Лекція 2. Загрози безпеки даних та їх особливості

Загроза - це потенційна можливість певним чином порушити інформаційну безпеку.

Спроба реалізації загрози називається атакою, а той, хто вживає таку спробу, - зловмисником. Потенційні зловмисники називаються джерелами загрози.

Реалізацією загрози є порушення роботи системи.

Найчастіше загроза є наслідком наявності вразливих місць в захисті інформаційних систем (таких, наприклад, як можливість доступу сторонніх осіб до обладнання або помилки в програмному забезпеченні).

Проміжок часу від моменту, коли з'являється можливість використовувати слабке місце, і до моменту, коли пробіл ліквідується, називається вікном небезпеки, асоційованим з даними вразливим місцем. Поки існує вікно небезпеки, можливі успішні атаки на ІС.

Якщо мова йде про помилки в ПО, то вікно небезпеки "відкривається" з появою засобів використання помилки і ліквідується при накладенні латок, що її виправляють.

Для більшості вразливих місць вікно небезпеки існує порівняно довго (кілька днів, іноді - тижнів), оскільки за цей час повинні відбутися наступні події:

має стати відомо про засоби використання пробілу в захисті;

повинні бути випущені відповідні латки;

латки повинні бути встановлені в ІС, що захищається.

Ми вже вказували, що нові вразливі місця і засоби їх використання з'являються постійно, це означає, по-перше, що майже завжди існують вікна небезпеки і, по-друге, що відстеження таких вікон повинне проводитися постійно, а випуск і накладення латок - як можна більш оперативно.

Відзначимо, що деякі загрози не можна вважати наслідком якихось помилок чи прорахунків, вони існують в силу самої природи сучасних ІС. Наприклад, загроза відключення електрики або виходу її параметрів за допустимі межі існує в силу залежності апаратного забезпечення ІС від якісного електроживлення.

Розглянемо найбільш поширені загрози, до яких схильні сучасні інформаційні системи. Мати уявлення про можливі загрози, а також про вразливі місця, які ці загрози зазвичай використовують, необхідно для того, щоб вибирати найбільш економічні засоби забезпечення безпеки. Занадто багато міфів існує в сфері інформаційних технологій (згадаємо все ту ж "Проблему 2000"), тому незнання в даному випадку веде до перевитрати коштів і, що ще гірше, до концентрації ресурсів там, де вони не особливо потрібні, за рахунок ослаблення дійсно вразливих напрямків.

Загрози можна класифікувати за кількома критеріями:

по аспекту інформаційної безпеки (доступність, цілісність, конфіденційність), проти якого загрози спрямовані в першу чергу;

по компонентах інформаційних систем, на які загрози націлені (дані, програми, апаратура, підтримуюча інфраструктура);

за способом здійснення (випадкові / навмисні, дії природного / техногенного характеру);

по розташуванню джерела загроз (всередині / поза розглянутої ІС).

Найчастішими і найнебезпечнішими (з точки зору розміру збитку) є ненавмисні помилки штатних користувачів, операторів, системних адміністраторів та інших осіб, які обслуговують інформаційні системи.

Інколи такі помилки і є власне загрозами (неправильно введені дані або помилка в програмі, що викликала крах системи), іноді вони створюють вразливі місця, якими можуть скористатися зловмисники (це зазвичай помилки адміністрування). За деякими даними, до 65% втрат - наслідок ненавмисних помилок.

Очевидно, самий радикальний спосіб боротьби з ненавмисними помилками - максимальна автоматизація і строгий контроль.

Інші загрози доступності класифікуємо за компонентами ІС, на які націлені загрози:

відмова користувачів;

внутрішня відмова інформаційної системи;

відмова підтримуючої інфраструктури.

Зазвичай стосовно до користувачам розглядаються наступні загрози:

- небажання працювати з інформаційною системою (найчастіше проявляється при необхідності освоювати нові можливості і при розходженні між запитами користувачів і фактичними можливостями та технічними характеристиками);

- неможливість працювати з системою через відсутність відповідної підготовки (нестача загальної комп'ютерної грамотності, невміння інтерпретувати діагностичні повідомлення, невміння працювати з документацією і т.п.);

- неможливість працювати з системою в силу відсутності технічної підтримки (неповнота документації, недолік довідкової інформації і т.п.).

Основними джерелами внутрішніх відмов є:

порушення (випадкове або навмисне) встановлених правил експлуатації;

вихід системи з штатного режиму експлуатації в силу випадкових або навмисних дій користувачів або обслуговуючого персоналу (перевищення розрахункового числа запитів, надмірний обсяг оброблюваної інформації і т.п.);

помилки при (пере) конфігуруванні системи;

відмови програмного і апаратного забезпечення;

руйнування даних;

руйнування або пошкодження апаратури.

По відношенню до підтримуючої інфраструктури рекомендується розглядати наступні загрози:

порушення роботи (випадкове або навмисне) систем зв'язку, електроживлення, водо-та / або теплопостачання, кондиціонування;

руйнування або пошкодження приміщень;

неможливість або небажання обслуговуючого персоналу та / або користувачів виконувати свої обов'язки (цивільні безлади, аварії на транспорті, терористичний акт або його загроза, страйк і т.п.).

Загрози доступності можуть виглядати грубо - як пошкодження або навіть руйнування обладнання (в тому числі носіїв даних). Таке пошкодження може викликатися природними причинами (найчастіше - грозами). На жаль, джерела безперебійного живлення, що знаходяться в масовому використанні не захищають від потужних короткочасних імпульсів, і випадки вигоряння устаткування - не рідкість.

В принципі, потужний короткочасний імпульс, здатний зруйнувати дані на магнітних носіях, можна згенерувати і штучним чином - за допомогою так званих високоенергетичних радіочастотних гармат. Але, напевно, в наших умовах подібну загрозу варто все ж визнати надуманою.

Загальновідомо, що періодично необхідно проводити резервне копіювання даних. Однак навіть якщо ця умова виконується, резервні носії часто зберігають недбало (до цього ми ще повернемося при обговоренні загроз конфіденційності), не забезпечуючи їх захист від шкідливого впливу навколишнього середовища. І коли потрібно відновити дані, виявляється, що ці самі носії ніяк не бажають читатися.

програмні атаки на доступність

В якості засобу виведення системи з штатного режиму експлуатації може використовуватися агресивне споживання ресурсів (зазвичай - смуги пропускання мереж, обчислювальних можливостей процесорів або оперативної пам'яті). За розташуванням джерела загрози таке споживання підрозділяється на локальне і віддалене. При прорахунках в конфігурації системи локальна програма здатна практично монополізувати процесор і / або фізичну пам'ять, звівши швидкість виконання інших програм до нуля.

Найпростіший приклад віддаленого споживання ресурсів - атака, що отримала найменування "SYN-повінь". Вона являє собою спробу переповнити таблицю "напіввідкритих" TCP-з'єднань сервера (встановлення з'єднань починається, але не закінчується). Така атака щонайменше ускладнює встановлення нових з'єднань з боку легальних користувачів, тобто сервер виглядає як недоступний.

Віддалене споживання ресурсів останнім часом проявляється в особливо небезпечній формі - як скоординовані розподілені атаки, коли на сервер з безлічі різних адрес з максимальною швидкістю спрямовуються цілком легальні запити на з'єднання та / або обслуговування. Часом початку "моди" на подібні атаки можна вважати лютий 2000 року, коли жертвами виявилися кілька найбільших систем електронної комерції (точніше - власники і користувачі систем). Відзначимо, що якщо має місце архітектурний прорахунок у вигляді розбалансованості між пропускною спроможністю мережі і продуктивністю сервера, то захиститися від розподілених атак на доступність вкрай важко.

Відмова від обслуговування, розподілена відмова від обслуговування (англ. DoS, DDoS, (Distributed) Denial-of-service) — напад на комп'ютерну систему з наміром зробити комп'ютерні ресурси недоступними до користувачів, для яких комп'ютерна система була призначена.

Якщо атака відбувається одночасно з великої кількості IP-адрес, то її називають розподіленою (DDoS).

Є два варіанти організації DDoS атак:

Ботнет - зараження певного числа комп'ютерів програмами, які в певний момент починають здійснювати запити до атакованого сервера.

Флешмоб - домовленість великого числа користувачів інтернету почати здійснювати певні типи запитів до атакованого сервера.

Одним із найнебезпечніших способів проведення атак є впровадження в системи, що атакуються шкідливого програмного забезпечення.

Ми виділимо наступні межі шкідливого ПЗ:

шкідлива функція;

спосіб розповсюдження;

зовнішнє уявлення.

Частину, що здійснює руйнівну функцію, будемо називати "бомбою" (хоча, можливо, більш вдалими термінами були б "заряд" або "боєголовка"). Взагалі кажучи, спектр шкідливих функцій необмежений, оскільки "бомба", як і будь-яка інша програма, може володіти як завгодно складною логікою, але зазвичай "бомби" призначаються для:

впровадження іншого шкідливого ПЗ;

отримання контролю над системою, що атакується;

агресивного споживання ресурсів;

зміни або руйнування програм і / або даних.

По механізму розповсюдження розрізняють:

віруси - код, що володіє здатністю до поширення (можливо, зі змінами) шляхом впровадження в інші програми;

"Черв'яки" - код, здатний самостійно, тобто без впровадження в інші програми, викликати поширення своїх копій по ІС та їх виконання (для активізації вірусу потрібен запуск зараженої програми).

Віруси зазвичай поширюються локально, в межах вузла мережі; для передачі по мережі їм потрібна зовнішня допомога, така як пересилання зараженого файлу. "Черв'яки", навпаки, орієнтовані в першу чергу на подорожі по мережі.

Іноді саме поширення шкідливого ПЗ викликає агресивне споживання ресурсів і, отже, є шкідливою функцією. Наприклад, "черв'яки", "з'їдають" смугу пропускання мережі і ресурси поштових систем. З цієї причини для атак на доступність вони не потребують у вбудовуванні спеціальних "бомб".

Шкідливий код, який виглядає як функціонально корисна програма, називається троянським. Наприклад, звичайна програма, будучи ураженою вірусом, стає троянською; деколи троянські програми виготовляють вручну і підсовують довірливим користувачам в будь-якій привабливій упаковці.

Вікно небезпеки для шкідливого ПЗ з'являється з випуском нового різновиду "бомб", вірусів і / або "черв'яків" і перестає існувати з оновленням бази даних антивірусних програм і накладенням інших необхідних латок.

Дата добавления: 2014-01-07