1.3 Уязвимости информационных систем

Уязвимость (vulnerability) информационной системы – это любая характеристика информационной системы, использование которой нарушителем может привести к реализации угрозы.

Классификация уязвимостей

Выделяют следующие виды уязвимостей:

1. Уязвимости проектирования информационной системы. Это уязвимости, созданные разработчиком программного или аппаратного обеспечения при проектировании. Этот тип уязвимостей наиболее серьезен – они обнаруживаются и устраняются с большим трудом. В этом случае уязвимость свойственна проекту или алгоритму, и даже совершенная реализация проекта от этой уязвимости не избавляет. Яркий пример – уязвимость стека протоколов TCP/IP. При его создании были недооценены требования по безопасности, поэтому практически каждый месяц приходят сообщения о выявлении в нем новой уязвимости.

2. Уязвимости реализации информационной системы. Это ошибки, привнесенные на этапе реализации проекта. Типичный пример – «переполнение буфера» (buffer overflow) во многих реализациях программ, например sendmail или Internet Explorer. Эти уязвимости обнаруживаются и устраняются относительно легко.

3. Уязвимости конфигурации. Это уязвимости, добавленные администратором в процессе управления системой или привнесенные пользователем в процессе эксплуатации системы. Это доступные, но не используемые (или неправильно используемые) настройки и параметры системы.Это уклонения пользователя от принятой политики безопасности. Например: использование модема для выхода в Интернет в обход межсетевых экранов, или отказ запускать антивирусные сканеры, или другие, более враждебные действия. Это самая распространенная категория уязвимостей. Она устраняется быстро и легко, основная проблема – ее обнаружить.

1.4 Атаки

Атака (attack) на информационную систему – это действие, которое приводит к реализации угрозы путем использования уязвимостей этой информационной системы.

Модели атак

Традиционная атака – это атака, построенная на модели «один-к-одному» или «один-ко-многим». В этом случае атака исходит из одной точки (от одного хоста). Для сокрытия источника атаки часто используется метод промежуточных хостов. В этом случае атака реализуется не напрямую на выбранную цель, а через цепь узлов. Нередко эти узлы находятся в разных странах.

Распределенная атака (distributed attack), или скоординированная атака (coordinated attack) - это атака, построенная на модели «много-к одному» или «много-ко-многим». В этом случае несколько злоумышленников проводят сотни и тысячи нападений в один и тот же момент времени на один или несколько узлов. Это, как правило, атаки типа «отказ в обслуживании». Впервые такие атаки были реализованы в 1998 г. Реализуется распределенная атака в два этапа. Первый этап заключается в поиске в Internet незащищенных узлов, на которых злоумышленник осуществляет установку компонентов, реализующих атаку. Такие компоненты бывают двух типов: «мастера» (master) и «демоны» (daemon), т.е. серверы и клиенты. Злоумышленник управляет небольшим количеством «мастеров», которые командуют «демонами». Второй этап атаки состоит в посылке на атакуемый узел большого числа пакетов со всех хостов-посредников, на которых установлены «демоны».

Распределенные атаки очень трудно обнаружить, сетевые классические системы обнаружения атак обнаруживают их очень плохо. После того, как установлен компонент для атаки в хосте-посреднике, он может действовать практически автономно, и злоумышленнику не нужно даже повторно входить на него.

Этапы реализации атаки

Выделяют следующие этапы атаки:

1. Сбор информации (information gathering). На этом этапе определяется сетевая топология, тип и версия операционной системы, доступность сетевых сервисов и т.д.

2. Реализация (exploitation). Реализация атаки заключается в проникновении в систему и установлении контроля над атакуемым узлом. Например, это внедрение программы типа «троянский конь».

3. Завершение атаки («заметание следов»). Обычно это удаление соответствующих записей из журналов регистрации данного узла и других действий, возвращающих атакованную систему в исходное состояние (например, скрытие внедренных файлов).

Потенциальный противник

Методы защиты информации, как и любые методы защиты, различаются по степени своей надежности. Некоторые методы способны обеспечить защиту от рядового пользователя, но не способны защитить от профессионала. А те средства защиты, которые способны остановить профессионала, могут не быть препятствием для правительственных секретных служб крупных стран.

Кроме того, с правительственными агентствами связан еще один нюанс. Законодательство многих стран содержит статьи, регулирующие использование средств информационной безопасности. В частности, к ним относится криптография – наука о шифровании данных. Например, в США много лет существуют экспортные ограничения, запрещающие продажу за границу программное обеспечение, использующее стойкие криптографические шифры. Разрешенная длина ключа составляла всего 40 бит. На момент введения ограничений это позволяло защитить информацию от противника-одиночки. А Агентство Национальной Безопасности США (National Security Agency, NSA) может (своими вычислительными мощностями) взломать такой шифр за несколько часов прямым переборов комбинаций ключа. Кроме того, правительства часто определяют другие способы уменьшения криптографической стойкости алгоритмов – например, намеренное изменение алгоритма.

Кроме того, изменения в оценку криптографической стойкости алгоритмов вносит и постоянный рост вычислительных возможностей компьютеров. Например, алгоритм шифрования DES в 1976 г. был утвержден в качестве федерального стандарта шифрования США, а в 1998 г. он был взломан за 56 часов специализированным мощным суперкомпьютером. В результате этого правительство США было вынуждено объявить конкурс на новый стандарт шифрования и сменить его в 2000 г.