Проблеми виявлення прихованої передачі
інформації з мереж
Олексій
Миколаїв, фахівець із захисту інформації ВАТ "Концерн Вега"
Інсайдер - особа, що має в силу свого
службового чи сімейного стану доступ до конфіденційної інформації про справи
компанії, а також особа, що добуває конфіденційну інформацію про діяльність
компанії і використовує її з метою особистого збагачення.
У сфері інформаційних технологій
компанії стикаються з низкою проблем безпеки. Однією з таких проблем
є можливість попадання конфіденційної інформації в локальні
обчислювальні мережі (ЛОМ) компаній, що передбачають доступ до ресурсів мережі
Інтернет, що призводить до появи ризиків, пов'язаних з можливістю витоку цієї
інформації.
Рівень матеріального збитку компаній
(як потенційно можливого, так і фактичного збитку) від прихованої витоку
інформації досить високий. Він також призводить і до збитку репутації постраждалих
компаній. На думку фахівців, втрата 20% інформації, що є
конфіденційною, в 60 випадках зі 100 призводить до банкрутства компанії. Притому
багато дослідницькі компанії зазначають - більше 80% всіх інцидентів,
пов'язаних з порушенням інформаційної безпеки, викликані внутрішніми
погрозами. Джерелами таких загроз, які спричинили за собою порушення
конфіденційності інформації, є інсайдери.
Результати досліджень Результати
аналізу інцидентів за 9-й місяць 2008
м., представлені компанією InfoWatch, показали, що
витоку з використанням мереж, у тому числі Інтернету, склали 41% від усіх
навмисних інцидентів (табл. 1). Навмисні причини витоку склали 36,9%
за той же місяць, і це при тому, що 13,3% витоків за своїм статусом не
визначені (табл. 2).
Така статистика говорить про те, що
існує дуже актуальна проблема прихованої передачі конфіденційної
інформації з мережі.
Основні канали витоку конфіденційної
інформації Досвід показує, що приховану передачу інформації виявити складніше.
Як правило, канал витоку інформації шляхом її прихованої передачі виявляється
тільки після його тривалої експлуатації інсайдером. Таким чином, найбільш
небезпечною загрозою можна вважати приховану витік конфіденційної інформації,
яка може бути досить тривалим.
У разі коли об'єднання комп'ютерів в
ЛОМ передбачає підключення цієї мережі до зовнішніх мереж, виникає ряд
можливостей освіти прихованих каналів витоку конфіденційної інформації.
Основні канали витоку конфіденційної
інформації, характерні для таких мереж:
- несанкціоноване копіювання
конфіденційної інформації на зовнішні носії, її винесення за межі
контрольованої зони;
- виведення на друк конфіденційної
інформації та її винесення на роздрукованих документах за межі контрольованої
зони;
- несанкціонована передача
конфіденційної інформації з мережі в зовнішні мережі за межі контрольованої
зони;
- розкрадання носіїв конфіденційної
інформації.
Способи прихованої передачі інформації
Боротьба з навмисними витоками - задача досить складна. Ефективність такої
боротьби в основному свідомо нижче, ніж боротьби з випадковими витоками, в силу того
що належить протидіяти зловмисних хитрощів інсайдерів, на
озброєнні яких є ряд цікавих можливостей прихованої передачі, а
також програмних і навіть апаратних засобів її реалізації.
Все більшу небезпеку набувають
наступні способи прихованої передачі інформації:
- можливість прихованого каналу витоку
інформації виникає при використанні інсайдерами анонімних https-і інших
захищених проксісерверов: тунелювання, яке дозволяє зловмисникові,
використовуючи дозволений протокол, передавати в нього конфіденційну інформацію,
минаючи міжмережевий екран;
- стеганографічні способи приховування
інформації в різних файлах шляхом камуфлювання;
- шифрування інсайдером конфіденційної
інформації перед її відправкою;
- використання інсайдером шкідливих
програм для реалізації прихованої передачі інформації.
Варіанти закриття каналів витоку
інформації - ізолювання ЛВС для роботи з конфіденційною інформацією;
- використання системи віддаленого і
локального моніторингу робочих станцій користувачів;
- використання засобів криптографічного
і антивірусного захисту інформації;
- застосування засобів тематичного аналізу
переданих даних як в зовнішню мережу, так і з зовнішньої мережі в ЛВС компанії;
- застосування засобів контролю доступу до
зовнішніх носіїв.
Рішення проблеми можна скористатися
можливістю детектировать наявність у загальному потоці даних зашифрованими і
стеганографічні закамуфлірованності конфіденційної інформації для того,
щоб виявити приховані канали витоку інформації і перекрити їх на основі
отриманих результатів. Проте існує проблема вибору оптимального рівня
продуктивності комп'ютера при реалізації такого контролю та аналізу в режимі
реального часу - потрібна велика продуктивність аналізаторів трафіку. Суть
в тому, що такі алгоритми можуть значно затримувати передачу інформації,
що дуже негативно позначається на бізнесі компанії. На всі 100% контролювати
зовнішню мережу досить важко. А на локальному рівні такий глибокий
контроль призводить до низки незручностей, пов'язаних з необхідністю використання
прихованих відеокамер, кілоггерів, віддаленого моніторингу, закриття портів, а в
такій обстановці співробітникам вже стає працювати як мінімум незручно.
Одне тільки часткове вирішення проблеми
шляхом контролю та аналізу трафіку не є панацеєю. Простіше ізолювати
локальну мережу з обробкою конфіденційної інформації, ніж контролювати
передачу інформації на зовнішні сервери. Тому буде надійніше, якщо в компанії
буде передбачена і реалізована спеціально виділена ізольована локальна
мережу для обробки конфіденційної інформації в межах контрольованої зони, а
для роботи з відкритою інформацією - зовнішня мережа, яка має підключення до
Інтернету. Моніторинг комп'ютерів зовнішньої мережі здійснює адміністратор
безпеки, який буде контролювати з використанням різних засобів
захисту комп'ютери співробітників, що працюють у такій мережі. Таким чином,
ефективніше поряд з іншими способами захисту використовувати комплексний підхід з
ізолюванням сегмента ЛОМ для обробки конфіденційної інформації та
застосовувати при цьому кошти для боротьби з інсайдерами для зовнішнього сегмента
компанії, що дозволить скоротити загрози і мінімізувати ризики витоку
інформації.
Прихована передача конфіденційної
інформації зловмисником з використанням найрізноманітніших засобів --
велика загроза безпеки компанії.
Таблиця 1. Розподіл по носіїв для
навмисних витоків (9-й міс. 2008
р.)
Носії
Кількість
Частка
Мобільні
носії інформації
14
15%
Стаціонарний
комп'ютер або диск
13
14%
Мережа (у тому
числі Інтернет)
38
41%
Paper document
2%
Інше
6
7%
Не встановлено
21%
Таблиця 2. Причини витоку інформації (9-й
міс. 2008 р.)
Причина витоку
Кількість
інцидентів
частка від загального
кількості
Навмисні
92
36,9%
Випадкові
124
Не встановлено
33
13,3%
***
Коментар експерта
Євген Мельников, начальник відділу
інформаційної безпеки департаменту ІТ ГК ЗАТ "Тандер" Євген
Іванов, Анна Орєхова, фахівці з інформаційної безпеки департаменту
ІТ ГК ЗАТ "Тандер"
Витік інформації, а також її розкрадання
(несанкціоноване копіювання) є серйозною проблемою інформаційної
безпеки в організації будь-якого масштабу. У випадках, якщо вона сталася,
необхідно виявити її канал і не допустити повторення інциденту.
***
Прихована передача інформації
При прихованої передачі інформації
ховається сам факт її передачі. Виявити такий канал витоку дуже непросто.
А значить, зловмисник може знову і знову використовувати його в своїх цілях.
Можливостей приховано передавати інформацію нескінченно багато, досить просто
проявити фантазію. Організувати приховану передачу інформації може як
зловмисник ззовні, так і співробітник компанії. Зовсім не обов'язково володіти
правами адміністратора, досить мати доступ до інформації, бажання її
продати і людину, готову її купити.
Можна навести простий приклад. Два
користувача домовляються, що, якщо слово в повідомленні містить непарне
кількість букв, передається біт, що дорівнює 1, а якщо парне - 0. У разі коли в
ролі зловмисника виступає адміністратор, можливо впровадження
програми-закладки, яка буде прихованим чином передавати інформацію або
дозволить керувати мережею ззовні.
Буває й так, що розробники
програмного забезпечення впроваджують в код недокументовані функції, виконання
яких може призвести до порушення цілісності корпоративної інформації.
***
Способи організації прихованих каналів
Останнім часом все частіше можна почути
про так званих прихованих каналах передачі даних. Саме це поняття існує з
1973 р.,
де прихованим називається канал, який не проектувався і не передбачався для
передачі інформації в електронній системі обробки даних. Для організації
прихованого каналу необхідна наявність закладки в програмному чи апаратному
забезпечення.
Один із способів організації прихованого
каналу - перестановка мережевих пакетів певним чином. При цьому на основі
заздалегідь обумовлених ознак передається послідовність біт.
Ще один спосіб організації прихованого
каналу - використання алгоритмів електронного цифрового підпису. С.В. Белімов і
А.М. Федосєєв в 2007 р.
провели дослідження і довели можливість створення прихованих каналів у рамках
алгоритму електронного цифрового підпису ГОСТ Р 34.10-2001.
Раніше в роботах зарубіжних авторів
показана реалізація прихованих каналів для цифрових підписів Онга-Шнорр-Шаміра,
Ель-Гамаля, ESIGN та DSA.
Звичайно, прості користувачі, що бажають
продати інформацію конкурентам, будуть шукати більш прості способи її розкрадання.
Але в рамках інформаційної безпеки (захисту комерційної таємниці організації)
дана проблема актуальна. Тому що велика частина використовуваного апаратного і
програмного забезпечення є імпортним, то ймовірність впровадження закладок
збільшується. Використовуючи прихований канал, зловмисник може не тільки отримати
доступ до конфіденційної (службової) інформації, але і впровадити шкідливий код
або передати команду на виконання.
У Росії про розробці наукової методології
організації боротьби з прихованими каналами в інформаційних мережах було заявлено в
кінці 2006 р.
Російські вчені розробили математичну модель побудови прихованих каналів,
оцінки їх пропускної спроможності і методів боротьби з ними.
У серпні 2006 р. незалежний експерт
з питань інформаційної безпеки Роберт Мерфі представив програмний
продукт VoodooNet. Тут для прихованої передачі інформації використовується протокол
IPv6. Багато продуктів забезпечення безпеки не контролюють дані,
що передаються з цього протоколу, тоді як цей стандарт підтримується
програмним забезпеченням маршрутизаторів. Для вирішення проблеми прихованої передачі
інформації у такий спосіб необхідно використовувати мережеві пристрої,
контролюючі дані, передані по протоколу IPv6.
Ще одним способом прихованої передачі
інформації є передача даних на основі хаотичної синхронізації. А.
Куренівський, О. Москаленко, П. Попов, А. Храмов в 2008 р. запропонували новий
спосіб, що характеризується стійкістю до шумів і флуктуацій в каналі зв'язку.
Висновок
Отже, підіб'ємо підсумки. В умовах жорсткої
конкурентності використовуються будь-які способи і методи добування інформації,
розголошення якої може завдати компанії масу проблем, починаючи від перевірок
правоохоронними органами, втрати довіри клієнтів, інвесторів і кредиторів.
У рамках кризи проблема витоку
конфіденційної (службової) інформації тільки зростає. Все це вимагає
пильної уваги адміністраторів безпеки, а також наукового підходу до
проблеми. Необхідно впровадження організаційних методів (розробка регламентів
забезпечення інформаційної безпеки з обов'язковим доведенням до всіх
співробітників організації), перевірка встановленого програмного забезпечення на
наявність недекларіруемих можливостей, екранування мережі, наявність грамотно
налагодженої системи антивірусного захисту, а також постійний контроль
користувачів з використання засобів зберігання інформації (використання мобільних
пристроїв).
***
Дмитро Козирєв, експерт ТОВ
"ІНФОРІОН"
Стеганографія - наука про приховування даних.
Як метод, який використовується при передачі даних, стеганографія приховує саме
наявність інформації, що передається. На відміну від криптографічних методів, коли
повідомлення передається зашифрованих текстом, методи стеганографии дозволяють
вбудовувати приховану інформацію в поширені типи, таким чином, щоб
неможливо було запідозрити (виявити) існування інкапсульованими
інформації.
В даний час існує безліч
утиліт і коштів для реалізації стеганографічні приховування інформації. У
зв'язку з цим гостро постає проблема виявлення передачі прихованої інформації в
каналах зв'язку і, зокрема, виявлення витоків конфіденційних даних. У більшості
випадків при приховуванні інформації, що передається використовуються відомі
універсальні алгоритми стеганографии. Але при всій їх простоті існує
безліч реалізацій методів впровадження, та й найменші зміни алгоритмів
істотно ускладнюють пошук і виявлення прихованої інформації.
Сучасні спеціалізовані методи
виявлення стеганографічні приховування інформації засновані на виявленні
відхилення статистичних характеристик спостерігається інформації (типів файлів,
повідомлень) від її очікуваної моделі. Загальний недолік статистичних методів
стегоаналіза полягає в тому, що побудова точної математичної моделі
контейнера - можливого носія прихованої інформації - є виключно
складною і в даний час невирішеним завданням. Крім того, основним
обмеженням існуючих методів є те, що всі вони дозволяють
виявляти приховану інформацію постфактум.
Методи виявлення інкапсульованими
інформації вимагають високих витрат, обчислювальних ресурсів, і з урахуванням обсягу
потенційних об'єктів аналізу їх реалізація певні складнощі. На практиці
такі методи на сьогоднішній день не реалізовані ні одним виробником систем
DLP, а питання пошуку інформації, прихованої стеганографічні методами, залишається
відкритим. Таким чином, і на сьогоднішній день завдання виявлення витоків
конфіденційних даних у прихованих каналах передачі даних є як і раніше
актуальною.
Список літератури
Information Security № 1, лютий-березень
2009
