Средства нарушения безопасности компьютерных сетей

Если вирусы и троянские кони наносят ущерб посредством лавинообразного саморазмножения или явного разрушения, то основная функция РПС, действующих в компьютерных сетях, — взлом атакуемой системы, т.е. преодоление защиты с целью нарушения безопасности и целостности.

В более 80% компьютерных преступлений, расследуемых ФБР, "взломщики" проникают в атакуемую систему через глобальную сеть Internet. Когда такая попытка удается, будущее компании, на создание которой ушли годы, может быть поставлено под угрозу за какие-то секунды.

Этот процесс может быть автоматизирован с помощью специального вида РПС, называемого сетевой червь. Червями называют вирусы, которые распространяются по глобальным сетям, поражая целые системы, а не отдельные программы. Несомненно, это самый опасный вид вирусов, так как объектами нападения в этом случае становятся информационные системы государственного масштаба. С появлением глобальной сети Internet этот вид нарушения безопасности представляет наибольшую угрозу, т. к. ему в любой момент может подвергнуться любой из 30 миллионов компьютеров, подключенных к этой сети.

Наиболее известен вызвавший всемирную сенсацию и привлекший внимание к вирусной проблеме инцидент с вирусом-червем в глобальной сети Internet. Второго ноября 1988 года студент Корнелловского университета Роберт Моррис (Robert Morris) запустил на компьютере Массачусетского технологического института программу-червь, которая передавала свой код с машины на машину, используя ошибки в системе UNIX на компьютерах VAX и Sun. В течение 6 часов были поражены 6000 компьютеров, в том числе Станфордского университета, Массачусетского технологического института, Университета Беркли и многих других. Кроме того, были поражены компьютеры Исследовательского института НАСА и Национальной лаборатории Лоуренса в Ливерморе — объекты, на которых проводятся самые секретные стратегические исследования и разработки. Червь представлял собой программу из 4000 строк на языке "С" и входном языке командного интерпретатора системы UNIX. Следует отметить, что вирус только распространялся по сети и не совершал каких-либо разрушающих действий. Однако это стало ясно только на этапе анализа его кода, а пока вирус распространялся, в вычислительных центрах царила настоящая паника. Тысячи компьютеров были остановлены, ущерб составил многие миллионы долларов.

Обычно целью взлома сетей является приобретение нелегальных прав на пользование ресурсами системы. Таким образом, если раньше РПС пассивно вносился в систему, и для его инициализации необходимы были действия пользователя, то сейчас РПС сам проникает в систему и само определяет время и степень своей активности.

Иногда взлому системы предшествует "разведка" — исследование средств защиты атакуемой системы с целью обнаружения слабых мест и выбора оптимального метода атаки. Это могут быть как тривиальные попытки подбора паролей (кстати, 80% атак осуществляются именно этим способом) так и попытки проанализировать имеющееся на атакуемой машине программное обеспечение на предмет наличия в нем "дыр" или "люков", позволяющих злоумышленнику проникнуть в систему.

Таким образом, возникает специфический вид РПС — программы, осуществляющие проникновение в удаленную систему. Это дает возможность злоумышленнику лично, или с помощью других программ, осуществлять НСД к ресурсам этой системы, нарушать ее безопасность и целостность и т. д.

Вопрос 2.

Основные угрозы АС

Для лучшего понимания возможных угроз и соотнесения их со средствами компьютерной защиты исследователи предложили выделить три различных типа угроз. А именно, было отмечено, что наиболее общие угрозы вычислительным системам могут быть рассмотрены как относящиеся к раскрытию, целостности или отказу служб вычислительной системы.

Угроза раскрытия

Угроза раскрытия заключается том, что информация становится известной тому, кому не следовало бы ее знать. В терминах компьютерной безопасности угроза раскрытия имеет место всякий раз, когда получен доступ к некоторой секретной информации, хранящейся в вычислительной системе или передаваемая от одной системы к другой. Иногда в связи с угрозой раскрытия используется термин "утечка".

За последние два десятилетия в сферах компьютерной безопасности большое внимание уделялось угрозе раскрытия. Фактически, подавляющее большинство исследований и разработок в области компьютерной безопасности было сосредоточено на угрозах раскрытия. Одной из причин этого являлось значение, которое правительства придавали противостоянию этой угрозе.

Угроза целостности

Угроза целостности включает в себя любое умышленное изменение информации, хранящейся в вычислительной системе или передаваемой из одной системы в другую. Когда взломщики преднамеренно изменяют информацию, мы говорим, что целостность этой информации нарушена. Целостность также будет нарушена, если к несанкционированному изменению приводит случайная ошибка. Санкционированными изменениями являются те, которые сделаны определенными лицами с обоснованной целью (таким изменением является периодическая запланированная коррекция некоторой базы данных).

До недавнего времени условно считалось, что правительства сосредотачивались на раскрытии, а деловые круги касались целостности. Однако, обе эти среды могли бы быть более или менее связаны каждой из двух угроз в зависимости от приложения. Например, планы правительственных сражений и коммерческие рецепты безалкогольных напитков должны быть защищены от обоих типов угроз.

Угроза отказа служб

Угроза отказа служб возникает всякий раз, когда в результате преднамеренных действий, предпринятых другим пользователем, умышленно блокируется доступ к некоторому ресурсу вычислительной системы. То есть, если один пользователь запрашивает доступ к службе, а другой предпринимает что-либо для недопущения этого доступа, мы говорим, что имеет место отказ службы. Реально блокирование может быть постоянным, так чтобы запрашиваемый ресурс никогда не был получен, или оно может вызвать только задержку запрашиваемого ресурса, достаточно долгую для того, чтобы он стал бесполезным. В таких случаях говорят, что ресурс исчерпан.

Субъекты, объекты и доступ

Под сущностью мы будем понимать любую именованную составляющую компьютерной системы.

Субъект будет определяться как активная сущность, которая может инициировать запросы ресурсов и использовать их для выполнения каких-либо вычислительных заданий. Под субъектами мы будем обычно понимать пользователя, процесс или устройство.

Объект будет определяться как пассивная сущность, используемая для хранения или получения информации. Примеры объектов: записи, блоки, страницы, сегменты, файлы, директории, биты, байты, слова, терминалы, узлы сети и т.д.

Хотя основную концепцию идентификации субъектов и объектов в системе описать просто, при практической реализации часто бывает не тривиальной задачей определить: что есть субъект, а что — объект. Например, в ОС процессы, конечно, являются субъектами, в то время как файлы и связанные с ними директории — объектами. Однако, когда субъекты получают коммуникационные сигналы от других субъектов, встает вопрос, рассматривать ли их как субъекты или же, как объекты.

Обозначим в дальнейших рассуждениях произвольное множество субъектов при помощи символа S, а произвольное множество объектов при помощи символа О.

В процессе исполнения субъекты исполняют операции. При исполнении субъектами операций происходит взаимодействие субъектов и объектов. Такое взаимодействие называется доступом. Доступ — это взаимодействие между субъектом и объектом, в результате которого происходит перенос информации между ними. Существуют две фундаментальные операции, переносящие информацию между субъектами и объектами. Под операцией чтения понимается операция, результатом которой является перенос информации от объекта к субъекту. Под операцией записи понимается операция, результатом которой является перенос информации от объекта к субъекту. Данные операции являются минимально необходимым базисом для описания широкого круга моделей, описывающих защищенные системы.