиты информации

1 Разговор в помещении или на улице Акустика

Виброакустика

Гидроакустика Подслушивание,

Стетоскоп, вибродатчик

Гидроакустический датчик Шумовые генераторы, поиск

закладок, ограничение доступа

2 Разговор по проводному телефону Акустика

Электросигнал

в линии

Наводки Параллельный телефон,

прямое подключение,

диктофон,

телефонная закладка Маскирование, шифрование

Спецтехника

3 Документ на бумажном носителе Наличие Кража, копирование, фотографирование Ограничение доступа, спецтехника

4 Изготовление документа на небумажном носителе Изображение на дисплее копирование, фотографирование

Специальные радиотехнические устройства Контроль доступа, криптозащита

5 Передача документа

по каналу связи Электрические и оптические сигналы Несанкционированное подключение, имитация зарегистрированного пользователя Криптозащита

Решение подобной задачи возможно только с использованием профессиональных технических средств и с привлечением квалифицированных специалистов. В таблице 7 рассмотренные каналы утечки информации и возможные методы их блокирования.

Таким образом, основным направлением противодействия утечке информации является обеспечение физической (технические средства, линии связи, персонал) и логической (операционная система, прикладные программы и данные) защиты информационных ресурсов. При этом безопасность достигается комплексным применением аппаратных, программных и криптографических методов и средств защиты, а также организационных мероприятий.

ЗАКЛЮЧЕНИЕ

Проблема защиты от несанкционированного доступа к информации посвящено огромное количество методических, академических и правовых исследований. Отличительной особенностью хищения информации стала скрытность этого процесса, в результате чего жертва может не догадываться о происшедшем.

Всего несколько лет назад для обеспечения безопасности своих документов и предохранения самого компьютера от вируса достаточно было соблюдать ряд в общем – то несложных правил и мер предосторожности. Хотя во всех приличных компьютерных изданиях, учебниках и руководствах пользователя антивирусные рекомендации можно встретить многократно, однако по – прежнему немало компьютеров оказываются зараженными из – за элементарной неосведомленности пользователя.

Напомним некоторые аксиомы обращения с файлами, получаемыми на съемном носителе или по электронной почте:

даже просмотр содержимого вставленной в дисковод дискеты может вызвать§ заражение компьютера так называемым Boot – вирусом, находящимся в загрузочном секторе дискеты. Сегодня вирусы такого типа в мире встречаются не часто (программы и документы все реже передаются на дискетах), однако в России иногда всплывают вирусы и двух-, и пяти летней «свежести». Соответственно любые приносимые дискеты, диски должны обязательно проверятся антивирусной программой;

не стоит спешить сразу, открывать файл, полученный по электронной почте§ даже от знакомого адресата, но с необычным текстом письма, и тем более уж от незнакомого. Многие современные вирусы умеют сами себя рассылать по всем адресам из адресной книги (найденной в очередном компьютере), вставляя при этом в письмо определенный текст. Создатели вирусов справедливо полагают, что, получив письмо типа «Посмотри, какую замечательную картинку я нашел в сети! » от хорошо известного корреспондента, человек, не задумываясь, щелкнет мышкой по прикрепленному файлу. Вполне возможно, что одновременно с запуском программы, заражающей компьютер, вам действительно покажут картинку;

следует воздержатся от «украшательства» своего компьютера всякими с виду§ безвредными «развлекалочками» «с гуляющими по экрану овечками, распускающими звездочками, красочными фейерверками и т.п.) – такие небольшие забавные программки часто пишутся для того, чтобы замаскировать вирус. Воистину волк в овечьей шкуре! Например, по России уже второй год ходит небольшая программа под названием «Новорусские Windows» – многие ее поставили и через неделю – две удалили, не подозревая о том, что вирус уже успел похозяйничать в их компьютере. Программа, кстати, всего-навсего меняла названия кнопок в диалоговых окнах, превращая «Нет» в «Нафиг», а «Да» - в «Пофиг».

не пользуйтесь «пиратскими» сборниками программного обеспечения;§

самое важное установите и регулярно обновляйте антивирусный комплект§ программ, так как, несмотря на развитый интеллект современных средств защиты, гарантированно будут определяться только вирусы, уже включенные в базу данных программы.

Это сегодня особенно актуально, поскольку распространители вирусов и антивирусов используют одни и те же каналы передачи данных, то есть Internet. При этом вирус всегда имеет некоторую фору, поскольку антивирусной компании всегда нужно время на то, чтобы получить сам вирус, проанализировать его и написать соответствующие лечебные модули.

Необходимо помнить, что все выше приведенные враждебные (реальные и возможные) воздействия на информацию могут иметь не шуточные последствия. Можно привести массу примеров воздействия компьютерных вирусов, программных закладок на информацию, и не только, к ним можно с уверенностью добавить действия хакеров и, даже, персонала компании.

Враждебное воздействие на информацию программных закладок. Они способны уничтожать или искажать информацию, нарушать сеансы работы. Наиболее часто встречаются программные закладки типа «троянского коня» и «компьютерного червя». Пользователь получает их, как правило, по системе электронной почты под видом важного документа или давно разыскиваемой программы. «Троянский конь» может нанести немалый ущерб компании. Он собирает информацию, которая отправляется злоумышленнику по системе электронной почты для анализа на предмет содержания ценной информации, такой как пароли или пользовательская информация. Таким образом, злоумышленник, может получать важную или, даже конфиденциальную информацию, не выходя из дома, а ваша компания или фирма будет нести немалые убытки, необходимо понимать и то, что злоумышленником может быть и конкурирующая фирма, которая может преднамеренно отправить вам по электронной почте «троянского коня» с целью завладеть информацией.

«Компьютерный червь» может распространяться по сети Интернет, по локальной сети. Он нацелен на проникновение в системы разграничения доступа пользователей к ресурсам сети, могут приводить к утере матриц установления полномочий пользователей, к нарушению работы сети в целом и системы разграничения доступа в частности. Самым распространенным является червь, который распространяется по сети Интернет. И даже если на предприятии есть только один компьютер, подключенный к сети, но при этом существует локально – вычислительная сеть, возможна вероятность проникновения червя на компьютер, содержащий ценную информацию.

Не последнее место занимают компьютерные вирусы. Они могут искажать, разрушать исходные тексты программ, искажать базы данных, текстовые документы, повреждать микросхемы, магнитные диски и воздействуют на психику. Существуют вирусы, которые не причиняют особого вреда, но не стоит забывать о тех вирусах, которые могут нарушить работу всего компьютера и программного обеспечения, но даже разрушать микросхему материнской платы. Представьте, что будет если в один миг вами будет утеряна вся конфиденциальная информация, база данных, которая содержит всю информацию о вашем предприятии. А, если этой информацией завладеет конкурирующая фирма, ущерб можно только представить. И все это из – того, что вы должным образом не уделили внимание защите информации от компьютерных вирусов.

Огромные убытки корпорациям нанесли вирус типа I Love You и его штаммы. Так, например, 5 мая 2000 г. компьютерная скорая помощь университета Карнеги – «Мелона» (США) зафиксировала заражение 270 тыс. компьютеров. Среди пострадавших – компания «Форд», ЦРУ, конгресс США.

Необходимо отметить, что новые вирусы становятся все более изощренными и опасными. Так, если появившийся в 1999 г. вирус Melissa поразил около 20% компьютеров США, то вирус I love you – свыше 50%. Для борьбы с вирусами разработаны отечественные антивирусные программы в пакетах Dr.Web 4.01 («Диалог Наука») и AVP («Лаборатория Касперского»).

На российском рынке в настоящее время присутствуют также зарубежные программные средства обнаружения и обезвреживания компьютерных вирусов.

Не стоит забывать и о хакерах. Это раньше они взламывали ради любопытства, сейчас чаще всего они преследуют финансовые или политические цели. Число успешных проникновений возросло в двое по сравнению предыдущим годом. Не сложно представить, что будет, если в вашу базу данных проникнет хакер, вы можете распрощаться с деньгами, заработанными вашим предприятием, которые лежат на банковском счете, если хакеру удастся получить всю информацию касающеюся финансового состояния вашего предприятия. Подумайте, что на сегодняшний день существуют умельцы, которые могут обойти систему защиты Министерства Обороны США и получить конфиденциальную информацию. Минимум, что может хакер, взломав вашу систему защиты, это удалить или исказить ценную информацию, базу данных, сколько времени понадобиться чтобы восстановить утерянные файлы. Получив информацию о вашем предприятии, хакер может продать ее другой фирме заинтересованной в ее получении, цена информации зависит от ее ценности.

Помните, что защитить информацию может только сам пользователь или владелец. Для этого нужно правильно организовать работу и ограничить доступ к ценной информации. И принять все меры для предотвращения ее утечки.

Число уязвимостей и использующих их атак растет с каждым годом. Злоумышленники постоянно ищут новые способы проникновения в информационные системы, и пользователи должны понимать, что недооценка способностей хакеров может привести к очень печальным последствиям.

Список литературы

В.С.Барсуков «Безопасность: технологии, средства, услуги» М. Кудиц - образ 2001

М. Бэнкс «Психи и маньяки в Интернете: Руководство по выживанию в кибернетическом пространстве» СПБ «Символ» 1998

С.Н. Гриняев «Интеллектуальное противодействие информационному оружию» М «Синтег» 1999

М.Б. Зуев «INTERNET: Советы бывалого чайника» М. ООО «Лаборатория Базовых Знаний» 1998

Н.И. Юсупова «Защита информации в вычислительных системах» Уфа 2000

Журнал «Компьютерра» № 35, 36, 37, 40 2001 год

Журнал «Компьютер - Пресс» № 1, 2, 3, 4, 5, 6, 7, 8, 9, 10 2001 год

Журнал «Мир INTERNET» № 4, 5, 6, 7, 8

Журнал «Компьютер и бухгалтер» № 9, 10 2001 год

Для подготовки данной работы были использованы материалы с сайта http://2balla.ru