АНАЛИЗ СПОСОБОВ НАРУШЕНИЙ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
Основой любого анализа безопасности компьютерных систем (КС) является знание основных угроз, присущих им.
Атаки, направленные на компьютерные сети, называются удаленными атаками.
Основной особенностью любой сетевой операционной системы является то, что ее компоненты распределены в пространстве и связь между ними физически осуществляется при помощи сетевых соединений (коаксиальный кабель, витая пара, оптоволокно и т.д.) и программно при помощи механизма сообщений. При этом все управляющие сообщения и данные, пересылаемые одной компонентой сетевой ОС другой компоненте, передаются по сетевым соединениям в виде пакетов обмена. Эта особенность и является основной причиной появления нового класса угроз – класса удаленных атак. Основная причина нарушения безопасности сетевой ОС – недостаточная идентификация и аутентификация ее удаленных компонент.
Удаленные атаки классифицируются по следующим признакам:
1. По характеру воздействия:
- активное;
- пассивное.
Под активным воздействием на сетевую систему понимается воздействие, оказывающее непосредственное влияние на работу сети, т.е. изменение конфигурации сети, нарушение работы сети и.т.д. и нарушающее политику безопасности, принятую в системе. Практически все типы удаленных атак являются активными воздействиями. Основная особенность удаленного активного воздействия заключается в принципиальной возможности его обнаружения.
Пассивным воздействием на сетевую систему называется воздействие, которое не оказывает непосредственного влияния на работу сети, но может нарушать ее политику безопасности. Отсутствие непосредственного влияния на работу сети приводит к тому, что пассивное удаленное воздействие практически невозможно обнаружить Единственным примером пассивного типового удаленного воздействия служит прослушивание канала в сети.
2. По цели воздействия:
- перехват информации;
- искажение информации.
Основная цель практически любой атаки – получить несанкционированный доступ к информации. Существуют две возможности доступа к информации перехват и искажение. Возможность перехвата информации означает получение к ней доступа, но невозможность ее модификации. Примером перехвата информации это прослушивание канала в сети. В этом случае имеется несанкционированный доступ к информации без возможности ее искажения.
Возможность к искажению информации означает полный контроль над информационном потоком. То есть, информацию можно не только прочитать, как в случае перехвата, а иметь возможность ее модификации. Примером удаленной атаки, позволяющей модифицировать информацию, может служить ложный сервер.
3. По условию начала осуществления воздействия:
— атака по запросу от атакуемого объекта. Атакующая программа, запущенная на сетевом компьютере, ждет посылки от потенциальной цели атаки определенного типа запроса, который и будет условием начала осуществления атаки;
— атака по наступлению определенного события на атакуемом объекте. Удаленной атаки атакующая программа ведет наблюдение за состоянием операционной системы удаленного компьютера и при возникновении определенного события в системе начинает осуществление воздействия. Инициатором осуществления начала атаки выступает сам атакуемый объект.
— безусловная атака. Начало осуществления атаки безусловно по отношению к цели атаки. То есть атака осуществляется немедленно после запуска атакующей программы а, следовательно, она и является инициатором начала осуществления атаки.
4. По расположению субъекта атаки относительно атакуемого объекта:
— внутрисегментное;
— межсегментное.
Рассмотрим ряд определений:
Субъект атаки (или источник атаки) – это атакующая программа, осуществляющая воздействие.
Хост (host) – сетевой компьютер.
Маршрутизатор (router) – устройство, обеспечивающее маршрутизацию пакетов обмена в глобальной сети.
Подсеть (subnetwork) (в терминологии Internet) – совокупность хостов, являющихся частью глобальной сети, для которых маршрутизатором выделен одинаковый номер подсети. Подсеть – логическое объединение хостов маршрутизатором. Хосты внутри одной подсети могут взаимодействовать между собой непосредственно, минуя маршрутизатор.
Сегмент сети – физическое объединение хостов. Например, сегмент сети образуют совокупность хостов, подключенных к серверу по схеме общая шина. При такой схеме подключения каждый хост имеет возможность подвергать анализу любой пакет в своем сегменте.
Чрезвычайно важно как по отношению друг к другу располагаются субъект и объект атаки, то есть в одном или в разных сегментах они находятся. В случае внутрисегментной атаки, как следует из названия, субъект и объект атаки находятся в одном сегменте. На практике межсегментную атаку осуществить на порядок труднее, чем внутрисегментную.
5. По уровню эталонной модели ISO/OSI, на котором осуществляется воздействие:
— физический;
— канальный;
— сетевой;
— транспортный;
— сеансовый;
— представительный;
— прикладной.
Международная Организация по Стандартизации (ISO) приняла стандарт ISO 7498, описывающий взаимодействие открытых систем (OSI). Сетевые ОС также являются открытыми системами. Любой сетевой протокол обмена, также как и любую сетевую программу можно спроецировать на эталонную семиуровневую модель OSI. Такая многоуровневая проекция позволит описать в терминах модели OSI функции, заложенные в сетевой протокол или сетевую программу. Удаленная атака также является сетевой программой.
Особенностью сетевой операционной системы является то, что ее компоненты распределены в пространстве, и связь между ними физически осуществляется при помощи сетевых соединений и программно – при помощи механизма сообщений. Все управляющие сообщения и данные, пересылаемые одной компонентой сетевой ОС другой компоненте, передаются по сетевым соединениям в виде пакетов обмена. Эта особенность привела к появлению специфичного только для сетей ЭВМ типового удаленного воздействия, заключающегося в прослушивание канала в сети или сетевой анализ. Анализ сетевого трафика позволяет:
1. Изучить логику работы сетевой ОС. Это достигается путем перехвата и анализа пакетов обмена на канальном уровне. Знание логики работы сетевой ОС позволяет на практике моделировать и осуществлять типовые удаленные атаки.
2. Перехватить поток данных, которыми обмениваются компоненты сетевой ОС. То есть, удаленная атака данного типа заключается в получение на удаленном компьютере несанкционированного доступа к информации, которой обмениваются две сетевых ЭВМ. При анализе сетевого трафика отсутствует возможность его модификации и сам анализ возможен только внутри одного сегмента сети. Примером перехваченной при помощи данной типовой атаки информации могут служить имя и пароль пользователя, пересылаемые в незашифрованном открытом виде по сети.
По характеру воздействия анализ сетевого трафика является пассивным воздействием. Осуществление данной атаки ведет к перехвату информации внутри одного сегмента сети на канальном уровне OSI. При этом начало осуществления атаки безусловно по отношению к цели атаки.
