5. Каналы утечки информации, создаваемые атаками извне и внутри корпоративных систем икт (объекта информатизации)

Атаки на системы ИКТ можно разделить на следующие группы:

– операционных систем;

– сетевого программного обеспечения;

– систем управления базами данных.

Атаки и каналы утечки информации СУБД

В большинстве случаев несанкционированный доступ осуществляется преодолением защиты компьютерных систем на уровне операционных систем, что позволяет получить доступ к файлам СУБД с помощью средств операционной системы. Однако, в ряде случаев, для высокоорганизованных СУБД существуют средства самих систем для защиты от вторжений, включая криптографические (Oracle и др.).

Атаки на уровне операционной системы

Защита операционных систем (ОС) является сложной задачей. Дело в том, что структуры современных ОС, чрезвычайно сложны, и поэтому соблюдение адекватных политик безопасности на практике является довольно трудной задачей.

Возможные атаки, как внешние, так и внутренние, в виде несанкционированного доступа (НСД) могут порождать технические каналы информации, характеристики и параметры которых в значительной степени зависят от архитектуры и конфигурации конкретных ОС. Однако существуют общие для всех методы НСД, которые сводятся к следующим характерным атакам:

– кража пароля или другой идентификационной информации;

– получение пароля из файла, в котором он был сохранён пользователем; кража внешнего носителя парольной информации и т.д.;

– сканирование жёстких дисков компьютера;

– сборка «мусора» (если средства ОС позволяют восстанавливать ранее удалённые объекты);

– превышение полномочий (используются ошибки в программном обеспечении или администрировании ОС);

– отказ в обслуживания (Denial of Service – DoS).

Атаки на уровне сетевого программного обеспечения

Распределённые структуры и сети являются наиболее уязвимыми по части атак проводимых злоумышленниками, потому что канал связи, по которому циркулирует сетевой трафик, чаще всего не защищён, и всякий, кто может иметь доступ к нему, соответственно может перехватывать сообщения и отправлять свои собственные. На уровне сетевого программного обеспечения (СПО) возможны следующие виды атак, в том числе, приводящим к образованию технических каналов утечки информации:

– прослушивание сегмента локальной сети;

– перехват сообщений на маршрутизаторе и создание ложного маршрута (на сленге хакеров маршрутизатор

– «лучший друг»);

– навязывание сообщений – снифферы пакетов (отправляя в сеть сообщения с ложным обратным адресом, злоумышленник переключает на свой компьютер уже установленные сетевые соединения и в результате получает права пользователей);

– распределённый отказ в обслуживании (DDoS – distributed DoS); – атаки типа «человек посредине» (Man – in – the – Middle). Для атак этого типа часто используют снифферы пакетов, транспортные протоколы и протоколы маршрутизации. Атаки проводятся с целью кражи информации, перехвата текущей сессии и получения доступа к частным сетевым ресурсам, для получения информации о сети, её пользователях и анализе сетевого трафика, для проведения атак типа DoS/DDoS, искажения передаваемых данных и ввода несанкционированной информации в сетевые сессии.

В общем случае несанкционированный доступ не может считаться отдельным типом атаки. Большинство сетевых атак проводятся ради получения НСД к ресурсам ИКТ. Например, чтобы подобрать логин Telnet, злоумышленник должен сначала получить подсказку Telnet на своей системе. После подключения к порту Telnet на экране появится сообщение «authorization required to use this resource» («для пользования этим ресурсом нужна авторизация»). Если после этого «хакер» («инсайдер») продолжит попытки доступа, они будут считаться несанкционированными. Источник таких атак может находиться как внутри сети, так и снаружи. Для противодействия указанным методам НСД следует максимально использовать защиту систем коммуникаций и СПО с целью затруднения (в идеале предотвращения) доступа к ресурсам ИКТ неавторизованным (нелигитимным) пользователям. В качестве таких мер используют создание демилитаризованных и доверенных зон методами межсетевого экранирования, методы и системы активного аудита на основе систем обнаружения и предотвращения вторжений (IDS/IPS – системы), виртуальные частные сети – VPN, системы доверенной первоначальной загрузки и разграничения полномочий (ролевое управление, дискреционный и мандатный доступ к ресурсам ИКТ).

Сетевая разведка

Под сетевой разведкой подразумевается сбор информации о сети с помощью общедоступных данных и приложений. При подготовки атаки против какой либо сети злоумышленник, как правило, пытается получить о ней как можно больше информации. Сетевая разведка проводится в форме запросов доменных сетевых имён – DNS, эхо – тестирования и сканирования портов.

Запросы DNS помогают понять, кто владеет тем или иным доменом и какие адреса этому домену присвоены.

Эхо – тестирование (ping sweep) адресов, раскрытых с помощью DNS, позволяет увидеть, какие хосты реально работают в данной среде. Получив список хостов, хакер использует средства сканирования портов, чтобы составить полный список услуг, поддерживаемых этими хостами.

Избавиться от сетевой разведки невозможно. К примеру, отключив эхо –ISMP и эхо – ответ на периферийных маршрутизаторах, избежав тем самым эхо – тестирования, теряются данные, необходимые для сетевых сбоев. Кроме того, сканировать порты можно и без предварительного эхо – тестирования. Просто это займёт больше времени, т.к. придётся сканировать и несуществующие IP – адреса. Системы IDS/IPS на уровне сети и хостов обычно хорошо справляются с задачей уведомления администратора безопасности о ведущейся сетевой разведке, что в свою очередь, позволяет лучшему противодействию сетевой атаке и оповещению провайдера (ISP) из сети которого замышляется атака.

Атаки на уровне приложений

Атаки на уровне приложений могут проводиться несколькими способами. Самый распространённый из них состоит в использовании уязвимостей серверного ПО (sendmail, HTTP, FTP). Используя эти уязвимости злоумышленники могут получить доступ к компьютеру от имени авторизованного пользователя, работающего с приложением (как правило, это бывает не простой пользователь, а привилегированный администратор с правами системного доступа). Сведения об атаках на уровне приложений, как правило, публикуются, чтобы дать возможность администраторам безопасности («офицерам безопасности») произвести корректировку с помощью «патчей» (заплат). Однако, эти публикации доступны в том числе и хакерам.

Главная проблема с атаками на уровне приложений состоит в том, что они часто пользуются портами, которым разрешён проход через демилитаризованную зону (DMZ) или отдельно стоящий межсетевой экран (МЭ).

К примеру, хакер, эксплуатирующий уязвимость, часто использует в ходе атаки ТСР порт 80. Поскольку WEВ–сервер предоставляет пользователям WEВ – страницы, МЭ должен предоставлять доступ к этому порту. При этом, с точки зрения МЭ, атака расценивается как нормальный трафик порта 80.

Полностью исключить атаки на уровне приложений невозможно, свидетельством тому являются постоянные публикации хакеров и системных аналитиков об обнаружении новых уязвимостей тех или иных приложений. Поэтом, здесь необходимо сконцентрировать внимание на разработку подробной политики безопасности и скрупулёзной её выполнимости. В качестве примера, приведём некоторые установки политики безопасности, которые необходимо выполнять для снижения уязвимостей для атак данного типа:

• необходимо читать лог – файлы операционных систем и сетевые лог – файлы и/или анализируйте их с помощью специальных приложений;

• необходимо подписаться на услуги по рассылке данных о слабых местах прикладных программ: Bugtraq (http://www.securityfocus.com/archive/1)

• пользоваться самыми свежими версиями ОС и приложений и самыми последними коррекционными модулями (патчами);

• использовать МЭ, системами распознавания атак (IDS) и предотвращения вторжений (IPS).

Ранее мы говорили о существовании IDS, у данной технологии существуют две взаимодополняющие друг друга модификации:

– сетевая система IDS (NIDS) отслеживает все пакеты, проходящие через определённый домен. Когда система NIDS видит пакет или серию пакетов, совпадающих с сигнатурой известной или вероятной атаки, она генерирует сигнал тревоги и/или прекращает сессию;

– хост-система IDS (HIDS) защищает хост с помощью программных агентов. Эта система борется с атаками против одного хоста;

• в своей работе системы IDS пользуются сигнатурами атак, которые представляют собой профили конкретных атак либо их типов. Сигнатуры определяют условия, при которых трафик считается хакерским. Аналогами IDS в мире физической защиты объектов можно считать систему предупреждения или камеру наблюдения. Самым большим недостатком IDS является её способность генерировать ложные сигналы тревоги. Чтобы минимизировать количество ложных срабатываний и добиться корректного функционирования системы IDS в сети, необходима тщательная её настройка.

Злоупотребление доверием

В общем случае, этот тип действий не является атакой. Он представляет собой злонамеренное использование отношений доверия, существующих в сети. Классическим примером такого злоупотребления является ситуация в пограничной части корпоративной сети. В этом сегменте часто располагаются серверы DNS, SMTP, HTTP. Поскольку все они принадлежат к одному и тому же сегменту, взлом одного из них приводит к взлому и всех остальных, так как эти серверы доверяют другим системам своей сети. Другим примером является система, установленная с внешней стороны межсетевого экрана, имеющая отношения доверия с системой, установленной с внутренней стороны МЭ. В этом случае, взлом внешней системы приводит к риску проникновения в систему, защищённую МЭ.

Риск злоупотребления доверием можно снизить за счёт более жёсткого контроля уровней доверия в пределах своей сети (например, использованием дискреционного и мандатного методов доступа) и более тщательного сегментирования серверных частей сети с помощью коммутаторов. Системы, расположенные вне демилитаризованных зон, никогда не должны пользоваться абсолютным доверием со стороны защищённых МЭ систем. Отношения доверия должны ограничиваться определёнными протоколами и, по возможности, аутентифицироваться не только по IP – адресам, но и по другим параметрам.

Переадресация портов представляет собой разновидность злоупотребления доверием, когда взломанный хост используется для передачи через межсетевой экран трафика, который в противном случае был бы отбракован. Представим себе МЭ с тремя интерфейсами, к каждому из которых подключён определённый хост. Внешний хост может подключаться к хосту общего доступа (DMZ), но не к хосту, установленному с внутренней стороны МЭ. Хост общего доступа может подключаться и к внутреннему, и к внешнему хосту. Если хакер захватит хост общего доступа, он сможет установить на нём программное средство, перенаправляющее трафик с внешнего хоста прямо на внутренний хост. Хотя при этом, не нарушается ни одно правило, действующее на МЭ, внешний хост в результате переадресации получает прямой доступ к защищённому хосту.

Основным способом борьбы с переадресацией портов является использование надёжных моделей доверия. Кроме того, помешать хакеру установить на хосте свои программные средства может хост – система IDS (HIDS).

Вирусы и приложения типа «червь» и «троянский конь»

Рабочие станции конечных пользователей в значительной степени уязвимы относительно вирусных атак и вредоносных программ типа «червь» и «троянский конь». Вирус – программа, способная создавать свои копии (необязательно совпадающие с оригиналом) и внедрять их в файлы, системные области компьютера, компьютерных сетей, а также осуществлять иные деструктивные действия. При этом копии сохраняют способность дальнейшего распространения. Компьютерный вирус относится к вредоносным программам. Под вирусом чаще всего понимается не "традиционный" вирус, а практически любая вредоносная программа. Это приводит к путанице в терминологии, осложненной еще и тем, что практически все современные антивирусы способны выявлять указанные типы вредоносных программ, таким образом ассоциация "вредоносная программа-вирус" становится все более устойчивой. Исходя из этого, а также из назначения антивирусных средств, в дальнейшем, если это не будет оговорено отдельно, под вирусами будут подразумеваться именно вредоносные программы.

Вредоносная программа – компьютерная программа или переносной код, предназначенный для реализации угроз информации, хранящейся в компьютерной системе (КС), либо для скрытого нецелевого использования ресурсов КС, либо иного воздействия, препятствующего нормальному функционированию КС. К вредоносным программам относятся компьютерные вирусы, трояны, сетевые черви и др. Компьютерные вирусы, трояны и черви являются основными типами вредоносных программ. Для активации вируса необходимо, чтобы зараженный объект получил управление. Деление вирусов происходит по типам объектов, которые могут быть заражены:

Загрузочные вирусы – вирусы, заражающие загрузочные сектора постоянных и сменных носителей.

Файловые вирусы – те, которые непосредственно работают с ресурсами операционной системы.

Макровирусы – вирусы, написанные на языке макрокоманд и исполняемые в среде какого-либо приложения. В подавляющем большинстве случаев речь идет о макросах в документах Microsoft Office.

Скрипт-вирусы – вирусы, исполняемые в среде определенной командной оболочки: раньше – bat-файлы в командной оболочке DOS, сейчас чаще VBS и JS - скрипты в командной оболочке Windows Scripting Host (WSH).

Червь (сетевой червь) – тип вредоносных программ, распространяющихся по сетевым каналам, способных к автономному преодолению систем защиты автоматизированных и компьютерных сетей, а также к созданию и дальнейшему распространению своих копий, не всегда совпадающих с оригиналом, и осуществлению иного вредоносного воздействия.

Сетевые черви – черви, использующие для распространения протоколы Интернет и локальных сетей. Обычно этот тип червей распространяется с использованием неправильной обработки некоторыми приложениями базовых пакетов стека протоколов tcp/ip.

Почтовые черви – черви, распространяющиеся в формате сообщений электронной почты.

IRC-черви – черви, распространяющиеся по каналам IRC (Internet Relay Chat).

P2P-черви — черви, распространяющиеся при помощи пиринговых (peer-to-peer) файлообменных сетей.

IM-черви – черви, использующие для распространения системы мгновенного обмена сообщениями (IM, Instant Messenger – ICQ, MSN Messenger, AIM и др.). Сегодня наиболее многочисленную группу составляют почтовые черви. Сетевые черви также являются заметным явлением, но не столько из-за количества, сколько из-за качества: эпидемии, вызванные сетевыми червями зачастую отличаются высокой скоростью распространения и большими масштабами. IRC-, P2P- и IM-черви встречаются достаточно редко, чаще IRC, P2P и IM служат альтернативными каналами распространения для почтовых и сетевых червей.

Троян (троянский конь) — тип вредоносных программ, основной целью которых является вредоносное воздействие по отношению к компьютерной системе. Трояны отличаются отсутствием механизма создания собственных копий. Некоторые трояны способны к автономному преодолению систем защиты КС, с целью проникновения и заражения системы. В общем случае, троян попадает в систему вместе с вирусом либо червем, в результате неосмотрительных действий пользователя или же активных действий злоумышленника. В силу отсутствия у троянов функций размножения и распространения, их жизненный цикл крайне короток – всего три стадии: проникновение на компьютер, активация, выполнение заложенных функций. Это, само собой, не означает малого времени жизни троянов. Напротив, троян может длительное время незаметно находиться в памяти компьютера, никак не выдавая своего присутствия, до тех пор, пока не будет обнаружен антивирусными средствами. Задачу проникновения на компьютер пользователя трояны решают обычно одним из двух следующих методов.

Маскировка – троян выдает себя за полезное приложение, которое пользователь самостоятельно загружает из Интернет и запускает. Иногда пользователь исключается из этого процесса за счет размещения на Web- странице специального скрипта, который используя дыры в браузере автоматически инициирует загрузку и запуск трояна.

Кооперация с вирусами и червями – троян путешествует вместе с червями или, реже, с вирусами. В принципе, такие пары червь-троян можно рассматривать целиком как составного червя, но в сложившейся практике принято троянскую составляющую червей, если она реализована отдельным файлом, считать независимым трояном с собственным именем. Кроме того, троянская составляющая может попадать на компьютер позже, чем файл червя.

Борьба с вирусами «червями» и «троянскими конями» ведётся с помощью эффективного антивирусного программного обеспечения, работающего на пользовательском уровне, реже на уровне сети. В общем случае, теоретически доказано, что задача обнаружения вирусов является неразрешимой. В реальной жизни антивирусная программа считается качественной, если она обнаруживает все жизнеспособные экземпляры вируса, желательно также его нежизнеспособные ответвления, и при этом характеризуется сравнительно небольшим числом ложных срабатываний. Следует избегать лишь тех ложных срабатываний, которые затрагивают существующие программы, используемые в повседневной работе различными пользователями. Ложные срабатывания на искусственных примерах, появление которых на компьютерах пользователей близко к нулю, вполне допустимы. Большинство вирусов, червей и троянов обнаруживаются современными антивирусными средствами с довольно высокой вероятностью, при условии регулярного обновления сигнатурных баз и эвристических алгоритмов распознавания.

Программные закладки

Программная закладка (ПЗ) – недокументированный модуль, внедряемый в общесистемные программные средства, прикладные программы и аппаратные средства ИКТ.

Существует три основные группы деструктивных действий, которые могут осуществляться ПЗ:

– копирование информации пользователей ИКТ (паролей, криптографических ключей, кодов доступа, конфиденциальных электронных документов, находящихся в оперативной или внешней памяти этих систем;

– изменение алгоритмов функционирования системных, сетевых, прикладных и служебных программ;

– навязывание определённых режимов работы (например, блокирование записи на диск при удалении информации, при этом информация, которую требуется удалить, не уничтожается и может быть в последствии скопирована или передана по электронной почте на пункт перехвата).

Бороться с ПЗ чрезвычайно сложно. Для этого при поставке ПО для критически важных объектов необходимо требовать от поставщика(«вендора») алгоритмы программ и / или их исходные тексты (объектные модули). Затем следует этап проверки (верификации) и тестирования ПО на соответствие представленным документам. Данную процедуру обычно выполняют специальные, аккредитованные органом по сертификации испытательные центры (лаборатории), с выдачей сертификата соответствия продукта или системы ИТ нормам информационной безопасности на соответствие которым проводились испытания.

Инсайдерские каналы утечки информации

Утечка конфиденциальных корпоративных данных может нанести серьезный вред бизнесу компании. Утрата таких данных в результате кражи по заказу конкурентов или небрежности собственных сотрудников компании неизбежно влечет потерю конкурентного преимущества, наносит вред репутации компании, вызывает отток клиентов и приводит к санкциям со стороны регулирующих органов, начиная от предупреждений и штрафов и заканчивая отзывом лицензий на основные виды бизнеса. Как правило, подобным видом деятельности занимается определённая, мотивированная (в том числе и методами «социальной инженерии») группа людей – инсайдеры.

Инсайдер (англ. insider) – член какой-либо группы людей, имеющей доступ к информации, недоступной широкой общественности. Термин используется в контексте, связанном с секретной, скрытой или какой-либо другой закрытой информацией или знаниями: инсайдер – это член группы, обладающий информацией, имеющейся только у этой группы.

Ни для кого не секрет, что информация сейчас занимает первое место в конкурентной борьбе и соответственно утечка информации за пределы компании может нанести непоправимый ущерб репутации и финансовому положению организации. В связи с этим сейчас ведутся активные споры насчет реализации политики информационной безопасности в компаниях, а также обсуждаются проблемы инсайдерства. Пока же ясно одно – для того, чтобы защищать информацию, нужно контролировать потоки ее передачи и способы использования.

Проблема защиты информации от инсайдерских угроз сейчас стоит очень остро. За последнее время обсуждение этого явления идет активнее, чем полемика по вопросам антивирусной защиты, хакерских атак или спама. Проходит огромное количество конференций, посвященных этой проблеме, эксперты в области информационной безопасности спорят, какой из способов защиты информации от инсайдеров надежнее – аппаратный или программный. Но все мнения сходятся в одном: для того, чтобы защищать коммерчески важную информацию, необходим контроль. Этот контроль может выражаться в ограничении прав доступа различных групп пользователей к документам и приложениям, а также в построении эффективной системы безопасности компании на основе тщательно выверенной и постоянно обновляемой политики безопасности. Некоторые эксперты отмечают, что в настоящее время одной из проблем при реализациистратегии (политики) информационной безопасности в компании является то, что далеко не всегда можно провести грань между тайной личной жизни сотрудника и его служебными обязанностями.

Участившиеся случаи инсайдерства в России, странах СНГ и за рубежом доказывают, что теперь нужно беспокоиться не только о защите от угроз, исходящих извне, из Интернета и т.д., но и защищать секретную информацию от недобросовестных сотрудников собственной компании. В зависимости от потребностей, способа организации работы в компании и/или корпоративной сети, можно выбрать программные или аппаратные средства защиты информации, а также применять особый режим политики безопасности организации.

В первую очередь для борьбы с инсайдерством в компании необходимо наладить четкую систему контроля и аудита за использованием тех или иных документов в работе сотрудников. Для этого нужно использовать специальные настройки программного обеспечения для ограничения доступа группам пользователей к отдельным частям корпоративной сети и к документам (дискреционный и /или мандатный доступ). Для различных сотрудников компании должны быть утверждены, соизмеримые с их ролью, стандарты политики безопасности. Так, в некоторых компаниях реализовано такое решение при работе с корпоративными приложениями: ограничен доступ к внутренним ресурсам и происходит ограничение функционала при работе с приложениями. Например, есть документы, которые пользователь может только просматривать, но не может изменять или печатать. Кроме того, может быть установлено ограничение на время работы с документом (например, не более 8 часов в день или 1 часа непрерывно), или ограничение на количество запусков приложения. Есть несколько подобных решений, которые могут помочь осуществить защиту информации от инсайдеров в рамках корпоративной сети.

В последнее время наибольшее распространение для борьбы с инсайдерскими утечками информации получили так называемые DLP (Data Leak Prevention) – системы или системы предотвращения утечек конфиденциальной информации, которые позволяют контролировать обращение информации, защитить ее от несанкционированного доступа и распространения.

DLP-решение позволяет бороться не только с утечками информации, но со всей совокупностью угроз, связанных с обращением информации:

– нецелевое использование инфраструктуры;

– использование каналов связи во вред компании;

– нарушение политики информационной безопасности.

Однако, повсеместному применению DLP–систем препятствуют некоторые нюансы, которые не всегда учитываются потребителями.

В отличие от антивируса, DLP, по определению, не может быть готовым продуктом. Это – некая платформа, которую можно использовать с разными целями и по различным сценариям, и которая непременно должна поддерживаться процессами внутри организации. И вот это-то внедрение в бизнес – процессы компании зачастую становится тормозом к внедрению этих технологий в инфраструктуру поддержки бизнеса этих компаний. Клиенту хотелось бы решить все свои проблемы одним махом: купил, настроил, забыл. И вот незадача – оказывается, DLP «из коробки» не работает. У всех компаний собственные бизнес-процессы, уникальная система движения информации, индивидуальный набор каналов коммуникаций, совершенно разный набор терминов и что особенно – требований к конфиденциальной информации. Все эти аспекты должны быть проанализированы на этапе внедрения проекта, по результатам написана методика использования системы внутри компании, под нее должны быть подстроены управленческие акты внутри компании и пр.