Программно-аппаратная защита информации

o Коммутируемая инфраструктура. Понятно, что анализ сетевого трафика возможен только внутри одного сегмента сети. Если сеть построена на устройствах, разбивающих ее на множество сегментов (коммутаторы и маршрутизаторы), то атака возможна только в тех участках сети, которые относятся к одному из портов данных устройств. Это не решает проблемы сниффинга, но уменьшает границы, которые может "прослушивать" злоумышленник.

o Криптографические методы. Самый надежный способ борьбы с работой sniffer. Информация, которая может быть получена с помощью перехвата, является зашифрованной и, соответственно, не имеет никакой пользы. Чаще всего используются IPSec, SSL и SSH.

2. Сканирование сети. Целью сканирования сети является выявление работающих в сети служб, открытых портов, активных сетевых сервисов, используемых протоколов и т.п., то есть сбор информации о сети. Для сканирования сети чаще всего используются:

o запросы DNS помогают выяснить злоумышленнику владельца домена, адресную область,

o эхо-тестирование - выявляет работающие хосты на основе DNS-адресов, полученных ранее;

o сканирование портов - составляется полный перечень услуг, поддерживаемых этими хостами, открытые порты, приложения и т.п.

Хорошей и наиболее распространенной контрмерой является использование IDS, которая успешно находит признаки ведения сканирования сети и уведомляет об этом администратора. Полностью избавиться от данной угрозы невозможно, так как если, например, отключить эхо ICMP и эхо-ответ на маршрутизаторе, то можно избавиться от угрозы эхо-тестирования, но при этом потерять данные, необходимые для диагностики сетевых сбоев.

3. Выявление пароля. Основной целью данной атаки является получение несанкционированного доступа к защищаемым ресурсам путем преодоления парольной защиты. Чтобы получить пароль, злоумышленник может использовать множество способов - простой перебор, перебор по словарю, сниффинг и др. Самым распространенным является простой перебор всех возможных значений пароля. Для защиты от простого перебора необходимо применять сильные пароли, которые не просто подобрать: длина 6-8 символов, использование букв верхнего и нижнего регистра, использование специальных знаков (@,#,$ и т.д.).

Еще одной проблемой информационной безопасности является то, что большинство людей используют одинаковые пароли ко всем службам, приложениям, сайтам и пр. При этом уязвимость пароля зависит от самого слабого участка его использования.

Подобного рода атак можно избежать, если использовать одноразовые пароли, о которых мы говорили ранее, или криптографическую аутентификацию.

4. IP-spoofing или подмена доверенного объекта сети.Под доверенным в данном случае понимается объект сети ( компьютер, маршрутизатор, межсетевой экран и т.п.), легально подключенный к серверу. Угрозы заключается в том, что злоумышленник выдает себя за доверенный объект сети. Это можно сделать двумя способами. Во-первых, воспользоваться IP-адресом, находящимся в пределах диапазона санкционированных IP-адресов, или авторизованным внешним адресом, которому разрешается доступ к определенным сетевым ресурсам. Атаки данного типа часто являются отправной точкой для прочих атак.

Обычно подмена доверенного объекта сети ограничивается вставкой ложной информации или вредоносных команд в обычный поток данных, передаваемых между объектами сети. Для двусторонней связи злоумышленник должен изменить все таблицы маршрутизации, чтобы направить трафик на ложный IP-адрес, что тоже является возможным. Для ослабления угрозы (но не ее ликвидации) можно использовать следующее:

o контроль доступа. Можно настроить контроль доступа на отсечение любого трафика, поступающего из внешней сети с исходным адресом внутри сети. Этот метод является действенным, если санкционированы только внутренние адреса и не работает, если есть санкционированные внешние адреса.

o Фильтрация RFC 2827 - данный тип фильтрации позволяет пресечь попытки спуфинга чужих сетей пользователями вашей сети. Для этого необходимо отбраковывать любой исходящий трафик, исходный адрес которого не является одним из IP-адресов вашей организации. Часто этот тип фильтрации выполняется провайдером. В результате отбраковывается весь трафик, который не имеет исходного адреса, ожидаемого на определенном интерфейсе. К примеру, если ISP предоставляет соединение с IP-адресом 15.1.1.0/24, он может настроить фильтр таким образом, чтобы с данного интерфейса на маршрутизатор ISP допускался только трафик, поступающий с адреса 15.1.1.0/24. Заметим, что до тех пор, пока все провайдеры не внедрят этот тип фильтрации, его эффективность будет намного ниже возможной.

o Внедрение дополнительных методов аутентификации. IP-spoofing возможен только в случае аутентификации на основе IP. Если ввести какие-то дополнительные меры по аутентификации, например, криптографические, атака становится бесполезной.

3.11 Отказ в обслуживании или Denial of Service (DoS)

Атака на вычислительную систему с целью довести её до отказа, то есть создание таких условий, при которых легитимные пользователи системы не могут получить доступ к предоставляемым системой ресурсам, либо этот доступ затруднён.

DoS-атака является наиболее распространенной и известной атакой в последнее время, что обусловлено в первую очередь простотой реализации. Организация DOS-атаки требует минимум знаний и умений и строится на недостатках сетевого программного обеспечения и сетевых протоколов. Если атака проводится для множества сетевых устройств, говорят о распределенной атаке DoS (DDoS - distributed DoS).

3.12 Характеристика, разновидности и причины возникновения, методы защиты

Сегодня наиболее часто используются следующие пять разновидностей DoS-атак, для проведения которых существует большое количество программного обеспечения и от которых наиболее тяжело защититься:

o Smurf - ping-запросы ICMP. При посылке ping-пакета (сообщение ICMP ECHO) по широковещательному адресу (например, 10.255.255.255), он доставляется каждой машине в этой сети. Принцип атаки заключается в посылке пакета ICMP ECHO REQUEST с адресом-источником атакуемого узла. Злоумышленник шлет постоянный поток ping-пакетов по сетевому широковещательному адресу. Все машины, получив запрос, отвечают источнику пакетом ICMP ECHO REPLY. Соответственно, размер ответного потока пакетов возрастает в пропорциональное количеству хостов число раз. В результате, вся сеть подвергается отказу в обслуживании из-за перегрузки.

o ICMP flood - атака, аналогичная Smurf, только без усиления, создаваемого запросами по направленному широковещательному адресу.

o UDP flood - отправка на адрес атакуемого узла множества пакетов UDP (User Datagram Protocol).

o TCP flood - отправка на адрес атакуемого узла множества TCP-пакетов.

o TCP SYN flood - при проведении такого рода атаки выдается большое количество запросов на инициализацию TCP-соединений с атакуемым узлом, которому, в результате, приходится расходовать все свои ресурсы на то, чтобы отслеживать эти частично открытые соединения.

Если используется серверное приложение Web-сервер или FTP-сервер, в результате атаки DoS все соединения, доступные для этих приложений, оказываются занятыми, и пользователи не могут получить к ним доступ. Некоторые атаки способны вывести из строя целую сеть, наполнив ее ненужными пакетами. Для противодействия таким атакам необходимо участие провайдера, потому что если он не остановит нежелательный трафик на входе в сеть, атаку не остановить, потому что полоса пропускания будет занята.

Для реализации DoS-атаки наиболее часто используются следующие программы:

o Trinoo - представляет собой довольно примитивную программу, которая исторически стала первой для организации DoS-атак единственного типа - UDP-flood. Программы семейства "trinoo" легко обнаруживаются стандартными средствами защиты и не несут угрозы для тех, кто хотя бы чуть-чуть заботиться о своей безопасности.

o TFN и TFN2K - более серьезное оружие. Позволяют одновременно организовать атаки нескольких типов - Smurf, UDP flood, ICMP flood и TCP SYN flood. Использование этих программ требует от злоумышленника намного более высокой квалификации.

o Новейшее средство организации DoS-атак - Stacheldracht ("колючая проволока"). Этот пакет позволяет организовывать самые различные типы атак и лавины широковещательных ping-запросов. Кроме того, обмен данными между контроллерами и агентами шифруется, а в само программное обеспечение встроена функция автомодификации. Шифрование сильно затрудняет обнаружение атакующего.

Для ослабления угрозы можно воспользоваться следующим:

o Функции анти-спуфинга - правильная конфигурация функций анти-спуфинга на ваших маршрутизаторах и межсетевых экранах поможет снизить риск DoS. Эти функции, как минимум, должны включать фильтрацию RFC 2827. Если хакер не сможет замаскировать свою истинную личность, он вряд ли решится провести атаку.

o Функции анти-DoS - правильная конфигурация функций анти-DoS на маршрутизаторах и межсетевых экранах может ограничить эффективность атак. Эти функции часто ограничивают число полуоткрытых каналов в любой момент времени.

o Ограничение объема трафика (traffic rate limiting) - организация может попросить провайдера (ISP) ограничить объем трафика. Этот тип фильтрации позволяет ограничить объем некритического трафика, проходящего по вашей сети. Обычным примером является ограничение объемов трафика ICMP, который используется только для диагностических целей. Атаки DoS часто используют ICMP.

Можно выделить несколько разновидностей угроз данного типа:

o Скрытый отказ в обслуживании, когда часть ресурсов сети задействован на обработку пакетов, передаваемых злоумышленником со снижением пропускной способности канала, нарушением времени обработки запросов, нарушением производительности сетевых устройств. Пример: направленный шторм эхо-запросов по протоколуICMP или шторм запросов на установление TCP-соединения.

o Явный отказ в обслуживании, вызванный тем, что ресурсы сети исчерпались в результате обработки пакетов, посланных злоумышленниками. При этом легальные запросы пользователей не могут быть обработаны из-за того, что вся полоса пропускания канала занята, переполнены буферы, переполнение дискового пространства и т.д. Пример: направленный шторм(SYN-flooding).

o Явный отказ в обслуживании, вызванный нарушением логической связности между техническими средствами сети при передаче злоумышленником управляющих сообщений от имени сетевых устройств. При этом изменяются маршрутно-адресные данные. Пример: ICMP Redirect Host или DNS-flood.

o Явный отказ в обслуживании, вызванный тем, что злоумышленник передает пакеты с нестандартными атрибутами (например, UDP-bomb) или имеющих длину, превышающую максимальную (Ping Death).

Атаки DoS нацелены на нарушение доступности информации и не нарушают целостность и конфиденциальность.

5. Атаки на уровне приложений.Атака данного типа заключается в использовании "брешей" в серверном программном обеспечении (HTML, sendmail, FTP). Используя эти уязвимости, злоумышленник получает доступ к компьютеру от имени пользователя приложения. Для атак на уровне приложений часто используются порты, которые могут "проходить" через межсетевой экран.

Главная проблема с атаками на уровне приложений состоит в том, что они часто пользуются портами, которым разрешен проход через межсетевой экран. К примеру, хакер, нападающий на Web-сервер, может использовать ТСР порт 80. Чтобы Web-сервер мог предоставлять пользователям страницы, порт 80 на межсетевом экране должен быть открыт. С точки зрения межсетевого экрана, атака рассматривается как стандартный трафик для порта 80.

Полностью исключить атаки на уровне приложений невозможно, так как прикладные программы с новыми уязвимостями возникают регулярно. Самое главное здесь - хорошее системное администрирование. Вот некоторые меры, которые можно предпринять, чтобы снизить уязвимость для атак этого типа

3.13 Интернет-вирусы и черви. Механизмы функционирования и распрастранения. Методы защиты (помимо антивирусного ПО)

Наиболее общее определение компьютерного вируса можно дать как самораспространяющийся в информационной среде компьютеров программный код. Он может внедряться в исполняемые и командные файлы программ, распространяться через загрузочные секторы дискет и жестких дисков, документы офисных приложений, через электронную почту, Web-сайты, а также и по другим электронным каналам.

Проникнув в компьютерную систему, вирус может ограничиться безобидными визуальными или звуковыми эффектами, а может вызвать потерю или искажение данных, а также утечку личной и конфиденциальной информации. В худшем случае компьютерная система, пораженная вирусом, может оказаться под полным контролем злоумышленника.

Сегодня люди доверяют компьютерам решение многих критических задач. Поэтому выход из строя компьютерных систем может иметь весьма и весьма тяжелые последствия, вплоть до человеческих жертв (представьте себе вирус в компьютерных системах аэродромных служб). Об этом не следует забывать разработчикам информационных компьютерных систем и системным администраторам.

На сегодняшний день известны десятки тысяч различных вирусов. Несмотря на такое изобилие, существует довольно ограниченное количество типов вирусов, отличающихся друг от друга механизмом распространения и принципом действия. Есть и комбинированные вирусы, которые можно отнести одновременно к нескольким различным типам. Мы расскажем о различных типах вирусов, придерживаясь по возможности хронологического порядка их появления.

Файловые вирусы

Исторически файловые вирусы появились раньше вирусов других типов, и первоначально распространялись в среде операционной системы MS-DOS. Внедряясь в тело файлов программ COM и EXE, вирусы изменяют их таким образом, что при запуске управление передается не зараженной программе, а вирусу. Вирус может записать свой код в конец, начало или середину файла Вирус может также разделить свой код на блоки, поместив их в разных местах зараженной программы.

Вирус в файле MOUSE.COM

Получив управление, вирус может заразить другие программы, внедриться в оперативную память компьютера и выполнить другие вредоносные функции. Далее вирус передает управление зараженной программе, и та исполняется обычным образом. В результате пользователь, запускающий программу, и не подозревает, что она «больна».

Заметим, что файловые вирусы могут заражать не только программы COM и EXE, но и программные файлы других типов -- оверлеи MS-DOS (OVL, OVI, OVR и другие), драйверы SYS, библиотеки динамической компоновки DLL, а также любые файлы с программным кодом. Разработаны файловые вирусы не только для MS-DOS, но и для других ОС, таких как Microsoft Windows, Linux, IBM OS/2. Однако подавляющее большинство вирусов данного типа обитает именно в среде ОС MS-DOS и Microsoft Windows.

Во времена MS-DOS файловые вирусы жили припеваючи благодаря свободному обмену программами, игровыми и деловыми. В те времена файлы программ имели относительно небольшой размер и распространялись на дискетах. Зараженную программу можно было также случайно загрузить с электронной доски объявлений BBS или из Интернета. А вместе с этими программами распространялись и файловые вирусы.

Современные программы занимают немалый объем и распространяются, как правило, на компакт-дисках. Обмен программами на дискетах уже давно ушел в прошлое. Устанавливая программу с лицензионного компакт-диска, Вы обычно не рискуете заразить свой компьютер вирусом. Другое дело -- пиратские компакт-диски. Здесь ни за что ручаться нельзя (хотя нам известны примеры распространения вирусов и на лицензионных компакт-дисках).

В результате сегодня файловые вирусы уступили пальму первенства по популярности вирусам других типов, о которых мы еще расскажем.
Загрузочные вирусы

Загрузочные вирусы получают управление на этапе инициализации компьютера, еще до начала загрузки операционной системы. Чтобы понять, как они работают, нужно вспомнить последовательность инициализации компьютера и загрузки операционной системы.

Сразу после включения питания компьютера начинает работать процедура проверки POST (Power On Self Test), записанная в BIOS. В ходе проверки определяется конфигурация компьютера и проверяется работоспособность основных его подсистем. Затем процедура POST проверяет, вставлена ли дискета в дисковод A:. Если дискета вставлена, то дальнейшая загрузка операционной системы происходит с дискеты. В противном случае загрузка выполняется с жесткого диска.

При загрузке процедура POST считывает с нее загрузочную запись (Boot Record, BR) в оперативную память. Эта запись всегда расположена в самом первом секторе дискеты и представляет собой маленькую программу. Кроме программы BR содержит структуру данных, определяющую формат дискеты и некоторые другие характеристики. Затем процедура POST передает управление BR. Получив управление, BR приступает непосредственно к загрузке операционной системы.

При загрузке с жесткого диска процедура POST считывает главную загрузочную запись (Master Boot Record, MBR) и записывает ее в оперативную память компьютера. Эта запись содержит программу первоначальной загрузки и таблицу разделов, в которой описаны все разделы жесткого диска. Она хранится в самом первом секторе жесткого диска.

После чтения MBR управление передается только что прочитанной с диска программе первоначальной загрузки. Она анализирует содержимое таблицы разделов, выбирает активный раздел и считывает загрузочную запись BR активного раздела. Эта запись аналогична записи BR системной дискеты и выполняет те же самые функции.

Теперь о том, как «работает» загрузочный вирус.

При заражении дискеты или жесткого диска компьютера загрузочный вирус заменяет загрузочную запись BR или главную загрузочную запись MBR (рис. 2). Исходные записи BR или MBR при этом запись обычно не пропадают (хотя так бывает не всегда). Вирус копирует их в один из свободных секторов диска.

Таким образом, вирус получает управление сразу после завершения процедуры POST. Затем он, как правило, действует по стандартному алгоритму. Вирус копирует себя в конец оперативной памяти, уменьшая при этом ее доступный объем. После этого он перехватывает несколько функций BIOS, так что обращение к ним передает управление вирусу. В конце процедуры заражения вирус загружает в оперативную память компьютера настоящий загрузочный сектор и передает ему управление. Далее компьютер загружается как обычно, но вирус уже находится в памяти и может контролировать работу всех программ и драйверов.

Комбинированные вирусы

Очень часто встречаются комбинированные вирусы, объединяющие свойства файловых и загрузочных вирусов.

В качестве примера можно привести широко распространенный в прошлом файлово-загрузочный вирус OneHalf. Проникая в компьютер с операционной системой MS-DOS, этот вирус заражает главную загрузочную запись. Во время загрузки компьютера вирус постепенно шифрует секторы жесткого диска, начиная с самых последних секторов. Когда резидентный модуль вируса находится в памяти, он контролирует все обращения к зашифрованным секторам и расшифровывает их, так что все программное обеспечение компьютера работает нормально. Если OneHalf просто удалить из оперативной памяти и загрузочного сектора, то станет невозможно правильно прочитать информацию, записанную в зашифрованных секторах диска.

Когда вирус зашифрует половину жесткого диска, он отображает на экране надпись:

Dis is one half.

Press any key to continue ...

После этого вирус ожидает, когда пользователь нажмет на какую-либо клавишу и продолжает свою работу

Вирус OneHalf использует различные механизмы для своей маскировки. Он является стелс-вирусом и использует при распространении полиморфные алгоритмы. Обнаружение и удаление вируса OneHalf -- достаточно сложная задача, доступная далеко не всем антивирусным программам.
Вирусы-спутники

Как известно, в операционных системах MS-DOS, и Microsoft Windows различных версий существуют три типа файлов, которые пользователь может запустить на выполнение. Это командные или пакетные файлы BAT, а также исполнимые файлы COM и EXE. При этом в одном каталоге могут одновременно находиться несколько выполнимых файлов, имеющих одинаковое имя, но разное расширение имени.

Когда пользователь запускает программу и то вводит ее имя в системном приглашении операционной системы, то он обычно не указывает расширение файла. Какой же файл будет выполнен, если в каталоге имеется несколько программ с одинаковым именем, но разным расширением имени?

Оказывается, в этом случае запустится файл COM. Если в текущем каталоге или в каталогах, указанных в переменной среды PATH, существуют только файлы EXE и BAT, то выполняться будет файл EXE.

Когда вирус-спутник заражает файл EXE или BAT, он создает в этом же каталоге еще один файл с таким же именем, но с расширением имени COM. Вирус записывает себя в этот COM-файл. Таким образом, при запуске программы первым получит управление вирус-спутник, который затем может запустить эту программу, но уже под своим контролем.
Вирусы в пакетных файлах

Существует несколько вирусов, способных заражать пакетные файлы BAT. Для этого ими используется весьма изощренный способ. Мы рассмотрим его на примере вируса BAT.Batman. При заражении пакетного файла в его начало вставляется текст следующего вида:

@ECHO OFF

REM [...]

copy %0 b.com>nul

b.com

del b.com

rem [...]

В квадратных скобках [...] здесь схематично показано расположение байт, которые являются процессорными инструкциями или данными вируса. Команда @ECHO OFF отключает вывод на экран названий выполняемых команд. Строка, начинающаяся с команды REM, является комментарием и никак не интерпретируется.

Команда copy %0 b.com>nul копирует зараженный командный файл в файл B.COM. Затем этот файл запускается и удаляется с диска командой del b.com.

Самое интересное, что файл B.COM, созданный вирусом, до единого байта совпадает с зараженным командным файлом. Оказывается, что если интерпретировать первые две строки зараженного BAT-файла как программу, она будет состоять из команд центрального процессора, которые фактически ничего не делают. Центральный процессор выполняет эти команды, а затем начинает выполнять настоящий код вируса, записанный после оператора комментария REM. Получив управление, вирус перехватывает прерывания ОС и активизируется.

В процессе распространения вирус следит за записью данных в файлы. Если первая строка, записываемая в файл, содержит команду @echo, тогда вирус считает, что записывается командный файл и заражает его.

Шифрующиеся и полиморфные вирусы

Чтобы затруднить обнаружение, некоторые вирусы шифруют свой код. Каждый раз, когда вирус заражает новую программу, он зашифровывает собственный код, используя новый ключ. В результате два экземпляра такого вируса могут значительно отличаться друг от друга, даже иметь разную длину. Шифрование кода вируса значительно усложняет процесс его исследования. Обычные программы не смогут дизассемблировать такой вирус.

Естественно, вирус способен работать только в том случае, если исполняемый код расшифрован. Когда запускается зараженная программа (или начинается загрузка с зараженной загрузочной записи BR) и вирус получает управление, он должен расшифровать свой код.

Для того чтобы затруднить обнаружение вируса, для шифрования применяются не только разные ключи, но и разные процедуры шифрования. Два экземпляра таких вирусов не имеют ни одной совпадающей последовательности кода. Такие вирусы, которые могут полностью изменять свой код, получили название полиморфных вирусов.

Стелс-вирусы

Стелс-вирусы пытаются скрыть свое присутствие в компьютере. Они имеют резидентный модуль, постоянно находящийся в оперативной памяти компьютера. Этот модуль устанавливается в момент запуска зараженной программы или при загрузке с диска, зараженного загрузочным вирусом.

Резидентный модуль вируса перехватывает обращения к дисковой подсистеме компьютера. Если операционная система или другая программа считывают файл зараженной программы, то вирус подставляет настоящий, незараженный, файл программы. Для этого резидентный модуль вируса может временно удалять вирус из зараженного файла. После окончания работы с файлом он заражается снова.

Загрузочные стелс-вирусы действуют по такой же схеме. Когда какая-либо программа считывает данные из загрузочного сектора, вместо зараженного сектора подставляется настоящий загрузочный сектор.

Маскировка стелс-вирусов срабатывает только в том случае, если в оперативной памяти компьютера находится резидентный модуль вируса. Если компьютер загружается с «чистой», не зараженной системной дискеты, у вируса нет шансов получить управление и поэтому стелс-механизм не работает.

Макрокомандные вирусы

До сих пор мы рассказывали о вирусах, обитающих в исполняемых файлах программ и загрузочных секторах дисков. Широкое распространение пакета офисных программ Microsoft Office вызвало лавинообразное появление вирусов нового типа, распространяющихся не с программами, а с файлами документов.

На первый взгляд это может показаться невозможным -- в самом деле, где спрятаться вирусам в текстовых документах Microsoft Word или в ячейках электронных таблиц Microsoft Excel?

Однако на самом деле файлы документов Microsoft Office могут содержать в себе небольшие программы для обработки этих документов, составленные на языке программирования Visual Basic for Applications. Это относится не только к документам Word и Excel, но и к базам данных Access, а также файлам презентаций Power Point. Такие программы создаются с использованием макрокоманд, поэтому вирусы, живущие в офисных документах, называются макрокомандными.

Как распространяются макрокомандные вирусы?

Вместе с файлами документов. Пользователи обмениваются файлами через дискеты, сетевые каталоги файл-серверов корпоративной интрасети, через электронную почту и по другим каналам. Чтобы заразить компьютер макрокомандным вирусом, достаточно просто открыть файл документа в соответствующем офисном приложении -- и дело сделано!

Сейчас макрокомандные вирусы очень распространены, чему в немалой степени способствует популярность Microsoft Office. Они могут принести вреда не меньше, а в некоторых случаях даже больше, чем «обычные» вирусы, заражающие выполнимые файлы и загрузочные секторы дисков и дискет. Наибольшая опасность макрокомандных вирусов, на наш взгляд, заключается в том, что они могут изменять зараженные документы, оставаясь незамеченными долгое время.

Вредоносные программы других типов

К сожалению, не только вирусы мешают нормальной работе компьютера и его программному обеспечению. Принято выделять еще, по крайней мере, три вида вредоносных программ. К ним относятся троянские программы, логические бомбы и программы-черви. Четкого разделения на эти виды не существует, троянские программы могут содержать вирусы, в вирусы могут быть встроены логические бомбы и так далее.

Троянские программы

Известен греческий миф о том, как была завоевана неприступная Троя. Греки оставили ночью у ворот Трои деревянного коня, внутри которого притаились солдаты. Когда горожане, движимые любопытством, втащили коня за стены города, солдаты вырвались наружу и завоевали город.

Троянские программы действуют подобным образом. Их основное назначение совершенно безобидное или даже полезное. Но когда пользователь запишет программу в свой компьютер и запустит ее, она может незаметно выполнять другие, чаще всего, вредоносные функции.

Чаще всего троянские программы используются для первоначального распространения вирусов, для получения удаленного доступа к компьютеру через Интернет, для кражи данных или их уничтожения. После того как троянская программа выполнит свою скрытую функцию, она может самоуничтожиться, чтобы затруднить обнаружение причины нарушений в работе системы.

Логические бомбы

Логической бомбой называется программа или ее отдельные модули, которые при определенных условиях выполняют вредоносные действия. Логическая бомба может сработать по достижении определенной даты, когда в базе данных появится или исчезнет запись и так далее. Условие, при котором срабатывает логическая бомба, определяется ее создателем. Логическая бомба может быть встроена в вирусы, троянские программы, и даже в обыкновенное программное обеспечение.

Программы-черви

Программы-черви нацелены их авторами на выполнение определенной функции. Они могут быть ориентированы, например, на проникновение в систему и модификацию некоторых данных. Можно создать программу-червь, подсматривающую пароль для доступа к банковской системе и изменяющую базу данных таким образом, чтобы на счет программиста была переведена большая сумма денег.

Широко известная программа-червь была написана студентом Корнельского (Cornell) университета Робертом Моррисом (Robert Morris). Червь был запущен в Интернет второго ноября 1988 года. За пять часов червь Морриса смог проникнуть на более чем 6000 компьютеров, подключенных к этой сети.

Очень сложно узнать, является ли программа троянской и заложена ли в нее логическая бомба. Программист имеет полную власть над своим детищем. Изучение сомнительной программы или системы может занять очень много времени и потребовать значительных финансовых затрат. Поэтому мы не рекомендуем обмениваться программным обеспечением со своими знакомыми и приобретать незаконные копии фирменного программного обеспечения. В любую из этих программ могут быть встроены дополнительные вредоносные функции. Их активация может привести к нарушению работы компьютерной системы.

Сложно ли создать компьютерный вирус

В среде хакеров бытует мнение о том, что для создания компьютерного вируса необходимо обладать какими-то необыкновенными способностями и талантами. Возможно, что создание «с нуля» шифрующегося полиморфного вируса и в самом деле доступно не каждому, однако и для этого не надо быть гением. Подавляющее большинство вирусов пишут посредственные программисты, которые, по всей видимости, не могут найти себе более достойное занятие. Современные антивирусные программы без особого труда расправляются с их «шедеврами».

Более того, можно создавать вирусы, не вникая в детали их внутреннего устройства и даже без программирования. Существуют десятки специальных программ, представляющих собой ни что иное, как настоящие лаборатории компьютерных вирусов!

Обладая дружественным (если это слово здесь уместно) пользовательским интерфейсом (рис. 3), такие программы позволяют злоумышленнику при помощи меню, списков и галочек задать все атрибуты создаваемого вируса -- его тип, способ распространения и маскировки, а также вредоносное воздействие. Далее программа автоматически генерирует зараженный файл, готовый к распространению!

В результате каждый день появляется значительное количество новых вирусов, некоторые из которых могут представлять собой серьезную опасность. Надо, однако, заметить, что даже простейшие вирусы, написанные дилетантами или созданные автоматическими генераторами вирусов, могут вызвать потерю данных и доставить много других неприятностей. Поэтому никогда не стоит пренебрегать средствами защиты от компьютерных вирусов.

Основные каналы распространения вирусов

Для того чтобы разработать эффективную систему антивирусной защиты компьютеров и корпоративных интрасетей, необходимо четко представлять себе, с какой стороны грозит опасность. Для своего распространения вирусы находят самые разные каналы, причем к старым способам распространения постоянно добавляются все новые и новые.

Классические способы распространения

Как мы уже говорили, первые файловые вирусы распространяются вместе с файлами программ в результате обмена дискетами и программами, загрузки программ из сетевых каталогов, Web- или FTP-серверов. Вы можете приобрести вирус на компакт-диске с пиратским ПО, взять его вместе с игрой у своего друга или коллеги по работе.

Загрузочные вирусы попадают на компьютер, когда пользователь забывает зараженную дискету в дисководе, а затем перезагружает ОС. Надо сказать, что загрузочный вирус может также быть занесен на компьютер вирусами других типов.

Макрокомандные вирусы распространяются аналогичным образом в результате обмена пользователей зараженными файлами офисных документов, таких как файлы Microsoft Word, Microsoft Excel, Microsoft Access и других.

Если зараженный компьютер подключен к локальной сети, вирус может легко «перепрыгнуть» на файл-сервер, а оттуда через каталоги, доступные для записи, -- на все остальные компьютеры сети. Так начинается вирусная эпидемия.

Системный администратор должен помнить, что вирус имеет в сети такие же права, что и пользователь, на компьютер которого этот вирус пробрался. Поэтому он может попасть во все сетевые каталоги, доступные пользователю. А если вирус завелся на рабочей станции администратора сети -- надо ждать беды…

Вирус по почте

Сегодня электронная почта проникла во все сферы человеческой деятельности -- от личной переписки до деловой корреспонденции. Как Вы знаете, вместе с сообщением электронного письма может передаваться практически любой файл, а вместе с файлом -- и компьютерный вирус.

Злоумышленник может прислать Вам исполнимый модуль вирусной или троянской программы, вредоносный программный сценарий Visual Basic Script, зараженную или троянскую программу сохранения экрана монитора -- словом, любой опасный программный код. Разумеется, электронная почта служит и каналом распространения для макрокомандных вирусов, так как вместе с сообщениями часто отправляются офисные документы.

Для маскировки распространители вирусов часто пользуются тем фактом, что по умолчанию диалоговая оболочка Microsoft Windows не отображает расширения зарегистрированных файлов. При этом файл с именем, например, FreeCreditCard.txt.exe будет показан пользователю как FreeCreditCard.txt. Если пользователь попытается открыть такой файл в надежде найти в нем интересную информацию, будет запущена на выполнение вредоносная программа.

Более того, из-за различных ошибок, присутствующих в программном обеспечении почтовых клиентов, иногда файл вложения может запуститься автоматически!

В качестве примера вредоносной программы, вызвавшей недавно целую эпидемию, и распространяющей по почте, можно привести вирус-червь W32/Klez. Он может проникнуть на компьютер благодаря ошибке в браузере Microsoft Internet Explorer версии 5.01 или 5.5 без пакета обновлений SP2. Этот вирус заменяет заголовок From в сообщении найденным на компьютере-жертве. Далее он пытается деактивировать антивирусные программы, запущенные на компьютере. Этот вирус способен распространяться по локальной сети через сетевые каталоги общего доступа, записывать себя в архивы типа RAR. Вирус-червь W32/Klez рассылает по Интернету документы, хранящиеся на дисках компьютера, и потому может вызвать утечку конфиденциальной информации.

Сообщения электронной почты часто приходят в виде документов HTML. Следует заметить, что такие документы могут включать в себя ссылки на элементы управления ActiveX, аплеты Java и другие активные компоненты. Из-за ошибок в программных клиентах злоумышленники могут воспользоваться такими активными компонентами для внедрения вирусов и троянских программ на Ваш компьютер.

При получении сообщения в формате HTML почтовый клиент показывает его содержимое в своем окне. Если сообщение содержит вредоносные активные компоненты, они сразу же запускаются и делают свое черное дело. Чаще всего таким способом распространяются троянские программы и черви.

Троянские Web-сайты

Даже во время простого серфинга сайтов Интернета есть риск получить вирусное заражение или «подцепить» троянскую программу. Ошибки в браузерах зачастую приводят к тому, что вредоносные активные компоненты троянских Web-сайтов (элементы управления ActiveX или аплеты Java) могут внедрить на Ваш компьютер вирус или другую вредоносную программу.

Здесь используется тот же самый механизм распространения вирусов, что и при получении сообщений электронной почты в формате HTML. Но заражение происходит незаметно -- активные компоненты Web-страниц могут не иметь пользовательского интерфейса и внешне никак себя не проявлять.

Вы можете получить приглашение посетить троянский сайт в обычном электронном письме. Заинтересовавшись описанием сайта и щелкнув ссылку, расположенную в теле электронного сообщения, легко оказаться в опасном месте всемирной паутины.

Вирусы в системах документооборота

Документы, хранящиеся в базах данных таких систем документооборота, как Lotus Notes и Microsoft Exchange, тоже могут содержать вирусы, а точнее говоря, вредоносные макрокоманды. Они могут активизироваться при выполнении каких-либо действий над документом (например, когда пользователь щелкает кнопку).

Так как эти вирусы «живут» не в файлах, а в записях баз данных, для защиты от них необходимо использовать специализированные антивирусные программы.

Новые и экзотические вирусы

По мере развития компьютерных технологий совершенствуются и компьютерные вирусы, приспосабливаясь к новым для себя сферам обитания. Новый вирус W32/Perrun, сообщение о котором есть на сайте компании Network Associates (http://www.nai.com), способен распространяться… через файлы графических изображений формата JPEG!

Сразу после запуска вирус W32/Perrun ищет файлы с расширением имени JPG и дописывает к ним свой код. После этого зараженные файлы JPEG будут содержать не только изображения, но и код вируса. Надо сказать, что данный вирус не опасен и требует для своего распространения отдельной программы.

Среди новых «достижений» создателей вредоносных программ заслуживает упоминания вирус Palm.Phage. Он заражает приложения «наладонных» компьютеров PalmPilot, перезаписывая файлы этих приложений своим кодом.

Появление таких вирусов, как W32/Perrun и Palm.Phage, свидетельствует о том, что в любой момент может родиться компьютерный вирус, троянская программа или червь, нового, неизвестного ранее типа, или известного типа, но нацеленного на новое компьютерное оборудование. Новые вирусы могут использовать неизвестные или несуществующие ранее каналы распространения, а также новые технологии внедрения в компьютерные системы.

В следующей нашей статье, посвященной проблемам антивирусной защиты, мы рассмотрим технологии, методики и антивирусные средства, с помощью которых можно защититься не только от известных, но в ряде случаев и от новых, доселе не исследованных вредоносных компьютерных программ.

Стопроцентной защиты от всех вредоносных программ не существует: от эксплойтов наподобие Sasser или Conficker не застрахован никто. Чтобы снизить риск потерь от воздействия вредоносных программ, рекомендуется:

использовать современные операционные системы, имеющие серьёзный уровень защиты от вредоносных программ;

своевременно устанавливать патчи; если существует режим автоматического обновления, включить его;

постоянно работать на персональном компьютере исключительно под правами пользователя, а не администратора, что не позволит большинству вредоносных программ инсталлироваться на персональном компьютере;

использовать специализированные программные продукты, которые для противодействия вредоносным программам используют так называемые эвристические (поведенческие) анализаторы, то есть не требующие наличия сигнатурной базы;

использовать антивирусные программные продукты известных производителей, с автоматическим обновлением сигнатурных баз;

использовать персональный Firewall, контролирующий выход в сеть Интернет с персонального компьютера на основании политик, которые устанавливает сам пользователь;

ограничить физический доступ к компьютеру посторонних лиц;

использовать внешние носители информации только от проверенных источников;

не открывать компьютерные файлы, полученные от ненадёжных источников;

отключить автозапуск со сменных носителей, что не позволит запускаться кодам, которые находятся на нем без ведома пользователя (для Windows необходимо gpedit. msc->Административные шаблоны (Конфигурация пользователя) - >Система->Отключить автозапуск->Включен "на всех дисководах").

Современные средства защиты от различных форм вредоносных программ включают в себя множество программных компонентов и методов обнаружения "хороших" и "плохих" приложений. Сегодня поставщики антивирусных продуктов встраивают в свои программы сканеры для обнаружения "шпионов" и другого вредоносного кода, таким образом, всё делается для защиты конечного пользователя. Тем не менее, ни один пакет против шпионских программ не идеален. Один продукт может чересчур пристально относиться к программам, блокируя их при малейшем подозрении, в том числе "вычищая" и полезные утилиты, которыми вы регулярно пользуетесь. Другой продукт более лоялен к программам, но может пропускать некоторый шпионский код. Так что панацеи, увы, нет.

В отличие от антивирусных пакетов, которые регулярно показывают 100% эффективности по обнаружению вирусов в профессиональном тестировании, проводящемся такими экспертами, как "Virus Bulletin", ни один пакет против рекламных программ не набирает более 90%, а эффективность многих других продуктов определяется между 70% и 80%.

Это объясняет, почему одновременное использование, например, антивируса и антишпионской программы, наилучшим образом обеспечивает всестороннюю защиту системы от опасностей, которые могут прийти неожиданно. Практика показывает, что один пакет следует использовать в качестве постоянного "блокировщика", который загружается всякий раз при включении компьютера (например, AVP 6.0), в то время как ещё один пакет (или более) должен запускаться, по крайней мере, раз в неделю, чтобы обеспечить дополнительное сканирование (например, Ad-Aware). Таким образом, то, что пропустит один пакет, другой сможет обнаружить.

4. Описание современного аппаратного-программного комплекса защиты информации. На примере комплекса «Аккорд»ТМ

Современный аппаратный модуль доверенной загрузки предназначен для применения на ПЭВМ (РС) типа IBM PC AT с целью защиты средств вычислительной техники и информационных ресурсов от НСД. Этот комплекс обеспечивает режим доверенной загрузки в различных операционных средах: MS DOS; Windows 3.x; Windows 9x; Windows NT, Windows 2000, Windows XP; OS/2; UNIX; Linux . Основным принципом работы «Аккорд-АМДЗ» является выполнение процедур, реализующих функции системы защиты информации, до загрузки операционной системы. Процедуры идентификации/аутентификации пользователя; контроля целостности аппаратных и программных средств; администрирование; блокировка загрузки операционной системы с внешних носителей информации размещены во внутренней памяти микроконтроллера платы «Аккорд». Таким образом, пользователь не имеет возможности изменения процедур, которые влияют на функциональность системы защиты информации. В энергонезависимой памяти контроллера «Аккорд» хранится информация о персональных данных пользователей, данные для контроля целостности программных и аппаратных средств, журнал регистрации и учета системных событий и действий пользователя. Эти данные могут быть изменены только авторизованным администратором безопасности информации, так как доступ к энергонезависимой памяти полностью определяется логикой работы программного обеспечения прошитого в микроконтроллер.

СЗИ НСД семейства «Аккорд»ТМ реализованы на базе контроллера «Аккорд-4.5» (для ПЭВМ с шинным интерфейсом ISA) и его функционального аналога для шинного интерфейса PCI -- «Аккорд-5».

Для организаций, использующих промышленные PC компьютеры с шинным интерфейсом PC/104, может представлять интерес программно-аппаратный комплекс СЗИ НСД «Аккорд-PC104». Данный комплекс прошел испытания в жестких условиях эксплуатации (повышенная вибрация, широкий диапазон температур, высокая влажность и т.д.). Он может применяться в специализированных компьютерах, используемых в бортовой аппаратуре (наземные, воздушные, морские и промышленные системы), в измерительной аппаратуре, в устройствах связи, в мобильных системах, в том числе и военного назначения.

Программно-аппаратный сопроцессор безопасности «Аккорд-СБ»

Сопроцессор безопасности -- изделие «Аккорд-СБ» -- это многофункциональное программируемое устройство, предназначенное для защиты информации в вычислительных системах, требующих высокого уровня защищенности. Реализован на базе контроллера «Аккорд-СБ/2» (PCI -- контроллер).

Специальное программное обеспечение «Аккорд-СБ» включает в себя:

· Загрузчик -- настраивает параметры системы, загружает в ОЗУ монитор и операционную систему.

· Монитор -- инициализирует ресурсы и запускает операционную систему. Предоставляет возможность работы с ресурсами платы в многозадачном режиме.

· Операционная система реального времени;

· Криптодрайвер -- программа поддержки криптоускорителя Криптодрайвер обеспечивает взаимодействие монитора с платой криптоускорителя, установленной в шину расширения платы «Аккорд-СБ/2». Код драйвера находиться в энергонезависимой памяти расположенной на плате криптоускорителя и активизируется монитором. Обеспечен режим независимости ПО «Аккорд-СБ» от типа криптоускорителя;

· Прикладные библиотеки -- набор вспомогательных процедур для самостоятельного программирования сопроцессора безопасности«Аккорд-СБ/2».

«Аккорд-СБ/2» дополнительно полностью реализует функции комплекса СЗИ НСД «Аккорд-АМДЗ» (аппаратный модуль доверенной загрузки).

Рекомендации по его применению:

1. В качестве аппаратного СКЗИ для:

o шифрования данных в каналах ввода/вывода;

o шифрования дисков

o формирования и проверки электронной цифровой подписи;

2. Организации защищённых виртуальных наложенных сетей в гетерогенных открытых сетях;

3. Организации защищённых аудио и видеоконференций;

4. В технологической защите электронного документооборота с использованием защитных кодов аутентификации (ЗКА).

Наиболее целесообразно «Аккорд-СБ/2» применять в качестве серверного средства защиты информации.

Программно-аппаратные комплексы защиты от НСД к информации «Аккорд-1.95», «Аккорд-NT», «АРМ АБИ»

Комплексы «Аккорд-1.95», «Аккорд-NT» позволяют реализовать систему защиты от НСД к ПЭВМ и информации с применением персональных идентификаторов пользователей, выполненных на базе устройств памяти Touch Memory (ТМ-идентификаторов), как для автономных ПЭВМ, так и для ПЭВМ, объединенных в вычислительную сеть.

Указанные комплексы работают совместно с комплексами «Аккорд-АМДЗ» и базируются на использовании контроллеров«Аккорд-4++», «Аккорд-4.5», «Аккорд-5», «Аккорд-PC104», «Аккорд-СБ/2».

Комплексы обеспечивают:

· защиту от НСД к ПЭВМ;

· идентификацию/ аутентификацию пользователей;

· аппаратный контроль целостности системных файлов и критичных разделов Regestry;

· доверенная загрузка ОС;

· контроль целостности программ и данных, их защиту от несанкционированных модификаций;

· создание индивидуальной для каждого пользователя изолированной рабочей программной среды;

· запрет запуска неразрешенных программ;

· разграничение доступа пользователей к массивам данных и программам с помощью дискреционного контроля доступа;

· разграничение доступа пользователей и процессов к массивам данных с помощью мандатного контроля доступа, управление потоками информации;

· автоматическое ведение протокола регистрируемых событий;

· удаленное централизованное управление настройками системы защиты.

Комплексы включают в себя следующие подсистемы:

· Подсистему управления доступом

· Подсистему регистрации и учета (аудит)

· Подсистему обеспечения целостности

· Подсистему удаленного централизованного управления настройками системы защиты «Автоматизированное Рабочее Место Администратора Безопасности» (АРМ АБИ).

С помощью данных комплексов администратор безопасности информации имеет возможность описать любую не противоречивую политику безопасности на основе наиболее полного набора атрибутов:

I. Операции с файлами:

R -- разрешение на открытие файлов только для чтения.

W -- разрешение на открытие файлов для записи.

C -- разрешение на создание файлов на диске.

D -- разрешение на удаление файлов.

N -- разрешение на переименование файлов.

V -- видимость файлов. Позволяет делать существующие файлы невидимыми для программ. Этот параметр имеет более высокий приоритет, чем R,W,D,N,O.

О -- эмуляция разрешения на запись информации в файл. Этот параметр имеет более низкий приоритет, чем W (открыть для записи).

II. Операции с каталогом:

M -- создание каталогов на диске.

Е -- удаление каталогов на диске.

G -- разрешение перехода в этот каталог.

III. Прочее:

Х -- разрешение на запуск программ.

IV. Регистрация:

r -- регистрируются все операции чтения файлов диска в журнале.

w -- регистрируются все операции записи файлов диска в журнале.

Для разграничение прав доступа к информационным ресурсам, кроме дискреционного, осуществлен мандатный принцип доступа субъектов к информационным ресурсам. Набор атрибутов СЗИ Аккорд может применяться для описания ПРД при обращении с рабочей станции ЛВС к ресурсам файловых серверов. Кроме этого, администратор БИ для каждого субъекта -- пользователя системы определяет:

· перечень файлов, целостность которых должна контролироваться системой и опции контроля;

· запуск стартовой задачи (для функционально замкнутых систем);

· наличие, либо отсутствие привилегий супервизора;

· детальность журнала доступа;

· назначение/изменение пароля для аутентификации;

· временные ограничения -- время по дням недели (с дискретностью 30 мин), в которое разрешено начало работ для данного субъекта;

· параметры управления экраном -- гашение экрана через заранее определенный интервал времени (в случае, если в течение указанного интервала действия оператором не выполнялись), подача соответствующих звуковых и визуальных сигналов.

Программно-аппаратный комплекс средств защиты информации «ШИПКА» (Шифрование Идентификация Подпись Коды Аутентификации)

Комплекс «ШИПКА» предназначен для защиты прав участников информационного обмена, обеспечения защиты электронного документооборота с использованием защитных кодов аутентификации (ЗКА) и ЭЦП (Федеральный закон «Об электронно-цифровойподписи»), а также для обеспечения конфиденциальности обрабатываемых данных. Позволяет организовывать безопасный обмен информацией с использованием ГОСТ 28147-98, ГОСТ Р 34.11-94, ГОСТ 34.11-01.

Комплекс «ШИПКА», установленный на отдельном ПК, обеспечивает аутентификацию пользователя, защиту программ и данных, выполняя функции электронного ключа, обеспечивает защиту от НСД несанкционированного доступа к ПЭВМ, а также позволяет осуществлять управление ключами (в том числе ключами шифрования и электронно-цифровой подписи пользователя).

При объединении рабочих станций с установленными устройствами «ШИПКА» в локальную сеть обеспечивается аутентификация как пользователя, так и рабочей станции, организуется управление ключами доступа к совместно используемым ресурсам с применением криптографической защиты команд управления сетью.

...