Інформаційно-комунікаційне забезпечення фінансової діяльності навчальний посібник
.pdfнадійності – гарантії того, що система поводиться в нормальному і позаштатному режимах так, як заплановано;
точності – гарантії точного і повного виконання всіх команд; контролю доступу – гарантії того, що різні групи осіб мають різний
доступ до інформаційних об'єктів і ці обмеження доступу постійно виконуються;
контрольованості – гарантії того, що в будь-який момент може бути здійснена повноцінна перевірка будь-якого компонента програмного комплексу;
контролю ідентифікації – гарантії того, що клієнт, підключений у даний момент до системи, є саме тим, за кого себе видає;
стійкості до спеціальних збоїв – гарантії того, що за спеціального внесення помилок у межах заздалегідь обговорених норм система буде поводитися так, як обговорено заздалегідь.
Система захисту інформації повинна виконувати такі функції, як:
•реєстрація та облік користувачів, носіїв інформації, інформаційних масивів;
•забезпечення цілісності системного та прикладного програмного забезпечення і оброблюваної інформації;
•захист комерційної таємниці, у тому числі з використанням сертифікованих засобів криптозахисту;
•створення захищеного електронного документообігу з використанням сертифікованих засобів криптоперетворень та електронного цифрового підпису;
•централізоване управління системою захисту інформації, що реалізується на робочому місці адміністратора інформаційної безпеки;
•захищений віддалений доступ мобільних користувачів на основі використання технологій віртуальних приватних мереж (VPN);
•управління доступом;
•забезпечення ефективного антивірусного захисту.
Реалізація та впровадження системи захисту інформації повинні враховувати всі аспекти діяльності організації [31]:
законодавчий – державні закони, підзаконні та нормативні акти, міжнародні, галузеві та корпоративні стандарти;
адміністративний – дії загального та спеціального характеру, котрі вживаються керівництвом організації;
101
процедурний – заходи безпеки, які закріплені у відповідних методологіях і реалізуються відповідальними менеджерами та персоналом підприємства;
науково-технічний – конкретні методики, програмно-апаратні, технологічні та технічні заходи.
4.3. Види загроз безпеці ІС
Розвиток нових інформаційних технологій і загальна комп'ютеризація призвели до того, що інформаційна безпека стає не тільки обов'язковою, але й однією з характеристик ІС. Більше того, існує досить великий клас систем оброблення інформації, у процесі розробки яких фактор безпеки відіграє першорядну роль (наприклад, банківські інформаційні системи).
Під загрозою безпеки інформації розуміють події або дії, які можуть призвести до спотворення несанкціонованого використання або навіть до руйнування інформаційних ресурсів керованої системи, а також програмних і апаратних засобів [74]. З поняттям загрози безпеці тісно пов'язане поняття вразливості комп'ютерної системи (мережі). Вразливість ІС – це можливість виникнення на якому-небудь етапі життєвого циклу автоматизованої системи такого її стану, за якого створюються умови для реалізації загроз безпеці інформації [151].
Людину, що намагається порушити роботу інформаційної системи або отримати несанкціонований доступ до інформації, зазвичай іменують зломщиком, а іноді комп'ютерним піратом (хакером).
У своїх протиправних діях, спрямованих на оволодіння чужими секретами, зломщики прагнуть знайти такі джерела конфіденційної інформації, які б давали їм найбільш достовірну інформацію в максимальних обсягах з мінімальними витратами на її отримання. Вдаючись до різного роду хитрощів, використовуючи множина прийомів і засобів, підбираються шляхи й підходи до таких джерел. У даному випадку під джерелом інформації мається на увазі матеріальний об'єкт, що володіє певними відомостями, які становлять конкретний інтерес для зловмисників або конкурентів.
На сьогодні цілком очевидно, що для забезпечення захисту інформації потрібна не просто розробка окремих механізмів захисту, а реалізація системного підходу, що включає комплекс взаємопов'язаних захо-
102
дів (використання спеціальних технічних і програмних засобів, організаційних заходів, нормативно-правових актів, морально-етичних заходів протидії і т. д.). Комплексний характер захисту обумовлений комплексними діями зловмисників, що прагнуть будь-якими засобами здобути важливу для них інформацію.
Тому технологія захисту інформації потребує постійної уваги до цієї проблеми й витрат, які дозволяють уникнути значно вищих втрат і збитків, які можуть виникнути в процесі реалізації загроз ІС та ІТ.
Слід розглянути класифікацію загроз безпеці інформації за спосо-
бами уникнення їх можливого негативного впливу [151]. Така класифі-
кація підтримується більшістю фахівців у галузі захисту інформації і передбачає розподіл загроз на інформаційні, програмно-математичні, фізичні, організаційні.
Інформаційні загрози реалізуються у вигляді:
порушення адресності та своєчасності інформаційного обміну, протизаконного збору й використання інформації;
здійснення несанкціонованого доступу до інформаційних ресурсів та їх протиправного використання;
розкрадання інформаційних ресурсів з банків і баз даних; порушення технології обробки інформації. Програмно-математичні загрози реалізуються у вигляді:
впровадження в апаратні та програмні вироби компонентів, що реалізують функції, не описані в документації на ці вироби;
розробки і поширення програм, що порушують нормальне функціонування інформаційних систем або їх систем захисту інформації.
Фізичні загрози реалізуються у вигляді:
знищення, пошкодження радіоелектронного придушення або руйнування засобів і систем обробки інформації, телекомунікації і зв'язку;
знищення, пошкодження, руйнування або розкрадання машинних та інших носіїв інформації;
розкрадання апаратних та програмних ключів і засобів криптографічного захисту інформації;
перехоплення інформації в технічних каналах зв'язку і телекомунікаційних системах;
впровадження електронних пристроїв перехоплення інформації в технічні засоби зв'язку та телекомунікаційні системи;
103
перехоплення, дешифрування і нав'язування хибної інформації в мережах передачі даних і лініях зв'язку;
впливу на парольно-ключові системи захисту засобів обробки і передачі інформації.
Організаційні загрози реалізуються у вигляді: невиконання вимог законодавства в інформаційній сфері;
протиправної закупівлі недосконалих або застарілих інформаційних технологій, засобів інформатизації, телекомунікації та зв'язку.
Якщо виходити з класичного розгляду кібернетичної моделі будьякої керованої системи, впливи на неї можуть мати випадковий характер. Тому серед загроз безпеці інформації слід виділяти загрози випадкові, або ненавмисні [21; 74; 151]. Їх джерелом можуть бути вихід з ладу апаратних засобів, неправильні дії працівників АІС або її користувачів, ненавмисні помилки в програмному забезпеченні і т. д. Такі загрози теж слід мати на увазі, оскільки збиток від них може бути значним. Однак у даному питанні найбільша увага приділяється загрозам навмисним, які, на відміну від випадкових, переслідують мету завдання шкоди керованій системі або користувачам.
За ступенем впливу на ІС виділяють наступні види навмисних заг-
роз [74]:
Пасивні загрози спрямовані в основному на несанкціоноване використання інформаційних ресурсів ІС і при цьому не мають впливу на її функціонування, несанкціонований доступ до баз даних, прослуховування каналів зв'язку і т. д.
Активні загрози мають на меті порушення нормального функціонування ІС шляхом цілеспрямованого впливу на її компоненти. До активних загроз належать, наприклад, виведення з ладу комп'ютера або його операційної системи, спотворення відомостей у банку даних, руйнування ПЗ комп'ютерів, порушення роботи ліній зв'язку і т. д. Джерелом активних загроз можуть бути дії зломщиків, шкідливі програми тощо.
Згідно з розташуванням джерела загроз, умисні загрози поділяються також на внутрішні (що виникають всередині керованої організації) і зовнішні [74].
Внутрішні загрози найчастіше визначаються соціальною напруженістю і складним моральним кліматом в організації.
Зовнішні загрози можуть викликатися зловмисними діями конкурентів, економічними умовами та іншими причинами (навіть стихійними
104
лихами). За даними зарубіжної літератури, широкого розповсюдження набуло промислове шпигунство – це вид загрози, який завдає збитку власникові комерційної таємниці; це незаконне збирання, привласнення й передача відомостей, що становлять комерційну таємницю, особою, не уповноваженою на це її власником.
За розмірами шкоди, що завдається, розрізняють такі загрози:
Загальні – загрози, які завдають шкоди об'єкту безпеки в цілому, здійснюючи значний негативний вплив на умови його діяльності.
Локальні – загрози, які впливають на умови існування окремих частин об'єкта безпеки.
Приватні – загрози, що завдають шкоди окремим властивостям елементів об'єкта або окремим напрямам його діяльності.
До основних загроз безпеці інформації й нормального функціонування ІС належать [10; 74; 151]:
нелегальні дії легального користувача; "підслуховування" внутрішньомережевого трафіка; витік конфіденційної інформації; компрометація інформації;
несанкціоноване використання інформаційних ресурсів; помилкове використання інформаційних ресурсів; несанкціонований обмін інформацією між абонентами; відмова від інформації; порушення інформаційного обслуговування; незаконне використання привілеїв.
Нелегальні дії легального користувача –тип загроз, що виходять від легальних користувачів мережі, які, використовуючи свої повноваження, намагаються виконувати дії, що виходять за рамки їхніх посадових обов'язків.
"Підслуховування" внутрішньомережевого трафіка – це неза-
конний моніторинг мережі, захоплення та аналіз мережевих повідомлень. Існує багато доступних програмних і апаратних аналізаторів трафіка, які роблять це завдання досить тривіальним. Ще більше ускладнюється захист від цього типу загроз в мережах із глобальними зв'язками.
Витік конфіденційної інформації – це безконтрольний вихід кон-
фіденційної інформації за межі ІС або кола осіб, яким вона була довірена по службі або стала відома в процесі роботи. Даний витік може бути наслідком:
105
розголошення конфіденційної інформації; витоку інформації з різних, головним чином технічних каналів;
несанкціонованого доступу до конфіденційної інформації різними засобами.
До розголошення інформації її власником або власником ведуть умисні або необережні дії посадових осіб і користувачів, яким відповідні відомості в установленому порядку були довірені по службі, що призвели до ознайомлення з нею осіб, які не мають доступу до цих відомостей.
Можливий безконтрольний витік конфіденційної інформації за візу- ально-оптичним, акустичним, електромагнітним й іншим каналам.
Несанкціонований доступ – це протиправне умисне оволодіння конфіденційною інформацією особою, яка не має права доступу до відомостей, які охороняються.
Найбільш поширеними шляхами несанкціонованого доступу до інформації є:
перехоплення електронних випромінювань; застосування підслухових пристроїв (закладок); дистанційне фотографування;
перехоплення акустичних випромінювань і відновлення тексту принтера;
читання залишкової інформації в пам'яті системи після виконання санкціонованих запитів;
копіювання носіїв інформації з подоланням заходів захисту; маскування під зареєстрованого користувача; маскування під запити системи; використання програмних пасток;
використання недоліків мов програмування й операційних систем; незаконне підключення до апаратури та ліній зв'язку спеціально
розроблених апаратних засобів, що забезпечують доступ до інформації; зловмисне виведення з ладу механізмів захисту; розшифровка спеціальними програмами зашифрованої інформації; інформаційні інфекції.
Будь-які засоби витоку конфіденційної інформації можуть призвести до значного матеріального й морального збитку як для організації, де функціонує ІС, так і для її користувачів.
Більшість із перерахованих технічних шляхів несанкціонованого доступу піддаються надійному блокуванню за умови правильно розробле-
106
ної та реалізованої на практиці системи забезпечення безпеки. Своєрідним джерелом загроз безпеці інформації є спеціальні шкідливі програми, потай і навмисно впроваджувані в різні функціональні програмні системи. Зазначені програми здійснюють передбачені у процесі їх створення деструктивні дії, руйнуючи програмне забезпечення АІС, оброблювані, збережені або передані дані, виводячи з ладу апаратуру. Велика кількість різновидів цих програм не дозволяє розробити постійних і надійних засобів захисту проти них.
Слід навести основні види шкідливих програм [21; 74; 151]:
"Логічні бомби", як випливає з назви, використовуються для перекручення чи знищення інформації; рідше з їх допомогою скоюються крадіжки або шахрайство. Маніпуляціями з логічними бомбами зазвичай займаються чимось незадоволені службовці, що збираються залишити дану організацію, але це можуть бути й консультанти, службовці з певними політичними переконаннями тощо. Реальний приклад "логічної бомби": програміст, передбачаючи своє звільнення, вносить до програми розрахунку заробітної плати певні зміни, робота яких починається, якщо його прізвище зникне з набору даних про персонал фірми.
"Троянський кінь" – це програма, яка призводить до несподіваних (зазвичай небажаних) впливів на систему. Відмінною характеристикою "троянського коня" є те, що користувач звертається до цієї програми, вважаючи її корисною. Аналогія з давньогрецьким "троянським конем" виправдана – і в тому і в іншому випадку не виникає підозри, що в оболонці прихована загроза. "Троянський кінь" становить додатковий блок команд, тим чи іншим чином вставлений у вихідну нешкідливу програму, яка потім передається (дарується, продається, підмінюється) користувачам ІС. Цей блок команд може спрацьовувати в разі настання певної умови (дати, часу, команди іззовні і т. д.). Запустивший таку програму, користувач наражає на небезпеку як свої файли, так і всю ІС в цілому. "Троянський кінь" діє звичайно в рамках повноважень одного користувача, але в інтересах іншого користувача або взагалі сторонньої людини, встановити особу якої інколи неможливо.
Найбільш небезпечні дії "троянський кінь" може виконувати, якщо користувач, який його запустив, володіє розширеним набором привілеїв. У такому випадку зловмисник, що склав і впровадив "троянського коня", а сам цими привілеями не володіє, може виконувати несанкціоновані привілейовані функції чужими руками.
107
Для захисту від цієї загрози бажано, щоб привілейовані та непривілейовані користувачі працювали з різними екземплярами прикладних програм, які повинні зберігатися та захищатися індивідуально. А радикальним засобом захисту від цієї загрози є створення замкнутого середовища використання програм.
Електронні віруси – це такі шкідливі програми, які не тільки здійснюють несанкціоновані дії, але мають здатність до саморозмноження, з огляду на що становлять небезпеку для обчислювальних мереж. Відомо кілька визначень програм-вірусів, що підкреслює їх різноманітність. Найбільшої популярності набуло визначення, дане доктором Фредеріком Коеном: "Комп'ютерний вірус є програмою, яка здатна заражати інші програми, модифікуючи їх так, щоб вони включали в себе копію вірусу (або його різновид)". Вважається, що вірус характеризується двома основними особливостями:
здатністю до саморозмноження; здатністю до втручання в обчислювальній процес (тобто до отри-
мання можливості управління).
Наявність цих властивостей, як видно, є аналогом паразитування в живій природі, яке властиве біологічним вірусам. В останні роки проблема боротьби з вірусами стала актуальною, тому дуже багато спеціалістів займаються нею. Використовуються різні організаційні заходи, нові антивірусні програми й пропаганда всіх цих заходів.
"Хробак" – програма, що поширюється через мережу, не залишаючи своєї копії на магнітному носії. "Хробак" використовує механізми підтримки мережі для визначення вузла, який може бути заражений. Потім за допомогою тих самих механізмів передає своє тіло або його частину на цей вузол і або активізується, або чекає для цього відповідних умов. Найліпшим середовищем для поширення "хробака" є мережа, всі користувачі якої вважаються дружніми й довіряють один одному, а захисні механізми відсутні. Найкращий спосіб захисту від "хробака" – вживання запобіжних заходів проти несанкціонованого доступу до мережі.
"Загарбник паролів" – це програма, спеціально призначена для крадіжки паролів. Одна з характерних картин цієї процедури така. У разі спроби звернення користувача до терміналу системи на екран терміналу виводиться інформація, необхідна для закінчення сеансу роботи. Намагаючись організувати вхід, користувач вводить ім'я і пароль, що пересилаються власнику програми-загарбника, після чого виводиться повідом-
108
лення про помилку введення та керування повертається до операційної системи. Користувач, думаючи, що зробив помилку під час набору пароля, повторює вхід й отримує доступ до системи. Однак його ім'я та пароль вже відомі власнику програми-загарбника. Перехоплення пароля можливо й іншими засобами. Для запобігання цій загрозі перед входом у систему необхідно переконатися, що введено ім'я та пароль саме системної програми введення, а не який-небудь інший. Крім того, необхідно неухильно дотримуватися правил використання паролів і роботи із системою.
Компрометація інформації реалізується, як правило, за допомогою несанкціонованих змін у базі даних, у результаті чого її споживач вимушений або відмовитися від неї, або вжити додаткових зусиль для виявлення змін і відновлення істинних відомостей. У разі використання скомпрометованої інформації споживач стикається з небезпекою прийняття неправильних рішень.
Несанкціоноване використання інформаційних ресурсів має самостійне значення, оскільки може завдати великої шкоди керованій системі (аж до повного виходу ІТ з ладу) або її абонентам. Для запобігання цим явищам проводяться ідентифікація й аутентифікація.
Ідентифікація – це присвоєння користувачеві унікального позначення для перевірки його існування.
Аутентифікація – встановлення достовірності користувача для перевірки його існування.
Помилкове використання інформаційних ресурсів, хоча і є сан-
кціонованим, однак може призвести до руйнування, витоку або компрометації вказаних ресурсів. Дана загроза найчастіше є наслідком помилок, наявних у програмному забезпеченні ІТ.
Несанкціонований обмін інформацією між абонентами може призвести до отримання одним із них відомостей, доступ до яких йому заборонений. Наслідки – ті ж самі, що й у разі несанкціонованого доступу.
Відмова від інформації полягає в невизнанні одержувачем або відправником цієї інформації фактів її отримання або відправки. Це дозволяє одній зі сторін розірвати укладені фінансові угоди технічним шляхом, формально не відмовляючись від них, завдаючи тим самим другій стороні значної шкоди.
109
Порушення інформаційного обслуговування – загроза, джере-
лом якої є сама ІТ. Затримка з наданням інформаційних ресурсів абоненту може привести до складних для нього наслідків. Відсутність у користувача своєчасних даних, необхідних для прийняття рішення, може викликати його нераціональні дії.
Незаконне використання привілеїв. Будь-яка захищена система включає засоби, що використовуються в надзвичайних ситуаціях або засоби, які здатні функціонувати з порушенням наявної політики безпеки. Більшість систем захисту в таких випадках використовують набори привілеїв, тобто для виконання певної функції потрібен певний привілей. Зазвичай користувачі мають мінімальний набір привілеїв, адміністратори – максимальний. Набори привілеїв охороняються системою захисту. Несанкціоноване (незаконне) захоплення функцій і привілеїв контролюється за допомогою аутентифікації та призводить до можливості несанкціонованого виконання певної функції.
У процесі опису в різній літературі [6; 21; 74] різноманітних загроз для ІС і засобів їх реалізації широко використовується поняття "атака" на ІС. Атака – зловмисні дії зломщика (спроби реалізації ним будь-якого виду загрози). Серед атак на ІС часто виділяють "маскарад" і "злом системи", які можуть бути результатом реалізації різноманітних загроз (або комплексу загроз).
Під "маскарадом" розуміють виконання яких-небудь дій одним користувачем ІС від імені іншого користувача. При цьому такі дії іншому користувачеві можуть бути дозволені. Порушення полягає в присвоєнні прав і привілеїв. Такі порушення називаються симуляцією або моделюванням. "Маскарадом" називають також передачу повідомлень у мережі від імені іншого користувача. Цілі "маскараду" – приховування будьяких дій під ім'ям іншого користувача або привласнення прав і привілеїв іншого користувача для доступу до його розділів даних або для використання його привілеїв. Серед прикладів реалізації "маскараду" можна навести створення та використання програм, які в певному місці можуть змінити певні дані, в результаті чого користувач отримує інше ім'я. Найбільш небезпечний "маскарад" у банківських системах електронних платежів, де неправильна ідентифікація клієнта може призвести до величезних збитків. Особливо це стосується платежів з використанням електронних карток.
110