Сокрытие следов компьютерной разведки

Тезисы лекции

Сокрытие следов.

Лекция № 2 Сокрытие следов компьютерной разведки

Обсуждены и одобрены

на заседании кафедры

протокол №____ от «__»______2012 г.

Разработал:

доцент кафедры информационной безопасности, к.ф.-м.н., доцент,

полковник полиции

_________________________С.П. Алексеенко

Воронеж 2012

Распределение времени, мин.:

- организационная часть.................. 2

- вступительная часть.................... 8

- изложение вопроса № 1.................. 20

- изложение вопроса № 2................. 25

- изложение вопроса № 3................. 20

- ответы на вопросы..................... 5

- подведение итогов...................... 2

- заключительная часть.................... 5

- задание на самоподготовку............... 5

Всего: 90

I. Организационная часть. Преподаватель принимает рапорт, проверяет наличие и внешний вид, их готовность к занятиям (тетради, ручки).

II. Вступительная часть. Лектор говорит о теме лекции, учебных вопросах, значении изучаемой темы и роли организационных основ компьютерной разведки.

III. Изложение 1-го вопроса.

IV. Изложение 2-го вопроса.

2. Cокрытие следов атаки.

V. Изложение 3-го вопроса.

3. Сокрытие установленных файлов, программ и процессов

VI. Ответы на вопросы.

Преподаватель отвечает на вопросы курсантов.

VII. Подведение итогов.

VIII. Заключительная часть. Преподаватель призывает слушателей к добросовестному изучению учебного материала и необходимости их становления как будущих специалистов ИБ. Преподаватель говорит слушателям о необходимости систематического изучения материалов лекций.

IX. Задание на самоподготовку. С использованием рекомендованной литературы самостоятельно более детально изучить вопросы лекции.

Литература для подготовки:

Основная:

1. Меньшаков Ю. К. Теоретические основы технических разведок: учебное пособие: доп. УМО по образованию в обл. информ. безопасности / Ю. К. Меньшаков; под ред. Ю. Н. Лаврухина. - М.: Изд-во МГТУ им. Н. Э. Баумана, 2008. - 536 с.

Дополнительная:

1. Защита информации в компьютерных системах и сетях /под ред. В.Ф.Шаньгина – 2-е издание перераб. и доп. –М.: Радио и связь, 2001. –376 с.

2. Зима В.М. Безопасность глобальных сетевых технологий./ Зима В.М., Молдавян А.А., Молдовян Н.А. – 2-е изд. - СПб: БХВ - Санкт-Петербург, 2003. - 368 с.

3. Защита от вторжений. Расследование компьютерных преступлений/ Кевин Мандиа Крис.Пер. с англ. Просис. Издательство «Лори», 2005.- 476 с.

4. Руководство по защите от хакеров/ Коул Эрик. Пер. с англ. – М. Издательский дом «Вильямс», 2002. – 640 с.

5. Касперски К. Записки исследователя компьютерных вирусов/ К. Касперски– СПб.: Питер, 2005. – 16 с.

Вопрос 1. Сокрытие следов.

Перед тем, как покинуть вскрытый компьютер разведчик должен уничтожить все следы своего вторже­ния, по которым его могут найти (следует заметить что также поступает и злоумышленник). Никогда не следует забывать, что в любой ма­ло-мальски защищенной системе функционируют средства аудита, регистрирую­щие все подозрительные действия пользователя. Другая задача заметания следов -сокрытие файлов, помещенных в систему, и процессов, запущенных для слежения за работой легитимных пользователей.

Для очистки следов пребывания существует множество методов, включающих очистку журналов аудита, сокрытие запущенных программ и процессов поме­щением их в ядро операционной системы (т.е. той ее части, которая невидима для пользовательского интерфейса). Скажем, взамен подлинных процедур ядра операционной системы, разведчик может запустить подмененные процедуры, кото­рые будут оповещать его обо всех введенных пользователями паролях входной регистрации, и выполнять другие действия, например, пересылку разведчику рас­крытых паролей по Интернету. Такие задачи выполняются с помощью целых комплектов программ, которые в просторечии называются наборами отмычек, или, на сленге, «руткитами» (от английского слова rootkit - корневой комплект инструментов). «Руткиты» - весьма популярное средство взлома систем UNIX, но и Windows 2000 не обойдена вниманием.

Другой аспект задачи сокрытия следов связан с Интернетом. При попытках взлома через Интернет разведчик должен скрыть свой IP-адрес, который очень легко фиксируется системами обнаружения вторжений и далее позволяет вы­ловить вас прямо на рабочем месте. Для решения таких задач существует множество методов, самый лучший из которых - отказ от использования ком­пьютеров, способных выдать ваше местонахождение, подключение через про­кси-серверы, использование специальных программ - брандмауэров, ограничи­вающих передачу конфиденциальной информации от компьютера пользователя Интернета на сервер.

Дата добавления: 2014-01-07