Загрози безпеці інформаційних систем та технологій?

За метою впливу розрізняють три основні типи загроз безпеці інформаційних систем [¹²⁹]:

• загрози порушення конфіденційності інформації;
• загрози порушення цілісності інформації;
• загрози порушення працездатності системи (відмови в обслуговуванні).

Загрози порушення конфіденційності направлені на розголошення конфіденційної чи секретної інформації. При реалізації цих загроз інформація стає відомою особам, які не повинні мати до неї доступ. В термінах комп’ютерної безпеки загроза порушення конфіденційності проявляється щоразу, коли отримано несанкціонований доступ до деякої закритої інформації, що зберігається в комп’ютерній системі чи передається від однієї комп’ютерної системи до іншої.

Загрози порушення цілісності інформації, що зберігається в комп’ютерній системі чи передається по каналу зв’язку, направлені на її зміну чи спотворення, що приводить до порушення її якості чи повного знищення. Цілісність інформації може бути порушена спеціально зловмисноком, а також в результаті впливу зовнішнього середовища, що оточує систему. Ця загроза є особливо актуальна для систем передачі інформації – комп’ютерних мереж та систем телекомунікацій. Зумисні порушення цілісності інформації не слід плутати з її санкціонованою зміною, яка здійснюється повноважними особами з обґрунтованою метою.

Загрози порушення працездатності (відмова в обслуговуванні) направлені на створення таких ситуацій, коли певні навмисні дії або знижують працездатність ІС, або блокують доступ до її ресурсів. Наприклад, якщо один користувач системи робить спробу отримати доступ до деякої служби, а інший здійснює дії з блокування цього доступу, то перший користувач отримує відмову в обслуговуванні. Блокування доступу до ресурсу може бути постійним чи тимчасовим.

Порушення конфіденційності та цілісності інформації, а також доступності і цілісності певних ресурсів ІС можуть бути викликані різними небезпечними впливами на інформаційну систему. Сучасні автоматизовані системи обробки інформації представляють собою складну систему, що складається з великої кількості компонент різного ступеня автономності, які зв’язані між собою та обмінюються даними. Практично кожний компонент може піддаватися зовнішньому впливу чи вийти з ладу. Компоненти інформаційної системи можна розділити на такі групи:

• апаратні засоби;
• програмне забезпечення;
• дані;
• персонал

Небезпечні впливи на ІС можна поділити на випадкові та зловмисні. Аналіз досвіду проектування, виготовлення та експлуатації інформаційних систем показує, що інформація піддається різним випадковим впливам на всіх етапах функціонування інформаційної системи. Причинами випадкових впливів можуть бути:

• аварійні ситуації, пов’язані зі стихійними лихами та відключеннями електричного живлення;
• відмови та збої апаратури;
• помилки в програмному забезпеченні;
• помилки в роботі обслуговуючого персоналу та користувачів;
• завади в лініях зв’язку, спричинені впливом зовнішнього середовища.

Навмисні загрози пов’язані з цілеспрямованими діями порушника. Порушником може бути співробітник, відвідувач, конкурент, найманець тощо. Дії порушника можуть бути зумовлені різними мотивами: невдоволенням співробітника своєю кар’єрою, матеріальною зацікавленістю, цікавістю, конкурентною боротьбою, прагненням самоствердження та ін. Виходячи з можливості виникнення найнебезпечнішої ситуації, зумовленої діями порушника, можна скласти гіпотетичну модель потенційного порушника:

• кваліфікація порушника може бути на рівні розробника даної системи;
• порушником може бути як стороння особа, так і законний користувач системи;
• порушнику відома інформація про принципи роботи системи;
• порушник вибирає найслабшу ланку в захисті.

Можна виділити такі приклади навмисних загроз [¹³⁰]:

• несанкціонований доступ сторонніх осіб, що не належать до числа співробітників, та ознайомлення з конфіденційною інформацією;
• ознайомлення співробітників з інформацією, до якої вони не повинні мати доступ;
• несанкціоноване копіювання програм і даних;
• викрадення носіїв інформації, що містять конфіденційну інформацію;
• викрадення роздрукованих документів;
• навмисне знищення інформації;
• несанкціонована модифікація співробітниками фінансових документів, звітності та баз даних;
• фальсифікація повідомлень, що передаються по каналах зв’язку;
• відмова від авторства повідомлення, переданого каналом зв’язку;
• відмова від факту отримання інформації;
• пошкодження інформації, викликане впливом вірусів;
• пошкодження архівної інформації, розміщеної на змінних носіях;
• викрадення обладнання.

Несанкціонований доступ є найбільш розповсюдженим та різностороннім видом комп’ютерних порушень. Суть несанкціонованого доступу полягає в отриманні користувачем (порушником) доступу до об’єкту з порушенням правил розмежування доступу, встановлених у відповідності до прийнятої в організації політики безпеки[Error: Reference source not found]. Несанкціонований доступ використовує будь-яку помилку в системі захисту та можливий при нераціональному виборі засобів захисту, некоректному їх встановленні та настроюванні. Несанкціонований доступ може бути здійснений як штатними засобами ІС, так і спеціально створеними апаратними і програмними засобами.

Наведемо перелік основних каналів несанкціонованого доступу, через які зловмисник може отримати доступ до компонентів ІС та здійснити крадіжку, модифікацію і/або пошкодження інформації:

• усі штатні канали доступу до інформації (комп’ютери користувачів, оператора, адміністратора системи; засоби відображення та документування інформації; канали зв’язку) при їх використанні порушниками, а також законними користувачами за межами їх повноважень;
• технологічні пульти управління;
• лінії зв’язку між апаратними засобами ІС;
• побічні електромагнітні випромінювання від апаратури, ліній зв’язку, мереж електричного живлення, заземлення тощо.

Із всього розмаїття способів та прийомів несанкціонованого доступу зупинимося на найбільш розповсюджених та зв’язаних між собою порушеннях:

• перехоплення паролів;
• „маскарад“;
• незаконне використання привілеїв.

Перехоплення паролів здійснюється спеціально розробленими програмами. При спробі законного користувача ввійти в систему програма-перехоплювач імітує на екрані введення логіну та паролю користувача, які пересилаються власнику програми-перехоплювача після чого на екран виводиться повідомлення про помилку і управління повертається операційній системі. Користувач вважає, що допустив помилку при введенні паролю. Він повторює введення і отримує доступ в систему. Власник програми-перехоплювача, отримавши логін та пароль законного власника, може тепер їх використовувати в своїх цілях. Існують й інші способи перехоплення паролів.

„ Маскарад“ – це виконання якихось дій одним користувачем від імені іншого, що має відповідні повноваження. Метою „маскараду“ є приписування якихось дій іншому користувачу або присвоєння повноважень та привілеїв іншого користувача. Прикладами реалізації „маскараду“ є:

• вхід в систему під іменем та паролем іншого користувача (такому „маскараду“ передує перехоплення паролю);
• передача повідомлень в мережі від імені іншого користувача.

„Маскарад“ є особливо небезпечним в банківських системах електронних платежів, де неправильна ідентифікація клієнта із-за „маскараду“ зловмисника може привести до великих втрат законного клієнта банку.

Незаконне використання привілеїв. Більшість систем захисту встановлюють певні набори привілеїв для виконання заданих функцій. Кожний користувач отримує свій набір привілеїв: звичайні користувачі – мінімальний, адміністратори – максимальний. Несанкціоноване захоплення привілеїв, наприклад засобами „маскараду“, приводить до можливості виконання порушником певних дій в обхід системи захисту. Слід зазначити, що незаконне захоплення привілеїв можливе або за наявності помилок в системі захисту, або із-за халатності адміністратора при управлінні системою та призначенні привілеїв.

Окремо слід зупинитися на загрозах, яким можуть піддаватися комп’ютерні мережі. Основна особливість будь-якої комп’ютерної мережі полягає в тому, що її компоненти розподілені в просторі. При вторгненні в комп’ютерну мережу зловмисник може використовувати як пасивні, так і активні методи вторгнення. При пасивному вторгненні (перехопленні інформації) порушник тільки спостерігає за проходженням інформації по каналу зв’язку, не втручаючись ні в інформаційний потік, ні в зміст інформації. Як правило, зловмисник може визначити пункти призначення та ідентифікатори або тільки факт проходження повідомлення, його довжину та частоту обміну, якщо зміст повідомлення розпізнати неможливо, – виконати аналіз трафіку (потоку повідомлень) в даному каналі.

При активному вторгненні порушник прагне підмінити інформацію, що передається в повідомленні. Він може вибірково модифікувати чи змінювати повідомлення, затримувати чи змінювати порядок слідування повідомлень. Зловмисник може також анулювати і затримувати усі повідомлення, що передаються по каналу. Такі дії можна кваліфікувати як відмову в передачі повідомлень.

Комп’ютерні мережі характерні тим, що крім звичайних локальних атак, які здійснюються в межах однієї системи, проти об’єктів мереж здійснюють так звані, віддалені атаки. Зловмисник може перебувати за тисячі кілометрів від атакованого об’єкта, при цьому нападу може піддаватися не тільки конкретний комп’ютер, а й інформація, що передаються по мережним каналам зв’язку. Під віддаленою атакою розуміють інформаційний зловмисний вплив на розподілену комп’ютерну мережу, який здійснюється програмно з використанням каналів зв’язку. Троянський кінь“ представляє собою програму, яка поряд з діями, описаними в її документації, виконує деякі інші дії, що ведуть до порушення безпеки системи та деструктивних результатів. Аналогія такої програми з давньогрецьким „троянським конем“ повністю виправдана, оскільки в обидвох випадках оболонка, що не викликає підозр, містить в собі серйозну загрозу. Термін „троянський кінь“ було вперше використано Даном Едвардсом, який пізніше став співробітником Агенства Національної Безпеки США. „Троянський кінь“ використовує обман для того, щоб змустити користувача запустити програму з прихованою загрозою всередині. Зазвичай для цього стверджується, що така програма виконує деякі корисні функції. Зокрема, такі програми маскуються під якісь корисні утиліти.

Небезпека „троянського коня“ полягає в додатковому блоці команд, вбудованому у вихідну корисну програму, яка потім надається користувачам. Цей блок команд може спрацьовувати при настанні якоїсь умови (дати, стану системи) або по команді ззовні. Користувач, який запустив таку програму, піддає небезпеці як свої ресурси, так і всю ІС в цілому. Наведемо для прикладу деякі деструктивні функції, що реалізуються „троянськими конями“ [¹³¹]:

• знищення інформації. Вибір об’єктів та способів знищення визначається фантазією та цілями автора зловмисної програми;
• перехоплення та передача інформації. Зокрема, відомі програми, які здійснюють перехоплення паролів, що набираються на клавіатурі;
• цілеспрямована модифікація тексту програми, яка реалізує функції безпеки та захисту системи.

Загалом, „троянські коні“ завдають збитки ІС шляхом викрадення інформації та явного пошкодження програмного забезпечення системи. „Троянський кінь“ є однією з найнебезпечніших загроз безпеці ІС. Радикальний спосіб захисту від цієї загрози полягає у створенні замкнутого середовища виконання програм, які повинні зберігатися і захищатися від несанкціонованого доступу. При цьому встановлення нового програмного забезпечення на комп’ютер повинно бути дозволено тільки адміністраторам, чого зазвичай складно досягти.

Комп’ютерні „віруси“ – це певний тип програмних об’єктів, які володіють рядом властивостей, притаманних живим організмам, – вони народжуються, розмножуються та помирають. Термін „вірус“ стосовно до комп’ютерів був запропонований Фредом Коеном із Університету Південної Каліфорнії. Історично перше визначення, дане Ф. Коеном звучало так: „ Комп’ютерний вірус – це програма, яка може заражати інші програми, змінюючи їх шляхом включення в них своєї, можливо, зміненої копії, причому остання зберігає здатність до подальшого розмноження “ [¹³²]. Ключовими поняттями у визначенні комп’ютерного вірусу є здатність вірусу до саморозмноження та модифікації коду заражених програм.

Мережний „черв’як“ представляє собою різновид програми-вірусу, яка розповсюджується глобальною мережею і не залишає своєї копії на магнітному носії (хоча є й інші варіанти „черв’яків“, які зберігаються на фізичних носіях у вигляді файлів). Перші варіанти „черв’яків“ були розроблені для пошуку в мережі інших комп’ютерів з вільними ресурсами щоб забезпечувати можливість проведення розподілених обчислень. При правильному використанні технологія „черв’яків“ може бути надзвичайно корисною. Наприклад, „черв’як“ World Wide Web Worm формує індекс пошуку ділянок Web. Проте „черв’як“ легко перетворюється у шкідливу програму.

Мережні „черв’яки“ є найнебезпечнішим видом зловмисних програм, оскільки об’єктом їх нападу може стати будь-який з величезної кількості комп’ютерів, підключених до глобальної мережі Інтернет, чи інших мереж. Для захисту від „черв’яка“ застосовують засоби, направлені на блокування несанкціонованого доступу до внутрішньої мережі.

Слід зазначити, що „троянські коні“, комп’ютерні віруси та мережні „черв’яки“ відносяться до найнебезпечніших загроз ІС. Для захисту від зловмисних програм необхідно застосовувати ряд заходів [Error: Reference source not found]:

• виключення несанкціонованого доступу до виконуваних файлів;
• тестування нових програм;
• контроль цілісності виконуваних файлів та системних областей;
• створення замкнутого середовища виконання програм

Семінар 20