Классификация и общий анализ угроз информационной безопасности в кс
Угрозы информационной безопасности, рассмотренные в предыдущем параграфе, интерпретировались некими обезличенными событиями, которые вызывали нарушения целостности, конфиденциальности или доступности информации. На самом деле любая угроза, вызывающая такие негативные последствия, представляет собой процесс, протекающий в пространстве и времени.
Для возникновения таких угроз всегда существует определенные предпосылки, причины и источники. Для их передачи и распространения используются соответствующие каналы. Объектом атакующего воздействия могут стать те или иные компоненты компьютерной системы.
Все это требует систематизированной оценки и классификации с целью выработки обоснованных требований к системе защиты, способной противодействовать существующим или потенциально возможным угрозам.
Классификация угроз информационной безопасности компьютерных систем может быть проведена по ряду базовых признаков.
1. По природе возникновения.
1.1. Естественные угрозы, т.е. угрозы, вызванные воздействиями на КС и ее компоненты объективных физических процессов или стихийных природных явлений, независящих от человека.
1.2. Искусственные угрозы, т.е. угрозы, вызванные деятельностью человека.
2. По степени преднамеренности проявления.
3. По непосредственному источнику угроз.
3.1. Угрозы, непосредственным источником которых является природная среда (стихийные бедствия, магнитные бури, радиоактивное излучение и т.п.).
3.2. Угрозы, непосредственным источником которых является человек.
— внедрение агентов в число персонала системы;
— вербовка (путем подкупа, шантажа и т.п.) персонала или отдельных пользователей;
— угроза несанкционированного копирования конфиденциальных данных пользователей;
— разглашение, передача или утрата атрибутов разграничения доступа (паролей, ключей шифрования, идентификационных карточек, пропусков и т.п.).
3.3. Угрозы, непосредственным источником которых являются санкционированные программно-аппаратные средства.
— ошибок, допущенных при их разработке;
— сбоев или отказов в процессе эксплуатации;
4. Угрозы, непосредственным источником которых являются несанкционированные программно—аппаратные средства.
Например, нелегально внедренные программно-аппаратные «закладки» или деструктивные вредительские программы, часто называемые вирусами.
5. По положению источника угроз.
Угрозы, источник которых расположен вне контролируемой зоны, территории (помещения), на которой находится КС.
— перехват побочных электромагнитных, акустических и других излучений, а также наводок на вспомогательные технические средства, непосредственно не участвующие в обработке информации (телефонные линии, цепи электропитания, заземления и т.п.);
— перехват данных, непосредственно передаваемых по каналам связи;
— дистанционная фото- и видеосъемка.
6. Угрозы, источник которых расположен в пределах контролируемой зоны, территории (помещения), на которой находится КС.
— хищение производственных отходов (распечаток, записей списанных носителей информации и т.п.);
— отключение или вывод из строя подсистем обеспечения функционирования компьютерных систем (электропитания, линий связи, систем охлаждения и вентиляции и т.п.);
— применение подслушивающих устройств.
7. Угрозы, источник которых имеет доступ к периферийным устройствам КС (терминалам).
8. Угрозы, источник которых непосредственно расположен в КС и связан либо с некорректным использованием ресурсов КС, либо с количественной или качественной недостаточностью этих ресурсов, которая была изначально заложена на стадии проектирования компьютерной системы.
9. По степени зависимости от активности КС.
— Угрозы, проявляемые независимо от активности КС, например, хищение носителей информации (магнитных дисков, лент, микросхем памяти и др.).
— Угрозы, которые могут проявляться только в процессе автоматизированной обработки данных, например, угрозы распространения программных вирусов.
10. По степени воздействия на КС.
— Пассивные угрозы, которые ничего не меняют в структуре и функциональной организации КС, например, угроза копирования данных.
— Активные угрозы, при реализации которых вносятся изменения в структурную и функциональную организацию КС, например, угроза внедрения аппаратных и программных спецвложений.
11. По этапам доступа пользователей или программ к ресурсам КС.
— Угрозы, которые могут проявляться на этапе доступа к ресурсам КС.
— Угрозы, которые после разрешения доступа реализуются в результате несанкционированного или некорректного использования ресурсов КС.
12. По способу доступа к ресурсам КС.
—Угрозы, использующие прямой стандартный путь доступа к ресурсам КС с помощью незаконно полученных паролей или путем несанкционированного использования терминалов законных пользователей.
— Угрозы, использующие скрытый нестандартный путь доступа к ресурсам КС в обход существующих средств защиты.
13. По текущему месту расположения информации, хранящейся и обрабатываемой в КС.
— Угроза доступа к информации на внешних запоминающих устройствах (например, путем копирования данных с жесткого диска).
— Угроза доступа к информации в основной памяти (например, путем несанкционированного обращения к памяти).
— Угроза доступа к информации, циркулирующей в линиях связи (например, путем незаконного подключения).
— Угроза доступа к информации, отображаемой на термина- ле или печатающем принтере (например, угроза записи отображаемой информации на скрытую видеокамеру).
Рассмотренные угрозы безопасности компьютерных систем обычно анализируются системно и комплексно с точки зрения вероятностей возникновения, а также с учетом тех последствий, к которым приводит их реализация.
2.5 Основные угрозы безопасности компьютерной сети
Для защиты от разного рода атак можно применить две стратегии. Первая заключается в приобретении самых распространенных (хотя не всегда самых лучших) систем защиты от всех возможных видов атак. Вторая стратегия, заключающаяся в предварительном анализе вероятных угроз и последующем выборе средств защиты от них.
Анализ угроз также может осуществляться двумя путями. Более эффективный способ заключается в том, что прежде, чем выбирать наиболее вероятные угрозы, осуществляется анализ информационной системы, обрабатываемой в ней информации, используемого программно-аппаратного обеспечения и т.д. Это позволит существенно сузить спектр потенциальных атак и тем самым повысить эффективность вложения денег в приобретаемые средства защиты. Однако такой анализ требует времени, средств и, что самое главное, высокой квалификации специалистов, проводящих инвентаризацию анализируемой сети. Можно сделать выбор средств защиты на основе так называемых стандартных угроз, то есть тех, которые распространены больше всего.
Данные о самых распространенных угрозах информационной безопасности, полученные самым авторитетным в этой области источником — Институт компьютерной безопасности (CSI) и группой компьютерных нападений отделения ФБР в Сан-Франциско, в марте 2000 года в ежегодном отчете «2000 CSI/FBI Computer Crime and Security Survey», говорят:
90% респондентов (крупные корпорации и государственные организации) зафиксировали различные атаки на свои информационные ресурсы; 70% респондентов зафиксировали серьезные нарушения политики безопасности, например вирусы, злоупотребления со стороны сотрудников т.д.; 74% респондентов понесли немалые финансовые потери вследствие этих нарушений. Другие данные этих организации представлены в таблицах 2.3 и 2.4.
Таблица 2.3 — Частота атак по типу субъектов
Конкуренты (на территории США)
Таблица 2.4 — Частота атак по характеру угроз
Злоупотребления в Интернет со стороны сотрудников
Несанкционированный доступ со стороны сотрудников
Атаки внешних злоумышленников
Кража конфиденциальной информации
Мошенничества с телекоммуникационными устройствами
Данные управления по борьбе с преступлениями в сфере высоких технологий МВД РФ (Управление «Р») показывают, что больше всего преступлений — 42% относиться к неправомерному доступу к компьютерной информации; 18% — это причинение имущественного ущерба с использованием компьютерных средств; 12% преступлений связано с созданием и распространением различных вирусов, а вернее, «вредоносных программ для ЭВМ»; 7% преступлений — из серии «незаконное производство или приобретение с целью сбыта технических средств для незаконного получения информации», 15% — мошенничество с применением компьютерных и телекоммуникационных сетей; 3% — нарушение правил эксплуатации ЭВМ и их сетей.
Итак, к основным угрозам безопасности компьютерной сети можно отнести:
Компьютерный вирус это программа, обладающая способностью к скрытому размножению в среде используемой операционной системы путем включения в исполняемые или хранящиеся программы своей, возможно модифицированной копии, которая сохраняет способность к дальнейшему размножению. Компьютерные вирусы способны размножаться, внедряться в программы, передаваться по линиям связи, сетям обмена информации, выводить из строя системы управления.
В принципе, не все вредоносные программы являются вирусами. Строго определения компьютерного вируса не существует. Разнообразие вирусов столь велико, что дать достаточное условие(перечислить набор признаков, при выполнении которых программу можно однозначно отнести к вирусам) просто невозможно — всегда найдется класс программ с данными признаками, не являющихся при этом вирусом. При этом большинство определений необходимого условия сходятся на том, что компьютерные вирусы — это программы, которые умеют размножаться и внедрять свои копии в другие программы. То есть заражают уже существующие файлы.
Необходимо отметить, что компьютерные вирусы, или, как более правильно, программные вирусы, являются в настоящее время наиболее эффективным средством доставки внедрения различных разведывательных программ. Под программным вирусом понимается автономно функционирующая программа, обладающая способностью к самовключению в тела других программ и последующему самовоспроизведению и самораспространению в информационно — вычислительных сетях и отдельных ЭВМ. Программные вирусы представляют собой весьма эффективное средство реализации практически всех угроз безопасности информационно-вычислительных сетях. Поэтому вопросы анализа возможностей программных вирусов и разработки способов противодействия вирусам в настоящее время приобрели значительную актуальность и образовали одно из наиболее приоритетных направлений работ по обеспечению безопасности информационно вычислительных сетях.
Принципиальное отличие вируса от троянской программы состоит в том, что вирус после запуска его в информационно- вычислительные сети существуют самостоятельно и в процессе своего функционирования заражает программы путем включения в них своего текста. Таким образом, вирус представляет собой своеобразный генератор троянских программ. Программы, зараженные вирусом, называют также вирусоносителем.
Заражение программы, как правило, выполняется таким образом, чтобы вирус получил управление раньше самой программы, либо имплантируется в ее тело так, что первой командой зараженной программы является безусловный переход на вирус, тест заканчивается аналогичной командой безусловного перехода на команду вирусоносителя, бывшую первой до заражения. Получив управление, вирус выбирает следующий файл, заражает его, возможно, выполняет какие — либо другие действия, после чего отдает управление вирусоносителю.
«Первичное заражение» происходит в процессе поступления инфицированных программ из памяти одной машины в память другой, причем в качестве средства перемещения этих программ могут использоваться как магнитные носители (дискеты), так и каналы информационно — вычислительных сетей. Вирусы, использующие для размножения каналы информационно — вычислительных сетей, принято называть сетевыми [33].
Вероятные пути проникновения вирусов, в течение многих лет наиболее распространенным способом заражения компьютера являлась дискета. С ростом глобальных сетей пальма первенства перешла к сети Интернет и системе электронной почты.
Вирус может попасть на локальный компьютер пользователя следующими способами:
- через дискету, компакт — диск, удаленный почтовый ящик;
- через корпоративную систему электронной почты;
- через корпоративный канал доступа в Интернет;
- с корпоративного сервера.
Цикл жизни вируса обычно включает следующие периоды: внедрение, инкубационный, репликация (самозаражение) и проявление.
В течение инкубационного периода вирус пассивен. Что усложняет задачу поиска и нейтрализации. На этапе проявления вирус выполняет свойственные ему целевые функции, например необратимую коррекцию информации на магнитных носителях.
Таблица 2.5 — Характеристики вирусов