9. Программные средства и методы защиты информации

При работе в сети Internet персональный компьютер подвергается постоянной опасности заражения компьютерными вирусами при получении как исполняемых (программных), так и документальных файлов. Особенно это опасно, если компьютер является рабочей станцией компьютерной сети. В этих условиях ущерб, нанесенный вредоносным программным обеспечением, может быть максимальным. С программными файлами можно получить загрузочные, полиморфные, шифрованные стелс-вирусы, с офисными документами возможно получение различных макровирусов.

Современный хакерский инструментарий настолько автоматизирован, что даже люди, не очень сведущие в сетевых и коммуникационных технологиях, могут без труда воспользоваться ими. В результате сетевые администраторы проявляют интерес к любым системам обеспечения информационной безопасности, которые попадают в их поле зрения.

Корпоративная сеть сегодня - настоящее богатство для любой компании, а ее администратор волей-неволей становится своего рода щитом, защищающим неприкосновенность этого богатства. Какие же меры позволяют повысить безопасность охраняемой территории? Конечно же, использование специального программного обеспечения, предназначенного для защиты компьютеров и сетей от вирусов, программных закладок, «дыр» и т. д.

Сегодня на рынке уже присутствуют изощренные средства обнаружения незваных гостей, стремящихся незаконно проникнуть в ваши сетевые владения. Однако такие средства нельзя воспринимать как законченные решения в области информационной безопасности. Они скорее являются еще одним интеллектуальным инструментом, помогающим реализовать стратегию защиты корпоративной сети наряду с другими компонентами вроде антивирусных приложений. В частности, система обнаружения сетевых атак позволяет провести мониторинг сетевой активности и выявить наиболее уязвимые места в сети или на отдельных хост-компьютерах. Более того, разные продукты данной категории неэквивалентны по функциональным возможностям. Вот почему крупные компании, серьезно беспокоящиеся о защите своих коммуникационных и информационных ресурсов, устанавливают сразу несколько детектирующих систем. Но наличие уже одного подобного продукта заметно повышает степень защищенности вашей организации по сравнению с той, которая была до начала его использования.

При существующем многообразии вирусов и их мутаций предотвратить заражение может только полнофункциональная антивирусная система, имеющая в своем арсенале все известные технологии борьбы с «инфекционными болезнями»: не только сканер-полифаг, но и резидентный on-line-монитор, средства контроля программной целостности (CRC) и эвристического поиска вирусных сигнатур.

Каждый новый вирус необходимо обнаружить как можно быстрее (а некоторые вирусы намеренно долго себя не проявляют, чтобы у них было достаточно времени на распространение). Проблема в том, что нет четкого способа определить заранее, что при своем выполнении данная программа проявит вирусоподобное поведение. Как нет единого лекарства от всех болезней, так нет универсальной «вакцины» от всех видов вредоносного программного обеспечения. На все 100% защититься от вирусов практически невозможно (подразумевается, что пользователь меняется дискетами с друзьями и играет в игры, а также получает информацию из других источников, например из сетей). Если же не вносить информацию в компьютер извне (изолированный компьютер), заразить его вирусом невозможно — сам он не родится. Но в наше время это достаточно сложно. Поэтому, чтобы сталкиваться с вирусами как можно реже или, по крайней мере, только сталкиваться, не допуская их на жесткий диск своего винчестера, нужно соблюдать самые элементарные правила «компьютерной гигиены»: проверка дискет, содержимого CD-дисков на наличие вирусов самыми надежными антивирусными и постоянно обновляемыми программами.

В отличие от одиночного пользователя, проблема, которую решают специалисты, отвечающие за обеспечение антивирусной безопасности в крупных организациях, на самый поверхностный взгляд выглядит следующим образом: обеспечить максимальную антивирусную защиту при минимальных затратах. Ну а если взглянуть внимательнее, то открывается громадный перечень практических, экономических и организационных вопросов, которые рано или поздно встают перед специалистом. Такими стратегическими вопросами являются:

что дешевле: предотвратить заражение или лечить?

как оценить допустимые затраты на обеспечение антивирусной безопасности?

что является объектом защиты?

какова требуемая степень защищенности?

как организовать защиту?

В настоящее время уровень экономически допустимых затрат на приобретение и внедрение антивирусной системы оценивается в размере 5—10% от потенциальных потерь от вирусной атаки.

Риск появления в системе какой-нибудь пакости возрастает с каждым днем. На самом деле важно не количество различных вирусов, а степень их распространения. Вирус, обнаруженный где-то далеко, в одной-единственной компании, вряд ли заставит сетевых менеджеров не спать по ночам. Совсем иное дело те программы, которые распространяются через Internet. Когда в мае 2000 года появился вирус LoveLetter, в течение одного месяца было выявлено более 23 тыс. заражений этим вирусом. А уже в декабре их число превысило 100 тыс.

Согласно отчетам компании Trend Micro, корпоративные пользователи постоянно сталкиваются с фактами проникновения вирусов в свои сети.

Приведем некоторые описания вирусов, которые нанесли наиболее существенный ущерб корпоративным заказчикам в последнее время.

Вирус, который был недавно обнаружен несколькими пользователями Internet, PE_FUNLOVE.4099 - это далеко не новый резидентный вирус под Windows. Он инфицирует файлы как на локальных дисках, так и на дисках, доступных по сети. При запуске инфицированного файла вирус PE„FUNLOVE.4099 записывает файл FLCSS.EXE в системный каталог Windows и пытается заразить все файлы с расширениями EXE, OCX и SCR. На системах Windows NT вирус PE_FUNLOVE.4099 пытается изменить файлы NTLDRh NTOSKRNL.EXE с целью дать всем пользователям права администратора. Это происходит после перезагрузки системы после того, как пользователь с правами администратора зайдет в систему.

Новый вирус TROJ NAVIDAD.E - это вариант вируса TROJ NAVIDAD.A, который был впервые обнаружен в ноябре 2000 года. Оригинальный TROJ NAVIDAD.A содержит ошибку, приводящую к тому, что при запуске ЕХЕ-файла выводится сообщение об ошибке. В новом вирусе этот недостаток исправлен, и он корректно инсталлируется в системе, после чего рассылает себя по адресам из адресной книги инфицированного пользователя в виде присоединенного файла EMANUEL.EXE. Несмотря на то что TROJ NAVIDAD.E был обнаружен в декабре 2000 года, он продолжает распространяться.

Деструктивный вирус PE_KRIZ.4050, обнаруженный in-the-wild, - это старый 32битный вирус под Windows, снова был недавно обнаружен во многих странах. Так же как несколько других старых вирусов, PE_KRIZ.4050 смог вернуться, так как был выпущен по ошибке в латче к компьютерной игре. Вирус PE_KRIZ.4050 содержит деструктивную функцию, сходную с функцией вируса РЕ_С 1Н, которая позволяет ему изменять данные в CMOS и обнулять BIOS.

Новое семейство червей - VBSJFUNNY, написанных на Visual Basic Script, было недавно обнаружено в Европе. При запуске эти черви ищут определенный ключ в реестре, и если его нет, то они рассылают по почте сообщения по всем адресам из адресной книги Microsoft Outlook с присоединенным к ним вирусом. Если указанный ключ найден, то черви записывают на диск исполняемый файл (STARTX.EXE), который является известным троянцем, похищающим пароли.

Вирус VBS_COLOMBIA— это новая модификация вируса VBS__LOVELETTER. A, имеющего деструктивную функцию, нацеленную на файлы с расширениями VBS, VBE, JSE, CSS, WSH, SCT, HTA, JPG, JPEG, МРЗ и МР2.

Учитывая разнообразие вредоносных программ, приходится прибегать к различным стратегиям для защиты сети от коварного и вероломного кода.

Целью антивирусной стратегии является эффективное предотвращение заражения вирусами информационной системы. Другими словами, не максимально быстрое обнаружение и удаление появляющихся вирусов, а создание условий, при которых уже само появление вируса на пользовательском компьютере или, еще хуже, на сервере будет рассматриваться как чрезвычайное происшествие. Поэтому в основе всей стратегии антивирусной безопасности любой фирмы должны лежать следующие разделы:

политика антивирусной безопасности;

план работ по обеспечению антивирусной безопасности; порядок действий в критических ситуациях.

Разумеется, каждая фирма работает с различным уровнем информационной безопасности и в разных условиях информационной среды. То, что совершенно неприемлемо, например, для банка (использование сотрудниками дискет, принесенных из дома), может являться нормой работы в редакции газеты или в агентстве новостей. Поэтому все элементы стратегии организации должны полностью соответствовать целям и задачам, решаемым ее информационной системой, и специфике тех условий, в которых она работает. Следовательно, и приобретаемая антивирусная система должна полностью отвечать требованиям принятой стратегии.