- создание специальных программных
средств, предназначенных исключительно
для поиска и ликвидации конкретных
видов разрушающих программных
средств (антивирусные программы);
- проектирование вычислительных
систем, архитектура и модель
безопасности которых не допускает
существование разрушающих программных
средств, либо ограничивает область
их активности и возможный
ущерб;
- создание и применение методов
и средств анализа программного
обеспечения на предмет наличия
в них угроз информационной
безопасности вычислительных систем
и элементов разрушающих программных
средств.
Процедуру анализа программного обеспечения
на предмет наличия в них угроз информационной
безопасности вычислительной системы
называются анализом безопасности программного
обеспечения. Данный подход требует разработки
соответствующих теоретических моделей
программ, вычислительных систем и разрушающих
программных средств, создания методов
анализа безопасности и методик их применения.
1.3. Удаленные угрозы можно классифицировать
по следующим признакам.
Основой любого анализа
безопасности компьютерных систем является
знание основных угроз, присущих им. Для
подобного анализа представляется необходимым
выделение из огромного числа видов угроз
обобщенных типов угроз, их описание и
классификация.
Удаленные атаки можно
классифицировать по следующим признакам:
По характеру воздействия:
- пассивные ;
- активные ;
Пассивным воздействием на распределенную
вычислительную систему называется воздействие,
которое не оказывает непосредственного
влияния на работу системы, но может нарушать
ее политику безопасности. Именно отсутствие
непосредственного влияния на работу
сети приводит к тому, что пассивное удаленное
воздействие практически невозможно обнаружить.
Примером пассивного типового удаленного
воздействия в вычислительных сетях является
прослушивание канала связи в сети. Подактивным воздействием
на вычислительную сеть понимается воздействие,
оказывающее непосредственное влияние
на работу сети (изменение конфигурации,
нарушение работоспособности и т. д.) и
нарушающее принятую в ней политику безопасности.
Практически все типы удаленных угроз
являются активными воздействиями.
1.4. По цели воздействия.
· нарушение конфиденциальности
информации ;
· нарушение целостности информации
;
· нарушение доступности информации
(работоспособности системы)
Этот классификационный признак
является прямой проекцией трех основных
типов угроз – раскрытия, целостности
и отказа в обслуживании.
Одна из основных целей злоумышленников
– получение несанкционированного доступа
к информации. Существуют две принципиальные
возможности доступа к информации: перехват
и искажение. Возможность перехвата информации
означает получение к ней доступа, но невозможность
ее модификации. Следовательно, перехват
информации ведет к нарушению ее конфиденциальности.
Примером перехвата информации может
служить прослушивание канала в сети.
В этом случае имеется несанкционированный
доступ к информации без возможности ее
искажения. Очевидно также, что нарушение
конфиденциальности информации является
пассивным воздействием.
Возможность искажения информации
означает либо полный контроль над информационным
потоком между объектами системы, либо
возможность передачи сообщений от имени
другого объекта. Таким образом, очевидно,
что искажение информации ведет к нарушению
ее целостности. Данное информационное
разрушающее воздействие представляет
собой яркий пример активного воздействия.
Примером удаленной угрозы, цель которой
нарушение целостности информации, может
служить типовая удаленная атака «ложный
объект распределенной вычислительной
сети».
Принципиально другая цель
преследуется злоумышленником при реализации
угрозы для нарушения работоспособности
сети. В этом случае не предполагается
получение несанкционированного доступа
к информации. Его основная цель – добиться,
чтобы узел сети или какой-то из сервисов,
поддерживаемый им, вышел из строя и для
всех остальных объектов сети доступ к
ресурсам атакованного объекта был бы
невозможен. Примером удаленной атаки,
целью которой является нарушение работоспособности
системы, может служить типовая удаленная
атака «отказ в обслуживании».
По условию начала осуществления
воздействия. Удаленное воздействие так
же, как и любое другое, может начать осуществляться
только при определенных условиях. В вычислительных
сетях можно выделить три вида условий
начала осуществления удаленной атаки:
· атака по запросу от атакуемого
объекта ;
· атака по наступлению ожидаемого
события на атакуемом объекте ;
· безусловная атака.
В первом случае злоумышленник
ожидает передачи от потенциальной цели
атаки запроса определенного типа, который
и будет условием начала осуществления
воздействия. Примером подобных запросов
в сети Internet служат DNS-запросы. Отметим,
что данный тип удаленных атак наиболее
характерен для распределенных вычислительных
сетей.
Во втором случае злоумышленник
осуществляет постоянное наблюдение за
состоянием операционной системы удаленной
цели атаки и при возникновении определенного
события в этой системе начинает воздействие.
Как и в предыдущем случае, инициатором
осуществления начала атаки выступает
сам атакуемый объект.
Реализация третьего вида атаки
не связана ни с какими событиями и реализуется
безусловно по отношению к цели атаки,
то есть атака осуществляется немедленно.
По наличию обратной связи с
атакуемым объектом:
· с обратной связью;
· без обратной связи (однонаправленная
атака).
Удаленная атака, осуществляемая
при наличии обратной связи с атакуемым
объектом, характеризуется тем, что на
некоторые запросы, переданные на атакуемый
объект, атакующему требуется получить
ответ, а следовательно, между атакующим
и целью атаки существует обратная связь,
которая позволяет атакующему адекватно
реагировать на все изменения, происходящие
на атакуемом объекте.
В отличие от атак с обратной
связью удаленным атакам без обратной
связи не требуется реагировать на какие-либо
изменения, происходящие на атакуемом
объекте. Атаки данного вида обычно осуществляются
передачей на атакуемый объект одиночных
запросов, ответы на которые атакующему
не нужны. Подобную удаленную атаку можно
называть однонаправленной удаленной
атакой. Примером однонаправленных атак
является типовая удаленная атака «отказ
в обслуживании».
1.5. По расположению субъекта
атаки относительно атакуемого объекта.
· внутрисегментное;
· межсегментное.
Рассмотрим ряд определений.
Субъект атаки (или источник
атаки) – это атакующая программа или
злоумышленник, непосредственно осуществляющие
воздействие.
Маршрутизатор (router) – устройство,
обеспечивающее маршрутизацию пакетов
обмена в глобальной сети.
Подсеть (subnetwork) (в терминологии
Internet) совокупность хостов, являющихся
частью глобальной сети, для которых маршрутизатором
выделен одинаковый номер подсети. Хосты
внутри одной подсети могут взаимодействовать
между собой непосредственно, минуя маршрутизатор.
Сегмент сети – физическое
объединение хостов. Например, сегмент
сети образует совокупность хостов, подключенных
к серверу по схеме «общая шина». При такой
схеме подключения каждый хост имеет возможность
подвергать анализу любой пакет в своем
сегменте.
С точки зрения удаленной атаки
чрезвычайно важно, как по отношению друг
к другу располагаются субъект и объект
атаки, то есть в одном или в разных сегментах
они находятся. В случае внутрисегментной
атаки, как следует из названия, субъект
и объект атаки находятся в одном сегменте.
При межсегментной атаке субъект и объект
атаки находятся в разных сегментах. Данный
классификационный признак позволяет
судить о так называемой «степени удаленности»
атаки.
Важно отметить, что межсегментная
удаленная атака представляет гораздо
большую опасность, чем внутрисегментная.
Это связано с тем, что в случае межсегментной
атаки объект её и непосредственно атакующий
могут находиться на расстоянии многих
тысяч километров друг от друга, что может
существенно воспрепятствовать мерам
по локализации субъекта атаки.
2.
Типовая удаленная атака
Типовая
удаленная атака – это удаленное информационное разрушающее
воздействие, программно осуществляемое
по каналам связи и характерное для любой
распределенной вычислительной сети.
Основной особенностью распределенной
вычислительной сети является распределенность
ее объектов в пространстве и связь между
ними по физическим линиям связи. При этом
все управляющие сообщения и данные, пересылаемые
между объектами вычислительной сети,
передаются по сетевым соединениям в виде
пакетов обмена. Эта особенность привела
к появлению специфичного для распределенных
вычислительных сетей типового удаленного
воздействия, заключающегося в прослушивании
канала связи, называемого анализом
сетевого трафика.
изучить логику работы
распределенной вычислительной
сети, это достигается путем перехвата
и анализа пакетов обмена на
канальном уровне (знание логики
работы сети позволяет на практике
моделировать и осуществлять
другие типовые удаленные атаки);
Перехватить поток данных,
которыми обмениваются объекты сети, то
есть удаленная атака данного типа заключается
в получении несанкционированного доступа
к информации, которой обмениваются пользователи
(примером перехваченной при помощи данной
типовой удаленной атаки информации могут
служить имя и пароль пользователя, пересылаемые
в незашифрованном виде по сети).
Одной из проблем безопасности
распределенной ВС является недостаточная
идентификация и аутентификация (определение
подлинности) удаленных друг от друга
объектов. Основная трудность заключается
в осуществлении однозначной идентификации
сообщений, передаваемых между субъектами
и объектами взаимодействия. Обычно в
вычислительных сетях эта проблема решается
использованием виртуального канала,
по которому объекты обмениваются определенной
информацией, уникально идентифицирующей
данный канал. Для адресации сообщений
в распределенных вычислительных сетях
используется сетевой адрес, который уникален
для каждого объекта системы (на канальном
уровне модели OSI – это аппаратный адрес
сетевого адаптера, на сетевом уровне
– адрес определяется протоколом сетевого
уровня (например, IP-адрес). Сетевой адрес
также может использоваться для идентификации
объектов сети.
В том случае, когда в вычислительной
сети используют нестойкие алгоритмы
идентификации удаленных объектов, оказывается
возможной типовая удаленная атака, заключающаяся
в передаче по каналам связи сообщений
от имени произвольного объекта или субъекта
сети, то есть подмена объекта или субъекта
сети.
Недостаточно надежная идентификация
сетевых управляющих устройств (например,
маршрутизаторов) является причиной возможного
внедрения в сеть ложного объекта путем
изменения маршрутизации пакетов, передаваемых
в сети.
Современные глобальные сети
представляют собой совокупность сегментов
сети, связанных между собой через сетевые
узлы. При этом маршрутом называется последовательность
узлов сети, по которой данные передаются
от источника к приемнику. Каждый маршрутизатор
имеет специальную таблицу, называемую
таблицей маршрутизации, в которой для
каждого адресата указывается оптимальный
маршрут. Таблицы маршрутизации существуют
не только у маршрутизаторов, но и у любых
хостов (узлов) в глобальной сети. Для обеспечения
эффективной и оптимальной маршрутизации
в распределенных ВС применяются специальные
управляющие протоколы, позволяющие маршрутизаторам
обмениваться информацией друг с другом
(RIP (Routing Internet Protocol), OSPF (Open Shortest Path First)),
уведомлять хосты о новом маршруте – ICMP
(Internet Control Message Protocol), удаленно управлять
маршрутизаторами (SNMP (Simple Network Management Protocol)).
Эти протоколы позволяют удаленно изменять
маршрутизацию в сети Интернет, то есть
являются протоколами управления сетью.
Реализация данной типовой
удаленной атаки заключается в несанкционированном
использовании протоколов управления
сетью для изменения исходных таблиц маршрутизации.
В результате успешного изменения маршрута
атакующий получит полный контроль над
потоком информации, которой обмениваются
объекты сети, и атака перейдет во вторую
стадию, связанную с приемом, анализом
и передачей сообщений, получаемых от
дезинформированных объектов вычислительной
сети.
Получив контроль над проходящим
потоком информации между объектами, ложный
объект вычислительной сети может применять
различные методы воздействия на перехваченную
информацию, например:
1) селекция потока информации
и сохранение ее на ложном
объекте (нарушение конфиденциальности);
2) модификация информации:
· модификация данных
(нарушение целостности);
· модификация исполняемого
кода и внедрение разрушающих программных
средств – программных вирусов (нарушение
доступности, целостности);
3) подмена информации (нарушение
целостности).
Одной из основных задач, возлагаемых
на сетевую операционную систему, функционирующую
на каждом из объектов распределенной
вычислительной сети, является обеспечение
надежного удаленного доступа с любого
объекта сети к данному объекту. В общем
случае в сети каждый субъект системы
должен иметь возможность подключиться
к любому объекту сети и получить в соответствии
со своими правами удаленный доступ к
его ресурсам. Обычно в вычислительных
сетях возможность предоставления удаленного
доступа реализуется следующим образом:
на объекте в сетевой операционной системе
запускаются на выполнение ряд программ-серверов
(например, FTP-сервер, WWW-сервер и т. п.), предоставляющих
удаленный доступ к ресурсам данного объекта.
Данные программы-серверы входят в состав
телекоммуникационных служб предоставления
удаленного доступа. Задача сервера состоит
в том, чтобы постоянно ожидать получения
запроса на подключение от удаленного
объекта и, получив такой запрос, передать
на запросивший объект ответ на разрешение
подключения либо на отказ. По аналогичной
схеме происходит создание виртуального
канала связи, по которому обычно взаимодействуют
объекты сети. В этом случае непосредственно
операционная система обрабатывает приходящие
извне запросы на создание виртуального
канала и передает их в соответствии с
идентификатором запроса (номер порта)
прикладному процессу, которым является
соответствующий сервер. В зависимости
от различных параметров объектов вычислительной
сети, основными из которых являются быстродействие
ЭВМ, объем оперативной памяти и пропускная
способность канала связи, количество
одновременно устанавливаемых виртуальных
подключений ограничено, соответственно
ограничено и число запросов, обрабатываемых
в единицу времени. С этой особенностью
работы вычислительных сетей связана
типовая удаленная атака «отказ в обслуживании».