- •Воронеж 2008
- •Воронеж 2008
- •Введение
- •1 Разработка средств обеспечения инофрмационных технологий в подготовке принятия решений по документационному обеспечению защиты информации в органах государственной власти
- •1.1 Информационная сфера как объект правового регулирования
- •1.1.1 Информация как объект правового регулирования
- •1.1.2.1 Официальная правовая информация
- •1.1.2.2 Информация индивидуально - правового характера, имеющая юридическое значение
- •1.1.2.3 Неофициальная правовая информация
- •1.2 Правовое регулирование в сфере обеспечения информационной безопасности в органах государственной власти
- •1.2.1 Нормативное правовое обеспечение информационной безопасности в органах государственной власти
- •1.2.2 Система нормативных правовых документов в области защиты информации в органах государственной власти
- •1.2.3 Анализ состояния нормативной правовой базы в сфере защиты информации в органах государственной власти
- •1.2.4 Проблемы правового регулирования в сфере обеспечения информационной безопасности в органах государственной власти
- •1.2.4.1 Проблемы правового регулирования в сфере обеспечения информационной безопасности в органах государственной власти на федеральном уровне
- •1.2.4.2 Проблемы правового регулирования в сфере обеспечения информационной безопасности в органах государственной власти на региональном уровне
- •1.3 Обзор зарубежного законодательства в области защиты информации
- •Другие Указы президента посвящены следующим вопросам:
- •1.4.2 Основные направления совершенствования нормативного правового регулирования в сфере обеспечения информационной безопасности в органах государственной власти
- •1.5 Основные выводы первой главы
- •2 Исследование методов и моделей поддержки принятия решений в управленческой деятельности и разработка средства принятия решений по вопросам защиты информации в органах государственной власти
- •2.1 Выявление недостатков законодательства рф в сфере поддержки принятия решений по информационной безопасности
- •2.2 Теория принятия решения в области защиты информации в органах государственной власти
- •2.2.1 Основные понятия, термины и определения
- •2.2.2 Перечень этапов процесса принятия решения
- •2.3.2 Анализ и разработка метода принятия решения в области защиты информации в органе государственной власти.
- •2.3.3 Разработка средства поддержки принятия решения в сфере информационной безопасности на основе метода анр
- •2.3.3.1 Область применения и интерфейс программного продукта
- •2.4 Основные выводы второй главы
- •3 Разработка классификации угроз безопасности информации в органах государственной власти
- •3.1 Анализ состояния современной системы защиты в органах государственной власти рф.
- •3.2 Классификация угроз безопасности информации
- •3.3 Угрозы утечки информации по техническим каналам
- •3.3.1 Угрозы утечки информации по каналам побочных электромагнитных излучений и наводок
- •3.3.2 Угрозы утечки акустической информации по техническим каналам
- •3.3.3 Угрозы несанкционированного доступа к информации в компьютерных системах
- •3.3.3.1 Угрозы несанкционированного доступа к информации на отдельном автоматизированном рабочем месте оператора
- •3.3.3.3 Угрозы от программных закладок
- •3.3.3.4 Угрозы несанкционированного доступа к информации в компьютерной сети
- •3.4 Средства съёма
- •3.4.1 Портативные средства акустической разведки
- •3.4.1.1 Проводные системы, портативные диктофоны и электронные стетоскопы
- •3.4.1.2 Акустические закладки
- •3.4.1.3 Направленные микрофоны и лазерные акустические системы разведки
- •3.4.2 Портативные средства радио-, радиотехнической разведки
- •3.4.2.1 Сканерные приемники
- •3.4.2.2 Программно-аппаратные комплексы радио-, радиотехнической разведки
- •3.4.2.3 Средства перехвата пейджинговых сообщений и контроля телефонов сотовой связи
- •3.4.2.4 Радиопеленгаторы
- •3.4.4 Портативные средства видеонаблюдения и съемки
- •3.4.4.1 Средства видеонаблюдения с дальнего расстояния
- •3.4.4.2. Средства видеонаблюдения с близкого расстояния
- •3.4.4.3 Средства фоторазведки и фотодокументирования
- •3.4.5 Классификация вирусов и программ закладок
- •3.4.5.1 Вирусы-программы
- •3.4.5.2 Загрузочные вирусы
- •3.4.5.3 Файловые вирусы
- •3.4.5.4 Полиморфные вирусы, Стелс-вирусы
- •3.4.5.5 Макровирусы, Скрипт-вирусы
- •3.4.5.6 «Троянские программы», программные закладки и сетевые черви.
- •3.4.5.7 Программные закладки
- •3.5 Основные выводы третьей главы
- •4 Типовой объект защиты органов государственной власти
- •4.1 Сегмент органов власти информационной инфраструктуры России
- •4.1.1 Органы государственной власти как объект защиты
- •4.2 Информатизация государства в представлении безопасности информации
- •4.2.1 Особенности формирования информационных технологий на информационную безопасность
- •4.2.2 Цели и задачи государства в связи с распространением угроз безопасности информации
- •4.2.3 Государственная политика использования защищенных информационных технологий
- •4.3 Условия функционирования органов государственной власти
- •4.3.1 Системы электронного документооборота в госорганах России сегодня
- •4.4 Распространение объектно-ориентированного подхода на информационную безопасность
- •4.4.1 Основные понятия объектно-ориентированного
- •4.4.2 Применение объектно-ориентированного подхода к рассмотрению защищаемых систем
- •4.5 Функционально-условный подход к типизации объекта органов государственной власти
- •4.6 Сопоставление угроз и описания объекта
- •4.7 Основные выводы четвертой главы
- •5.1 Сеть Internet
- •5.1.1 Краткие сведения об Internet
- •5.1.2 Состав сети Internet
- •5.1.3 Доступ в Internet
- •5.1.4 Перспективы развития
- •5.2.2 Определение www
- •5.2.3 Области использования www
- •5.4 Язык программирования рнр
- •5.4.1 Основы языка программирования рнр
- •5.4.2 Терминология языка программирования рнр
- •5.4.4 Безопасность php
- •5.5 Система защиты веб-портала
- •5.5.1 Основы системы защиты веб - портала
- •5.5.2 Система разграничения доступа
- •5.5.2.1 Межсетевые экраны прикладного уровня
- •5.5.2.2 Межсетевые экраны с пакетной фильтрацией
- •5.5.2.3 Гибридные межсетевые экраны
- •5.5.4 Система контроля целостности
- •5.5.5 Криптографическая система
- •5.5.6 Система обнаружения атак
- •5.6 Основные выводы пятой главы
- •Заключение
- •394026 Воронеж, Московский просп., 14
3.3.3.4 Угрозы несанкционированного доступа к информации в компьютерной сети
В компьютерной сети (КС) возможны все виды угроз, которые существуют для отдельного рабочего места оператора. Распределенная обработка информации добавляет угрозы, которые специфичны только для компьютерных сетей и связаны с реализацией каналов связи и протоколов межсетевого взаимодействия. Типовые варианты построения компьютерных сетей приведены на рисунках 3.18 и 3.19.
Основными элементами построения и, следовательно, возможными объектами НСД в сети являются:
– АРМ или рабочие станции сети;
– средства управления конфигурацией сети;
– средства управления структурно-адресными таблицами сети;
– средства управления полномочиями пользователей сети;
– средства управления функциональным контролем сети;
– средства управления безопасностью информации в сети;
– каналы связи.
Важнейшим элементом построения сети являются каналы связи, которые могут выходить за пределы охраняемой территории и на которых информация может подвергаться НСД как со стороны штатного пользователя-нарушителя, так и внешнего, путем непосредственного подключения к каналу связи и возможностью перехвата и модификации передаваемой информации.
В компьютерной сети возможны следующие основные виды угроз.
Подключение к КС несанкционированного пользователя авторизированными способами. При этом, как правило, используются методы подбора пароля, перехвата пароля или подключение с одобрения какого-либо законного пользователя, под чьим именем осуществляется доступ. Подбор пароля осуществляется традиционными способами, часто с использованием специальных программ перебора сочетаний символов или выбора слов из специально созданного словаря. Перехват может быть выполнен с помощью программ "клавиатурных шпионов" или имитаторов входа в вычислительную сеть. Компрометация паролей возможна при получении доступа злоумышленника к системным файлам, в которых хранятся пароли или их зашифрованные образы. Возможен также перехват пароля, который передается по ВС в незашифрованном виде. Преодоление парольной защиты и получение прав администратора системы создает угрозы НСД к файлам, изменения установок регистрации и данных учетных записей пользователей или фальсификации записей протокола аудита.
Подключение к КС неавторизированным способом обычно происходит при использовании недекларированных возможностей программно-аппаратного обеспечения ВС или неправильной конфигурацией средств защиты вычислительной системы. Раскрытие данных или их неавторизированная модификация происходит, когда к данным или программному обеспечению осуществляется несанкционированный доступ. При использовании криптографических процедур степень защищенности зависит в первую очередь от сохранения секретности криптографических ключей. Поэтому потенциальный нарушитель будет пытаться установить используемый ключ. При этом могут использоваться:
– процессы формирования ключа, например, датчики случайных чисел;
– передача ключей по незащищенной линии;
– перехват ключей криптомодулей по техническим каналам утечки информации;
– захват (хищение) копий ключей;
– подбор действующих ключей (в случае применения симметричных криптографических методов, например, в настоящее время существует возможность определения кода, используя огромное число параллельных компьютеров – решение "в лоб");
– раскрытие используемых методов шифрования;
– разглашение используемых ключей внутренними нарушителями.
Если нарушитель имеет возможность несанкционированного использования криптомодуля, то это может приводить к чтению закрытых ключей, их изменению или возможности управления параметрами защиты.
Криптомодули могут управляться различными способами, например, они могут содержать:
– пароль высшего приоритета, который может обойти все другие пароли;
– незарегистрированные испытательные режимы, посредством которых можно в любое время обратится к критическим областям данных;
– функции управления правом доступа по некоторым командам.
Возможны также воздействия на криптографические модули вредоносных программ, что может привести к изменению криптографических алгоритмов, например, путем воздействия на генератор случайных чисел.
Раскрытие трафика компьютерной сети. Трафик может быть скомпрометирован при прослушивании и перехвате данных, передаваемых по каналу связи (при подключении к кабелю сети, прослушивании трафика, передаваемого по эфиру, с помощью присоединения сетевого анализатора, и т.д.). Информация, которая может быть скомпрометирована таким образом, включает системные имена и имена пользователей, пароли, сообщения электронной почты, прикладные данные и т.д. Путем анализа трафика сообщений нарушитель может выяснять, кто, в какое время, для кого и какой объем данных послал. Даже если нарушитель не может прочесть содержимое сообщений, возможными являются определенные заключения относительно поведения пользователей.
Подмена трафика ВС. Подмена трафика ВС включает возможность получать сообщение, маскируясь под заданное место назначения, либо возможность маскироваться под машину-отправитель и посылать сообщения кому-либо. Маскировка под машину-отправитель для убеждения машины-получателя в законности сообщения может быть выполнена заменой своего адреса в сообщении адресом авторизованной машины-отправителя или посредством воспроизведения трафика. Воспроизведение предполагает перехват сеанса между отправителем и получателем и повторную передачу впоследствии этого сеанса (или только заголовков сообщений с новыми содержаниями сообщений).
Отказ КС в обслуживании происходит, когда КС не может своевременно обеспечить необходимые функциональные возможности.
Дополнительные угрозы связаны с возможностями нарушения прав доступа к информационным и служебным файлам:
– несанкционированный доступ пользователей сети к какому-либо виду сервисного обслуживания, предоставляемого отдельным пользователям данной сети;
– доступ к информации и базам данных без аутентификации пользователя (идентификации) в сети с целью ознакомления с конфиденциальной информацией или копирования;
– нарушения конфиденциальности информационного обмена по каналам связи абонентов сети;
– доступ к информации об используемых механизмах защиты.
Возможность неуполномоченной интеграции компьютера в сеть позволяет контролировать передачу данных в атакуемом сегменте сети, облегчая следующие действия:
– манипуляции данными и программным обеспечением;
– контроль и манипуляции линиями связи;
– повтор сообщений;
– подделка (маскировка);
– анализ потока сообщений;
– неуполномоченное выполнение функций управления сетью;
– неуполномоченный доступ к активным сетевым компонентам.
Основными способами реализации угроз являются:
– модификация сетевого программного обеспечения путем скрытного добавления новых функций;
– несанкционированное расширение своих законных полномочий;
– несанкционированное изменение полномочий других пользователей (запись несуществующих пользователей, ограничения или расширения существующих полномочий);
– выдача субъектом НСД себя за легального пользователя для получения его полномочий;
– формирование сообщения об отказе от факта получения или передачи информации или выдача ложных сведений о времени ее получения;
– подключение к линиям связи между другими пользователями в качестве активного ретранслятора;
– изучение сведений о том, кто, когда и к какой информации, аппаратуре или ресурсам сети получает доступ (анализа трафика);
– изменение протоколов обмена с помощью введения ложной информации;
– получение доступа к остаточной информации в памяти системы после выполнения санкционированных запросов;
– использование уязвимостей сетевых приложений и сетевых операционных систем.
Угрозы несанкционированного доступа к информации в компьютерной сети реализуются за счет использования уязвимостей программных алгоритмов, обеспечивающих межсетевое взаимодействие вычислительных систем.
Уровни межсетевого взаимодействия компьютерных систем определены в соответствии с моделью взаимодействия открытых систем (Open Sistem Interconnection, OSI) и ее реализацией в сети Интернет в соответствии с таблицей 3.2.
Угрозы НСД на уровне приложений реализуются за счет ошибок администрирования или за счет использования недекларированных возможностей программно-аппаратного обеспечения, обрабатывающего данные, поступающие с удаленной вычислительной системы. Например, такой наиболее распространенной уязвимостью программного обеспечения является переполнение стека данных, когда данные попадают в область исполняемых команд вычислительной системы.
Таблица 3.2 – Основные уровни межсетевого взаимодействия в соответствии с моделью OSI
№ |
Уровни модели OSI |
Основные функции межсетевого взаимодействия |
Уровни межсетевого взаимодействия в сети Интернет |
8 |
Не определен |
Многоцелевая распределенная обработка данных |
Уровень приложений |
7 |
Прикладной уровень |
Интерфейс (WWW, http, e-mail, FTP, TELNET,…) с прикладными процессами |
Прикладной уровень (протоколы верхних уровней)
|
6 |
Представительный уровень |
Согласование формы представления информации, (изображение, текст, строка, ...). Формирование данных, коды, алфавиты, элементы графики |
|
5 |
Сеансовый уровень |
Поддержка диалога прикладных процессов. Обеспечение соединения и разъединение этих процессов. Обеспечение передачи данных между прикладными процессами |
|
4 |
Транспортный уровень |
Сквозной (через коммуникационную сеть) обмен данными между системами |
Протоколы нижнего уровня (протоколы уровня TCP/IP) |
3 |
Сетевой уровень |
Обнаружение ошибок в физических средствах соединения. Маршрутизация информации. Сегментирование и объединение блоков данных |
Продолжение таблицы 3.2
2 |
Канальный уровень |
Управление каналами передачи данных. Передача данных по каналам. Обнаружение ошибок в каналах |
Канальный и физический уровни |
1 |
Физический уровень |
Обеспечение физического интерфейса с каналами |
На этом уровне возможно также создание ложных серверов сети, что может выполняться путем выбора имен ложных серверов близких по синтаксису к именам официальных организаций. Пользователи, которые вызывают эти сайты, предполагают, что они сообщаются с сервером интересующей их официальной организации. Для ускорения притока таких пользователей на сервера нарушителей, последние могут предпринимать попытки управления или подражания поведению существующих серверов официальных организаций, размещая, например, на сайтах соответствующую рекламу и предложения.
Кроме того, возможность распределения модифицированных (обновленных) программных компонент через сеть позволяет осуществить неуполномоченную инсталляцию программного обеспечения на активных сетевых компонентах, что, в свою очередь, облегчает внедрение уязвимостей в удаленную вычислительную систему.
Угрозы НСД на прикладном уровне связаны с уязвимостями алгоритмов и ошибками (недекларированными возможностями) программной реализации протоколов межсетевого взаимодействия верхнего уровня.
Типовыми примерами таких уязвимостей являются алгоритмы маршрутизации данных, принятые в протоколах маршрутизации типа DNS (Domain Name System), RIP (Routing Information Protocol), OSPF (Open Shortest Path First), ARP (Address Resolution Protocol), а также алгоритмы протоколов управления сетью (например, SNMP - Simple Network Management Protocol). Указанные протоколы позволяют реализовать следующие угрозы НСД:
– подмены данных сервера имен доменов с целью переадресации запроса (DNS-spoofing);
– изменение данных в таблицах маршрутизации при динамическом назначении адресов (RIP-атаки);
– навязывание ложного маршрута передачи сообщения (создание в сети ложного маршрутизатора);
– нарушение сетевой целостности, доступности всех или некоторых сетевых сегментов.
В сетях открытого типа основными протоколами удаленного доступа являются TELNET и FTP.
TELNET – это протокол, позволяющий с удаленных рабочих станций подключаться к серверам сети в режиме виртуального терминала.
FTP – протокол, предназначенный для передачи файлов между удаленными компьютерами.
Для получения доступа к серверу по данным протоколам пользователю необходимо пройти на нем процедуры идентификации и аутентификации. В качестве информации, идентифицирующей пользователя, выступает его идентификатор (имя), а для аутентификации используется пароль. Особенностью протоколов FTP и TELNET является то, что пароли и идентификаторы пользователей передаются по сети в открытом, незашифрованном виде и легко могут быть перехвачены.
На уровне протоколов нижнего уровня обеспечивается обнаружение ошибок в физических средствах соединения, сегментирование и объединение пакетов данных, а также их маршрутизация. Поэтому угрозы НСД на этом уровне межсетевого взаимодействия связаны с возможностями вскрытия и модификации передаваемых данных или изменения их маршрутизации. Кроме этого обычно на этом уровне реализуются угрозы отказа в доступе путем генерации множества ложных пакетов данных (запросов), которые не успевает обработать атакуемый сервер.
В сети общего пользования наиболее распространенными протоколами нижнего уровня являются протоколы TCP/IP. В протоколе IP возможно предписать маршрут, в соответствии с которым пакет должен достичь своего адресата, или маршрут, по которому должен быть доставлен ответный пакет. Описание маршрута может, однако, быть подвергнуто манипуляции (изменено) во время передачи таким образом, чтобы предписанные маршруты не использовались, а применялись другие, т. е. ложные и неконтролируемые. Для протоколов TCP/IP установление подлинности терминалов сетей осуществляется только через адрес IP, который легко сфальсифицировать. Такая угроза проникновения в сеть под ложным IP-адресом получила название IP-spoofing (IP-обман). Маскировка используется нарушителем для получения возможности представления себя, как подлинного пользователя сети. Нарушитель может также использовать маскировку, чтобы предпринять попытку присоединения к уже существующему соединению без необходимости подтверждения своей подлинности, поскольку этот шаг уже был предпринят первоначальными участниками связи. Маскировка приобретает особую угрозу в интерактивных сетях, где имеют место процессы анонимного общения в реальном масштабе времени (так называемые чаты).
Протокол управляющих сообщений транспортного уровня Internet ICMP служит для передачи информации об ошибках и результатах диагностики. Особенность протокола ICMP состоит в том, что он не предусматривает никакой дополнительной аутентификации источников сообщений. Таким образом, ICMP-сообщения передаются на хост (узел сети) маршрутизатором однонаправлено, без создания виртуального соединения. Следовательно, ничто не мешает атакующему послать ложное ICMP-сообщение о смене маршрута от имени маршрутизатора. Нарушитель может использовать это несколькими способами. С одной стороны, таблицы маршрутизации компьютера могут быть изменены (заменены) посредством пакетов переадресации (Redirect), что позволит нарушителю формировать ложные маршруты. С другой стороны, нарушитель может передавать фальсифицированные пакеты о недоступности адресата (Destination Unreachable), выдавая отправителю стандартные сообщения о недоступности адресата и прерывании сеанса связи.
Отсутствие защиты данных в передаваемых пакетах позволяет нарушителю вести анализ и исследование сетевого трафика (sniffer). В сети анализ сетевого трафика осуществляется с помощью специальных пpогpамм-анализатоpов пакетов, перехватывающих все пакеты, передаваемые по сегменту сети, выделяя среди них те, в которых передаются идентификатор пользователя и его пароль. При этом, например, для сети Интернет учитывается, что протокол TELNET разбивает пароль на символы и пересылает их по одному, помещая каждый символ из пароля в соответствующий пакет, а протокол FTP, напротив, пересылает пароль целиком в одном пакете.
Возможности анализа сетевого трафика поясняются на рисунке 3.20.
Рисунок 3.20 – Анализ сетевого трафика
На данном уровне межсетевого взаимодействия также выявляются ошибки администрирования сетевых служб путем сканирования (scanner) - исследование сети и ее уязвимостей с помощью специальных программных средств (сканеров), которые позволяют определить доступные для атаки сервисы, установленные на удаленном компьютере.
Угрозы НСД на канальном и физическом уровнях связаны, прежде всего, с возможностью несанкционированного подключения к сетевым каналам связи и перехвата и/или модификации передаваемой информации. На этом уровне возможно также проникновение в компьютерную систему через коммуникационные платы. Коммуникационные платы (например, плата ISDN или модем) обеспечивают автоматическое получение поступающих вызовов. Это дает возможность нарушителю подключиться к вызванному компьютеру или компьютерной системе, не будучи обнаруженным. Кроме этого современное микропрограммное обеспечение коммуникационных плат позволяет вносить в себя модификации, в том числе и удаленно с использованием сети Интернет, что также дает возможность внесения дополнительных уязвимостей в вычислительную систему на канальном уровне.