С. К. Варлатая, М. В. Шаханова

Защита информационных процессов в компьютерных сетях

Учебно-методический комплекс

ebooks@prospekt.org

Информация о книге

УДК 614.2

ББК 32.973-018.2я73

В18

Рецензенты:

Корнюшин П. Н. — д-р физ.-мат. наук, зав. кафедрой информационной безопасности ДВГУ;

Глушков С. В. — канд. техн. наук, профессор, зав. кафедрой АИС МГУ.

Варлатая С. К., Шаханова М. В.

Учебно-методический комплекс содержит рабочую учебную программу, учебное пособие, а также актуальный материал справочно-аналитического характера по теме «Защита информационных процессов в компьютерных сетях». 

В учебном пособии отражаются основные методы защиты информации в компьютерных сетях и стандарты оценки защищенности таких сетей. Особое внимание уделено основам обеспечения сетевой безопасности, показана необходимость комплексного подхода к защите вычислительных сетей, акцентировано внимание на распределенной, децентрализованной природе Интернета. 

Пособие может быть использовано как справочная литература, кроме того, оно подготовлено в качестве основного учебника для курсов повышения квалификации по защите сетевой информации.

УДК 614.2

ББК 32.973-018.2я73

© Дальневосточный государственный технический университет, 2008

© ДВФУ, 2015

© ООО «Проспект», электронная версия книги, 2015

УЧЕБНОЕ ПОСОБИЕ

ВВЕДЕНИЕ

Судя по растущему количеству публикаций и компаний, профессионально занимающихся защитой информации в компьютерных системах, решению этой задачи придается большое значение. Одной из наиболее очевидных причин нарушения системы защиты являются умышленный несанкционированный доступ (НСД) к конфиденциальной информации со стороны нелегальных пользователей и последующие нежелательные манипуляции с этой информацией. Защита информации – это комплекс мероприятий, проводимых с целью предотвращения утечки, хищения, утраты, несанкционированного уничтожения, искажения, модификации (подделки), несанкционированного копирования, блокирования информации и т.п. Поскольку утрата информации может происходить по сугубо техническим, объективным и неумышленным причинам, под это определение подпадают также и мероприятия, связанные с повышением надежности сервера из-за отказов или сбоев в работе винчестеров, недостатков в используемом программном обеспечении и т.д.

Следует заметить, что наряду с термином "защита информации" (применительно к компьютерным сетям) широко используется, как правило, в близком значении, термин "компьютерная безопасность".

Переход от работы на персональных компьютерах к работе в сети усложняет защиту информации по следующим причинам:

1) большое число пользователей в сети и их переменный состав. Защита на уровне имени и пароля пользователя недостаточна для предотвращения входа в сеть посторонних лиц;

2) значительная протяженность сети и наличие многих потенциальных каналов проникновения в сеть;

3) уже отмеченные недостатки в аппаратном и программном обеспечении, которые зачастую обнаруживаются не на предпродажном этапе, называемом бетатестированием, а в процессе эксплуатации, в том числе неидеальны встроенные средства защиты информации даже в таких известных и "мощных" сетевых ОС, как Windows NT или NetWare.

В компьютерной сети имеется много физических мест и каналов несанкционированного доступа к информации в сети. Каждое устройство в сети является потенциальным источником электромагнитного излучения из-за того, что соответствующие поля, особенно на высоких частотах, экранированы неидеально. Система заземления вместе с кабельной системой и сетью электропитания может служить каналом доступа к информации в сети, в том числе на участках, находящихся вне зоны контролируемого доступа и потому особенно уязвимых. Кроме электромагнитного излучения, потенциальную угрозу представляет бесконтактное электромагнитное воздействие на кабельную систему. Безусловно, в случае использования проводных соединений типа коаксиальных кабелей или витых пар, называемых часто медными кабелями, возможно и непосредственное физическое подключение к кабельной системе. Если пароли для входа в сеть стали известны или подобраны, становится возможным несанкционированный вход в сеть с файл-сервера или с одной из рабочих станций. Наконец, возможна утечка информации по каналам, находящимся вне сети:

• хранилище носителей информации;

• элементы строительных конструкций и окна помещений, которые образуют каналы утечки конфиденциальной информации за счет так называемого микрофонного эффекта;

• телефонные, радио-, а также иные проводные и беспроводные каналы (в том числе каналы мобильной связи).

Любые дополнительные соединения с другими сегментами или подключение к Интернет порождают новые проблемы. Атаки на локальную сеть через подключение к Интернету для того, чтобы получить доступ к конфиденциальной информации, в последнее время получили широкое распространение, что связано с недостатками встроенной системы защиты информации в протоколах TCP/IP.

Пособие ставит своей целью освоение студентами основных принципов и методов, применяемых при проектировании и построении защищенных вычислительных сетей. В данном пособии освещаются актуальные вопросы защиты информации при создании и использовании распределенных информационных сетях. Представлена специфика возникновения угроз информационной безопасности в открытых сетях, сформулированы требования к защите автоматизированных систем от НСД.

Учебное пособие предназначено как для академической, так и для профессиональной аудитории и может выступать в качестве основы курса «Защита информационных процессов в компьютерных сетях» для студентов специальностей «Комплексная защита объектов информации» и «Информационные системы и технологии», а также материалы пособия могут быть использованы как справочная литература.

1. ТОПОЛОГИЯ И УГРОЗЫ БЕЗОПАСНОСТИ ЛОКАЛЬНОЙ СЕТИ

1.1. Характеристика локальных сетей

Локальной вычислительной сетью (ЛВС) называют совместное подключение нескольких отдельных компьютеров к единому каналу передачи данных. Понятие ЛВС относится к географически ограниченным (территориально или производственно) аппаратно-программным комплексам, в которых несколько компьютерных систем связаны между собой с помощью соответствующих средств коммуникаций.

Соединение компьютеров в сеть обеспечивает следующие основные возможности:

• объединение ресурсов – возможность резервировать вычислительные мощности и средства передачи данных на случай выхода из строя отдельных из них с целью быстрого восстановления нормальной работы узлов сети;

• разделение ресурсов – возможность распределить и повысить уровень загрузки дорогостоящего периферийного оборудования;

• разделение данных – возможность создавать распределенные базы данных, размещаемые в памяти отдельных компьютеров;

• разделение программных средств – возможность совместного использования программных средств;

• разделение вычислительных ресурсов – возможность организовать параллельную обработку данных, используя для обработки данных другие системы, входящие в сеть.

ЛВС предоставляет возможность одновременного использования программ и баз данных несколькими пользователями, а также возможность взаимодействия с другими рабочими станциями, подключенными к сети. Посредством ЛВС в систему объединяются персональные компьютеры, расположенные на многих удаленных рабочих местах, которые используют совместно оборудование, программные средства и информацию.

Локальная сеть представляет собой набор компьютеров, периферийных устройств (принтеров и т.п.) и коммутационных устройств, соединенных информационным каналом. Локальные сети делятся на учрежденческие (офисные сети фирм, сети организационного управления и другие сети, различающиеся по терминологии, но практически одинаковые по своей идеологической сути) и сети управления технологическими процессами на предприятиях.

Характеристики локальной сети:

• каналы являются высокоскоростными (10 Мбит/с – 10 Гбит/с);

• расстояние между рабочими станциями, подключаемыми к локальной сети, обычно составляет от нескольких метров до нескольких тысяч;

• канал локальной сети обычно находится в монопольной собственности организации, использующей сеть;

• децентрализация терминального оборудования, в качестве которого используются микропроцессоры, дисплеи, кассовые устройства и т.д.;

• возможность реконфигурации и развития путем подключения новых терминалов;

• интенсивность ошибок в локальной сети ниже по сравнению с сетью на базе телефонных каналов;

• наличие локальной сети позволяет упростить и удешевить персональные ЭВМ, поскольку они коллективно используют в режиме разделения времени наиболее дорогие ресурсы: дисковую память и печатающие устройства.

1.2. Преимущества и недостатки основных топологий сети

Термин «топология сети» характеризует физическое расположение компьютеров, кабелей и других компонентов сети. Каждая топология сети налагает ряд условий. Например, она может диктовать не только тип кабеля, но и способ его прокладки. Также топология может определять способ взаимодействия компьютеров в сети. Различным видам топологий соответствуют разные методы взаимодействия. Важно отметить, что понятие топологии относится прежде всего к локальным сетям, в которых структуру связей можно легко проследить. В глобальных сетях структура связей обычно скрыта от пользователей и не слишком важна, так как каждый сеанс связи может производиться по собственному пути.

Существуют три основных вида топологий: «шина», «звезда» и «кольцо».

Топология «шина» (или, как ее еще называют, общая шина) является наиболее простой и широко распространенной из всех видов топологий (рис. 1.1). Она имеет линейную конфигурацию, при которой все компьютеры соединены параллельно одним кабелем, именуемым магистралью или сегментом. Данные в виде электрических сигналов передаются всем компьютерам сети; однако информацию принимает только тот, адрес которого соответствует адресу получателя. Но, так как данные распространяются по всей сети, если не предпринимать никаких специальных действий, сигнал, достигая конца кабеля, будет отражаться и не позволит другим компьютерам осуществлять передачу. Чтобы предотвратить эффект отражения сигналов, к концам кабеля подключают терминаторы, поглощающие эти сигналы. Передавать данные одномоментно может только один компьютер, поэтому чем больше компьютеров в сети, тем меньше его пропускная способность.

Рис. 1.1. Топология «шина»

Шина – пассивная топология. Это значит, что компьютеры только «слушают» передаваемые по сети данные, но не перемещают их от отправителя к получателю, поэтому если один из компьютеров выйдет из строя, то это не скажется на работе остальных.

Для увеличения длины сети с топологией шина часто используют несколько сегментов (частей сети, каждый из которых представляет собой шину), соединенных между собой с помощью специальных усилителей и восстановителей сигналов — репитеров, или повторителей (на рис. 1.2 показано соединение двух сегментов, предельная длина сети в этом случае возрастает до 2 Lпр, так как каждый из сегментов может быть длиной Lпр). Однако такое наращивание длины сети не может продолжаться бесконечно. Ограничения на длину связаны с конечной скоростью распространения сигналов по линиям связи.

Преимущества данной топологии сети:

• возможность добавления или исключения узлов без повторной инициализации сети;

• обеспечение работоспособности сети при выходе из строя одного или нескольких узлов;

• возможность распределённого управления работой сети через узловые интерфейсы.

Рис. 1.2. Соединение сегментов сети типа шина с помощью репитера

Основной недостаток шинной сети – невозможность одновременной передачи информации несколькими станциями. Если несколько компьютеров будут передавать информацию одновременно, она исказится в результате наложения (конфликта, коллизии). В шине всегда реализуется режим так называемого полудуплексного (half duplex) обмена (в обоих направлениях, но по очереди, а не одновременно).

При топологии «кольцо» компьютеры подключаются к кабелю, замкнутому в кольцо (рис. 1.3). Сигналы предаются по кольцу в одном направлении. В этом случае данные передаются от одного компьютера к другому как бы по эстафете. Если компьютер получит данные, предназначенные для другого компьютера, он передает их дальше по кольцу. Если данные предназначены для получившего их компьютера, они дальше не передаются. «Кольцо» – это активная топология. Здесь каждый компьютер выступает в роли репитера, передавая сигналы следующему компьютеру.

Рис. 1.3. Топология «кольцо»

Иногда сеть с топологией «кольцо» выполняется на основе двух параллельных кольцевых линий связи, передающих информацию в противоположных направлениях (рис. 1.4). Цель подобного решения — увеличение (в идеале вдвое) скорости передачи информации по сети. К тому же при повреждении одного из кабелей сеть может работать с другим кабелем (правда, предельная скорость уменьшится).

Рис. 1.4. Сеть с двумя кольцами

Преимущества кольцевых локальных сетей:

• при использовании соответствующих детерминированных методов доступа в таких сетях не только гарантируется доступ каждого абонента через определенные интервалы времени независимо от нагрузки сети, но и допускается одновременная передача информации несколькими абонентами;

• невысокая стоимость сетевых интерфейсов, реализующих прямые методы передачи и управления доступом в сеть.

Недостатки кольцевых сетей:

• при добавлении или замене узла необходимы остановка в работе сети и временный разрыв кольца;

• выход из строя узла сети прерывает работу всей сети.

При топологии «звезда» (рис. 1.5) все компьютеры подключаются к центральному компоненту, именуемому концентратором (hub). Центральным узлом в топологии «звезда» является концентратор. Сигналы от передающего компьютера поступают через концентратор ко всем остальным. В сетях с топологией «звезда» подключение кабеля и управление конфигурацией сети централизованны.

Концентраторы бывают трех видов:

• активные концентраторы регенерируют и передают сигналы так же, как это делают репитеры;

• пассивные – просто пропускают через себя сигнал, не усиливая и не восстанавливая его;

• к гибридным концентраторам можно подключить кабели различных видов.

Рис. 1.5. Топология «звезда»

Преимущества сети с топологией «звезда»:

• если выйдет из строя только один компьютер (или кабель, соединяющий его с концентратором), то лишь этот компьютер не сможет передавать или принимать данные по сети;

• сети, построенные на концентраторах, легко расширить, если подключить дополнительные концентраторы;

• при использовании топологии "звезда" легче найти неисправность в кабельной сети.

Недостатки сети с топологией «звезда»:

• так как все компьютеры подключены к центральной точке, для больших сетей значительно увеличивается расход кабеля;

• если центральный компонент выйдет из строя, то нарушится работа всей сети.

Локальная сеть может использовать одну или несколько из перечисленных топологий. Это зависит от количества объединяемых компьютеров, их взаимного расположения и других условий. Можно также объединить несколько локальных сетей, выполненных с использованием разных топологий, в единую локальную сеть.

Кроме трех рассмотренных базовых топологий нередко применяется также сетевая топология дерево (tree), которую можно рассматривать как комбинацию нескольких звезд. Причем, как и в случае звезды, дерево может быть активным или истинным (рис. 1.6) и пассивным (рис. 1.7). При активном дереве в центрах объединения нескольких линий связи находятся центральные компьютеры, а при пассивном — концентраторы (хабы).

Рис. 1.6. Топология активное дерево

Рис. 1.7. Топология пассивное дерево (К — концентраторы)

Довольно часто применяются комбинированные топологии, среди которых наиболее распространены звездно-шинная (рис. 1.8) и звездно-кольцевая (рис. 1.9).

Рис. 1.8. Пример звездно-шинной топологии

Рис. 1.9. Пример звездно-кольцевой топологии

В звездно-шинной (star-bus) топологии используется комбинация шины и пассивной звезды. К концентратору подключаются как отдельные компьютеры, так и целые шинные сегменты. На самом деле реализуется физическая топология «шина», включающая все компьютеры сети. В данной топологии может использоваться и несколько концентраторов, соединенных между собой и образующих так называемую магистральную, опорную шину. К каждому из концентраторов при этом подключаются отдельные компьютеры или шинные сегменты. В результате получается звездно-шинное дерево. Таким образом, пользователь может гибко комбинировать преимущества шинной и звездной топологий, а также легко изменять количество компьютеров, подключенных к сети. С точки зрения распространения информации данная топология равноценна классической шине.

В случае звездно-кольцевой (star-ring) топологии в кольцо объединяются не сами компьютеры, а специальные концентраторы (изображенные на рис. 1.9 в виде прямоугольников), к которым в свою очередь подключаются компьютеры с помощью звездообразных двойных линий связи. В действительности все компьютеры сети включаются в замкнутое кольцо, так как внутри концентраторов линии связи образуют замкнутый контур (как показано на рис. 1.9). Данная топология дает возможность комбинировать преимущества звездной и кольцевой топологий. Например, концентраторы позволяют собрать в одно место все точки подключения кабелей сети. Если говорить о распространении информации, данная топология равноценна классическому кольцу.

В заключение надо также привести пример сеточной топологии (mesh), при которой компьютеры связываются между собой не одной, а многими линиями связи, образующими сетку (рис. 1.10).

Рис. 1.10. Сеточная топология: полная (а) и частичная (б)

В полной сеточной топологии каждый компьютер напрямую связан со всеми остальными компьютерами. В этом случае при увеличении числа компьютеров резко возрастает количество линий связи. Кроме того, любое изменение в конфигурации сети требует внесения изменений в сетевую аппаратуру всех компьютеров, поэтому полная сеточная топология не получила широкого распространения.

Частичная сеточная топология предполагает прямые связи только для самых активных компьютеров, передающих максимальные объемы информации. Остальные компьютеры соединяются через промежуточные узлы. Сеточная топология позволяет выбирать маршрут для доставки информации от абонента к абоненту, обходя неисправные участки. С одной стороны, это увеличивает надежность сети, с другой – требует существенного усложнения сетевой аппаратуры, которая должна выбирать маршрут.

1.3. Взлом парольной защиты операционных систем

Практика показывает: чем масштабнее сеть и чем ценнее информация, доверяемая подключенным к ней компьютерам, тем больше находится желающих нарушить их нормальное функционирование ради материальной выгоды или просто из праздного любопытства. Наиболее опасным при этом является взлом парольной защиты операционных систем, которые содержат системный файл с паролями пользователей сети.

Иногда злоумышленнику не удается путем различных ухищрений получить в свое распоряжение файл с именами пользователей и их зашифрованными паролями. И тогда ему на помощь приходят специализированные программы, так называемые парольные взломщики.

Криптографические алгоритмы, применяемые для шифрования паролей пользователей в современных операционных системах, в подавляющем большинстве случаев являются слишком стойкими, чтобы можно было надеяться отыскать методы их дешифрования, которые окажутся более эффективными, чем тривиальный перебор возможных вариантов. Поэтому парольные взломщики иногда просто шифруют все пароли с использованием того же самого криптографического алгоритма, который применяется для их засекречивания в атакуемой операционной системе, и сравнивают результаты шифрования с тем, что записано в системном файле, содержащем шифрованные пароли ее пользователей. При этом в качестве вариантов паролей парольные взломщики используют символьные последовательности, автоматически генерируемые из некоторого набора символов. Данный способ позволяет взломать все пароли, если известно их представление в зашифрованном виде и они содержат только символы из данного набора. Максимальное время, которое потребуется для взлома пароля, можно вычислить по следующей формуле:

,

где N — число символов в наборе; L — предельная длина пароля; S — количество проверок в секунду (зависит от операционной системы и быстродействия компьютера, на котором производится взлом ее парольной защиты).

Из приведенной формулы видно, что за счет очень большого числа перебираемых комбинаций, которое растет экспоненциально с увеличением числа символов в исходном наборе, такие атаки парольной защиты операционной системы могут занимать слишком много времени. Однако хорошо известно, что большинство пользователей операционных систем не затрудняют себя выбором стойких паролей (т.е. таких, которые трудно взломать). Поэтому для более эффективного подбора паролей парольные взломщики обычно используют так называемые словари, представляющие собой заранее сформированный список слов, наиболее часто применяемых на практике в качестве паролей. Для каждого слова из словаря парольный взломщик использует одно или несколько правил. В соответствии с этими правилами, слово изменяется и порождает дополнительное множество вариантов. Производится попеременное изменение буквенного регистра, в котором набрано слово, порядок следования букв в слове меняется на обратный, в начало и в конец каждого слова приписывается цифра 1, некоторые буквы заменяются на близкие по начертанию цифры (в результате, например, из слова password получается pa55wOrd). Это повышает вероятность точного подбора пароля, поскольку в современных операционных системах, как правило, различаются пароли, набранные заглавными и строчными буквами, а пользователям этих систем настоятельно рекомендуется выбирать пароли, в которых буквы чередуются с цифрами.

Одни парольные взломщики поочередно проверяют каждое слово из словаря, применяя к нему определенный набор правил для генерации дополнительного множества опробуемых паролей. Другие предварительно обрабатывают весь словарь при помощи этих же правил, получая новый словарь большего размера, и затем из него берут проверяемые пароли. Учитывая, что словари обычных разговорных языков состоят всего из нескольких сотен тысяч слов, а скорость шифрования паролей достаточно высока, парольные взломщики, осуществляя поиск со словарем, работают достаточно быстро.

Пользовательский интерфейс подавляющего большинства парольных взломщиков трудно назвать дружественным. После их запуска на экране монитора, как правило, появляется лаконичный запрос File?, означающий, что необходимо ввести имя файла, где хранится словарь. Да и документацию к парольным взломщикам обильной не назовешь.

Правда, для этого есть свои объективные причины.

Во-первых, парольные взломщики предназначены исключительно для подбора паролей. Такая узкая специализация не способствует разнообразию их интерфейса и обилию сопроводительной документации.

Во-вторых, авторами большей части парольных взломщиков являются люди компьютерного подполья, которые создают такие программы «на лету» для удовлетворения собственных сиюминутных потребностей, и поэтому редко снабжают их подробной документацией и встроенными справочными системами. Исключение из этого правила составляют только парольные взломщики, созданные специалистами в области компьютерной безопасности для выявления слабостей в парольной защите операционных систем. В этом случае дистрибутив парольного взломщика, помимо самой программы, обязательно включает разнообразные дополнительные сведения, касающиеся технических сторон ее эксплуатации, а также небольшой словарь.

В настоящее время в Internet существует несколько депозитариев словарей для парольных взломщиков.

1.4. Классификация вирусов

Вирус – это программа или кодовый сегмент, который при получении управления стремится выполнить скрытое самокопирование в различные области выполняемых кодов других программ, максимально защищается от обнаружения и по истечении инкубационного периода заявляет о себе тем или иным действием.

Вирусы можно разделить на классы по следующим признакам:

• по среде обитания вируса;

• по способу заражения среды обитания;

• по деструктивным возможностям;

• по особенностям алгоритма вируса.

По среде обитания вирусы можно разделить на сетевые, файловые и загрузочные. Сетевые вирусы распространяются по компьютерной сети, файловые внедряются в выполняемые файлы, загрузочные – в загрузочный сектор диска (bootсектор) или в сектор, содержащий системный загрузчик винчестера (Master Boot Record). Существуют сочетания: например, файлово-загрузочные вирусы, заражающие как файлы, так и загрузочные сектора дисков. Такие вирусы, как правило, имеют довольно сложный алгоритм работы, часто применяют оригинальные методы проникновения в систему, используют стелс и полиморфик-технологии.

По способу заражения делятся на резидентный и нерезидентный. Резидентный вирус при инфицировании компьютера оставляет в оперативной памяти свою резидентную часть, которая затем перехватывает обращение операционной системы к объектам заражения и внедряется в них. Резидентные вирусы находятся в памяти и являются активными вплоть до выключения или перезагрузки компьютера. Нерезидентные вирусы не заражают память компьютера и являются активными ограниченное время. Некоторые вирусы оставляют в оперативной памяти небольшие резидентные программы, которые не распространяют вирус. Такие вирусы считаются нерезидентными.

По деструктивным возможностям вирусы можно разделить:

• на безвредные, т.е. никак не влияющие на работу компьютера (кроме уменьшения свободной памяти на диске в результате своего распространения);

• неопасные, влияние которых ограничивается уменьшением свободной памяти на диске и графическими, звуковыми и прочими эффектами;

• опасные вирусы, которые могут привести к серьезным сбоям в работе компьютера;

• очень опасные, которые могут привести к потере программ, уничтожить данные, стереть необходимую для работы компьютера информацию, записанную в системных областях памяти, и, как гласит одна из компьютерных легенд, способствовать быстрому износу движущихся частей механизмов – вводить в резонанс и разрушать головки винчестера.

По особенностям алгоритма можно выделить следующие группы вирусов:

• компаньон-вирусы (companion) – это вирусы, не изменяющие файлы. Алгоритм работы этих вирусов состоит в том, что они создают для exe-файлов файлы-спутники, имеющие то же самое имя, но с расширением.com: например, для файла design.exe создается файл design.com. Вирус записывается в com-файл и никак не изменяет exe-файл. При запуске такого файла ОС первым обнаружит и выполнит com-файл, т.е. вирус, который затем запустит и exe-файл;

• вирусы-«черви» (worm) – вирусы, которые распространяются в компьютерной сети и, так же как и компаньон-вирусы, не изменяют файлы или сектора на дисках. Они проникают в память компьютера из компьютерной сети, вычисляют сетевые адреса других компьютеров и рассылают по этим адресам свои копии. Такие вирусы иногда создают рабочие файлы на дисках системы, но могут вообще не обращаться к ресурсам компьютера (за исключением оперативной памяти);

• «паразитические» – все вирусы, которые при распространении своих копий обязательно изменяют содержимое дисковых секторов или файлов. В эту группу относятся все вирусы, которые не являются «червями» или «компаньон»;

• «студенческие» – крайне примитивные вирусы, часто нерезидентные и содержащие большое число ошибок;

• «стелс»-вирусы (вирусы-невидимки, stealth), представляющие собой весьма совершенные программы, которые перехватывают обращения ОС к пораженным файлам или секторам дисков и «подставляют» вместо себя незараженный участок информации. Кроме этого, такие вирусы при обращении к файлам используют достаточно оригинальные алгоритмы, позволяющие «обманывать» резидентные антивирусные мониторы. Один из первых «стелс»-вирусов – вирус «Frodo»;

• «полиморфик»-вирусы (polymorphic) – достаточно трудно обнаруживаемые вирусы, не имеющие сигнатур, т.е. не содержащие ни одного постоянного участка кода. В большинстве случаев два образца одного и того же «полиморфик»-вируса не будут иметь ни одного совпадения. Это достигается шифрованием основного тела вируса и модификациями программы-расшифровщика.

1.5. Типовые способы удаленных атак на локальную сеть

Злоумышленники могут предпринимать удаленные атаки на компьютерные сети. Строятся такие атаки на основе знаний о протоколах, используемых в сети Internet.

В результате успех атаки не зависит от того, какую именно программноаппаратную платформу использует пользователь. Хотя, с другой стороны, это внушает и известный оптимизм. Кроме того, существуют еще и внутренние атаки на информацию в компьютерных сетях (рис. 1.11).

За счет того, что все атаки построены на основе некоторого конечного числа базовых принципов работы сети Internet, становится возможным выделить типовые удаленные атаки и предложить некоторые типовые комплексы мер противодействия им. Эти меры, собственно, и обеспечивают сетевую безопасность.

Рис. 1.11. Разновидности атак на информацию в компьютерных сетях

Наиболее типовыми удаленными атаками на информацию в сети (рис. 1.12) из-за несовершенства Internet-протоколов являются:

• анализ сетевого трафика сети;

• внедрение ложного объекта сети;

• внедрение ложного маршрута.

Рис. 1.12. Типовые способы удаленных атак в сети Internet

Для получения доступа к серверу по базовым протоколам FTP (File Transfer Protocol) и TELNET (Протокол виртуального терминала) сети Internet пользователю необходимо пройти на нем процедуру идентификации и аутентификации. В качестве информации, идентифицирующей пользователя, выступает его идентификатор (имя), а для аутентификации используется пароль. Особенностью протоколов FTP и TELNET является то, что пароли и идентификаторы пользователей передаются по сети в открытом, незашифрованном виде.

Таким образом, для получения доступа к хостам Internet достаточно знать имя пользователя и его пароль. При обмене информацией два удаленных узла Internet делят информацию, которой обмениваются, на пакеты. Пакеты проходят по каналам связи; там пакеты и могут быть перехвачены.

Анализ протоколов FTP и TELNET показывает, что TELNET разбивает пароль на символы и пересылает их по одному, помещая каждый символ пароля в соответствующий пакет, a FTP, напротив, пересылает пароль целиком в одном пакете. Ввиду того что пароли эти никак не зашифрованы, с помощью специальных программ-сканеров пакетов можно выделить именно те пакеты, которые содержат имя и пароль пользователя. По этой же причине, кстати, ненадежна и столь популярная ныне программа ICQ. Протоколы и форматы хранения и передачи данных обмена ICQ известны, поэтому трафик ICQ также может быть перехвачен и вскрыт.

Проблема заключается в протоколах обмена. Базовые прикладные протоколы семейства TCP/IP были разработаны очень давно — на заре компьютерной техники (в период с конца 1960-х до начала 1980-х гг.) — и с тех пор абсолютно не изменились. В то время основной концепцией построения сети была надежность. Рассматривалась возможность сохранения работоспособности компьютерной сети даже после ядерного удара. За прошедшие годы подход к обеспечению информационной безопасности распределенных сетей существенно изменился. Были разработаны различные протоколы обмена, позволяющие защитить сетевое соединение и зашифровать трафик. Однако эти протоколы не сменили устаревшие и не стали стандартом (за исключением SSL).

Вся проблема заключается в том, чтобы они стали стандартом, к использованию этих протоколов должны перейти все пользователи сети, но так как в Internet отсутствует централизованное управление сетью, то процесс перехода может длиться еще многие годы. А в настоящее время подавляющее большинство пользователей используют стандартные протоколы семейства TCP/IP, разработанные более 25 лет назад. В результате, путем простого анализа сетевого трафика (потока информации) возможно вскрыть большинство систем средней защищенности.

Опытные пользователи Internet сталкиваются с таким явлением, как установка защищенного соединения (обычно при оплате какой-либо покупки в Internet при помощи кредитной карты). Это как раз и есть специальный протокол, который применяет современные криптографические средства с тем, чтобы затруднить перехват и расшифровку сетевого трафика. Однако большая часть сетевого трафика остается по-прежнему незащищенной.

В любой распределенной сети существуют еще такие «узкие места», как поиск и адресация. В ходе этих процессов становится возможным внедрение ложного объекта распределенной сети (обычно это ложный хост). Даже если объект имеет право на какой-либо ресурс сети, вполне может оказаться, что этот объект — ложный. Внедрение ложного объекта приводит к тому, что вся информация, которую нужно передать адресату, попадает на самом деле к злоумышленникам.

Для удобства пользователя в сети существует несколько уровней представления данных. Каждому из уровней соответствует своя система адресов. Так и на физическом диске файл на одном уровне представления определяется одним лишь своим именем, а на другом — как цепочка адресов кластеров, начиная с адреса первого кластера. При обращении к какому-либо хосту производится специальное преобразование адресов (из IP-адреса выводится физический адрес сетевого адаптера или маршрутизатора сети). В сети Internet для решения этой проблемы используется протокол ARP (Address Resolution Protocol).

Протокол ARP позволяет получить взаимно однозначное соответствие IPи Ethernet-адресов для хостов, находящихся внутри одного сегмента. Это достигается следующим образом: при первом обращении к сетевым ресурсам хост отправляет широковещательный ARP-запрос. Этот запрос получат все станции в данном сегменте сети. Получив запрос, хост внесет запись о запросившем хосте в свою ARP-таблицу, а затем отправит на запросивший хост ARP-ответ, в котором сообщит свой Ethernet-адрес. Если в данном сегменте такого хоста нет, то произойдет обращение к маршрутизатору, который позволяет обратиться к другим сегментам сети. Если пользователь и злоумышленник находятся в одном сегменте, то становится возможным осуществить перехват АRР-запроса и направить ложный ARP-ответ. В итоге обращение будет происходить по физическому адресу сетевого адаптера ложного хоста. Утешением может служить лишь то, что действие этого метода ограничено только одним сегментом сети.

Для обращения к хостам в сети Internet используются 32-разрядные IPадреса, уникально идентифицирующие каждый сетевой компьютер. Однако для пользователей применение IP-адресов при обращении к хостам является не слишком удобным и далеко не самым наглядным. Когда сеть Internet только зарождалась, было принято решение для удобства пользователей присвоить всем компьютерам в сети имена. Применение имен позволяет пользователю лучше ориентироваться в киберпространстве Internet. Пользователю намного проще запомнить, например, имя www.narod.ru, чем четырехразрядную цепочку.

Существует система преобразования имен, благодаря которой пользователь в случае отсутствия у него информации о соответствии имен и IP-адресов может получить необходимые сведения от ближайшего информационно-поискового DNS-cepвepa (Domain Name System). Эта система получила название доменной системы имен — DNS. Набирая мнемоническое имя, мы обращаемся тем самым к DNS-серверу, а он уже посылает IP-адрес, по которому и происходит соединение.

Так же как и в случае с ARP, возможно внедрение в сеть Internet ложного DNS-сервера путем перехвата DNS-запроса. Это происходит по следующему алгоритму:

1. Ожидание DNS-запроса;

2. Извлечение из полученного запроса необходимых сведений и передача по сети на запросивший хост ложного DNS-ответа от имени (с IP-адреса) настоящего DNS-сервера, в котором указывается IP-адрес ложного DNS-сервера;

3. При получении пакета от хоста изменение в IP-заголовке пакета его IPадреса на IP-адрес ложного DNS-сервера и передача пакета на сервер (т.е. ложный DNS-сервер ведет работу с сервером от своего имени);

4. При получении пакета от сервера изменение в IP-заголовке пакета его IPадреса на IP-адрес ложного DNS-сервера и передача пакета на хост (хост считает ложный DNS-сервер настоящим).

Современные глобальные сети представляют собой совокупность сегментов сети, связанных между собой через сетевые узлы. При этом маршрутом называется последовательность узлов сети, по которой данные передаются от источника к приемнику. Для унификации обмена информацией о маршрутах существуют специальные протоколы управления маршрутами; в Internet, например, это протокол обмена сообщениями о новых маршрутах ICMP (Internet Control Message Protocol) и протокол удаленного управления маршрутизаторами SNMP (Simple Network Management Protocol). Изменение маршрута — не что иное, как внедрение атакующего ложного хоста. Даже если конечный объект будет истинным, маршрут можно построить таким образом, чтобы информация все равно проходила через ложный хост.

Для изменения маршрута атакующему необходимо послать по сети специальные служебные сообщения, определенные данными протоколами управления сетью, от имени сетевых управляющих устройств (например, маршрутизаторов). В результате успешного изменения маршрута атакующий получит полный контроль над потоком информации, которым обмениваются два объекта распределенной сети, и затем может перехватывать информацию, анализировать, модифицировать ее, а то и просто удалять, т.е. становится возможным реализовать угрозы всех типов.

1.6. Распределенные атаки на отказ от обслуживания

Атаки на отказ от обслуживания, нацеленные на конкретные Web-узлы, вызывают переполнение последних за счет преднамеренного направления на них Internet-трафика большого объема. Такие атаки, предусматривающие запуск программ, иногда называемых зомби, ранее были скрыты на сотнях подключенных к Internet компьютерах, которые принадлежали обычно ничего не подозревающим организациям. Распределенные атаки на отказ от обслуживания — DDoS (Distributed Denial of Service) — сравнительно новая разновидность компьютерных преступлений. Но распространяется она с пугающей скоростью.

На узлах, организованных хакерами, можно найти три инструментальные средства для атак DDoS: trinoo, Tribe FloodNet (TFN) и TFN2K. Совсем недавно появилось еще одно — stacheldraht (что в переводе с немецкого означает «колючие провода»), сочетающее в себе наиболее неприятные качества TFN и trinoo. На рис. 1.13 представлены характеристики средств для атак на отказ от обслуживания.

При обычной сетевой атаке на отказ от обслуживания хакер использует инструментарий для посылки пакетов выбранной им системе. Эти пакеты должны вызвать переполнение и сбой на целевой системе и спровоцировать ее перезагрузку. Довольно часто адрес отправителя таких пакетов искажается, в силу чего обнаружить реальный источник атаки оказывается крайне трудно. Изменить адрес отправителя ничего не стоит, поскольку от жертвы не требуется ответных сообщений.

Организация атаки DDoS по-прежнему под силу одному хакеру, но эффект такой атаки значительно усиливается за счет использования атакующих серверов, известных как агенты. Этими агентами, которых в trinoo называют демонами (daemon), а в TFN — серверами (server), удаленно управляет хакер.

Рис. 1.13. Характеристика средств для атак на отказ от обслуживания

Получить представление о масштабах подобной атаки можно хотя бы на таком примере: в нападении на один сервер университета штата Миннесота в различное время было согласованно задействовано более 1000 систем. Атака не только привела к отключению этого сервера, но и блокировала доступ ко всей сети университета, которую связывали с Internet два соединения.

Прежде чем начать атаку DDoS, хакер должен проделать предварительную работу, в том числе получить доступ с правами корня (root) или администратора на максимально возможное число систем. До сих пор в качестве агентов при атаке DDoS использовались системы Solaris и Linux. Для получения доступа проводится поиск уязвимых мест систем с помощью таких сканирующих инструментальных средств, как sscan. Затем хакер, используя соответствующий сценарий, проникает в каждую из систем и выполняет установку серверного программного обеспечения.

Для такой инсталляции часто применяется команда удаленного копирования. Сервер, на котором устанавливается программное обеспечение, станет еще одной жертвой взлома, и внезапное увеличение частоты применения команды удаленного копирования обычно служит признаком того, что система не только взломана, но и может использоваться для проникновения на многие другие.

Как только установлен и запущен атакующий сервер — все готово к началу атаки. Чем больше вовлеченных систем, тем массивнее будет атака.

Основными источниками и объектами атак DDoS до сих пор были некоммерческие узлы. Большинство компаний имеют межсетевые экраны, которые помогают предотвратить проникновение на узлы с целью их использования для распределения агентов или в качестве хостов для самих агентов. Однако если межсетевой экран плохо сконфигурирован, это равносильно его отсутствию, поэтому сам факт установки экрана вовсе не гарантирует надежную защиту.

Если атака DDoS началась, остановить ее очень сложно. Пакеты, появляющиеся на межсетевом экране, можно блокировать, но они могут столь же легко переполнить вход Internet-соединения. Если адреса отправителей этих пакетов не были искажены, можно попытаться связаться с задействованными системами и попросить их отключить агентов. Таких систем может быть несколько сотен по всему миру.

TFN и trinoo используют различные подходы к удаленному управлению. В обоих случаях хакер применяет клиента для передачи команд, управляющих агентами. Ядро trinoo, называемое обработчиком, ждет сигнала, приходящего на порт 27665/ТСР для организации соединения, устанавливая его только после того, как передан соответствующий пароль (по умолчанию это betaalmostdone). Как только хакер аутентифицирован обработчиком, он может послать команды всем агентам о начале передачи потоков UDP на одну или несколько целевых систем в течение известного периода времени (от 1 до 2000 с). Адреса отправителя пакетов trinoo не искажаются, в силу чего определить, какие системы являются агентами, довольно просто. Единственная трудность состоит в том, что их может оказаться очень много.

TFN использует ответные сообщения ICMP (Internet Control Message Protocol) для взаимодействия с клиентами и агентами. Пакеты того же типа пересылаются и в ответных сообщениях команды Ping. Различным командам присваиваются разные кодовые значения: например, 345 означает старт потока SYN. Инструментарий TFN поддерживает несколько разновидностей атак на отказ от обслуживания: потоки SYN, UDP, ICMP и smurfting. Поскольку сервер TFN работает как корневой, адреса отправителя могут быть искажены (скорее всего, так и будет сделано), чтобы затруднить поиск источников атаки. 

TFN2K появился в декабре 1999 г. и предусматривает надежный уровень шифрования (алгоритм CAST-256) при управлении пакетами. Этот метод передачи управляющих сообщений был усовершенствован для того, чтобы разрешить искажение адресов отправителей и передачу пакетов различных типов. Агент TFN2K анализирует сетевой интерфейс и проверяет приходящие из адреса клиентской сети данные, которые он может дешифровать в корректные команды. Все это еще больше усложняет выявление и отслеживание обработчика. Обработчику не передаются никакие ответные сообщения, поэтому он делает вывод, что агент TFN отвечает исключительно по собственному усмотрению.

Инструментарий stacheldraht сочетает в себе возможности TFN и trinoo. Как и TFN, stacheldraht способен искажать адреса отправителей. Кроме того, он может проводить тестирование, чтобы выявить присутствие фильтрации RFC 2267, попытавшись передать пакет с адресом отправителя 3.3.3.3. Если тот блокируется, значит, адреса отправителей по-прежнему искажены, но только в последних восьми битах адреса. Stacheldraht предоставляет возможность модернизации, что позволяет автоматически заменить агентов на новые и запустить их. Stacheldraht использует зашифрованные пакеты TCP (аналогично trinoo) для взаимодействия между клиентами и обработчиками. Для связи с агентами он также использует зашифрованные пакеты TCP или ICMP.

Из-за огромного числа систем, вовлеченных в атаки DDoS, попытки прекратить эти атаки практически обречены на провал. Однако существуют превентивные меры, предпринимая которые можно вообще не допустить подобных нападений. Главное — учесть, что атаки начинаются с поиска тысяч уязвимых систем, подключенных к Internet, и последующего проникновения в них. Если эти системы обновить, проникновение можно предотвратить. Также можно сделать так, чтобы сети не становились источником пакетов с искаженными адресами отправителя. RFC 2267 описывает методику проверки прав доступа, т.е. фильтрации пакетов при их входе в сеть так, чтобы только пакеты с легальными адресами отправителя могли преодолеть маршрутизаторы. Остановка всех пакетов с искаженными адресами не предотвратит подобной атаки, но навести порядок после ее завершения будет намного проще.

Таким образом, в данной главе изучены все достоинства и недостатки топологий, а также показано, что с учетом планировки здания, расположения кабинетов для конкретного учреждения следует выбрать топологию “звезда”. Данная топология позволяет осуществить централизованное администрирование, предполагающее, что основные задачи администрирования должны решаться из центра (основной фрагмент сети), вторичные задачи (например, в рамках удаленных фрагментов) средствами управления отдельных подсистем.

Показано, что на данный момент времени существует большое количество различных способов угрозы безопасности компьютерной сети организации, среди вирусов стоит выделить "стелс" – вирусы (вирусы-невидимки, stealth), представляющие собой весьма совершенные программы, которые перехватывают обращения DOS к пораженным файлам или секторам дисков.

На основе проведенного анализа сделан вывод, что стоит обратить внимание на безопасность парольной защиты операционных систем, кроме того, следует отметить атаки отказа от обслуживания – сравнительно новая разновидность удаленных атак на компьютерную сеть, когда на конкретную цель направляется большой объем Internet-трафика.

2. ОСНОВНЫЕ ПУТИ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ КОРПОРАТИВНОЙ СЕТИ

Корпоративная информационная система (сеть) – информационная система, участником которой может быть ограниченный круг лиц, определенный ее владельцем или соглашением участников этой информационной системы (из закона об электронно-цифровой подписи). Корпоративные сети относятся к распределенным компьютерным системам, осуществляющим автоматизированную обработку информации. Проблема обеспечения информационной безопасности является центральной для таких компьютерных систем. Обеспечение безопасности корпоративной сети предполагает организацию противодействия любому несанкционированному вторжению в процесс функционирования, а также попыткам модификации, хищения, вывода из строя или разрушения ее компонентов, т.е. защиту всех компонентов корпоративной сети – аппаратных средств, программного обеспечения, данных и персонала.

2.1. Аппаратные методы защиты

К аппаратным средствам защиты относятся различные электронные, электронно-механические, электронно-оптические устройства. К настоящему времени разработано значительное число аппаратных средств различного назначения, однако наибольшее распространение получают следующие:

– специальные регистры для хранения реквизитов защиты – паролей, идентифицирующих кодов, грифов или уровней секретности;

– генераторы кодов, предназначенные для автоматического генерирования идентифицирующего кода устройства;

– устройства измерения индивидуальных характеристик человека (голоса, отпечатков) с целью его идентификации;

– специальные биты секретности, значение которых определяет уровень секретности информации, хранимой в ЗУ, которой принадлежат данные биты;

– схемы прерывания передачи информации в линии связи с целью периодической проверки адреса выдачи данных.

Особую и получающую наибольшее распространение группу аппаратных средств защиты составляют устройства для шифрования информации (криптографические методы).

2.1.1. Криптографические методы защиты информации

Кодирование и шифрование — основные методы криптографической защиты. Наряду с ними к криптографическим методам относят методы рассечения (разнесения) и сжатия (расширения) информации.

Рассечение (разнесение) информации заключается в том, что массив защищенных данных делится на части, каждая из которых в отдельности не позволяет раскрыть содержание защищаемой информации. Эти фрагменты можно передавать по нескольким источникам, разносить по времени и по месту записи на дискете или любом другом запоминающем устройстве.

Сжатие (расширение) информации представляет собой замену часто встречающихся одинаковых последовательностей символов некоторыми заранее выбранными символами или же подмешивание дополнительной информации.

В основе криптографической защиты информации лежит ее шифрование, т.е. преобразование данных к такому виду, что они становятся нечитабельными для тех, для кого не предназначены. Чтобы обеспечить нечитабельность для одних и доступность информации для других, необходимо соблюдать 4 основных правила обеспечения безопасности:

• конфиденциальность;

• аутентификацию;

• целостность;

• контроль участников взаимодействия.

Для контроля целостности используется построение так называемого дайджеста сообщения или электронной подписи. При построении этой подписи используется специальная функция, схожая с известной функцией CRC (Control Cyclic Code). Результаты работы этой функции шифруются. Получателю остается только выполнить эту функцию для принятого сообщения и сравнить результат с расшифрованным.

Основные направления использования криптографических методов — это передача конфиденциальной информации по каналам связи (например, электронная почта), установление подлинности передаваемых сообщений, хранение информации (документов, баз данных) на носителях в зашифрованном виде.

Криптографический алгоритм, называемый алгоритмом шифрования, представляет собой некоторую математическую функцию, используемую для шифрования и расшифровки. Точнее таких функций две: одна применяется для шифрования, а другая — для расшифрования.

Различается шифрование двух типов:

• симметричное (с секретным ключом);

• несимметричное (с открытым ключом).

При симметричном шифровании (рис. 2.1) создается ключ, файл совместно с этим ключом пропускается через программу шифрования и полученный результат пересылается адресату, а сам ключ передается адресату отдельно, используя другой (защищенный или очень надежный) канал связи. Адресат, запустив ту же самую шифровальную программу с полученным ключом, сможет прочитать сообщение. Симметричное шифрование не так надежно, как несимметричное, поскольку ключ может быть перехвачен, но из-за высокой скорости обмена информацией оно широко используется, например, в операциях электронной торговли.

Рис. 2.1. Симметричное шифрование

Несимметричное шифрование сложнее, но и надежнее. Для его реализации (рис. 2.2) нужны два взаимосвязанных ключа: открытый и закрытый. Получатель сообщает всем желающим свой открытый ключ, позволяющий шифровать для него сообщения. Закрытый ключ известен только получателю сообщения. Когда кому-то нужно послать зашифрованное сообщение, он выполняет шифрование, используя открытый ключ получателя. Получив сообщение, последний расшифровывает его с помощью своего закрытого ключа. За повышенную надежность несимметричного шифрования приходится платить: поскольку вычисления в этом случае сложнее, то процедура расшифровки отнимает больше времени.

Рис. 2.2. Несимметричное шифрование

В современной криптографии указанные выше проблемы решаются с помощью использования ключа, который нужно выбирать среди значений, принадлежащих множеству, называемому ключевым пространством. Функции шифрования и расшифровки зависят от этого ключа. Некоторые алгоритмы шифрования используют различные ключи для шифрования и расшифрования. Это означает, что ключ шифрования отличается от ключа расшифрования.

Надежность алгоритма шифрования с использованием ключей достигается за счет их надлежащего выбора и последующего хранения в строжайшем секрете. Это означает, что такой алгоритм не требуется держать в тайне. Можно организовать массовое производство криптографических средств, в основу функционирования которых положен данный алгоритм. Даже зная криптографический алгоритм, злоумышленник все равно не сможет прочесть зашифрованные сообщения, поскольку он не знает секретный ключ, использованный для их зашифрования.

В большинстве симметричных алгоритмов применяют всего один ключ. Такие алгоритмы именуются одно ключевыми, или алгоритмами с секретным ключом, и требуют, чтобы отправитель сообщений и их получатель заранее условились о том, каким ключом они будут пользоваться. Надежность одно ключевого алгоритма определяется выбором ключа, поскольку его знание дает возможность злоумышленнику без помех расшифровывать все перехваченные сообщения, поэтому выбранный ключ следует хранить в тайне от посторонних.

Симметричные алгоритмы шифрования подразделяются на:

• потоковые (поточные);

• блочные.

Алгоритмы, в которых открытый текст обрабатывается побитно, называются потоковыми алгоритмами или потоковыми шифрами. В других алгоритмах открытый текст разбивается на блоки, состоящие из нескольких бит. Такие алгоритмы называются блочными, или блочными шифрами. В современных компьютерных алгоритмах блочного шифрования длина блока обычно составляет 64 бита.

Основное преимущество несимметричных алгоритмов перед симметричными состоит в том, что секретный ключ, позволяющий расшифровывать всю получаемую информацию, известен только получателю сообщения. Кроме того, первоначальное распределение ключей в системе не требует передачи секретного ключа, который может быть перехвачен нарушителем. Несимметричные алгоритмы получили новое качество — на их основе строятся протоколы цифровой подписи. Для аутентификации с использованием симметричных алгоритмов часто требуется участие доверенной третьей стороны, которая, как, например, в схеме Kerberos, хранит копии секретных ключей всех пользователей. Компрометация третьей стороны может привести к компрометации всей системы аутентификации. В системах с открытым ключом эта проблема устранена потому, что каждый пользователь отвечает за безопасность только своего секретного ключа.

Симметричные алгоритмы при обнаружении в них каких-либо слабостей могут быть доработаны путем внесения небольших изменений, а для несимметричных такая возможность отсутствует. Симметричные алгоритмы работают значительно быстрее, чем алгоритмы с открытым ключом. На практике несимметричные алгоритмы шифрования часто применяются в совокупности с симметричными алгоритмами: открытый текст зашифровывается симметричным алгоритмом, а секретный ключ этого симметричного алгоритма зашифровывается на открытом ключе несимметричного алгоритма. Такой механизм называют цифровым конвертом (digital envelope).

Наиболее широко в настоящее время применяются следующие алгоритмы шифрования:

• DES (Data Encryption Standard);

• Blowfish;

• IDEA (International Decryption-Encryption Algorithm);

• ГОСТ 28147-89;

• RSA (авторы: Rivest, Shamir и Alderman);

• PGP.

В симметричных криптоалгоритмах (DES, ГОСТ, Blowfish, RC5, IDEA) для шифрования и расшифрования информации используется один и тот же секретный ключ.

Достоинствами таких алгоритмов являются:

• простота программной и аппаратной реализации;

• высокая скорость работы в прямом и обратном направлениях;

• обеспечение необходимого уровня защиты информации при использовании коротких ключей.

К основным недостаткам этих криптоалгоритмов следует отнести увеличение затрат по обеспечению дополнительных мер секретности при распространении ключей, а также то, что алгоритм с секретным ключом выполняет свою задачу только в условиях полного доверия корреспондентов друг другу.

В несимметричных криптоалгоритмах (RSA, PGP, ECC) прямое и обратное преобразования выполняются с использованием открытого и секретного ключей, которые не имеют взаимосвязи, позволяющей по одному ключу вычислить другой. С помощью открытого ключа практически любой пользователь может зашифровать свое сообщение или проверить электронно-цифровую подпись. Расшифровать такое сообщение или поставить подпись может только владелец секретного ключа.

Такие алгоритмы позволяют реализовать протоколы типа цифровой подписи, обеспечивают открытое распространение ключей и надежную аутентификацию в сети, устойчивую даже к полному перехвату трафика.

Самые популярные из них, получившие статус стандартов. Это DES (Data Encryption Standard), RSA (алгоритм Rivest-Shamir-Adleman), PGP, наш отечественный ГОСТ 28147-89 (который в иностранной литературе чаще называется просто GOST) и др. Причем современные шифры — это не только собственно алгоритмы шифрования, а криптографические системы, где определены также возможные типы и параметры ключей, способы организации работы с ключами и зашифрованными сообщениями, правила определения подлинности и целостности сообщений и т.п.

В основе любой криптографической системы лежат алгоритм шифрования, протокол взаимодействия участвующих сторон и процедура управления ключами. Протокол — это последовательность шагов, которые предпринимают стороны для совместного решения задачи. Все шаги следуют в порядке строгой очередности, и ни один из них не может быть сделан прежде, чем закончится предыдущий. Кроме того, любой протокол подразумевает участие, по крайней мере, двух сторон и имеет следующие отличительные черты:

• каждый участник протокола должен быть заранее оповещен о шагах, которые ему предстоит предпринять;

• все участники протокола должны следовать его правилам добровольно, без принуждения;

• необходимо, чтобы протокол допускал только однозначное толкование, а его шаги были совершенно четко определены и не допускали возможности их неправильного понимания;

• протокол должен содержать описание реакции его участников на любые ситуации, возникающие в ходе реализации этого протокола, иными словами, недопустимым является положение, когда для возникшей ситуации протоколом не определено соответствующее действие.

Криптографическим протоколом называется такой, в основе которого лежит набор правил и процедур, определяющих использование криптоалгоритма и ключей шифрования. Однако целью криптографического протокола зачастую является не только сохранение информации в тайне от посторонних. Поэтому часто требуется, чтобы криптографический протокол обеспечивал следующее: его участники могут сделать или узнать больше того, что определено протоколом.

Популярный алгоритм шифрования данных DES применяется правительством США как стандарт с 1977 г. Для шифрования алгоритм использует 64-битный ключ, блок данных из 64 бит и 16 проходов (циклов). Этот алгоритм достаточно быстр и эффективен. Однако в изначальном виде этот стандарт недостаточно криптоустойчив, так как прямые атаки с перебором ключей занимают при сегодняшнем уровне технологий разумный срок, поэтому в настоящее время используются его всевозможные модификации, такие как 3-DES и каскадный 3-DES.

Главным же недостатком этой системы является то, что она использует так называемые симметричные ключи: для шифрования и дешифрации сообщения используется один и тот же секретный ключ, поэтому необходимым условием успешного использования этой системы является наличие секретного защищенного канала для передачи ключа. Если злоумышленник перехватит ключ для шифрования, то он легко может при помощи этого же ключа осуществить расшифровку секретного сообщения. Если же защищенный канал передачи существует, то вполне разумно тогда передать и само сообщение по этому же каналу, не прибегая к процедуре шифрования.

Государственный стандарт ГОСТ 28147-89 был утвержден в 1989 г. как средство обеспечения безопасности, являющееся стандартом для государственных учреждений. Хотя он и не является основным криптосредством защищенных линий правительственной связи, однако это единственный более-менее открытый стандарт такого рода для исследования и использования самым широким кругом людей. Несмотря на то что в России ГОСТ играл ту же роль, что и DES в США, этот стандарт стал употребляться и в других странах. Например, алгоритм шифрования популярного архиватора ARJ построен как раз на использовании алгоритмов ГОСТа.

ГОСТ очень схож с DES. В нем также используются 64-битные блоки. Тем не менее есть и ряд различий, например: в ГОСТе совершается 32 прохода вместо 16, ключ гораздо длиннее и состоит из 256 бит и т.д. В общем, среди специалистов принято считать, что он по своим характеристикам превосходит DES. Однако в настоящее время и его расшифровка лежит в пределах современных технологий. И точно так же ему присущи все недостатки алгоритмов, использующих симметричные ключи.

В настоящее время популярен стандарт шифрования RSA. Во многом это произошло благодаря распространенности в Internet программы PGP (Pretty Good Privacy) Филиппа Зиммермана. RSA – это алгоритм несимметричного шифрования, стойкость которого зависит от сложности факторизации больших целых чисел. Алгоритм взлома RSA не разработан математически, а за счет использования очень длинных ключей и некоторой медленности всего алгоритма перебор за разумное время попросту невозможен.

В несимметричных алгоритмах используются два разных ключа: один известен всем, а другой держится в тайне. Обычно для шифрования и расшифровки используются оба ключа. Но данные, зашифрованные одним ключом, можно расшифровать только с помощью другого ключа. Это обстоятельство делает RSA очень удобным для использования в электронной переписке. Открытый ключ делается общедоступным (его попросту можно вставлять в реквизиты вашего письма). Каждый может зашифровать сообщение и послать его вам. А расшифровать сообщение, даже зная открытый ключ, невозможно. Для этого надо знать второй, закрытый ключ, который есть только у отправителя.

2.1.2. Защита информации при помощи биометрических систем

Биометрическая система – система идентификации, анализирующая характерные черты личности человека, которая разделяется (рис. 2.3) на две большие группы:

• физиологические;

• поведенческие (психологические).

Физиологические системы считаются более надежными, так как используемые ими индивидуальные особенности человека почти не изменяются под влиянием его психоэмоционального состояния. Физиологические системы идентификации личности имеют дело со статическими характеристиками человека — отпечатками пальцев, капиллярными узорами пальцев, радужной оболочкой и рисунком сетчатки глаза, геометрией кисти руки, формой ушной раковины, распознаванием черт лица (на основе оптического или инфракрасного изображений).

Рис. 2.3. Биометрические системы идентификации

Поведенческие методы оценивают действия индивидуума, предоставляя пользователю некоторую степень контроля над его поступками. Биометрия, основанная на этих методах, учитывает высокую степень внутриличностных вариаций (например, настроение или состояние здоровья влияют на оцениваемую характеристику), поэтому такие методы лучше всего работают при регулярном использовании устройства. Поведенческие (или, как их еще иногда называют, психологические) характеристики, такие как подпись, походка, голос или клавиатурный почерк, находятся под влиянием управляемых действий и менее управляемых психологических факторов. Поскольку поведенческие характеристики могут изменяться с течением времени, зарегистрированный биометрический образец должен обновляться при каждом его использовании. Хотя биометрия, основанная на поведенческих характеристиках, менее дорога и представляет меньшую угрозу для пользователей, физиологические черты позволяют идентифицировать личность с высокой точностью. В любом случае оба метода обеспечивают значительно более высокий уровень идентификации, чем пароли или карты.

Поскольку биометрические характеристики каждой отдельной личности уникальны, то они могут использоваться для предотвращения несанкционированного доступа с помощью автоматизированного метода биометрического контроля, который путем проверки (исследования) уникальных физиологических особенностей или поведенческих характеристик человека идентифицирует личность.

Точность аутентификации при использовании биометрических систем несколько отличается от точности систем, использующих пароли. Предоставление корректного пароля в системе аутентификации по паролю всегда дает корректный результат о подтверждении подлинности. Но если в биометрическую систему аутентификации представлены законные (настоящие) биометрические характеристики, это, тем не менее, не гарантирует корректной аутентификации. Такое может произойти из-за «шума» датчика, ограничений методов обработки и, что еще важнее, изменчивости биометрических характеристик. Есть также вероятность, что может быть подтверждена подлинность человека, выдающего себя за законного пользователя.

Основа любой биометрической системы опознавания личности — датчик, который выдает сигнал, промодулированный в зависимости от физических особенностей конкретного человека. Далее происходит преобразование аналогового сигнала в цифровой формат, удаляется вся ненужная информация и полученная матрица (шаблон) сохраняется в памяти. Современные системы опознавания по отпечаткам пальцев, например, имеют матрицу объемом менее 100 байт. Вместо информации об отпечатках пальцев может использоваться информация о всей ладони или о венозном рисунке запястья, о радужной оболочке глаз. Данная информация может совмещаться с информацией о голосе, почерке, походке. Биометрическая система — это система распознавания шаблона, которая устанавливает аутентичность конкретных физиологических или поведенческих характеристик пользователя. Логически биометрическая система может быть разделена на два модуля:

• модуль регистрации;

• модуль идентификации.

Модуль регистрации отвечает за “обучение” системы идентифицировать конкретного человека. На этапе регистрации биометрические датчики сканируют изображение лица человека для того, чтобы создать его цифровое представление. Специальный модуль обрабатывает это представление, чтобы выделить характерные особенности и сгенерировать более компактное и выразительное представление, называемое шаблоном. Для изображения лица такими характерными особенностями могут стать размер и расположение глаз, носа и рта. Шаблон для каждого пользователя хранится в базе данных биометрической системы. Эта база данных может быть централизованной или распределенной, когда шаблон каждого пользователя сохраняется на смарт-карте и передается пользователю.

Модуль идентификации отвечает за распознавание пользователя компьютера. На этапе идентификации биометрический датчик снимает характеристики человека, идентификация которого проводится, и преобразует эти характеристики в тот же цифровой формат, в котором хранится шаблон. Полученный шаблон сравнивается с хранимым шаблоном, чтобы определить, соответствуют ли эти шаблоны друг другу.

2.2. Программные методы защиты

К программным средствам защиты относятся специальные программы, которые предназначены для выполнения функций защиты и включаются в состав программного обеспечения систем обработки данных. Программная защита является наиболее распространенным видом защиты, чему способствуют такие положительные свойства данного средства, как универсальность, гибкость, простота реализации, практически неограниченные возможности изменения и развития.

2.2.1. Антивирусные программы

Каким бы ни был вирус, пользователю необходимо знать основные методы защиты от компьютерных вирусов.

Для защиты от вирусов можно использовать:

• общие средства защиты информации, которые полезны также и как страховка от физической порчи дисков, неправильно работающих программ или ошибочных действий пользователя;

• профилактические меры, позволяющие уменьшить вероятность заражения вирусом;

• специализированные программы для защиты от вирусов.

Общие средства защиты информации полезны не только для защиты от вирусов. Имеются две основные разновидности этих средств:

• копирование информации – создание копий файлов и системных областей дисков;

• разграничение доступа предотвращает несанкционированное использование информации, в частности, защиту от изменений программ и данных вирусами, неправильно работающими программами и ошибочными действиями пользователей.

Несмотря на то что общие средства защиты информации очень важны для защиты от вирусов, все же их недостаточно. Необходимо и применение специализированных программ для защиты от вирусов. Эти программы можно разделить на несколько видов: детекторы, доктора (фаги), ревизоры, доктораревизоры, фильтры и вакцины (иммунизаторы).

Программы-детекторы позволяют обнаруживать файлы, зараженные одним из нескольких известных вирусов. Эти программы проверяют, имеется ли в файлах на указанном пользователем диске специфическая для данного вируса комбинация байтов. При ее обнаружении в каком-либо файле на экран выводится соответствующее сообщение. Многие детекторы имеют режимы лечения или уничтожения зараженных файлов. Многие программы-детекторы не умеют обнаруживать заражение "невидимыми" вирусами, если такой вирус активен в памяти компьютера. Дело в том, что для чтения диска они используют функции ОС, а они перехватываются вирусом, который сообщает, что все хорошо.

Большинство программ-детекторов имеют функцию "доктора", т.е. они пытаются вернуть зараженные файлы или области диска в их исходное состояние. Те файлы, которые не удалось восстановить, как правило, делаются неработоспособными или удаляются.

Большинство программ-докторов умеют "лечить" только от некоторого фиксированного набора вирусов, поэтому они быстро устаревают. Но некоторые программы могут обучаться не только способам обнаружения, но и способам лечения новых вирусов.

Программы-ревизоры имеют две стадии работы. Сначала они запоминают сведения о состоянии программ и системных областей дисков (загрузочного сектора и сектора с таблицей разбиения жесткого диска). Предполагается, что в этот момент программы и системные области дисков не заражены. После этого с помощью программы-ревизора можно в любой момент сравнить состояние программ и системных областей дисков с исходным. О выявленных несоответствиях сообщается пользователю. Многие программы-ревизоры являются "интеллектуальными": они могут отличать изменения в файлах, вызванные, например, переходом к новой версии программы, от изменений, вносимых вирусом, и не поднимают ложной тревоги. Другие программы часто используют различные полумеры: пытаются обнаружить вирус в оперативной памяти, требуют вызовы из первой строки файла autoexec.bat, надеясь работать на "чистом" компьютере, и т.д. Для проверки того, не изменился ли файл, некоторые программы-ревизоры проверяют длину файла. Но эта проверка недостаточна – некоторые вирусы не изменяют длину зараженных файлов. Более надежная проверка – прочесть весь файл и вычислить его контрольную сумму. Изменить файл так, чтобы его контрольная сумма осталась прежней, практически невозможно.

В последнее время появились очень полезные гибриды ревизоров и докторов, т.е. доктора-ревизоры, – программы, которые не только обнаруживают изменения в файлах и системных областях дисков, но и могут в случае изменений автоматически вернуть их в исходное состояние. Такие программы могут быть гораздо более универсальными, чем программы-доктора, поскольку при лечении они используют заранее сохраненную информацию о состоянии файлов и областей дисков. Это позволяет им вылечивать файлы даже от тех вирусов, которые не были созданы на момент написания программы.

Но они могут лечить не от всех вирусов, а только от тех, которые используют "стандартные", известные на момент написания программы механизмы заражения файлов.

Существуют также программы-фильтры, которые располагаются резидентно в оперативной памяти компьютера и перехватывают те обращения к операционной системе, которые используются вирусами для размножения и нанесения вреда, и сообщают о них пользователю. Пользователь может разрешить или запретить выполнение соответствующей операции.

Некоторые программы-фильтры не «ловят» подозрительные действия, а проверяют вызываемые на выполнение программы на наличие вирусов. Это вызывает замедление работы компьютера.

Однако преимущества использования программ-фильтров весьма значительны: они позволяют обнаружить многие вирусы на самой ранней стадии, когда вирус еще не успел размножиться и что-либо испортить. Тем самым можно свести убытки от вируса к минимуму.

Программы-вакцины, или иммунизаторы, модифицируют программы и диски таким образом, что это не отражается на работе программ, но тот вирус, от которого производится вакцинация, считает эти программы или диски уже зараженными. Эти программы крайне неэффективны.

Рассмотрим наиболее популярные на данный момент антивирусные программы.

Doctor WEB

Dr.Web относится к классу детекторов и имеет так называемый "эвристический анализатор" – алгоритм, позволяющий обнаруживать неизвестные вирусы.

Управление режимами лучше осуществлять с помощью ключей, так как подобным способом можно добиться более тонкой настройки работы программы. Пользователь может указать программе тестировать как весь диск, так и отдельные подкаталоги или группы файлов либо отказаться от проверки дисков и тестировать только оперативную память. В свою очередь можно тестировать либо только базовую память, либо, вдобавок, ещё и расширенную (указывается с помощью ключа /H). Doctor Web может создавать отчет о работе (ключ /P), загружать знакогенератор кириллицы (ключ /R), поддерживает работу с программно-аппаратным комплексом Sheriff (ключ /Z).

Но главной особенностью "Лечебной паутины" является наличие эвристического анализатора, который подключается ключом /S. Баланса между скоростью и качеством можно добиться, указав ключу уровень эвристического анализа: 0 – минимальный, 1 – оптимальный, 2 – максимальный; при этом, естественно, скорость уменьшается пропорционально увеличению качества. Dr.Web позволяет тестировать файлы, вакцинированные CPAV, а также упакованные LZEXE, PKLITE, DIET. Для этого следует указать ключ /U (при этом распаковка файлов будет произведена на текущем устройстве) или /U диск: (где диск: – устройство, на котором будет производиться распаковка). Многие программы упакованы таким способом, хотя пользователь может и не подозревать об этом. Если ключ /U не установлен, то Doctor Web может пропустить вирус, забравшийся в запакованную программу.

Важной функцией является контроль заражения тестируемых файлов резидентным вирусом (ключ /V). При сканировании памяти нет стопроцентной гарантии, что "Лечебная паутина" обнаружит все вирусы, находящиеся там. Но при задании функции /V Dr.Web пытается воспрепятствовать оставшимся резидентным вирусам заразить тестируемые файлы.

При начальном тестировании не стоит разрешать программе лечить файлы, в которых она обнаружит вирус, так как нельзя исключить, что последовательность байт, принятая в антивирусе за шаблон, может встретиться в здоровой программе.

NOD32

NOD32 – это комплексное антивирусное решение для защиты в реальном времени от широкого круга угроз. Eset NOD32 обеспечивает надежную защиту от вирусов, а также от других угроз, включая троянские программы, черви, spyware, adware, phishing-атаки. В решении Eset NOD32 используется патентованная технология ThreatSense®. Эта технология предназначена для выявления новых возникающих угроз в реальном времени путем анализа выполняемых программ на наличие вредоносного кода. NOD32 по большей части написан на языке ассемблера и неоднократно выигрывал награды за высочайшую производительность среди антивирусных приложений. Он в среднем в 2–5 раз быстрее, чем его конкуренты.

В 2005 г. сайт AV-Comparatives.org в двух отдельных тестах подтвердил, что NOD32 обеспечивает лучшую, всеобъемлющую, проактивную защиту от угроз zero-day. При помощи NOD32 в мае было обнаружено 90% "диких вирусов", а на сравнительных тестах проактивной защиты в ноябре при помощи NOD32 было обнаружено 62% новых образцов вредоносных программ, что позволило NOD32 опередить ведущих производителей в среднем на 95%.

За последние 7 лет компания ESET стала обладателем 35 наград VB100% за эффективность обнаружения "диких вирусов", что является отраслевым рекордом.

NOD32 включает в себя 5 режимов:

• Antivirus MONitor (AMON). On-access (резидентный) сканер, который автоматически проверяет файлы перед осуществлением доступа к ним;

• NOD32 "On-demand" сканер, который можно запустить вручную для проверки отдельных файлов или сегментов диска. Этот модуль можно также запрограммировать на запуск в часы с наименьшей загрузкой;

• Internet MONitor (IMON). Резидентный сканер, работающий на уровне Winsock и препятствующий попаданию зараженных файлов на диски компьютера. Данный модуль проверяет Интернет-трафик (HTTP) и входящую почту, полученную по протоколу POP3;

• E-mail MONitor (EMON). Дополнительный модуль для проверки входящих/исходящих сообщений через интерфейс MAPI, например, в Microsoft Outlook и Microsoft Exchange;

• Document MONitor (DMON). Использует запатентованный интерфейс Microsoft API для проверки документов Microsoft Office (включая Internet Explorer).

ADinf (Advanced Disk Info Scope)

ADinf относится к классу программ-ревизоров. Антивирус имеет высокую скорость работы, способен с успехом противостоять вирусам, находящимся в памяти. Он позволяет контролировать диск, читая его по секторам через BIOS и не используя системные прерывания DOS, которые может перехватить вирус. Программа ADinf получила первый приз на Втором всесоюзном конкурсе антивирусных программ в 1990 г., а также второй приз на конкурсе Borland Contest'03.

В отличие от AVSP, в котором пользователю приходится самому анализировать, заражена ли машина Stealth-вирусом, загружаясь сначала с винчестера, а потом с эталонной дискеты, в ADinf эта операция происходит автоматически, благодаря оригинальному алгоритму противодействия этим "вирусам-невидимкам", суть которого заключается в том, что сначала диск читается непосредственно через BIOS, а потом – с помощью DOS.

Для лечения заражённых файлов применяется модуль ADinf Cure Module, не входящий в пакет ADinf и поставляющийся отдельно. Принцип работы модуля – сохранение небольшой базы данных, описывающей контролируемые файлы. Работая совместно, эти программы позволяют обнаружить и удалить около 97% файловых вирусов и 100% вирусов в загрузочном секторе.

В отличие от других антивирусов Advansed Diskinfoscope не требует загрузки с эталонной, защищённой от записи дискеты. При загрузке с винчестера надежность защиты не уменьшается.

ADinf имеет хорошо выполненный дружественный интерфейс, который реализован в графическом режиме. Программа работает непосредственно с видеопамятью, минуя BIOS, при этом поддерживаются все графические адаптеры. Наличие большого количества ключей позволяет пользователю создать максимально удобную для него конфигурацию системы. Можно установить, что именно нужно контролировать: файлы с заданными расширениями, загрузочные сектора, наличие сбойных кластеров, новые файлы на наличие Stealth-вирусов, файлы из списка неизменяемых и т.д. По своему желанию пользователь может запретить проверять некоторые каталоги (это нужно, если каталоги являются рабочими и в них всё время происходят изменения). Имеется возможность изменять способ доступа к диску (BIOS, Int13h или Int25h/26h), редактировать список расширений проверяемых файлов. Полезной функцией является возможность работы с DOS, не выходя из программы. Это бывает полезно, когда нужно запустить внешний антивирус для лечения файла, если у пользователя нет лечащего блока ADinf Cure Module.

Ещё одна функция – запрещение работы с системой при обнаружении изменений на диске. Эта функция полезна, когда за терминалами работают пользователи, не имеющие ещё большого опыта в общении с компьютером. Такие пользователи по незнанию или по халатности могут проигнорировать сообщение ADinf и продолжить работу как ни в чём не бывало, что может привести к тяжёлым последствиям.

Принцип работы ADinf основан на сохранении в таблице копии master-BOOT и BOOT-секторов, список номеров сбойных кластеров, схему дерева каталогов и информацию обо всех контролируемых файлах. Кроме того, программа запоминает и при каждом запуске проверяет, не изменился ли доступный DOS объем оперативной памяти (что бывает при заражении большинством загрузочных вирусов), количество установленных винчестеров, таблицы параметров винчестера в области переменных BIOS.

Ниже отображены характеристики наиболее распространенных антивирусных программ (табл. 2.1).

Таблица 2.1

Сводная таблица антивирусных программ

ИМЯ | DR.WEB | NOD32 | ADINF32 | KASPERSKY
Версия | 4.33 | 2.7 | 3.02 | 6.0
Сайт программы | www.drweb.com | www.esetnod32.ru | www.ADINF.ru | www.kaspersky.ru
Т И П | Фильтр | – | + | + | +
Доктор | + | + | – | +
Ревизор | – | + | + | +
Детектор | + | + | – | +
Количество сигнатур | 2710 | 2867 | – | 2660
Поддержка мыши | + | + | + | +
Язык интерфейса | Eng. | Eng. | Рус. | Рус.
Оконный интерфейс | + | + | + | +
Наличие эвристического анализатора | + | + | – | –
Обнаружение Stealth-вирусов | – | + | + | +
Обнаружение неизвестных вирусов | + | + | + | +
Обнаружение polymorphic-вирусов | + | + | + | +

2.2.2. Межсетевые экраны

Межсетевым экраном называют локальное или функционально распределенное программное (программно-аппаратное) средство (комплекс), реализующее контроль за информацией, поступающей в автоматизированную систему и/или выходящей из автоматизированной системы. Межсетевой экран – название, определенное в РД Гостехкомиссии РФ, для данного устройства. Также встречаются общепринятые названия брандмауэр и firewall (англ. огненная стена).

По определению брандмауэр служит контрольным пунктом на границе двух сетей. В самом распространенном случае эта граница лежит между внутренней сетью организации и внешней сетью, обычно сетью Интернет.

Задачами брандмауэра как контрольного пункта являются:

• контроль всего потока информации, ВХОДЯЩЕГО во внутреннюю сеть;

• контроль всего потока информации, ИСХОДЯЩЕГО из внутренней сети.

Контроль информационных потоков состоит в их фильтрации (рис. 2.4) и преобразовании в соответствие с заданным набором правил. Поскольку в современных брандмауэрах фильтрация может осуществляться на разных уровнях эталонной модели взаимодействия открытых систем (OSI), брандмауэр удобно представить в виде системы фильтров. Каждый фильтр на основе анализа проходящих через него данных, принимает решение – пропустить дальше, перебросить за экран, блокировать или преобразовать данные.

Рис. 2.4. Схема фильтрации в брандмауэре

Выделяют следующую классификацию брандмауэров (рис. 2.5) в соответствии с функционированием на разных уровнях (OSI):

• мостиковые экраны (2-й уровень OSI);

• фильтрующие маршрутизаторы (3 и 4-й уровни OSI);

• шлюзы сеансового уровня (5-й уровень OSI);

• шлюзы прикладного уровня (7-й уровень OSI);

• брандмауэры экспертного уровня (3–7-й уровни OSI).

Рис. 2.5. Фильтрация трафика брандмауэра на разных уровнях OSI

Мостиковые экраны

Данный класс брандмауэра, функционирующий на 2-м уровне модели OSI, известен также как прозрачный (stealth), скрытый, теневой брандмауэр. Мостиковые экраны появились сравнительно недавно и представляют перспективное направление развития технологий межсетевого экранирования. Фильтрация трафика ими осуществляется на канальном уровне, т.е. брандмауэр работает с фреймами (frame, кадр).

К достоинствам подобных экранов можно отнести:

• нет необходимости в изменении настроек сети, не требуется дополнительного конфигурирования сетевых интерфейсов брандмауэра;

• высокая производительность. Поскольку это простые устройства, они не требуют больших затрат ресурсов. Ресурсы требуются либо для повышения возможностей машин, либо для более глубокого анализа данных;

• прозрачность. Ключевым для этого устройства является его функционирование на 2-м уровне модели OSI. Это означает, что сетевой интерфейс не имеет IPадреса. Эта особенность более важна, чем легкость в настройке. Без IP-адреса это устройство не доступно в сети и является невидимым для окружающего мира. Атакующие даже не будут знать, что существует экран, проверяющий каждый их пакет.

Фильтрующие маршрутизаторы

Packet-filtering firewall (брандмауэр с фильтрацией пакетов) — межсетевой экран, который является маршрутизатором или компьютером, на котором работает программное обеспечение, сконфигурированное таким образом, чтобы отфильтровывать определенные виды входящих и исходящих пакетов. Фильтрация пакетов осуществляется на основе информации, содержащейся в TCPи IP-заголовках пакетов (адреса отправителя и получателя, их номера портов и др.).

Особенности фильтрующих маршрутизаторов:

• работают на 3-м уровне;

• также известны как брандмауэр на основе порта;

• каждый пакет сравнивается со списками правил (адрес источника/получателя, порт источника/получателя);

• недорогой, быстрый (производительный в силу простоты), но наименее безопасный;

• пример: список контроля доступа (ACL, access control lists) маршрутизатора.

Шлюз сеансового уровня

Circuit-level gateway (шлюз сеансового уровня) — брандмауэр, который исключает прямое взаимодействие между авторизированным клиентом и внешним хостом. Сначала он принимает запрос доверенного клиента на определенные услуги и после проверки допустимости запрошенного сеанса устанавливает соединение с внешним хостом. После этого шлюз просто копирует пакеты в обоих направлениях, не осуществляя их фильтрации. На этом уровне появляется возможность использования функции сетевой трансляции адресов (NAT, network address translation). Трансляция внутренних адресов выполняется по отношению ко всем пакетам, следующим из внутренней сети во внешнюю. Для этих пакетов IP-адреса компьютеров-отправителей внутренней сети автоматически преобразуются в один IP-адрес, ассоциируемый с экранирующим брандмауэром. В результате все пакеты, исходящие из внутренней сети, оказываются отправленными брандмауэром, что исключает прямой контакт между внутренней и внешней сетью. IP-адрес шлюза сеансового уровня становится единственным активным IP-адресом, который попадает во внешнюю сеть.

Особенности шлюза сеансового уровня:

• работает на 4-м уровне;

• передает TCP-подключения, основываясь на порте;

• недорогой, но более безопасный, чем фильтр пакетов;

• требует работы пользователя или программы конфигурации для полноценной работы;

• пример: SOCKS Firewall.

Шлюз прикладного уровня

Application-level gateways (шлюз прикладного уровня) – брандмауэр, который исключает прямое взаимодействие между авторизированным клиентом и внешним хостом, фильтруя все входящие и исходящие пакеты на прикладном уровне модели OSI. Связанные с приложением программы-посредники перенаправляют через шлюз информацию, генерируемую конкретными сервисами TCP/IP.

Возможности:

• идентификация и аутентификация пользователей при попытке установления соединения через брандмауэр;

• фильтрация потока сообщений, например динамический поиск вирусов и прозрачное шифрование информации;

• регистрация событий и реагирование на события;

• кэширование данных, запрашиваемых из внешней сети.

На этом уровне появляется возможность использования функций посредничества (Proxy). Для каждого обслуживаемого протокола прикладного уровня можно вводить программных посредников – HTTP-посредник, FTP-посредник и т.д. Посредник каждой службы TCP/IP ориентирован на обработку сообщений и выполнение функций защиты, относящихся именно к этой службе. Так же как и шлюз сеансового уровня, прикладной шлюз перехватывает с помощью соответствующих экранирующих агентов входящие и сходящие пакеты, копирует и перенаправляет информацию через шлюз и функционирует в качестве сервера-посредника, исключая прямые соединения между внутренней и внешней сетью. Однако посредники, используемые прикладным шлюзом, имеют большие отличия от канальных посредников шлюзов сеансового уровня. Вопервых, посредники прикладного шлюза связаны с конкретными приложениями программными серверами), а во-вторых, они могут фильтровать поток сообщений на прикладном уровне модели OSI.

Особенности:

• работает на 7-м уровне;

• специфический для приложений;

• умеренно дорогой и медленный, но более безопасный и допускает регистрацию деятельности пользователей;

• требует работы пользователя или программы конфигурации для полноценной работы;

• пример: WinGate, NetLimiter.

Брандмауэр экспертного уровня

Stateful inspection firewall — брандмауэр экспертного уровня, который проверяет содержимое принимаемых пакетов на трех уровнях модели OSI: сетевом, сеансовом и прикладном. При выполнении этой задачи используются специальные алгоритмы фильтрации пакетов, с помощью которых каждый пакет сравнивается с известным шаблоном авторизированных пакетов.

Особенности брандмауэра экспертного уровня:

• фильтрация 3-го уровня;

• проверка правильности на 4-м уровне;

• осмотр 5-го уровня;

• высокие уровни стоимости, защиты и сложности;

• пример: CheckPoint Firewall.

2.2.3. Сканеры безопасности

Сканеры безопасности служат для проверки вычислительной сети учреждения. Данные средства анализа защищенности исследуют сеть и ищут "слабые" места в ней, анализируют полученные результаты и на их основе создают различного рода отчеты. Существует два основных механизма работы, при помощи которых сканер проверяет наличие уязвимости – сканирование (scan) и зондирование (probe).

Сканирование – механизм пассивного анализа, с помощью которого сканер пытается определить наличие уязвимости без фактического подтверждения ее наличия – по косвенным признакам. Этот процесс идентифицирует открытые порты, найденные на каждом сетевом устройстве, и собирает связанные с портами заголовки, найденные при сканировании каждого порта. Каждый полученный заголовок сравнивается с таблицей правил определения сетевых устройств, операционных систем и потенциальных уязвимостей. На основе проведенного сравнения делается вывод о наличии или отсутствии уязвимости.

Зондирование – механизм активного анализа, который позволяет убедиться, присутствует или нет на анализируемом узле уязвимость. Зондирование выполняется путем имитации атаки, использующей проверяемую уязвимость. Этот метод более медленный, чем "сканирование", но почти всегда гораздо более точный, чем он. Данный процесс использует информацию, полученную в процессе сканирования, для детального анализа каждого сетевого устройства. Этот процесс также использует известные методы реализации атак для того, чтобы полностью подтвердить предполагаемые уязвимости и обнаружить другие уязвимости, которые не могут быть обнаружены пассивными методами, например подверженность атакам типа "отказ в обслуживании".

На практике указанные механизмы реализуются следующими несколькими методами.

"Активные зондирующие проверки"

Они основаны не на проверках версий программного обеспечения в заголовках, а на сравнении "цифрового слепка" – фрагмента программного обеспечения – со слепком известной уязвимости. Специализированная база данных содержит информацию об уязвимостях и способах их использовании. Эти данные дополняются сведениями о мерах их устранения, позволяющих снизить риск безопасности в случае их обнаружения.

"Имитация атак" (exploit check)

Данные проверки относятся к механизму "зондирования" и основаны на эксплуатации различных дефектов в программном обеспечении.

Некоторые уязвимости не обнаруживают себя, пока их не "активировать". Для этого против подозрительного сервиса или узла запускаются реальные атаки. Проверки заголовков осуществляют первичный осмотр сети, а метод "exploit check", отвергая информацию в заголовках, позволяет имитировать реальные атаки, тем самым с большей эффективностью обнаруживая уязвимости на сканируемых узлах. Имитация атак является более надежным способом анализа защищенности, чем проверки заголовков, и обычно более надежны, чем активные зондирующие проверки.

2.3. Организационно-административное обеспечение безопасности информации

Организационные мероприятия играют важную роль в создании надежного механизма защиты информации, так как возможности несанкционированного использования конфиденциальных сведений в значительной мере обусловливаются не техническими аспектами, а злоумышленными действиями, небрежностью и халатностью пользователей или персонала, игнорирующего элементарные правила защиты.

Организационное обеспечение (рис. 2.8) — это регламентация производственной деятельности и взаимоотношений исполнителей на нормативно-правовой основе таким образом, что разглашение, утечка и несанкционированный доступ к конфиденциальной информации становится невозможным или существенно затрудняется за счет проведения организационных мероприятий.

Рис. 2.8. Основные организационные и административные мероприятия по защите информации в сети

К организационным мероприятиям можно отнести:

• мероприятия, осуществляемые при проектировании, строительстве и оборудовании служебных и производственных зданий и помещений (их цель — исключение возможности тайного проникновения на территорию и в помещения; обеспечение удобства контроля прохода и перемещения людей, проезда транспорта; создание отдельных производственных зон по типу конфиденциальности работ с самостоятельными системами доступа и т.п.);

• мероприятия, проводимые при подборе персонала, включающие ознакомление с сотрудниками, их изучение, обучение правилам работы с конфиденциальной информацией, ознакомление с мерами ответственности за нарушение правил защиты информации и др.;

• организацию и поддержание надежного пропускного режима и контроля посетителей;

• надежную охрану помещений и территории;

• хранение и использование документов и носителей конфиденциальной информации, включая порядок учета, выдачи, исполнения и возвращения;

• организацию защиты информации, т.е. назначение ответственного за защиту информации в конкретных производственных коллективах, проведение систематического контроля за работой персонала с конфиденциальной информацией, порядок учета, хранения и уничтожения документов и т.п.

В каждом конкретном случае такие мероприятия носят специфическую для данной организации форму и содержание, направленные на обеспечение безопасности информации в конкретных условиях.

Значительная доля организационных мероприятий приходится на работу с сотрудниками. Организационные мероприятия при работе с сотрудниками предприятий различных форм собственности в общем плане включают в себя:

• беседы при приеме на работу;

• ознакомление с правилами и процедурами работы с конфиденциальной информацией на данном предприятии;

• обучение сотрудников правилам и процедурам работы с конфиденциальной информацией;

• беседы с увольняемыми.

В результате беседы при приеме на работу устанавливается целесообразность приема кандидата на соответствующую вакансию. При приеме на работу возможно заключение между предприятием и сотрудником соглашения о неразглашении конфиденциальной