Сучасні загрози та канали витоку інформації в
комп'ютерних мережах
Введення. Інформація, її життєвий цикл.
Інформація
є результатом відображення і обробки в людській свідомості
різноманіття навколишнього світу, є відомості про оточуючих
людини предмети, явища природи, діяльність інших людей.
Коли
використовується термін дані, то мова йде про інформацію, наданою до
формалізованому вигляді, придатному для автоматичної обробки при можливому
участю людини. Дані, якими обмінюється людина через машину з іншим
людиною або з машиною, є об'єктом захисту. Однак захисту підлягають не
будь-які дані, які мають ціну.
Під
захистом інформації в даний час розуміється галузь науки і техніки,
яка включає сукупність засобів, методів і способів людської
діяльності, спрямованих на забезпечення захисту всіх видів інформації в
організаціях і підприємствах різних напрямів діяльності і різних форм
власності.
Інформація,
що підлягає захисту, може бути представлена на будь-яких носіях, може
зберігатися, оброблятися і передаватися різними способами і засобами.
Цінність
інформації є критерієм при прийнятті будь-якого рішення про її захист.
Існують різні підходи до визначення цінності інформації. Одна з
відомих класифікацій видів інформації враховує різні градації її важливості.
При цьому виділяються такі рівні важливості інформації:
життєво
важлива незамінна інформація, наявність якої необхідно для функціонування
організації;
важлива
інформація - інформація, яка може бути замінена або відновлена, але
процес відновлення дуже важкий і пов'язаний з великими витратами;
корисна
інформація - інформація, яку важко відновити, однак, організація може
ефективно функціонувати і без неї;
персональна
інформація - інформація, яка представляє цінність тільки для якого --
небудь однієї людини;
неістотна
інформація - інформація, яка більше не потрібна організації.
Рівень
важливості може змінитися на різних етапах її життєвого циклу.
Початок
життєвого циклу інформації пов'язано з її одержанням (етап 1). Далі відбувається
оцінка інформації (етап 2), і в залежності від результату оцінки частина
інформації може знищуватися (завершальний етап) або готуватися до зберігання
(етап 3) і потім зберігатися (етап 4) у відповідному сховищі. Інформація,
необхідна користувачеві в даний момент підлягає вибіркою (етап 5) і подальшої
обробці (етап 6) в певних цілях. Інформація, отримана в ході
формування звіту (етап 8), проходить той же цикл (етапи 2-7). На етапі 5
(вибірці) дані можуть знову підлягати оцінці, і старі відомості підлягають
знищенню.
Основні
етапи життєвого циклу інформації можна наочно зобразити за допомогою схеми,
представленої на рис. 1.
Час
життєвого циклу інформації визначається багатьма факторами, але, як правило,
залежить від особи, яка є її власником або користувачем.
1
ІНФОРМАЦІЯ ЯК ОБ'ЄКТ ПРАВА ВЛАСНОСТІ
Комплекс
проблем, пов'язаних з інформаційною безпекою, включає в себе не тільки
технічні, програмні та технологічні аспекти захисту інформації, а й
питання захисту прав на неї. Таким чином, інформація може розглядатися як
об'єкт права власності. З цієї точки зору можна виділити наступні
особливості інформаційної власності:
інформація
не є матеріальним об'єктом;
інформація
копіюється за допомогою матеріального носія, тобто є переміщуваного;
інформація
є відчужується від власника.
Право
власності на інформацію включає правомочності власника, складові
зміст (матеріалів) права власності, до яких відносяться:
право
розпорядження;
право
володіння;
право
користування.
В
даному випадку інформаційної власності закон має регулювати
відносини суб'єктів і об'єктів права власності на інформацію з метою захисту
інформаційної власності від розголошування, витоку і несанкціонованого
обробки.
Правове
забезпечення захисту інформації включає:
правові
норми, методи та засоби захисту охороняється інформації в Російській Федерації;
правові
основи виявлення і попередження витоку охороняється інформації;
правове
регулювання організації і проведення адміністративного розслідування до фактів
порушення порядку захисту інформації.
Існує
ряд документів, які регламентують інформацію як об'єкт права. У
першу чергу тут слід вказати на першу частину цивільного кодексу
Російської Федерації (ст. 128, 18, 139, 209), прийнятого 21.04.94.
Серед
законів Російської Федерації, що відносяться до розглянутої проблеми, можна
виділити Федеральний закон «Про інформацію, інформатизації та захисту інформації»
від 20.01.95, а також закон Російської Федерації «Про державну таємницю». Ці
питання знайшли також часткове відображення в законі Російської Федерації від
2.11.90 «Про банки і банківську діяльність».
Серед
переліку документів, які регламентують питання захисту інформації можна
згадати також Постанова Уряду Української РСР № 35 від 05.12091 «Про передачу
відомостей, які не можуть становити комерційну таємницю ».
2
Канали витоку інформації
Інтегральна
захист це монолітна непроникна захист. Аналогом її може служити
монолітні огорожу по периметру зони безпеки. У реальному ж житті зазвичай
будуються потужні ворота на дорогах, об'їхати які по бездоріжжю «ні
проблем ». Реальна система безпеки сьогоднішнього дня більше нагадує огорожу
на окремих ділянках з сяючими в ній дірками.
Яскравим
прикладом подібної реальної системи безпеки може бути, наприклад,
організація з потужною системою контролю доступу, системою відіонаблюденія,
криптозащитой і т.п., але без блокування каналів витоку, наприклад за рахунок
побічних випромінювань моніторів комп'ютерів. У цьому випадку всі конкуренти,
розташовані в радіусі до 1,5 км., мають реальну можливість, використовувати
відповідні технічні засоби, читати всю інформацію з екрану дисплеїв конкурентів,
не залишаючи своїх офісів. При інтегральному підході до створення системи
безпеки подібні казуси виключені.
Одним
з основних вимог інтегральної захисту є системний підхід, тому
при виявленні технічних каналів витоку інформації необхідно розглядати
всю сукупність елементів захисту, що включає основне обладнання технічних
засобів обробки інформації (ТСОІ), з'єднувальні лінії, розподільні і
коммунітаціонние пристрої, системи електроживлення, системи заземлення і т.п.
Поряд
з основними технічними засобами, які безпосередньо пов'язані з обробкою та
передачею конфіденційної інформації, необхідно враховувати і допоміжні
технічні засоби й системи (ВТСС), такі, як технічні засоби відкритої
телефонної, факсімальной, гучномовного зв'язку, системи охоронної про пожежну
сигналізації, радіофікації, електропобутові прилади та інше.
В
як каналів витоку великий інтерес представляють допоміжні засоби,
що виходять за межі контрольованої зони, а також сторонні дроти і кабелі,
до них не відносяться, але що проходять через приміщення, де встановлені основні і
допоміжні технічні засоби, металеві труби систем опалення,
водопостачання та інші струмопровідні металоконструкції.
В
залежно від способу перехоплення, від фізичної природи виникнення сигналів,
а також середовища їх розповсюдження технічні канали витоку інформації можна
розділити на електромагнітні, електричні та параметричні.
2.1
Електромагнітні канали
Для
електромагнітних каналів характерними є побічні випромінювання:
електромагнітні
випромінювання технічних засобів обробки інформації. Носієм інформації
є електричний струм. Сила струму, напруга, частота чи фаза якого
змінюється за законом інформаційного сигналу;
електромагнітні
випромінювання на частотах роботи високочастотних генераторів технічних засобів
обробки інформації, допоміжних засобів обробки інформації. У
результаті зовнішніх впливів інформаційного сигналу на елементах генераторів
наводяться електричні сигнали, які можуть викликати ненавмисно
модуляцію власних високочастотних коливань генераторів і випромінювання в
навколишній простір.
електромагнітні
випромінювання на частотах самозбудження підсилювачів низької частоти ТЗПІ.
Самозбудження можливо за рахунок випадкових перетворень негативних
зворотних зв'язків у паразитні позитивні, що призводить до перекладу підсилювача
з режиму посилення в режим Автоматичне створення сигналів, причому сигнал на частотах
самозбудження, як правило, виявляється промодулірованним інформаційним
сигналом.
2.2
Електричні канали
Можливими
причинами виникнення електричних каналів витоку можуть бути:
наведення
електромагнітних технічних засобів обробки інформації. Виникають при
випромінюванні елемента технічних засобів обробки інформації інформаційних
сигналів, а також за наявності гальванічної зв'язку, де є сполучні
лінії технічних засобів обробки інформації і сторонніх провідників або
лінії допоміжних засобів обробки інформації;
просочування
електромагнітних сигналів в ланцюзі електроживлення. Можливо при наявності магнітної
зв'язки між вихідними трансформатором підсилювача і трансформатором
електроживлення, а також за рахунок нерівномірного навантаження на випрямляч, що
призводить до зміни споживаного струму за законом зміни інформаційного
сигналу;
просочування
інформаційних сигналів у колі заземлення. Утворюється за рахунок гальванічної
зв'язку із землею різних провідників, що виходять за межі контрольованої зони,
в тому числі нульового проводу мережі електроживлення, екранів, металевих труб
систем опалення та водопостачання, металевої арматури тощо;
з'їм
інформації з використанням закладних пристроїв. Представляють собою
мініпередатчікі, що встановлюються в технічних засобах обробки інформації,
випромінювання яких модулюється інформаційних сигналів і приймаються за
межами контрольованої зони.
2.3
Параметричні канали
Параметричні
канали витоку інформації формуються шляхом «високочастотного опромінення»
технічних засобів обробки інформації, при взаємодії електромагнітного
поля з елементами технічних засобів обробки інформації відбувається
перевипромінювання електромагнітного поля, промодулірованного інформаційним
сигналом.
Аналіз
можливих каналів витоку і несанкціонованого доступу, показує, що
значну їх частину складають технічні канали витоку акустичної
інформації, носієм якої є акустичні сигнали. Залежно від
середовища розповсюдження акустичних коливань, способів їх перехоплення і
фізичної природи виникнення інформаційних сигналів технічні канали
витоку акустичної інформації можна розділити на повітряні, вібраційні,
електроакустичні, оптико-електронні та параметричні.
2.3.1
Повітряні технічні канали
В
повітряних технічних каналах витоку інформації середовищем розповсюдження
акустичних сигналів є повітря, і для їх перехоплення використовуються
мініатюрні високочутливі і спрямовані мікрофони, які з'єднуються
з диктофонами або спеціальними мініпередатчікамі. Подібні автономні
пристрої, що поєднують мікрофони і передавачі, зазвичай називають заставними
пристроями або акустичними закладками. Перехоплена цими пристроями
акустична інформація може передаватися по радіоканалу, по мережі змінного
струму, сполучних лініях, стороннім провідникам, труб і т.п.
Особливої
уваги заслуговують закладні пристрої, прийом інформації з яких можна
здійснювати з звичайного телефонного апарату. Для цього їх встановлюють або
безпосередньо в корпусі телефонного апарата, або підключають до телефонної
лінії в розетку. Подібні пристрої, конструктивно об'єднують
мікрофон і спеціальний блок комутації, часто називають «телефонним вухом». При
подачі в лінію кодованого сигналу або при дозвоні до контрольованого телефону
за спеціальною схемою блок комутації підключає мікрофон до телефонної лінії і
здійснює передачу акустичної (зазвичай мовної) інформації по лінії
практично на необмежену відстань.
2.3.2
Вібраційні канали
В
відміну від розглянутих вище каналів у вібраційних, або структурних, каналах
витоку інформації середовищем поширення акустичних сигналів є не
повітря, конструкції будівель (стіни, стелі, підлоги), труби водо-і
теплопостачання, каналізації та інші тверді тіла. У цьому випадку частка перехоплення
акустичних сигналів використовуються контактні, електронні (з підсилювачем) і
радіостетоскопи (при передачі по радіоканалу).
2.3.3
Електроакустичні канали
Електроакустичні
канали витоку інформації зазвичай утворюються за рахунок електроакустичних
перетворень акустичних сигналів в електричні за двома основними
напрямками: шляхом «високочастотного нав'язування» і шляхом перехоплення через
додаткові технічні засоби і системи. Технічний канал витоку інформації
шляхом високочастотного нав'язування утворюється шляхом несанкціонованого
контактного введення струмів високої частоти від ВЧ - генераторів в лінії, що мають
функціональні зв'язки з елементами допоміжних технічних засобів і систем,
на яких відбувається модуляція ВЧ - сигналу інформаційним. Найчастіше
подібний канал витоку інформації використовують для перехоплення розмов, що ведуться
в приміщенні, через телефонний апарат, що має вихід за межі контрольованої
зони. З іншого боку, допоміжні технічні засоби та системи можуть
самі містити електроакустичні перетворення. До таких допоміжним
технічних засобів і систем відносяться деякі датчики пожежної
сигналізації, гучномовці ретрансляції мережі і т.д. Використаний у них
ефект звичайно називають мікрофонним ефектом.
Перехоплення
акустичних коливань у цьому випадку здійснюється виключно просто.
Наприклад, підключаючи розглянуті кошти до з'єднувальних ліній телефонних
апаратів з електромеханічними дзвінками, можна за покладеної трубці
прослуховувати розмови, що ведуться в приміщеннях, де встановлені ці телефони.
2.3.4
Оптико-електронний канал
При
опроміненні лазерним променем вібруючих в акустичному полі тонких відображають
поверхонь, таких, як скло вікон, дзеркал, картин тощо, створюється
оптико-електронний, або лазерний, канал витоку акустичної інформації.
Відбите лазерне випромінювання модулюється по амплітуді і фазі, і приймаються
приймачем оптичного випромінювання, при демодуляції якого виділяється мовна
інформація. Для перехоплення мовної інформації з даного каналу використовуються
локаційних системи, що працюють, як правило, в ближньому інфрачервоному діапазоні
хвиль і відомих як «лазерні мікрофони». Дальність перехоплення складає
кілька сотень метрів.
2.3.5
Параметричний канал
Параметричний
канал витоку інформації утворюється в результаті впливу акустичного поля
на елементи високочастотних генераторів і зміни взаємного розташування
елементів схем, проводів, дроселів тощо, що призводить до змін
параметрів сигналу, наприклад модуляції його інформаційним сигналом.
Промодуліванние високочастотні коливання випромінюються в навколишній простір
і можуть бути перехоплені і детектировать відповідними засобами.
Параметричний канал витоку інформації може бути створений і шляхом
«Високочастотного опромінення» приміщення, де встановлені напівактивною заставні
пристрої, що мають елементи, параметри яких (добротність, частота і т.п.)
змінюються за законом зміни акустичного (мовного) сигналу.
Необхідно
відзначити, що акустичний канал може бути джерелом витоку не тільки мовної
інформації. У літературі описані випадки, коли за допомогою статистичної
обробки акустичної інформації з принтера або клавіатури вдавалося
перехоплювати комп'ютерну текстову інформацію, втому числі здійснювати знімання
інформації за системою централізованої вентиляції.
Особливий
інтерес представляє перехоплення інформації при її передачі по каналах зв'язку, Це
викликано тим, що в цьому випадку забезпечується вільний несанкціонований
доступ до переданим сигналами. Єдиним гарантованим методом захисту
інформації в цьому випадку є криптографічний захист. Залежно від
виду каналів зв'язку технічні канали перехоплення інформації можна розділити на
електромагнітні, електричні та індукційні.
Електромагнітні
випромінювання передавачів засобів зв'язку, модульовані інформаційним сигналом,
можуть перехоплюватися природним чином з використанням стандартних
технічних засобів. Цей електромагнітний канал перехоплення інформації широко
використовуються для прослуховування телефонних розмов, що ведуться по
радіотелефону, стільниковими телефонами або радіорелейним і супутниковим лініях
зв'язку.
Електричний
канал перехоплення інформації, що передається по кабельних лініях зв'язку,
припускає контактна підключення до цих ліній. Цей канал найбільш часто
використовується для перехоплення телефонних розмов, при цьому перехоплюється
інформація може бути записана на диктофон або передана по радіоканалу.
Подібні пристрої, що підключаються до телефонних ліній зв'язку та містять
радіопередавачі для ретрансляції перехопленою інформації, звичайно називаються
телефонними закладками.
Однак
безпосереднє електричне підключення апаратури перехоплення є
компрометуючої ознакою. Тому частіше використовується індукційний канал
перехоплення, що не вимагає контактного підключення до каналів зв'язку. Сучасні
індукційні датчики здатні знімати інформацію з кабелів, захищених НЕ
тільки ізоляцією, але і подвійний бронею зі сталевої стрічки і сталевого дроту,
щільно обвиваючі кабель.
В
Останнім часом стали приділяти велику увагу витоку видової інформації,
одержуваної технічними засобами у вигляді зображень об'єктів або копій
документів шляхом спостереження за об'єктом, зйомки об'єкта і зйомки (копіювання)
документів. У залежності від умов спостереження зазвичай використовуються
відповідні технічні засоби, наприклад оптика.
Для
документування результатів спостереження проводиться зйомка об'єктів, для чого
використовуються фотографічні і телевізійні засоби, що відповідають умовам
зйомки. Для зняття копій документів використовуються електронні і спеціальні
(закамуфльовані) фотоапарати, Для дистанційного знімання видової інформації
використовують відеозакладкі.
Найбільш
динамічно розвиваються останнім часом методи знімання комп'ютерної інформації.
Основні можливості несанкціонованого доступу забезпечуються спеціальним
математичним забезпечення, що включає в себе такі складові, як
комп'ютерні віруси, «логічні бомби», «троянські коні», програмні
закладки.
Розглянуті
вище методи отримання інформації засновані на використанні зовнішніх каналів
витоку. Однак необхідно зупинитися і на внутрішніх каналах витоку
інформації. Внутрішні канали витоку пов'язані, як правило, з адміністрацією і
обслуговуючим персоналом, з якістю організації режиму роботи. З них в
першу чергу можна відзначити такі канали витоку, як розкрадання носіїв
інформації, знімання інформації з стрічки принтера і погано стертих дискет,
використання виробничих і технологічних відходів, візуальний з'їм
інформації з дисплея і принтера, несанкціонованого копіювання і т.п.
3
Програмна закладка
Програмні
закладку клас програм із потенційно небезпечними наслідками, обов'язково
виконують такі функції:
руйнують
код програми в пам'яті;
зберігають
фрагменти інформації з оперативної пам'яті в деякій області зовнішньої пам'яті
прямого доступу;
спотворює
довільним чином, блокує або підміняє виводяться в зовнішню пам'ять або в
канал зв'язку масив інформації, що утворився в результаті роботи прикладних
програм.
Програмна
реалізація несанкціонованого доступу до інформації на основі використання
програмних закладок. Під несанкціонованим доступом (НСД) до ресурсів
комп'ютерної системи розуміються з використання, зміни та знищення
використовуваних даних вказаної системи, вироблені суб'єктом, що не мають права
на такі дії. Якщо комп'ютерна система містить механізми захисту від
несанкціонованого доступу, то несанкціоновані дії можуть бути
викликані:
відключенням
або видозміною захисних механізмів нелегальним користувачам;
входом
в систему під іменем і з повноваженнями реального користувача.
В
першому випадку зловмисник повинен видозмінити програму, захисні механізми в
системі (наприклад, відключити програму запитів користувачів), у другому --
будь-яким чином з'ясувати або підробити ідентифікатор реального користувача
(наприклад, підглянути або обчислити пароль, що вводиться з клавіатури).
В
обох випадках несанкціонований доступ можна представити моделлю
опосередкованого доступу, коли проникнення в систему здійснюється на основі
деякого впливу, виробленого попередньо впровадженої в систему
програмою або декількома програмами.
Особливий
інтерес представляють вразливі місця комп'ютерних систем, що використовуються для
впровадження програмних закладок. Основні відомі способи впровадження
програмних закладок наведені в таблиці 1.
Таблиця
1 Способи впровадження програмних закладок
Способи
впровадження Характеристика
Внесення
програмних дефектів вірусного типу Впровадження можливо на всіх ділянках
життєвого циклу програмного забезпечення:
ескізного
і технічного проектування;
робочого
проектування;
впровадження;
експлуатації,
включаючи супровід та модернізацію.
Несанкціонований
доступ до ресурсів комп'ютерної системи Несанкціонований доступ до ресурсів
комп'ютерної системи - дії з використання, зміни та знищення
використовуваних модулів і масивів даних, що виробляються суб'єктом, що не мають
права на такі дії
Несанкціоноване
втручання в процес обміну повідомленнями між вузлами зв'язку локально
обчислювальних мереж. Здійснюється шляхом передачі таких повідомлень:
що руйнують;
спотворюють;
імітують;
хаотичних.
Під
вразливістю комп'ютерної системи розуміється деяка слабкість системи
безпеки, яка може спричинитися до завдання комп'ютерній системі
збитку. Зазвичай слабкі (вразливі) місця в комп'ютерній системі називаються
дірками, люками, бреши.
Люк
механізм всередині операційної системи (програмне забезпечення), що дозволяє
програмі зловмисника отримати привілейовану функцію. Умисний люк
може бути присутнім в програмі з-за того, що програміст навмисне залишив
його в програмі, наприклад:
для
забезпечення тестування або виконання, що залишилася, налагодження;
в
інтересах полегшення остаточного складання кінцевого програмного продукту;
з
тим, щоб мати приховане засіб доступу до програми вже після того, як вона
увійшла до складу кінцевого продукту.
В
знайденої проломи програма «розривається, і туди додатково вставляють одну або
кілька команд. Цей люк «відкривається» у міру необхідності, а вбудовані
команди автоматично здійснюють своє завдання. Люк це можливість отримати
управління системою в обхід захисту.
Ізо
всіх відомих загроз найбільш часто зустрічаються програмні закладки типу
«Троянського коня» і «комп'ютерного черв'яка».
«Троянський
кінь »програма, що має законний доступ до системи. Але що виконує і приховані
функції. Закладки типу «троянський кінь» виявляють себе в різних в
певних умов (за часом, ключовим повідомленнями) і можуть руйнувати
(спотворювати) інформацію, копіювати фрагменти конфіденційної інформації або
паролі (ключі), слати повідомлення не за адресою або блокувати прийом
(відправлення) повідомлень.
В
останні роки найбільш поширеним способом отримання приватної
інформації стало використання програм - троянів - програм, що виконують
крім заявлених деякі додатково не афішованих функції,
спрямовані, наприклад, на отримання особистої інформації користувача. Кінцевий
користувач отримує їх, як правило, за системою електронної пошти під виглядом
важливого документу чи давно розшукуваної програми. Після запуску програма
прописується в системному реєстрі для запуску при завантаженні операційної системи
і починає збирати інформацію. Її метою можуть бути файли профілю
користувача, що містять його пароль, скрипти віддаленого доступу до Інтернет або
паролі електронної пошти.
Можлива
також її робота в режимі підслуховування - у цьому випадку, наприклад, все що вводяться
з клавіатури символи записуються в окремий файл, крім того,
«Прослуховуватися» може і що передається по мережі інформація. Далі вся зібрана
інформація відправляється атакуючому для подальшого аналізу на предмет
змісту цінної інформації, такої як паролі або особиста користувальницька
інформація.
Можливий
також і найпростіший спосіб: при роботі користувача на комп'ютері програма
виводить на екран системне вікно з пропозицією ввести ім'я користувача і
пароль, маскуючись під роботу операційної системи. В результаті користувач
«Добровільно» повідомляє зловмиснику свій пароль, навіть не підозрюючи про
те, що сталося. А якщо цим користувачем виявиться відповідальний співробітник, то
перед атакуючим відкриються величезні можливості.
«Програмний
хробак »програма, що маскуються під системні засоби пошуку вільних
обчислювальних ресурсів в мережі. Закладки типу комп'ютерного черв'яка націлені на
проникнення в системи розмежування доступу користувачів до ресурсів мережі,
до намовою роботи всієї мережі в цілому і системи розмежування доступу в
зокрема.
Для
того щоб закладка змогла виконати які - небудь функції по відношенню до
Системні виклики, вона повинна, одержати керування на себе, тобто процесор
повинен почати виконувати інструкції (команди), що відносяться до коду закладки. Це
можливо тільки при одночасному виконанні двох умов:
закладка
повинна знаходитися в оперативній пам'яті до початку роботи програми, яка
є метою впливу закладку; отже, вона повинна бути завантажена
раніше або одночасно з цією програмою;
закладка
повинна активізуватися з деякого загального як для закладання, так і доя
програми подією, тобто при виконанні ряду умов у програмно-апаратної
середовищі управління повинне бути, передано на програму - посилання на сторінку.
До
способів залучення програмних закладок можна віднести:
1.
запуск програми;
2.
переривання;
3.
певне поєднання вхідних даних;
4.
певне поєднання умов застосування системи.
За
часу перебування програмної закладки в оперативній пам'яті можна виділити
наступні типи закладок:
резидентного
виду - знаходяться постійно з деякого моменту до закінчення сеансу роботи
персонального комп'ютера (включення харчування або перезавантаження). Закладка може
бути завантажена в пам'ять при початковому завантаженні ПЕОМ, завантаженні операційної
середовища або запуску деякої програми (яка за традицією називається
вірусоносієм), а також запущена окремо;
нерезидентного
виду - починають роботу з аналогічного події, але закінчують її
самостійно після закінчення деякого проміжку часу або деякого
події, при цьому вивантажений себе з пам'яті цілком.
Крім
класифікації програмних закладок за часом перебування в оперативній пам'яті
їх можна класифікувати ще за методом їх впровадження та за типами шкідливого
впливу. Представлена на малюнку 2 класифікація виконана досить
наочно і додаткового пояснення не вимагає.
Таким
чином, програмні закладки в даний час є найбільш потужним і
ефективним інструментом в реалізації комп'ютерних загроз, захист від яких
повинна бути динамічною і постійно вдосконалення. Одним з найбільш
ефективних способів боротьби з мережними погрозами, у тому числі з програмними
закладками, є вдосконалення методів і засобів контролю доступу до
мережі.
4
ВІРУСИ
Комп'ютерний
вірус це програма, що володіє здатністю до прихованого розмноження у середовищі
операційної системи шляхом включення до виконуються або зберігаються
програми своєї, можливо модифікованої копії, яка зберігає здатність
до подальшого розмноження.
Комп'ютерні
віруси здатні розмножуватися, впроваджуватися у програми, передаватися по лініях
зв'язку, мереж обміну інформацією, виводити з ладу системи управління.
В
принципі, не всі шкідливі програми є вірусами. Строго визначення
комп'ютерного вірусу не існує. Різноманітність вірусів така велика, що дати
достатня умова (перерахувати набір ознак, при виконанні яких
програму можна однозначно віднести до вірусів) просто неможливо - завжди
знайдеться клас програм з даними ознаками, що не є при цьому вірусом.
При
цьому більшість визначень необхідної умови сходяться на тому, що
комп'ютерні віруси - це програми, які вміють розмножуватися і впроваджувати свої
копії в інші програми. Тобто заражають вже існуючі файли.
Необхідно
зазначити, що комп'ютерні віруси, або, як правильніше, програмні
віруси, є в даний час найбільш ефективним засобом доставки
впровадження різних розвідувальних програм. Під програмні вірусом розуміється
автономно функціонуюча програма, що володіє здатністю до самовключення в
тіла інших програм і подальшого самовідтворення і самопоширення в
інформаційно - обчислювальних мережах і окремих ЕОМ. Програмні віруси
являють собою дуже ефективний засіб реалізації практично всіх
загроз безпеки інформаційно-обчислювальних мережах. Тому питання аналізу
можливостей програмних вірусів і розробки способів протидії вірусам
в даний час придбали значну актуальність і утворили один з
найбільш пріоритетних напрямків робіт із забезпечення безпеки
інформаційно обчислювальних мережах.
Попередниками
програмних вірусів прийнято вважати так звані троянські програми, тіла
яких містять приховані послідовності команд, що виконують дії,
завдають шкоди користувачам. Найбільш поширеною різновидом
троянських програм є широковідомі програми масового застосування
(редактори, ігри, транслятори), в яких вбудовані так звані логічні
бомби, що спрацьовують з настанням деякої події. У свою чергу,
різновидом логічної бомби являє «бомба з годинниковим механізмом»,
запускається в моменти часу. Слід зазначити, що троянські програми не
є саморозмножуються і поширюються з інформаційно --
обчислювальних мереж самими програмістами, зокрема за допомогою
загальнодоступних банків даних і програм.
Принципове
відміну вірусу від троянської програми полягає в тому, що вірус після запуску
його в інформаційно-обчислювальні мережі існують самостійно і в процесі
свого функціонування заражає програми шляхом включення в них свого тексту.
Таким чином, вірус представляє собою своєрідний генератор троянських
програм. Програми, заражені вірусом, називають також вірусоносієм.
Зараження
програми, як правило, виконується таким чином, щоб вірус отримав
управління раніше самої програми, або імплантується в її тіло так, що
першою командою інфікованої програми є безумовний перехід на вірус,
тест закінчується аналогічною командою безумовного переходу на команду
вірусоносія, що була першою до зараження. Отримавши управління, вірус вибирає
Наступне фото, заражає його, можливо, виконує будь - які інші дії,
після чого віддає управління вірусоносієм.
«Первинне
зараження »відбувається в процесі надходження інфікованих програм з пам'яті
однієї машини в пам'ять інший, причому як засоби переміщення цих
програм можуть використовуватися як магнітні носії (дискети), так і канали
інформаційно - обчислювальних мереж. Віруси, які використовують для розмноження
канали інформаційно --обчислювальних мереж, прийнято називати мережними.
Імовірні
шляхи проникнення вірусів, протягом багатьох років найбільш поширеним
способом зараження комп'ютера була дискета. Зі зростанням глобальних мереж
пальма першості перейшла до мережі Internet і системі електронної пошти.
Вірус
може потрапити на локальний комп'ютер користувача наступним чином:
напряму
через дискету, компакт - диск, віддалений поштову скриньку - класичний спосіб;
через
корпоративну систему електронної пошти;
через
корпоративний канал доступу до системи Internet;
з
корпоративного сервера.
Цикл
життя вірусу зазвичай включає наступні періоди: впровадження, інкубаційний, реплікація
(самозараження) і прояв. Протягом інкубаційного періоду вірус пасивний.
Що ускладнює завдання пошуку і нейтралізації. На етапі прояви вірус
виконує властиві йому цільові функції, наприклад необоротну корекцію
інформації на магнітних носіях.
Фізична
структура вірусу достатньо проста. Він складається з голови і, можливо, хвоста.
Під головою вірусу розуміється його компонент, який одержує управління першим.
Хвіст - це частина вірусу,, розташована в тексті інфікованої програми окремо
від голови. Віруси, що складаються з однієї голови, називаються несегментірованнимі,
тоді як віруси, що містять голову і хвіст - сегментований. У таблиці 2
дані характеристики комп'ютерних вірусів.
Таблиця
2 Характеристики комп'ютерних вірусів
Клас
вірусу Види вірусу Характер впливу
Не
ушкоджують файлову структуру розмножуються в ОЗУ
дратівливі
оператора
Мережеві.
Імітація несправності процесора, пам'яті, НМД, НГМД, принтера, портів,
дисплея, клавіатури
Формування
на терміналі текстових і графічних повідомлень. Синтез мови, формування
мелодії і звукових спецефектів
Переключення
режимів настройки клавіатури, дисплея, принтера, портів.
ушкоджують
файлову структуру ушкоджують для користувача програми і дані
Руйнівні
системну інформацію (у тому числі кріптовіруси) Руйнування вихідних текстів
програм, бібліотек комп'ютерів, перекручень без даних, текстових документів,
графічних зображень і електронних таблиць.
Руйнування
логічної системи диска, спотворення структури заповнення носія, формування
носіїв, пошкодження файлів операційної системи.
Діючі
на апаратуру оператора виводять з ладу апаратуру
Діючі
на оператора Випалювання люмінофора, пошкодження мікросхем, магнітних дисків,
принтера.
Вплив
на психіку оператора і т.п.
Сучасні
комп'ютерні віруси мають широкі можливості ворожого впливу,
починаючи від невинних жартів і закінчуючи серйозними ушкодженнями апаратури. У
цьому напрямку самим свіжим прикладом може служити вірус Win95. CIH, він
руйнує пам'ять BIOS (Basic InputOutput System), який визначає саму робочої
логіку комп'ютера. При цьому наносяться пошкодження досить легко
виправляються, профілактика деструктивної функ
