Характеристика угроз непосредственного доступа в операционную среду ИСПДн .

Угрозы доступа (проникновения) в операционную среду компьютера и несанкционированного доступа к ПДн связаны с доступом:

 

· к информации и командам, хранящимся в базовой системе ввода/вывода (BIOS) ИСПДн, с возможностью перехвата управления загрузкой операционной системы и получением прав доверенного пользователя;

· в операционную среду, то есть в среду функционирования локальной операционной системы отдельного технического средства ИСПДн с возможностью выполнения несанкционированного доступа путем вызова штатных программ операционной системы или запуска специально разработанных программ, реализующих такие действия;

· в среду функционирования прикладных программ (например, к локальной системе управления базами данных);

· непосредственно к информации пользователя (к файлам, текстовой, аудио и графической информации, полям и записям в электронных базах данных) и обусловлены возможностью нарушения ее конфиденциальности, целостности и доступности.

 

Эти угрозы могут быть реализованы в случае получения физического доступа к ИСПДн или, по крайней мере, к средствам ввода информации в ИСПДн:

 

5.2.3.1. Угрозы, реализуемые в ходе загрузки операционной системы

 

Эти угрозы безопасности информации направлены на перехват паролей или идентификаторов, модификацию программного обеспечения базовой системы ввода/вывода (BIOS), перехват управления загрузкой с изменением необходимой технологической информации для получения НСД в операционную среду ИСПДн. Чаще всего такие угрозы реализуются с использованием отчуждаемых носителей информации.

 

5.2.3.2. Угрозы, реализуемые после загрузки операционной среды независимо от того, какая прикладная программа запускается пользователем

 

· программами просмотра и модификации реестра;

· программами поиска текстов в текстовых файлах по ключевым словам и копирования;

· специальными программами просмотра и копирования записей в базах данных;

· программами быстрого просмотра графических файлов, их редактирования или копирования;

· программами поддержки возможностей реконфигурации программной среды (настройки ИСПДн в интересах нарушителя) и др.

5.2.3.3. Угрозы, реализация которых определяется тем, какая из прикладных программ запускается пользователем, или фактом запуска любой из прикладных программ.Большая часть таких угроз – это угрозы внедрения вредоносных программ.

 

Общая характеристика УБПДн, реализуемых с использованием протоколов межсетевого взаимодействия.

Классификация угроз, реализуемых по сети, приведена в Таблице 2. В ее основу положено семь первичных признаков классификации.

Таблица 2

№ п /п	Признак классификации	Тип угрозы	Описание
1	Характер угрозы	Пассивные	Это угроза, при реализации которой не оказывается непосредственное влияние на работу ИСПДн, но могут быть нарушены установленные правила разграничения доступа к ПДн или сетевым ресурсам.
		Активные	Это угроза, связанная с воздействием на ресурсы ИСПДн, при реализации которой оказывается непосредственное влияние на работу системы (изменение конфигурации, нарушение работоспособности и т.д.), и с нарушениемустановленных правил разграничения доступа к ПДн или сетевым ресурсам.
2	Цель реализации угрозы	Угрозы с нарушением конфиденциальности информации
		Угрозы с нарушением целостности информации
		Угрозы с нарушением доступности информации
		Угрозы с комплексным воздействием на информацию
3	Условие начала осуществления процесса реализации угрозы	По запросу от объекта, относительно которого реализуется угроза	В этом случае нарушитель ожидает передачи запроса определенного типа, который и будет условием начала осуществления несанкционированного доступа
		По наступлению ожидаемого события на объекте, относительно которого реализуется угроза	В этом случае нарушитель осуществляет постоянное наблюдение за состоянием операционной системы ИСПДн и при возникновении определенного события в этой системе начинает несанкционированный доступ;
		Безусловное воздействие	В этом случае начало осуществления несанкционированного доступа безусловно по отношению к цели доступа, то есть угроза реализуется немедленно и безотносительно к состоянию системы.
4	Наличие обратной связи с ИСПДн.	С обратной связью	Характеризуется тем, что на некоторые запросы, переданные на ИСПДн, нарушителю требуется получить ответ. Следовательно, между нарушителем и ИСПДн существует обратная связь, которая позволяет нарушителю адекватно реагировать на все изменения, происходящие в ИСПДн
		Без обратной связи	Не требуется реагировать на какиелибо изменения, происходящие в ИСПДн
5	Расположение нарушителя относительно ИСПДн.	Внутрисегментный	Нарушитель имеет физический доступ к аппаратным элементам ИСПДн
		Межсегментный	Нарушитель располагается вне ИСПДн, реализуя угрозу из другой сети или из другого сегмента ИСПДн
6	Уровень эталонной модели взаимодействия открытых систем (ISO/OSI), на котором реализуется угроза	На физическом уровне
		На канальном
		Сетевом уровне
		На транспортном уровн
		На сеансовом уровне
		На представительном и прикладном уровне модели ISO/OSI
7	Соотношение количества нарушителей и элементов ИСПДн, относительно которых реализуется угроза	Угроза «один к одному»	Реализуемых одним нарушителем относительно одного технического средства ИСПДн
		Угроза «один ко многим»	Реализуемых  сразу относительно нескольких технических средств ИСПДн
		Распределенные или комбинированные угрозы	Реализуемых несколькими нарушителями с разных компьютеров относительно одного или нескольких технических средств ИСПДн

 

С учетом проведенной классификации можно выделить ___4____угроз,реализуемых с использованием протоколов межсетевого взаимодействия:

· Угроза выявления пароля.

· Подмена доверенного объекта сети и передача по каналам связи сообщений от его имени с присвоением его прав доступа

· Внедрение ложного объекта сети

· Отказ в обслуживании.

 

5.2.4.1. Анализ сетевого трафика.

 

Эта угроза реализуется с помощью специальной программыанализатора пакетов (sniffer), перехватывающей все пакеты, передаваемые по сегменту сети, и выделяющей среди них те, в которых передаются идентификатор пользователя и его пароль. В ходе реализации угрозы нарушитель изучает логику работы сети – то есть стремится получить однозначное соответствие событий, происходящих в системе, и команд, пересылаемых при этом хостами, в момент появления данных событий.В дальнейшем это позволяет злоумышленнику на основе задания соответствующих команд получить, например, привилегированные права на действия в системе или расширить свои полномочия в ней, перехватить поток передаваемых данных, которыми обмениваются компоненты сетевой операционной системы, для извлеченияконфиденциальной или идентификационной информации (например, статических паролей пользователей длядоступа к удаленным хостам по протоколам FTP и TELNET, не предусматривающим шифрование), ее подмены, модификации и т.п.

 

5.2.4.2. Сканирование сети.

 

Сканирование сети из вне а именно из другой подсети ни к чему не приведет т.к. она закрыта и шифруется по средствам Vip Net координатора. Сущность процесса реализации угрозы заключается в передаче запросов сетевым службам хостов ИСПДн и анализе ответов от них. Цель – выявление используемых протоколов, доступных портов сетевых служб, законов формирования идентификаторов соединений, определение активных сетевых сервисов, подбор идентификаторов и паролей пользователей.

 

5.2.4.3. Угроза выявления пароля.

 

Цель реализации угрозы состоит в получении НСД путем преодоления парольной защиты. Злоумышленник может реализовывать угрозу с помощью целого ряда методов, таких как простой перебор, перебор с использованием специальных словарей, установка вредоносной программы для перехвата пароля, подмена доверенного объекта сети (IPspoofing) и перехват пакетов (sniffing). В основном для реализации угрозы используются специальные программы, которые пытаются получить доступ к хосту путем последовательного подбора паролей. В случае успеха, злоумышленник может создать для себя «проход» для будущего доступа, который будет действовать, даже если на хосте изменить пароль доступа.

 

5.2.4.4. Подмена доверенного объекта сети и передача по каналам связи сообщений от его имени с присвоением его прав доступа.

Рисунок 7. Схема реализации угрозы«Подмена доверенного объекта сети»

 

 

5.2.4.5. Навязывание ложного маршрута сети.

 

Данная угроза реализуетсяодним из двух способов: путем внутрисегментного или межсегментного навязывания. Возможность навязывания ложного маршрута обусловлена недостатками, присущими алгоритмам маршрутизации (в частности, изза проблемы идентификации сетевых управляющих устройств), в результате чего можно попасть, например, на хост или в сетьзлоумышленника, где можно войти в операционную среду технического средства в составе ИСПДн. Реализация угрозы основывается
на несанкционированном использовании протоколов маршрутизации (RIP, OSPF, LSP) и управления сетью (ICMP, SNMP) для внесения изменений
в маршрутноадресные таблицы. При этом нарушителю необходимо послать от имени сетевого управляющего устройства (например, маршрутизатора) управляющее сообщение

 

5.2.4.6. Внедрение ложного объекта сети.

 

Эта угроза основана на использовании недостатков алгоритмов удаленного поиска. В случае, если объекты сети изначально не имеют адресной информации друг о друге, используются различные протоколы удаленного поиска (например, SAP в сетях NovellNetWare; ARP, DNS, WINS в сетях со стеком протоколов TCP/IP), заключающиеся в передаче по сети специальных запросов и получении на них ответов с искомой информацией. При этом существует возможность перехвата нарушителем поискового запроса и выдачи на него ложного ответа, использование которого приведет к требуемому изменению маршрутноадресных данных. В дальнейшем весь поток информации, ассоциированный с объектомжертвой, будет проходить через ложный объект сети (рисунки 10 13).

 

5.2.4.7. Отказ в обслуживании.

 

Эти угрозы основаны на недостатках сетевого программного обеспечения, его уязвимостях, позволяющих нарушителю создавать условия, когда операционная система оказывается не в состоянии обрабатывать поступающие пакеты.

Могут быть выделены несколько разновидностей таких угроз:

а) скрытый отказ в обслуживании, вызванный привлечением части ресурсов ИСПДн на обработку пакетов, передаваемых злоумышленником со снижением пропускной способности каналов связи, производительности сетевых устройств, нарушением требований ко времени обработки запросов. Примерами реализации угроз подобного рода могут служить: направленный шторм эхозапросов по протоколуICMP (Pingflooding), шторм запросов на установление TCPсоединений (SYNflooding), шторм запросов к FTPсерверу;

б) явный отказ в обслуживании, вызванный исчерпанием ресурсов ИСПДн при обработке пакетов, передаваемых злоумышленником (занятие всей полосы пропускания каналов связи, переполнение очередей запросов на обслуживание), при котором легальные запросы не могут быть переданы через сеть изза недоступности среды передачи либо получают отказ в обслуживании ввиду переполнения очередей запросов, дискового пространства памяти и т.д. Примерами угроз данного типа могут служить шторм широковещательных ICMPэхозапросов (Smurf), направленный шторм (SYNflooding), шторм сообщений почтовому серверу (Spam);

в) явный отказ в обслуживании, вызванный нарушением логической связности между техническими средствами ИСПДн при передаче нарушителем управляющих сообщений от имени сетевых устройств, приводящих
к изменению маршрутноадресных данных (например, ICMPRedirectHost,
DNSflooding) или идентификационной и аутентификационной информации;

г) явный отказ в обслуживании, вызванный передачей злоумышленником пакетов с нестандартными атрибутами (угрозы типа «Land», «TearDrop», «Bonk», «Nuke», «UDPbomb») или имеющих длину, превышающую максимально допустимый размер (угроза типа «PingDeath»), что может привести к сбою сетевых устройств, участвующих в обработке запросов, при условии наличия ошибок в программах, реализующих протоколы сетевого обмена.

Результатом реализации данной угрозы может стать нарушение работоспособности соответствующей службы предоставления удаленного доступа к ПДн в ИСПДн, передача с одного адреса такого количества запросов на подключение к техническому средству в составе ИСПДн, какое максимально может «вместить» трафик (направленный «шторм запросов»), что влечет за собой переполнение очереди запросов и отказ одной из сетевых служб или полную остановку компьютера изза невозможности системы заниматься ничем другим, кроме обработки запросов.

 

5.2.4.8. Удаленный запуск приложений.

 

Угроза заключается в стремлении запустить на хосте ИСПДн различные предварительно внедренные вредоносные программы: программызакладки, вирусы, «сетевые шпионы», основная цель которых – нарушение конфиденциальности, целостности, доступности информации и полный контроль за работой хоста. Кроме того, возможен несанкционированный запуск прикладных программ пользователей для несанкционированного получения необходимых нарушителю данных, для запуска управляемых прикладной программой процессов и др.

Выделяют три подкласса данных угроз:

1) распространение файлов, содержащих несанкционированный исполняемый код;

2) удаленный запуск приложения путем переполнения буфера приложенийсерверов;

3) удаленный запуск приложения путем использования возможностей удаленного управления системой, предоставляемых скрытыми программными и аппаратными закладками либо используемыми штатными средствами.

Типовые угрозы первого из указанных подклассов основываются на активизации распространяемых файлов при случайном обращении к ним. Примерами таких файлов могут служить: файлы, содержащие исполняемый код в виде макрокоманд (документы MicrosoftWord, Excel и т.п.); htmlдокументы, содержащие исполняемый код в виде элементов ActiveX, Javaапплетов, интерпретируемых скриптов (например, тексты на JavaScript); файлы, содержащие исполняемые коды программ. Для распространения файлов могут использоваться службы электронной почты, передачи файлов, сетевой файловой системы.

При угрозах второго подкласса используются недостатки программ, реализующих сетевые сервисы (в частности, отсутствие контроля переполнения буфера). Настройкой системных регистров иногда удается переключить процессор после прерывания, вызванного переполнением буфера, на исполнение кода, содержащегося за границей буфера. Примером реализации такой угрозы может служить внедрение широко известного«вируса Морриса».

При угрозах третьего подкласса нарушитель использует возможности удаленного управления системой, предоставляемые скрытыми компонентами (например, «троянскими» программами типа BackOrifice, NetBus) либо штатными средствами управления и администрирования компьютерных сетей (Landesk Management Suite, Managewise, BackOrifice и т. п.). В результате их использования удается добиться удаленного контроля над станцией в сети.

Схематично основные этапы работы этих программ выглядят следующим образом:

инсталляция в памяти;

ожидание запроса с удаленного хоста, на котором запущена клиентпрограмма, и обмен с ней сообщениями о готовности;

передача перехваченной информации клиенту или предоставление ему контроля над атакуемым компьютером.