Троянские кони (программные закладки).

Троянский конь — это программа, содержащая в себе некоторую разрушающую функцию, которая активизируется при наступлении некоторого условия срабатывания. Обычно такие программы маскируются под какие-нибудь полезные утилиты. Вирусы могут нести в себе троянских коней или "троянизировать" другие программы — вносить в них разрушающие функции.

Троянские кони представляют собой программы, реализующие помимо функций, описанных в документации, и некоторые другие функции, связанные с нарушением безопасности и деструктивными действиями. Отмечены случаи создания таких программ с целью облегчения распространения вирусов. Списки таких программ широко публикуются в зарубежной печати. Обычно они маскируются под игровые или развлекательные программы и наносят вред под красивые картинки или музыку.

Программные закладки также содержат некоторую функцию, наносящую ущерб ВС, но эта функция, наоборот, старается быть как можно незаметнее, т.к. чем дольше программа не будет вызывать подозрений, тем дольше закладка сможет работать.

В качестве примера приведем возможные деструк­тивные функции (очевидно, что они могут быть любыми), реализуемые троянскими конями и программными заклад­ками:

1. Уничтожение информации. Ломать — не строить. Конкретный выбор объектов и способов уничтожения зависит только от фантазии автора такой программы и возможностей ОС. Эта функция является общей для троянских коней и закладок.

2. Перехват и передача информации. В качестве примера можно привести реализацию закладки для выделения паролей, набираемых на клавиатуре, при работе утилиты DISKREET пакета Norton Utilities ver. 6.0.

3. Целенаправленная модификация кода программы, интересующей нарушителя. Как правило, это программы, реализующие функции безопасности и защиты. Примером реализации этого случая является закладка, маскируемая под прикладную программу—"ускоритель" типа "Turbo Kryp­ton". Эта закладка заменяет алгоритм шифрования ГОСТ 28147-89, реализуемой платой "Krypton-3" (демонстрацион­ный вариант) другим, простым и легко дешифруемым алго­ритмом.

1.2.3 Средства нарушения безопасности компьютерных сетей .

Если вирусы и троянские кони наносят ущерб посредством лавинообразного саморазмножения или явного разрушения, то основная функция РПС, действующих в компьютерных сетях, — взлом атакуемой системы, т.е. преодоление защиты с целью нарушения безопасности и целостности.

В более 80% компьютерных преступлений, расследуемых ФБР, "взломщики" проникают в атакуемую систему через глобальную сеть Internet. Когда такая попытка удается, будущее компании, на создание которой ушли годы, может быть поставлено под угрозу за какие-то секунды.

Этот процесс может быть автоматизирован с помощью специального вида РПС, называемого сетевой червь. Червями называют вирусы, которые распространяются по глобальным сетям, поражая целые системы, а не отдельные программы. Несомненно, это самый опасный вид вирусов, так как объектами нападения в этом случае становятся информационные системы государственного масштаба. С появлением глобальной сети Internet этот вид нарушений безопасности представляет наибольшую угрозу, т. к. ему в любой момент может подвергнуться любой из 30 миллионов компьютеров, подключенных к этой сети.

Наиболее известен вызвавший всемирную сенсацию и привлекший внимание к вирусной проблеме инцидент с вирусом-червем в глобальной сети Internet. Второго ноября 1988 года студент Корнелловского университета Роберт Моррис (Robert Morris) запустил на компьютере Массачусетского технологического института программу-червь, которая передавала свой код с машины на машину, используя ошибки в системе UNIX на компьютерах VAX и Sun. В течение 6 часов были поражены 6000 компьютеров том числе Станфордского университета, Массачусетса технологического института, Университета Беркли и многих других. Кроме того, были поражены компьютеры Исследовательского института НАСА и Национальной лаборатории Лоуренса в Ливерморе — объекты, на которых проводятся самые секретные стратегические иccлeдoвaния и разработки. Червь представлял собой программу из 4000 строк на языке "С" и входном языке командного интерпретатора системы UNIX. Следует отметить, что вирус только распространялся по сети и не совершал каких-либо разрушающих действий Однако это стало ясно только на этапе анализа его кода, а пока вирус распространялся, в вычислительных центрах царила настоящая паника. Тысячи компьютеров были остановлены, ущерб составил многие миллионы долларов

Обычно целью взлома сетей является приобретение нелегальных прав на пользование ресурсами системы. Таким образом, если раньше РПС пассивно вносился в систему, и для его инициализации необходимы были действия пользователя, то сейчас РПС сам проникает в систему и сам определяет время и степень своей активности

Иногда взлому системы предшествует "разведка" — исследование средств защиты атакуемой системы с целью обнаружения слабых мест и выбора оптимального метода атаки. Это могут быть как тривиальные попытки подбора паролей (кстати, 80% атак осуществляются именно этим способом) так и попытки проанализировать имеющееся на атакуемой машине программное обеспечение на предмет наличия в нем "дыр" или "люков", позволяющих злоумыш­леннику проникнуть в систему.

Таким образом, возникает специфический вид РПС — программы, осуществляющие проникновение в удаленную систему. Это дает возможность злоумышленнику лично, или с помощью других программ, осуществлять НСД к ресурсам этой системы, нарушать ее безопасность и целостность и т.д.

1.3. Предпосылки кризиса обеспечения безопасности компьютерных систем.

Не останавливаясь на социальных, правовых и экономических аспектах, систематизируем технические и научные источники проблем, стоящих перед системами обеспечения безопасности и целостности.

1.3.1 Прогресс информационных технологий и их безопасность.

Современные компьютеры стали много мощнее, но (что на первый взгляд парадоксально) проще в эксплуатации и программировании. Это означает, что большее количество пользователей получили доступ к компьютерам, и осуществлять этот доступ стало легче, что привело к понижению квалификации среднего пользователя, и облегчило задачу злоумышленника. Кроме того, за счет упрощения процесса программирования стало легче осуществлять взаимодействие программных и аппаратных средств, что очень важно для создания РПС. Большинство пользователей имеют персональные рабочие станции и сами осуществляют их администрирование. Это могут быть как обычные PC, так и более мощные машины типа Sparс или Hewlett-Packard — все равно это персональные компьютеры, т.к. они предназначены для организации эффективной работы только одного человека. Разумеется, большинство из них не в состоянии постоянно поддерживать безопасность своих систем на высоком уровне, т.к. это требует соответствующих знаний, навыков, а также времени и средств. Повсеместное распространение сетевых технологий превратило отдельные машины в локальные сети, совместно использующие общие ресурсы, применение технологии клиент-сервер преобразовало такие сети в распределенные вычислительные среды. Безопасность такой сети зависит от безопасности всех компьютеров, составляющих ее, злоумышленнику достаточно проникнуть в один из них, чтобы скомпрометировать всю сеть. Современные технологии телекоммуникации объединили локальные сети в глобальные. Их объединение привело к появлению такого уникального явления, как Internet. Появление Internet вызвало всплеск интереса к проблеме безопасности, заставило частично пересмотреть ее основные положения. Дело в том, что Internet (кроме всего прочего) обеспечивает злоумышленнику невообразимые возможности для осуществления несанкционированного доступа по всему миру. Если компьютер, который является объектом атаки, подключен к Internet, то не имеет никакого значения, где он находится — в соседней комнате или на другом континенте.

Все это разнообразие аппаратных средств умножается на разнообразие программных. Как показывает npaктика, большинство распространенных современных программных средств, в первую очередь ОС не отвечает минимальным требованиям по безопасности, несмотря на то, что их разработчики осуществляют определенные усилия в этом направлении. В первую очередь это выражается в наличии "дыр" в подсистемах, отвечающих за безопасность, наличие недокументированных возможностей. Существует специальная организация CERT(Computer Emergence Re­sponsible Team), которая собирает сведения об атаках на ВС, и регулярно публикует бюллетени о всех известных "дырах" и способах их закрытия. Достаточно сказать, что разделы этого бюллетеня, посвященные различным версиям системы Unix, содержат не одну сотню подобных "дыр". После обнаружения многие из этих "дыр" ликвидируются с помощью обновления версий, "патчей"(раtch) или дополнительных средств, однако то постоянство, с которым обнаруживаются все новые и новые "дыры", не может не вызывать опасений. Эти недостатки предоставляют злоумышленнику большие возможности для осуществления атак.