Значимость обеспечения безопасности государства в информационной сфере. Межгосударственное информационное противоборства в оборонной сфере. Каналы несанкционированного доступа. Перехват пользовательского пароля. Незаконное использование привилегий.
Аннотация к работе
Состав реальных для конкретного предприятия каналов несанкционированного доступа к конфиденциальной информации и степень их опасности зависят от вида деятельности предприятия, категорий носителей, способов обработки информации, системы ее защиты, а также от устремлений и возможностей конкурентов. Злоумышленник внедряет в операционную систему программный модуль, который имитирует приглашение пользователю зарегистрироваться для того, чтобы войти в систему. После того, как пользователь идентифицирует себя и задаст свой пароль, имитатор сохраняет введенные пользователем данные там, где они доступны злоумышленнику. Далее имитатор инициирует выход из системы (что в большинстве случаев можно сделать программным путем), и в результате перед глазами у ничего не подозревающего пользователя появляется еще одно, но на этот раз уже настоящее регистрационное приглашение для входа в систему. Рассмотрение защитных механизмов, реализованных в этой операционной системе, позволяет сформулировать два необходимых условия, соблюдение которых является обязательным для обеспечения надежной защиты от имитаторов: - системный процесс, который при входе пользователя в систему получает от него соответствующие регистрационное имя и пароль, должен иметь свой собственный Рабочий стол, недоступный другим процессам;Защита информации должна иметь комплексный характер и не ограничиваться каким-либо одним из видов, то есть необходимо не только защищать саму информацию или ее носитель, но и регламентировать круг лиц, способных иметь доступ к информации, а также уровни доступа к защищаемой информации.
Информационные технологии во всех сферах общественной жизни бурно развиваются. Информация все в большей мере становится стратегическим ресурсом государства, производительной силой и дорогим товаром. Это не может не вызывать стремления государств, организаций и отдельных граждан получить преимущества за счет овладения информацией, недоступной оппонентам, а также за счет нанесения ущерба информационным ресурсам противника и защиты своих информационных ресурсов - это и определяет актуальность данной темы.
Значимость обеспечения безопасности государства в информационной сфере подчеркнута в принятой в сентябре 2000 года "Доктрине информационной безопасности Российской Федерации": "Национальная безопасность Российской Федерации существенным образом зависит от обеспечения информационной безопасности, в ходе технического прогресса эта зависимость будет возрастать".
Остроту межгосударственного информационного противоборства можно наблюдать в оборонной сфере, высшей формой которой являются информационные войны. Не менее остро стоит вопрос информационного противоборства и на уровне организаций, отдельных граждан. Об этом свидетельствуют многочисленные попытки злоумышленников получить контроль над компьютерными технологиями и информацией для извлечения материальной выгоды.
Противоборство государств в области информационных технологий, стремление злоумышленников противоправно использовать информационные ресурсы, необходимость обеспечения прав граждан в информационной сфере, наличие множества случайных угроз вызывают острую необходимость обеспечения защиты информации в компьютерных системах, являющихся материальной основой информатизации общества.
В данной работе я хотел бы осветить основные каналы несанкционированного доступа и способы несанкционированного доступа.
1. Каналы несанкционированного доступа
Для того чтобы осуществить дестабилизирующее воздействие на конфиденциальную информацию, людям, не имеющим разрешенного доступа к ней, необходимо его получить. Такой доступ называется несанкционированным. Как правило, несанкционированный доступ бывает преднамеренным и имеет целью оказать сознательное дестабилизирующее воздействие на конфиденциальную информацию.
Несанкционированный доступ, даже преднамеренный, не всегда является противоправным. Чаще всего он, конечно, бывает незаконным, но нередко не носит криминального характера.
Несанкционированный доступ осуществляется через существующий или специально создаваемый канал доступа, который определяется как путь, используя который, можно получить неразрешенный доступ к конфиденциальной информации.
К каналам несанкционированного доступа к конфиденциальной информации относятся: 1. Установление контакта с лицами, имеющими или имевшими доступ к конфиденциальной информации;
2. Вербовка и (или) внедрение агентов;
3. Организация физического проникновения к носителям конфиденциальной информации;
4. Подключение к средствам отображение, хранения, обработки, воспроизведения и передачи информации средствам связи;
8. Исследование выпускаемой продукции, производственных отходов и отходов процессов обработки информации;
9. Изучение доступных источников информации;
10. Подключение к системам обеспечения производственной деятельности предприятия;
11. Замеры и взятие проб окружающей объект среды;
12. Анализ архитектурных особенностей некоторых категорий объектов.
Состав реальных для конкретного предприятия каналов несанкционированного доступа к конфиденциальной информации и степень их опасности зависят от вида деятельности предприятия, категорий носителей, способов обработки информации, системы ее защиты, а также от устремлений и возможностей конкурентов. Однако даже если соперники известны, определить их намерения и возможности практически не удается, поэтому защита должна предусматривать перекрытие всех потенциально существующих для конкретного предприятия каналов.
2. Способы несанкционированного доступа
2.1 Перехват паролей
Имитаторы
Перехватчики паролей этого типа работают по следующему алгоритму. Злоумышленник внедряет в операционную систему программный модуль, который имитирует приглашение пользователю зарегистрироваться для того, чтобы войти в систему. Затем внедренный модуль (в принятой терминологии - имитатор) переходит в режим ожидания ввода пользовательского идентификатора и пароля. После того, как пользователь идентифицирует себя и задаст свой пароль, имитатор сохраняет введенные пользователем данные там, где они доступны злоумышленнику. Далее имитатор инициирует выход из системы (что в большинстве случаев можно сделать программным путем), и в результате перед глазами у ничего не подозревающего пользователя появляется еще одно, но на этот раз уже настоящее регистрационное приглашение для входа в систему.
Обманутый пользователь, видя, что ему предлагается еще раз ввести пароль, приходит к выводу о том, что он допустил какую-то ошибку во время предыдущего ввода пароля, и послушно повторяет всю процедуру входа в систему заново. Некоторые имитаторы для пущей убедительности выдают на экран терминала правдоподобное сообщение о якобы совершенной пользователем ошибке. Например, такое: "Неверный пароль. Попробуйте еще раз".
Написание имитатора не требует от его создателя каких-либо особых навыков. Злоумышленнику, умеющему программировать на одном из универсальных языков программирования (к примеру, на бейсике), понадобятся на это считанные часы. Единственная трудность, с которой он может столкнуться, состоит в том, чтобы отыскать в документации соответствующую программную функцию, реализующую выход пользователя из системы.
Перехват пароля зачастую облегчают сами разработчики операционных систем, которые не затрудняют себя созданием усложненных по форме приглашений пользователю зарегистрироваться для входа в систему. Подобное пренебрежительное отношение характерно для большинства версий операционной системы Unix, в которых регистрационное приглашение состоит из двух текстовых строк, выдаваемых поочередно на экран терминала: login: password: Чтобы подделать такое приглашение, не нужно быть семи пядей во лбу. Однако само по себе усложнение внешнего вида приглашения не создает для хакера, задумавшего внедрить в операционную систему имитатор, каких-либо непреодолимых препятствий. Для этого требуется прибегнуть к более сложным и изощренным защитным мерам. В качестве примера операционной системы, в которой такие меры в достаточно полном объеме реализованы на практике, можно привести Windows NT.
Системный процесс WINLOGON, отвечающий в операционной системе Windows NT за аутентификацию пользователей, имеет свой собственный Рабочий стол - совокупность окон, одновременно видимых на экране дисплея. Этот Рабочий стол называется Рабочим столом аутентификации. Никакой другой процесс, в том числе и имитатор, не имеет доступа к Рабочему столу аутентификации и не может расположить на нем свое окно.
После запуска Windows NT на экране компьютера возникает так называемое начальное окно Рабочего стола аутентификации, содержащее указание нажать на клавиатуре комбинацию клавиш Ctrl Alt Del. Сообщение о нажатии этих клавиш передается только системному процессу WINLOGON, а для остальных процессов, в частности для всех прикладных программ, их нажатие происходит совершенно незаметно. Далее производится переключение на другое, так называемое регистрационное окно Рабочего стола аутентификации. В нем-то как раз и размещается приглашение пользователю ввести свое идентификационное имя и пароль, которые будут восприняты и проверены процессом WINLOGON.
Для перехвата пользовательского пароля внедренный в Windows NT имитатор обязательно должен уметь обрабатывать нажатие пользователем комбинации клавиш Ctrl Alt Del. В противном случае произойдет переключение на регистрационное окно Рабочего стола аутентификации, имитатор станет неактивным и не сможет ничего перехватить, поскольку все символы пароля, введенные пользователем, минуют имитатор и станут достоянием исключительно системного процесса WINLOGON. Как уже говорилось, процедура регистрации в Windows NT устроена таким образом, что нажатие Ctrl Alt Del проходит бесследно для всех процессов, кроме WINLOGON, и поэтому пользовательский пароль поступит на вход именно ему и никому более.
Конечно, имитатор может попытаться воспроизвести не начальное окно Рабочего стола аутентификации (в котором высвечивается указание пользователю одновременно нажать Ctrl Alt Del), а регистрационное (где содержится приглашение ввести идентификационное имя и пароль пользователя). Однако при отсутствии в системе имитаторов регистрационное окно автоматически заменяется на начальное по прошествии короткого промежутка времени (в зависимости от версии Windows NT он может составлять от 30 секунд до 1 минуты), если в течение этого промежутка пользователь не предпринимает никаких попыток зарегистрироваться в системе. Таким образом, сам факт слишком долгого присутствия на экране регистрационного окна должен насторожить пользователя Windows NT и заставить его тщательно проверить свою компьютерную систему на предмет наличия в ней программных закладок.
Подводя итог сказанному, можно отметить, что степень защищенности Windows NT от имитаторов достаточно высока. Рассмотрение защитных механизмов, реализованных в этой операционной системе, позволяет сформулировать два необходимых условия, соблюдение которых является обязательным для обеспечения надежной защиты от имитаторов: - системный процесс, который при входе пользователя в систему получает от него соответствующие регистрационное имя и пароль, должен иметь свой собственный Рабочий стол, недоступный другим процессам;
- переключение на регистрационное окно Рабочего стола аутентификации должно происходить абсолютно незаметно для прикладных программ, которые к тому же никак не могут повлиять на это переключение (например, запретить его).
К сожалению, эти два условия ни в одной из операционных систем, за исключением Windows NT, не соблюдаются. Поэтому для повышения их защищенности от имитаторов можно порекомендовать воспользоваться административными мерами. Например, обязать каждого пользователя немедленно сообщать системному администратору, когда вход в систему оказывается невозможен с первого раза, несмотря на корректно заданное идентификационное имя и правильно набранный пароль.
Фильтры
Фильтры "охотятся" за всеми данными, которые пользователь операционной системы вводит с клавиатуры компьютера. Самые элементарные фильтры просто скидывают перехваченный клавиатурный ввод на жесткий диск или в какое-то другое место, к которому имеет доступ злоумышленник или его сообщник. Более изощренные программные закладки этого типа подвергают перехваченные данные анализу и отфильтровывают информацию, имеющую отношение к пользовательским паролям.
Фильтры являются резидентными программами, перехватывающими одно или несколько прерываний, которые связаны с обработкой сигналов от клавиатуры. Эти прерывания возвращают информацию о нажатой клавише и введенном символе, которая анализируется фильтрами на предмет выявления данных, имеющих отношение к паролю пользователя.
Известны несколько фильтров, созданных специально для различных версий операционной системы DOS. В 1997 году отмечено появление фильтров для операционных систем Windows 3.11 и Windows 95.
Надо сказать, что изготовить подобного рода программную закладку не составляет большого труда. В операционных системах Windows 3.11 и Windows 95 предусмотрен специальный программный механизм, с помощью которого в них решается ряд задач, связанных с получением доступа к клавиатурному вводу, в том числе и проблема поддержки национальных раскладок клавиатур. К примеру, любой клавиатурный русификатор для Windows представляет собой самый что ни на есть настоящий фильтр, поскольку призван перехватывать все данные, вводимые пользователем с клавиатуры компьютера. Нетрудно "доработать" его таким образом, чтобы вместе со своей основной сервисной функцией (поддержка национальной раскладки клавиатуры) он заодно выполнял бы действия по перехвату паролей. Тем более, что во многих учебных пособиях и руководствах пользователя по операционным системам Windows имеются исходные тексты программных русификаторов клавиатуры. "Перепрофилировав" этот русификатор так, чтобы он взял на себя выполнение функций перехватчика паролей, его можно встроить перед настоящим русификатором или после него, и в результате вся информация, вводимая пользователем с клавиатуры, пойдет и через перехватчик. Таким образом задача создания фильтра становится настолько простой, что не требует наличия каких-либо специальных знаний у злоумышленника. Ему остается только незаметно внедрить изготовленную им закладку в операционную систему и умело замаскировать ее присутствие.
В общем случае можно утверждать, что если в операционной системе разрешается переключать клавиатурную раскладку во время ввода пароля, то для этой операционной системы возможно создание фильтра. Поэтому, чтобы обезопасить операционную систему от фильтров, необходимо обеспечить выполнение следующих трех условий: - во время ввода пароля переключение раскладок клавиатуры не разрешается;
- конфигурировать цепочку программных модулей, участвующих в работе с паролем пользователя, может только системный администратор;
- доступ к файлам этих модулей имеет исключительно системный администратор.
Соблюсти первое из этих условий в локализованных для России версиях операционных систем принципиально невозможно. Дело в том, что средства создания учетных пользовательских записей на русском языке являются неотъемлемой частью таких операционных систем. Только в англоязычных версиях операционных систем Windows NT и Unix предусмотрены средства, позволяющие поддерживать уровень безопасности, при котором соблюдаются все три перечисленные условия.
Заместители
Заместители полностью или частично подменяют собой программные модули операционной системы, отвечающие за аутентификацию пользователей. Подобного рода перехватчики паролей могут быть созданы для работы в среде практически любой многопользовательской операционной системы. Трудоемкость написания заместителя определяется сложностью алгоритмов, реализуемых подсистемой аутентификации, и интерфейсов между ее отдельными модулями. Также при оценке трудоемкости следует принимать во внимание степень документированности этой подсистемы. В целом можно сказать, что задача создания заместителя значительно сложнее задачи написания имитатора или фильтра. Поэтому фактов использования подобного рода программных закладок злоумышленниками пока отмечено не было. Однако в связи с тем, что в настоящее время все большее распространение получает операционная система Windows NT, имеющая мощные средства защиты от имитаторов и фильтров, в самом скором будущем от хакеров следует ожидать более активного использования заместителей в целях получения несанкционированного доступа к компьютерным системам.
Поскольку заместители берут на себя выполнение функций подсистемы аутентификации, перед тем, как приступить к перехвату паролей пользователей операционной системы, они должны выполнить следующие действия: - подобно компьютерному "вирусу" внедриться в один или несколько системных файлов;
- использовать интерфейсные связи между программными модулями подсистемы аутентификации для встраивания себя в цепочку обработки введенного пользователем пароля.
Для того чтобы защититься от внедрения заместителя в компьютерную систему, ее администраторы должны строго соблюдать адекватную политику безопасности. И что особенно важно, подсистема аутентификации должна быть одним из самых защищенных мест в операционной системе. Однако, как показывает практика, администраторы, подобно всем людям, склонны к совершению ошибок, и, следовательно, соблюдение адекватной политики безопасности в течение неограниченного периода времени является невыполнимой задачей. Кроме того, как только заместитель попал в компьютерную систему, любые меры по защите от внедрения программных закладок перестают быть адекватными, поэтому необходимо предусмотреть использование эффективных средств обнаружения и удаления внедренных перехватчиков паролей. Это значит, что от администратора неукоснительно требуется вести самый тщательный контроль целостности исполняемых системных файлов и интерфейсных функций, используемых подсистемой аутентификации для решения своих задач.
Но и эти меры могут оказаться недостаточно эффективными. Ведь машинный код заместителя выполняется в контексте операционной системы, и поэтому заместитель может предпринимать особые меры, чтобы максимально затруднить свое обнаружение. Например, он может перехватывать системные вызовы, используемые администратором для выявления программных закладок, с целью подмены возвращаемой ими информации или фильтровать сообщения, регистрируемые подсистемой аудита, чтобы отсеивать те из них, которые свидетельствуют о его присутствии в компьютере.
2.2 «Маскарад»
Под «маскарадом» понимается выполнение каких-либо действий одним пользователем АСОИБ от имени другого пользователя. При этом такие действия другому пользователю могут быть разрешены. Нарушение заключается в присвоении прав и привилегий.
Такие нарушения также называются симуляцией или моделированием. Цель «маскарада» - сокрытие каких-либо действий за именем другого пользователя или присвоение прав и привилегий другого пользователя для доступа к его наборам данных или для использования его привилегий.
«Маскарад» - это способ активного нарушения защиты системы, он является опосредованным воздействием, то есть воздействием, совершенным с использованием возможностей других пользователей.
Примером «маскарада» может служить вход в систему под именем и паролем другого пользователя, при этом система защиты не сможет распознать нарушение. В этом случае «маскараду» обычно предшествует взлом системы или перехват пароля.
Другой пример «маскарада» - присвоение имени другого пользователя в процессе работы. Это может быть сделано с помощью средств операционной системы (некоторые операционные системы позволяют изменять идентификатор пользователя в процессе работы) или с помощью программы, которая в определенном месте может изменить определенные данные, в результате чего пользователь получит другое имя. В этом случае «маскараду» может предшествовать захват привилегий, или он может быть осуществлен с использованием какой-либо ошибки в системе.
«Маскарадом» также называют передачу сообщений в сети от имени другого пользователя. Способы замены идентификатора могут быть разные, обычно они определяются ошибками и особенностями сетевых протоколов. Тем не менее, на приемном узле такое сообщение будет воспринято как корректное, что может привести к серьезным нарушениям работы сети. Особенно это касается управляющих сообщений, изменяющих конфигурацию сети, или сообщений, ведущих к выполнению привилегированных операций.
Наиболее опасен «маскарад» в банковских системах электронных платежей, где неправильная идентификация клиента может привести к огромным убыткам. Особенно это касается платежей с помощью электронных банковских карт. Сам по себе метод идентификации с помощью персонального идентификатора (PIN) достаточно надежен, нарушения могут происходить вследствие ошибок его использования. Это произойдет, например, в случае утери кредитной карты, при использовании очевидного идентификатора (своего имени, ключевого слова и т.д.). Поэтому клиентам надо строго соблюдать все рекомендации банка по выполнению такого рода платежей.
«Маскарад» является достаточно серьезным нарушением, которое может привести к тяжелым последствиям, таким как изменение конфигурации системы (сети), утечка информации, нарушения работы АСОИБ. Для предотвращения «маскарада» необходимо использовать надежные методы идентификации и аутентификации, блокировку попыток взлома системы, контроль входов в нее. Также необходимо фиксировать все события, которые могут свидетельствовать о «маскараде», в системном журнале для его последующего анализа.
2.3 Незаконное использование привилегий
Злоумышленники, применяющие данный способ атаки, обычно используют штатное программное обеспечение (системное или прикладное), функционирующее в нештатном режиме. Практически любая защищенная система содержит средства, используемые в чрезвычайных ситуациях, при сбоях оборудования или средства, которые способны функционировать с нарушением существующей политики безопасности. В некоторых случаях пользователь должен иметь возможность доступа ко всем наборам системы (например, при внезапной проверке).
Такие средства необходимы, но они могут быть чрезвычайно опасными. Обычно эти средства используются администраторами, операторами, системными программистами и другими пользователями, выполняющими специальные функции.
Для того, чтобы уменьшить риск от применения таких средств большинство систем защиты реализует такие функции с помощью набора привилегий - для выполнения определенной функции требуется определенная привилегия. В этом случае каждый пользователь получает свой набор привилегий, обычные пользователи - минимальный, администраторы - максимальный (в соответствии с принципом минимума привилегий). Наборы привилегий каждого пользователя являются его атрибутами и охраняются системой защиты. Несанкционированный захват привилегий приведет, таким образом, к возможности несанкционированного выполнения определенной функции. Это может быть НСД (частный случай), запуск определенных программ и даже реконфигурация системы.
Естественно, при таких условиях расширенный набор привилегий -заветная мечта любого злоумышленника. Он позволит ему совершать практически любые действия, причем, возможно, даже в обход всех мер контроля. Нарушения, совершаемые с помощью незаконного использования привилегий, являются активным воздействием, совершаемым с целью доступа к какому-либо объекту или системе в целом.
Незаконный захват привилегий возможен либо при наличии ошибок в самой системе защиты (что, например, оказалось возможным в одной из версий операционной системы UNIX), либо в случае халатности при управлении системой и привилегиями в частности (например, при назначении расширенного набора привилегий всем подряд). Строгое соблюдение правил управления системой защиты, соблюдение принципа минимума привилегий позволят избежать таких нарушений.
Вывод
Таким образом, информация в современном мире является неотъемлемой частью жизнедеятельности человека, она окружает нас везде и всюду. Порой значимость какой-либо информации достигает национальных масштабов, тем самым остро ставя вопрос ее защиты от утечки или уничтожения.
Защита информации должна иметь комплексный характер и не ограничиваться каким-либо одним из видов, то есть необходимо не только защищать саму информацию или ее носитель, но и регламентировать круг лиц, способных иметь доступ к информации, а также уровни доступа к защищаемой информации. Тем самым, только после проведения полномасштабного комплекса мер по защите, уже с большей уверенностью можно будет говорить, что информация защищена, и ей ничто не угрожает.
Список литературы
1. Доктрина информационной безопасности Российской Федерации.
2. Федеральный закон Российской Федерации «Об информации, информационным технологиям и защите информации» № 149-ФЗ от 27 июля 2006 года.
3. Концепция национальной безопасности Российской Федерации. Утверждена Указом Президента Российской Федерации от 17 декабря 1997 г. N 1300. (В редакции Указа Президента Российской Федерации от 10 января 2000 г. N 24.
4. Куприянов А.И. Основы защиты информации: учеб. Пособие для студ. высш. учеб. заведений/ А.И. Куприянов, А.В. Сахаров, В.А. Шевцов - М.: Издательский центр "Академия", 2006. - 256 с.
5. Куприянов А.И. Основы защиты информации: учеб. Пособие для студ. высш. учеб. заведений/ А.И. Куприянов, А.В. Сахаров, В.А. Шевцов - М.: Издательский центр "Академия", 2006. - 256 с.
6. Стрельцов А.А. Обеспечение информационной безопасности России/ Под ред. В.А. Садовничего и В.П. Шерстюка - М.: МЦНМО, 2002. - 296 с.
7. Щеглов А.Ю. Защита компьютерной информации от несанкционированного доступа/ А.Ю. Щеглов - М.: Наука и техника, 2004. - 384 с.
8. Защита компьютерной информации. Эффективные методы и средства / Шаньгин В.Ф. - М.: ДМК Пресс, 2010. - 544 с.: ил. Режим доступа: www.iprbookshop.ru.
9. www.iprbookshop.ru - Электронно-библиотечная система IPRBOOKS.
10. www.intuit.ru - Национальный открытый университет - «ИНТУИТ».
11. www.iis.ru - Глоссарий по информационному обществу.