Угрозы и возможные каналы утечки конфиденциальной информации

 

    Тема 2. Угрозы и возможные каналы утечки конфиденциальной информации.

    Анализ  способов нарушений  информационной безопасности. Использование защищенных компьютерных систем Основные закономерности возникновения и классификация угроз информационной безопасности. Пути и каналы утечки информации и их обобщенная модель. Классификация каналов утечки информации. Модели безопасности и их применение.

    I

    Компьютерная  преступность — это противоправная и осознанная деятельность образованных людей и, следовательно, наиболее опасная для общества. Итак, западными специалистами и экспертами констатируется крайне тяжелое положение с информационной безопасностью в финансовых структурах, их неспособность, противостоять возможным атакам на информационные системы.

    Знание  возможных угроз, а также уязвимых мест защиты, которые эти угрозы обычно эксплуатируют, необходимо для того, чтобы выбирать наиболее экономичные средства обеспечения безопасности.

    Основные  определения и критерии классификации  угроз

    Угроза - это потенциальная возможность определенным образом нарушить информационную безопасность.

    Попытка реализации угрозы называется атакой, а тот, кто предпринимает такую попытку, - злоумышленником. Потенциальные злоумышленники называются источниками угрозы.

    Чаще  всего угроза является следствием наличия уязвимых мест в защите информационных систем (таких, например, как возможность доступа посторонних лиц к критически важному оборудованию или ошибки в программном обеспечении).

    Промежуток  времени от момента, когда появляется возможность использовать слабое место, и до момента, когда пробел ликвидируется, называется окном опасности, ассоциированным с данным уязвимым местом. Пока существует окно опасности, возможны успешные атаки на ИС.

    Если  речь идет об ошибках в ПО, то окно опасности "открывается" с появлением средств использования ошибки и ликвидируется при наложении заплат, ее исправляющих.Для большинства уязвимых мест окно опасности существует сравнительно долго (несколько дней, иногда - недель), поскольку за это время должны произойти следующие события:

    должно  стать известно о  средствах использования  пробела в защите;

    должны  быть выпущены соответствующие  заплаты;

    заплаты должны быть установлены  в защищаемой ИС.

    Новые уязвимые места и средства их использования появляются постоянно; это значит, во-первых, что почти всегда существуют окна опасности и, во-вторых, что отслеживание таких окон должно производиться постоянно, а выпуск и наложение заплат - как можно более оперативно.

    Нельзя считать следствием каких-то ошибок или просчетов; они существуют в силу самой природы современных ИС. Например, угроза отключения электричества или выхода его параметров за допустимые границы существует в силу зависимости аппаратного обеспечения ИС от качественного электропитания.

    Угрозы  можно классифицировать по нескольким критериям:

• по аспекту информационной безопасности (доступность, целостность, конфиденциальность), против которого угрозы направлены в первую очередь;
• по компонентам информационных систем, на которые угрозы нацелены (данные, программы, аппаратура, поддерживающая инфраструктура);
• по способу осуществления (случайные/преднамеренные действия природного/техногенного характера);
• по расположению источника угроз (внутри/вне рассматриваемой ИС).

 

Угрозы  могут быть как случайными, так  и умышленными (преднамеренно создаваемыми).

К случайным  угрозам относятся:

• ошибки обслуживающего персонала и пользователей:
• потеря информации, обусловленная неправильным хранением архивных данных;
• случайное уничтожение или изменение данных;
• сбои оборудования и электропитания:
• сбои кабельной системы;
• перебои электропитания;
• сбои дисковых систем;
• сбои систем архивирования данных;
• сбои работы серверов, рабочих станций, сетевых карт и т. д.
• некорректная работа программного обеспечения:
• изменение данных при ошибках в программном обеспечении;
• заражение системы компьютерными вирусами.
• несанкционированный доступ:
• случайное ознакомление с конфиденциальной информацией посторонних лиц.

К умышленным угрозам относятся:

• несанкционированный доступ к информации и сетевым ресурсам;
• раскрытие и модификация данных и программ, их копирование;
• раскрытие, модификация или подмена трафика вычислительной сети;
• разработка и распространение компьютерных вирусов, ввод в программное обеспечение логических бомб;
• кража магнитных носителей и расчетных документов;
• разрушение архивной информации или умышленное ее уничтожение;
• фальсификация сообщений, отказ от факта получения информации или изменение времени ее приема;
• перехват и ознакомление с информацией, передаваемой по каналам связи, и т. п.

      

    В качестве основного критерия мы будем использовать первый (по аспекту ИБ), привлекая при необходимости остальные.

    Наиболее  распространенные угрозы доступности

    Самыми  частыми и самыми опасными (с точки  зрения размера ущерба) являются непреднамеренные ошибки штатных пользователей, операторов, системных администраторов и других лиц, обслуживающих информационные системы.

    Иногда  такие ошибки и являются собственно угрозами (неправильно введенные  данные или ошибка в программе, вызвавшая  крах системы), иногда они создают  уязвимые места, которыми могут воспользоваться злоумышленники (таковы обычно ошибки администрирования). По некоторым данным, до 65% потерь - следствие непреднамеренных ошибок.

    Другие  угрозы доступности  классифицируем по компонентам  ИС, на которые нацелены угрозы:

• отказ пользователей;
• внутренний отказ информационной системы;
• отказ поддерживающей инфраструктуры.

    Обычно  применительно к  пользователям рассматриваются  следующие угрозы:

• нежелание работать с информационной системой (чаще всего проявляется при необходимости осваивать новые возможности и при расхождении между запросами пользователей и фактическими возможностями и техническими характеристиками);
• невозможность работать с системой в силу отсутствия соответствующей подготовки (недостаток общей компьютерной грамотности, неумение интерпретировать диагностические сообщения, неумение работать с документацией и т.п.);
• невозможность работать с системой в силу отсутствия технической поддержки (неполнота документации, недостаток справочной информации и т.п.).

    Основными источниками внутренних отказов являются:

• отступление (случайное или умышленное) от установленных правил эксплуатации;
• выход системы из штатного режима эксплуатации в силу случайных или преднамеренных действий пользователей или обслуживающего персонала (превышение расчетного числа запросов, чрезмерный объем обрабатываемой информации и т.п.);
• ошибки при (пере)конфигурировании системы;
• отказы программного и аппаратного обеспечения;
• разрушение данных;
• разрушение или повреждение аппаратуры.

    По  отношению к поддерживающей инфраструктуре рекомендуется рассматривать следующие угрозы:

• нарушение работы (случайное или умышленное) систем связи, электропитания, водо- и/или теплоснабжения, кондиционирования;
• разрушение или повреждение помещений;
• невозможность или нежелание обслуживающего персонала и/или пользователей выполнять свои обязанности (гражданские беспорядки, аварии на транспорте, террористический акт или его угроза, забастовка и т.п.).

    Весьма  опасны так называемые "обиженные" сотрудники - нынешние и бывшие. Как правило, они стремятся нанести вред организации-"обидчику", например:

• испортить оборудование;
• встроить логическую бомбу, которая со временем разрушит программы и/или данные;
• удалить данные.

    Обиженные сотрудники, даже бывшие, знакомы с  порядками в организации и способны нанести немалый ущерб. Необходимо следить за тем, чтобы при увольнении сотрудника его права доступа (логического и физического) к информационным ресурсам аннулировались.

    Опасны, разумеется, стихийные бедствия и  события, воспринимаемые как стихийные бедствия,- пожары, наводнения, землетрясения, ураганы. По статистике, на долю огня, воды и тому подобных "злоумышленников" (среди которых самый опасный - перебой электропитания) приходится 13% потерь, нанесенных информационным системам.

    Некоторые примеры угроз доступности

    Угрозы  доступности могут выглядеть  грубо - как повреждение или даже разрушение оборудования (в том числе  носителей данных). Такое повреждение  может вызываться естественными  причинами (чаще всего - грозами). К сожалению, находящиеся в массовом использовании источники бесперебойного питания не защищают от мощных кратковременных импульсов, и случаи выгорания оборудования - не редкость.

    В принципе, мощный кратковременный импульс, способный разрушить данные на магнитных  носителях, можно сгенерировать и искусственным образом - с помощью так называемых высокоэнергетических радиочастотных пушек. Но, наверное, в наших условиях подобную угрозу следует все же признать надуманной.

    Общеизвестно, что периодически необходимо производить  резервное копирование данных. Однако даже если это предложение выполняется, резервные носители зачастую хранят небрежно (к этому мы еще вернемся при обсуждении угроз конфиденциальности), не обеспечивая их защиту от вредного воздействия окружающей среды. И когда требуется восстановить данные, оказывается, что эти самые носители никак не желают читаться.

    Перейдем  теперь к угрозам доступности, которые  будут похитрее засоров канализации. Речь пойдет о программных атаках на доступность.

    В качестве средства вывода системы из штатного режима эксплуатации может использоваться агрессивное потребление ресурсов (обычно - полосы пропускания сетей, вычислительных возможностей процессоров или оперативной памяти). По расположению источника угрозы такое потребление подразделяется на локальное и удаленное.

      

    При просчетах в конфигурации системы  локальная программа способна практически  монополизировать процессор и/или  физическую память, сведя скорость выполнения других программ к нулю.

    

    Простейший  пример удаленного потребления  ресурсов - атака, получившая наименование "SYN-наводнение". Она представляет собой попытку переполнить таблицу "полуоткрытых" TCP-соединений сервера (установление соединений начинается, но не заканчивается). Такая атака по меньшей мере затрудняет установление новых соединений со стороны легальных пользователей, то есть сервер выглядит как недоступный.

    По  отношению к атаке "Papa Smurf" уязвимы сети, воспринимающие ping-пакеты с широковещательными адресами. Ответы на такие пакеты "съедают" полосу пропускания.

    Удаленное потребление ресурсов в последнее время проявляется в особенно опасной форме - как скоординированные распределенные атаки, когда на сервер с множества разных адресов с максимальной скоростью направляются вполне легальные запросы на соединение и/или обслуживание. Временем начала "моды" на подобные атаки можно считать февраль 2000 года, когда жертвами оказались несколько крупнейших систем электронной коммерции (точнее - владельцы и пользователи систем). Отметим, что если имеет место архитектурный просчет в виде разбалансированности между пропускной способностью сети и производительностью сервера, то защититься от распределенных атак на доступность крайне трудно.