Программная реализация современных методов НСД к информации
Под НСД к ресурсам компьютерной системы понимаются действия по использованию, изменению и уничтожению используемых данных указанной системы, производимые субъектом, не имеющим права на такие действия. Если компьютерная система содержит механизмы защиты от НСД, то несанкционированные действия могут быть вызваны:
- отключением или видоизменением защитных механизмов нелегальным пользователем;
- входом в систему под именем и с полномочиями реального пользователя.
В обоих случаях НСД можно представить моделью опосредованного доступа, когда проникновение в систему осуществляется на основе некоторого воздействия, проведенного предварительно внедренной в систему программой. Среди подобных программ существуют программы двух типов:
- компьютерные вирусы;
- программные закладки.
Программные закладки (ПЗ) – это программы, которые могут выполнять хотя бы одно из следующих действий:
- вносить произвольные искажения в коды программы, находящейся в оперативной памяти (ПЗ первого типа);
- переносить фрагменты информации из одних областей оперативной или внешней памяти компьютера в другие (ПЗ второго типа);
- искажать выводимую на внешние компьютерные устройства или в канал связи информацию, полученную в результате работы других программ (ПЗ третьего типа).
По времени пребывания в оперативной памяти ПЗ бывают резидентные (постоянно находящиеся в ОП) и нерезидентные.
По способу внедрения в компьютерную систему ПЗ можно подразделить на:
- программно-аппаратные (т.е. ассоциированные с аппаратной средой компьютера, например, с BIOS);
- загрузочные (ассоциированные с программами первичной загрузки);
- драйверные (ассоциированные с драйверами);
- прикладные (ассоциированные с прикладным программным обеспечением);
- исполняемые (ассоциированные с исполняемыми программными модулями);
- закладки-имитаторы (интерфейс которых совпадает с интерфейсом некоторых служебных программ, требующих ввода конфиденциальной информации).
Чтобы ПЗ могла произвести какие-либо действия, необходимо одновременное выполнение следующих условий:
- ПЗ должна попасть в ОП компьютера;
- работа ПЗ, находящейся в ОП, начинается при выполнении ряда условий, которые называются активизирующими.
К способам задействования ПЗ можно отнести запуск программы, прерывания, определенное сочетание входных данных, определенное сочетание условий применения системы.
Из всех известных угроз наиболее часто встречаются программные закладки типа “троянского коня” и “компьютерного червя”.
Закладки типа “троянского коня” проявляют себя в определенных условиях (по времени, ключевым словам сообщениям и т.п.) и могут разрушать (искажать) информацию, копировать фрагменты конфиденциальной информации или пароли (ключи), засылать сообщения не по адресу или блокировать прием (отправку) сообщений.
Закладки типа “компьютерного червя” нацелены на проникновение в системы разграничения доступа пользователей к ресурсам сети, могут приводить к потере матриц установления полномочий (см. далее) пользователей, к нарушению работы всей системы в целом и системы разграничения доступа в частности.
Кроме “троянцев” и “червей” весьма распространены ПЗ, называемые клавиатурными шпионами. Такие ПЗ нацелены на перехват паролей пользователей ОС, а также на определение их легальных полномочий и прав доступа к компьютерным ресурсам.
Компьютерные вирусы являются в настоящее время наиболее эффективным средством доставки и внедрения различных разведывательных программ. Под программным (компьютерным) вирусом понимается автономно функционирующая программа, обладающая способностью к самовключению в тела других программ и последующему самораспространению в системах обработки данных.
Программные вирусы представляют собой весьма эффективное средство реализации практически всех угроз безопасности вычислительных систем. Предшественниками вирусов принято считать троянские программы, тела которых содержат скрытые последовательности команд (модули), выполняющие действия, которые наносят вред пользователям.
Принципиальное отличие вируса от троянца состоит в том, что вирус после запуска его в систему существует автономно и в процессе своего функционирования заражает программы путем имплантации (включения) в них своего текста. Таким образом, вирус представляет собой своеобразный генератор троянских программ. Программы, зараженные вирусом, называют вирусоносителями.
Заражение программы (точнее исполняемого файла), как правило, выполняется таким образом, чтобы вирус получил управление раньше самой программы. Для этого он либо встраивается в начало программы, либо имплантируется в ее тело так, чтобы первой командой зараженной программы был безусловный переход на вирус, текст которого заканчивается аналогичной командой безусловного перехода на команду вирусоносителя, бывшую первой до заражения. Получив управление, вирус выбирает следующий файл, заражает его, возможно, выполняет какие-либо другие действия, после чего отдает управление вирусоносителю.
Первичное заражение происходит в процессе поступления инфицированных программ из памяти одной ЭВМ в память другой ЭВМ, причем в качестве средства перемещения этих программ могут использоваться как внешние носители информации (диски, дискеты), так и каналы связи компьютерной сети.
Физическая структура вируса проста. Он состоит из головы и, возможно, хвоста. Под головой вируса понимается его компонент, получающий управление первым. Хвост – это часть вируса, расположенная в тексте зараженной программы отдельно от хвоста. Вирусы, состоящие из одной головы, называются несегментированными; вирусы, имеющие голову и хвост - сегментированными.
По характеру размещения в памяти ЭВМ с операционной системой MS DOS вирусы принято делить на файловые нерезидентные, файловые резидентные, бутовые и гибридные.
Файловый нерезидентный вирус целиком размещается в исполняемом файле, в связи с чем он активизируется только в случае активизации вирусоносителя, а по выполнении необходимых действий возвращает управление самой программе.
Файловый резидентный вирус отличается от нерезидентного тем. Что заражает не только исполняемы файлы, но и оперативную память ЭВМ. Он имеет другую логическую структуру. Резидентный вирус состоит из так называемого инсталлятора и программ обработки прерываний. Инсталлятор получает управление при активизации вирусоносителя и инфицирует ОП путем размещения в ней управляющей части вируса и замены адресов в элементах вектора прерываний на адреса своих программ, обрабатывающих эти прерывания. На так называемой фазе слежения, следующей зам фазой инсталляции при возникновении какого-либо прерывания управление получает соответствующая программа вируса.
Одной из разновидностей резидентных вирусов являются бутовые вирусы, отличительная особенность которых в том, что они инфицируют загрузочные, или boot-сектора, магнитных носителей. При этом инфицированными могут оказаться как загрузочные, так и обычные дискеты.
Близость механизмов функционирования бутовых и файловых резидентных вирусов сделала возможным появление гибридных вирусов, инфицирующих как файлы, так и загрузочные секторы.
Эффекты, вызываемые вирусами, принято делить на следующие целевые группы:
- искажение информации в файлах либо в таблице размещения фалов;
- имитация сбоев аппаратных средств;
- создание звуковых и визуальных эффектов, мешающих работе оператора ЭВМ;
- инициирование ошибок в программах пользователей и ОС;
- считывание из памяти и перемещение в требуемое место информации;
- вывод из строя аппаратуры;
- воздействие на оператора (на его психику и т.п.).
