Современные угрозы компьютерной безопасности и каналы утечки информации

Размещено на http://www.allbest.ru/

Размещено на http://www.allbest.ru/

Введение

Информация, её жизненный цикл. Информация является результатом отображения и обработки в человеческом сознании многообразия окружающего мира, представляет собой сведения об окружающих человека предметах, явлениях природы, деятельности других людей.

Когда используется термин данные, то речь идет об информации, предоставленной в формализованном виде, пригодном для автоматической обработки при возможном участии человека. Данные, которыми обменивается человек через машину с другим человеком или с машиной, является объектом защиты. Однако защите подлежат не всякие данные, которые имеют цену.

Под защитой информации в настоящее время понимается область науки и техники, которая включает совокупность средств, методов и способов человеческой деятельности, направленных на обеспечение защиты всех видов информации в организациях и предприятиях различных направлений деятельности и различных форм собственности.

Информация, которая подлежит защите, может быть представлена на любых носителях, может храниться, обрабатываться и передаваться различными способами и средствами.

Ценность информации является критерием при принятии любого решения о ее защите. Существуют различные подходы к определению ценности информации. Одна из известных классификаций видов информации учитывает различные градации ее важности. При этом выделяются следующие уровни важности информации:

жизненно важная незаменимая информация, наличие которой необходимо для функционирования организации;

важная информация - информация, которая может быть заменена или восстановлена, но процесс восстановления очень труден и связан с большими затратами;

полезная информация - информация, которую трудно восстановить, однако, организация может эффективно функционировать и без нее;

персональная информация - информация, которая представляет ценность только для какого - нибудь одного человека;

несущественная информация - информация, которая больше не нужна организации.

Уровень важности может измениться на различных этапах ее жизненного цикла.

Начало жизненного цикла информации связано с ее получением (этап 1). Далее происходит оценка информации (этап 2), и в зависимости от результата оценки часть информации может уничтожаться (этап завершающий) или готовиться к хранению (этап 3) и затем храниться (этап 4) в соответствующем хранилище. Информация, необходимая пользователю в данный момент подлежит выборке (этап 5) и дальнейшей обработке (этап 6) в определенных целях. Информация, полученная в ходе формирования отчета (этап 8), проходит тот же цикл (этапы 2-7). На этапе 5 (выборке) данные могут вновь подвергаться оценке, и старые сведения подлежат уничтожению.

Основные этапы жизненного цикла информации можно наглядно изобразить с помощью схемы, представленной на рис. 1.

Время жизненного цикла информации определяется многими факторами, но, как правило, зависит от лица, которое является ее пользователем или владельцем.



Рисунок 1 Жизненный цикл информации

1. Информация как объект права собственности

Комплекс проблем, связанных с информационной безопасностью, включает в себя не только технические, программные и технологические аспекты защиты информации, но и вопросы защиты прав на нее. Таким образом, информация может рассматриваться как объект права собственности. С этой точки зрения можно выделить следующие особенности информационной собственности:

информация не является материальным объектом;

информация копируется с помощью материального носителя, т.е. является перемещаемой;

информация является отчуждаемой от собственника.

Право собственности на информацию включает правомочия собственника, составляющие содержание (элементы) права собственности, к которым относятся:

право распоряжения;

право владения;

право пользования.

В рассматриваемом случае информационной собственности закон должен регулировать отношения субъектов и объектов права собственности на информацию в целях защиты информационной собственности от разглашения, утечки и несанкционированной обработки.

Правовое обеспечение защиты информации включает:

правовые нормы, методы и средства защиты охраняемой информации в Российской Федерации;

правовые основы выявления и предупреждения утечки охраняемой информации;

правовое регулирование организации и проведения административного расследования к фактам нарушения порядка защиты информации.

Существует ряд документов, которые регламентируют информацию в качестве объекта права. В первую очередь здесь следует указать на первую часть гражданского кодекса Российской Федерации ( ст. 128, 18, 139, 209 ), принятого 21.04.94.

Среди законов Российской Федерации, относящихся к рассматриваемой проблеме, можно выделить Федеральный закон « Об информации, информатизации и защите информации» от 20.01.95, а также закон Российской Федерации « О государственной тайне». Эти вопросы нашли также частичное отражение в законе Российской Федерации от 2.11.90 «О банках и банковской деятельности».

Среди перечня документов, которые регламентируют вопросы защиты информации можно упомянуть также Постановление Правительства РСФСР №35 от 05.12091 « О передаче сведений, которые не могут составлять коммерческую тайну».

2. Каналы утечки информации

Интегральная защита это монолитная непроницаемая защита. Аналогом ее может служить монолитные забор по периметру зоны безопасности. В реальной же жизни обычно строятся мощные ворота на дорогах, объехать которые по бездорожью «нет проблем». Реальная система безопасности сегодняшнего дня больше напоминает изгородь на отдельных участках с сияющими в ней дырами.

Ярким примером подобной реальной системы безопасности может служить, например, организация с мощной системой контроля доступа, системой видионаблюдения, криптозащитой и т.п., но без блокирования каналов утечки, например за счет побочных излучений мониторов компьютеров. В этом случае все конкуренты, расположенные в радиусе до 1,5 км., имеют реальную возможность, использовать соответствующие технические средства, читать всю информацию с экрана дисплеев конкурентов, не покидая своих офисов. При интегральном подходе к созданию системы безопасности подобные казусы исключены.

Одним из основных требований интегральной защиты является системный подход, поэтому при выявлении технических каналов утечки информации необходимо рассматривать всю совокупность элементов защиты, включающую основное оборудование технических средств обработки информации (ТСОИ), соединительные линии, распределительные и коммунитационные устройства, системы электропитания, системы заземления и т.п.

Наряду с основными техническими средствами, непосредственно связанными с обработкой и передачей конфиденциальной информации, необходимо учитывать и вспомогательные технические средства и системы (ВТСС), такие, как технические средства открытой телефонной, факсимальной, громкоговорящей связи, системы охранной о пожарной сигнализации, радиофикации, электробытовые приборы и другое.

В качестве каналов утечки большой интерес представляют вспомогательные средства, выходящие за пределы контролируемой зоны, а также посторонние провода и кабели, к ним не относящиеся, но проходящие через помещение, где установлены основные и вспомогательные технические средства, металлические трубы систем отопления, водоснабжения и другие токопроводящие металлоконструкции.

В зависимости от способа перехвата, от физической природы возникновения сигналов, а также среды их распространения технические каналы утечки информации можно разделить на электромагнитные, электрические и параметрические.

2.1 Электромагнитные каналы

Для электромагнитных каналов характерными являются побочные излучения:

электромагнитные излучения технических средств обработки информации. Носителем информации является электрический ток. Сила тока, напряжение, частота или фаза которого изменяется по закону информационного сигнала;

электромагнитные излучения на частотах работы высокочастотных генераторов технических средств обработки информации, вспомогательных средств обработки информации. В результате внешних воздействий информационного сигнала на элементах генераторов наводятся электрические сигналы, которые могут вызвать непреднамеренную модуляцию собственных высокочастотных колебаний генераторов и излучение в окружающее пространство.

электромагнитные излучения на частотах самовозбуждения усилителей низкой частоты ТСПИ. Самовозбуждение возможно за счет случайных преобразований отрицательных обратных связей в паразитные положительные, что приводит к переводу усилителя из режима усиления в режим автогенерации сигналов, причем сигнал на частотах самовозбуждения, как правило, оказывается промодулированным информационным сигналом.

2.2 Электрические каналы

Возможными причинами возникновения электрических каналов утечки могут быть:

наводки электромагнитных технических средств обработки информации. Возникают при излучении элемента технических средств обработки информации информационных сигналов, а также при наличии гальванической связи, где есть соединительные линии технических средств обработки информации и посторонних проводников или линии вспомогательных средств обработки информации;

просачивание электромагнитных сигналов в цепи электропитания. Возможно при наличии магнитной связи между выходными трансформатором усилителя и трансформатором электропитания, а также за счет неравномерной нагрузки на выпрямитель, что приводит к изменению потребляемого тока по закону изменения информационного сигнала;

просачивание информационных сигналов в цепи заземления. Образуется за счет гальванической связи с землей различных проводников, выходящих за пределы контролируемой зоны, в том числе нулевого провода сети электропитания, экранов, металлических труб систем отопления и водоснабжения, металлической арматуры и т.п.;

съем информации с использованием закладных устройств. Представляют собой минипередатчики, устанавливаемые в технических средствах обработки информации, излучение которых модулируется информационным сигналов и принимаются за пределами контролируемой зоны.

2.3 Параметрические каналы

Параметрические каналы утечки информации формируются путем «высокочастотного облучения» технических средств обработки информации, при взаимодействии электромагнитного поля с элементами технических средств обработки информации происходит переизлучение электромагнитного поля, промодулированного информационным сигналом.

Анализ возможных каналов утечки и несанкционированного доступа, показывает, что существенную их часть составляют технические каналы утечки акустической информации, носителем которой являются акустические сигналы. В зависимости от среды распространения акустических колебаний, способов их перехвата и физической природы возникновения информационных сигналов технические каналы утечки акустической информации можно разделить на воздушные, вибрационные, электроакустические, оптико-электронные и параметрические.

2.3.1 Воздушные технические каналы

В воздушных технических каналах утечки информации средой распространения акустических сигналов является воздух, и для их перехвата используются миниатюрные высокочувствительные и направленные микрофоны, которые соединяются с диктофонами или специальными минипередатчиками. Подобные автономные устройства, объединяющие микрофоны и передатчики, обычно называют закладными устройствами или акустическими закладками. Перехваченная этими устройствами акустическая информация может передаваться по радиоканалу, по сети переменного тока, соединительным линиям, посторонним проводникам, трубам и т.п.

Особого внимания заслуживают закладные устройства, прием информации с которых можно осуществлять с обычного телефонного аппарата. Для этого их устанавливают либо непосредственно в корпусе телефонного аппарата, либо подключают к телефонной линии в телефонной розетке. Подобные устройства, конструктивно объединяющие микрофон и специальный блок коммутации, часто называют «телефонным ухом». При подаче в линию кодированного сигнала или при дозвоне к контролируемому телефону по специальной схеме блок коммутации подключает микрофон к телефонной линии и осуществляет передачу акустической (обычно речевой) информации по линии практически на неограниченное расстояние.

2.3.2 Вибрационные каналы

В отличие от рассмотренных выше каналов в вибрационных, или структурных, каналах утечки информации средой распространения акустических сигналов является не воздух, конструкции зданий (стены, потолки, полы), трубы водо- и теплоснабжения, канализации и другие твердые тела. В этом случае доля перехвата акустических сигналов используются контактные, электронные (с усилителем) и радиостетоскопы (при передаче по радиоканалу).

2.3.3 Электроакустические каналы

Электроакустические каналы утечки информации обычно образуются за счет электроакустических преобразований акустических сигналов в электрические по двум основным направлениям: путем «высокочастотного навязывания» и путем перехвата через дополнительные технические средства и системы. Технический канал утечки информации путем высокочастотного навязывания образуется путем несанкционированного контактного введения токов высокой частоты от ВЧ - генераторов в линии, имеющие функциональные связи с элементами вспомогательных технических средств и систем, на которых происходит модуляция ВЧ - сигнала информационным. Наиболее часто подобный канал утечки информации используют для перехвата разговоров, ведущихся в помещении, через телефонный аппарат, имеющий выход за пределы контролируемой зоны. С другой стороны, вспомогательные технические средства и системы могут сами содержать электроакустические преобразования. К таким вспомогательным техническим средствам и системам относятся некоторые датчики пожарной сигнализации, громкоговорители ретрансляции сети и т.д. Используемый в них эффект обычно называют микрофонным эффектом.

Перехват акустических колебаний в этом случае осуществляется исключительно просто. Например, подключая рассмотренные средства к соединительным линиям телефонных аппаратов с электромеханическими звонками, можно при положенной трубке прослушивать разговоры, ведущиеся в помещениях, где установлены эти телефоны.

2.3.4 Оптико-электронный канал

При облучении лазерным лучом вибрирующих в акустическом поле тонких отражающих поверхностей, таких, как стекла окон, зеркал, картин и т.п., создается оптико-электронный, или лазерный, канал утечки акустической информации. Отраженное лазерное излучение модулируется по амплитуде и фазе, и принимаются приемником оптического излучения, при демодуляции которого выделяется речевая информация. Для перехвата речевой информации по данному каналу используются локационные системы, работающие, как правило, в ближнем инфракрасном диапазоне волн и известных как «лазерные микрофоны». Дальность перехвата составляет несколько сотен метров.

2.3.5 Параметрический канал

Параметрический канал утечки информации образуется в результате воздействия акустического поля на элементы высокочастотных генераторов и изменения взаимного расположения элементов схем, проводов, дросселей и т.п., что приводит к изменениям параметров сигнала, например модуляции его информационным сигналом. Промодуливанные высокочастотные колебания излучаются в окружающее пространство и могут быть перехвачены и детектированы соответствующими средствами. Параметрический канал утечки информации может быть создан и путем «высокочастотного облучения» помещения, где установлены полуактивные закладные устройства, имеющие элементы, параметры которых (добротность, частота и т.п.) изменяются по закону изменения акустического (речевого) сигнала.

Необходимо отметить, что акустический канал может быть источником утечки не только речевой информации. В литературе описаны случаи, когда с помощью статистической обработки акустической информации с принтера или клавиатуры удавалось перехватывать компьютерную текстовую информацию, в том числе осуществлять съем информации по системе централизованной вентиляции.

Особый интерес представляет перехват информации при ее передаче по каналам связи, Это вызвано тем, что в этом случае обеспечивается свободный несанкционированный доступ к передаваемым сигналам. Единственным гарантированным методом защиты информации в этом случае является криптографическая защита. В зависимости от вида каналов связи технические каналы перехвата информации можно разделить на электромагнитные, электрические и индукционные.

Электромагнитные излучения передатчиков средств связи, модулированные информационным сигналом, могут перехватываться естественным образом с использованием стандартных технических средств. Этот электромагнитный канал перехвата информации широко используются для прослушивания телефонных разговоров, ведущихся по радиотелефонам, сотовым телефонам или по радиорелейным и спутниковым линиям связи.

Электрический канал перехвата информации, передаваемой по кабельным линиям связи, предполагает контактное подключение к этим линиям. Этот канал наиболее часто используется для перехвата телефонных разговоров, при этом перехватываемая информация может быть записана на диктофон или передана по радиоканалу. Подобные устройства, подключаемые к телефонным линиям связи и содержащие радиопередатчики для ретрансляции перехваченной информации, обычно называются телефонными закладками.

Однако непосредственное электрическое подключение аппаратуры перехвата является компрометирующем признаком. Поэтому чаще используется индукционный канал перехвата, не требующий контактного подключения к каналам связи. Современные индукционные датчики способны снимать информацию с кабелей, защищенных не только изоляцией, но и двойной броней из стальной ленты и стальной проволоки, плотно обвивающих кабель.

В последнее время стало уделяться большое внимание утечки видовой информации, получаемой техническими средствами в виде изображений объектов или копий документов путем наблюдения за объектом, съемки объекта и съемки (копирования) документов. В зависимости от условий наблюдения обычно используются соответствующие технические средства, например оптика.

Для документирования результатов наблюдения проводится съемка объектов, для чего используются фотографические и телевизионные средства, соответствующие условиям съемки. Для снятия копий документов используются электронные и специальные (закамуфлированные) фотоаппараты, Для дистанционного съема видовой информации используют видеозакладки.

Наиболее динамично развиваются в последнее время методы съема компьютерной информации. Основные возможности несанкционированного доступа обеспечиваются специальным математическим обеспечение, включающим в себя такие составляющие, как компьютерные вирусы, «логические бомбы», «троянские кони», программные закладки.

Рассмотренные выше методы получения информации основаны на использовании внешних каналов утечки. Однако необходимо остановиться и на внутренних каналах утечки информации. Внутренние каналы утечки связаны, как правило, с администрацией и обслуживающим персоналом, с качеством организации режима работы. Из них в первую очередь можно отметить такие каналы утечки, как хищение носителей информации, съем информации с ленты принтера и плохо стертых дискет, использование производственных и технологических отходов, визуальный съем информации с дисплея и принтера, несанкционированного копирования и т.п.

информация вирус программа

3. Программные закладки

Программные закладки класс программ с потенциально опасными последствиями, обязательно выполняющие следующие функции:

разрушают код программы в памяти;

сохраняют фрагменты информации из оперативной памяти в некоторой области внешней памяти прямого доступа;

искажает произвольным образом, блокирует или подменяет выводимые во внешнюю память или в канал связи массив информации, образовавшийся в результате работы прикладных программ.

Программная реализация несанкционированного доступа к информации на основе использование программных закладок. Под несанкционированным доступом (НСД) к ресурсам компьютерной системы понимаются по использованию, изменению и уничтожению используемых данных указанной системы, производимые субъектом, не имеющие права на такие действия. Если компьютерная система содержит механизмы защиты от несанкционированного доступа, то несанкционированные действия могут быть вызваны:

отключением или видоизменением защитных механизмов нелегальным пользователям;

входом в систему под именем и с полномочиями реального пользователя.

В первом случае злоумышленник должен видоизменить программу, защитные механизмы в системе (например, отключить программу запросов пользователей), во втором - каким-либо образом выяснить или подделать идентификатор реального пользователя (например, подсмотреть или вычислить пароль, вводимый с клавиатуры).

В обоих случаях несанкционированный доступ можно представить моделью опосредованного доступа, когда проникновение в систему осуществляется на основе некоторого воздействия, произведенного предварительно внедренной в систему программой или несколькими программами.

Особый интерес представляют уязвимые места компьютерных систем, используемые для внедрения программных закладок. Основные известные способы внедрения программных закладок приведены в таблице 1.

Таблица 1 Способы внедрения программных закладок

Способы внедрения	Характеристика
Внесение программных дефектов вирусного типа	Внедрение возможно на всех участках жизненного цикла программного обеспечения: эскизного и технического проектирования; рабочего проектирования; внедрения; эксплуатации, включая сопровождение и модернизацию.
Несанкционированный доступ к ресурсам компьютерной системы	Несанкционированный доступ к ресурсам компьютерной системы - действия по использованию, изменению и уничтожению используемых модулей и массивов данных, производимые субъектом, не имеющим права на такие действия
Несанкционированное вмешательство в процесс обмена сообщениями между узлами связи локально вычислительных сетей.	Осуществляется путем передачи следующих сообщений: разрушающих; искажающих; имитирующих; хаотических.

Под уязвимостью компьютерной системы понимается некоторая слабость системы безопасности, которая может послужить причиной нанесения компьютерной системе ущерба. Обычно слабые (уязвимые) места в компьютерной системе называются дырами, люками, брешами.

Люк механизм внутри операционной системы (программное обеспечение), позволяющий программе злоумышленника получить привилегированную функцию. Умышленный люк может присутствовать в программе из-за того, что программист умышленно оставил его в программе, например:

для обеспечения тестирования или выполнения оставшейся части отладки;

в интересах облегчения окончательной сборки конечного программного продукта;

с тем, чтобы иметь скрытое средство доступа к программе уже после того, как она вошла в состав конечного продукта.

В найденной бреши программа «разрывается, и туда дополнительно вставляют одну или несколько команд. Этот люк «открывается» по мере необходимости, а встроенные команды автоматически осуществляют свою задачу. Люк это возможность получить управление системой в обход защиты.

Изо всех известных угроз наиболее часто встречаются программные закладки типа «троянского коня» и «компьютерного червя».

«Троянский конь» программа, имеющая законный доступ к системе. Но выполняющая и скрытые функции. Закладки типа «троянский конь» проявляют себя в различных в определенных условиях (по времени, ключевым сообщениям) и могут разрушать (искажать) информацию, копировать фрагменты конфиденциальной информации или пароли (ключи), засылать сообщения не по адресу или блокировать прием (отправку) сообщений.

В последние годы наиболее распространенным способом получения приватной информации стало использование программ - троянов - программ, выполняющих помимо заявленных некоторые дополнительные не афишируемых функции, направленные, например, на получение личной информации пользователя. Конечный пользователь получает их, как правило, по системе электронной почты под видом важного документа или давно разыскиваемой программы. После запуска программа прописывается в системном реестре для запуска при загрузке операционной системы и начинает собирать информацию. Ее целью могут быть файлы учетной записи пользователя, содержащие его пароль, скрипты удаленного доступа к Интернет или пароли электронной почты.

Возможна также ее работа в режиме подслушивания - в этом случае, например, все вводимые с клавиатуры символы записываются в отдельный файл, кроме того, «прослушиваться» может и передаваемая по сети информация. Далее вся собранная информация отправляется атакующему для дальнейшего анализа на предмет содержания ценной информации, такой как пароли или личная пользовательская информация.

Возможен также и самый простой способ: при работе пользователя на компьютере программа выводит на экран системное окно с предложением ввести имя пользователя и пароль, маскируясь под работу операционной системы. В результате пользователь «добровольно» сообщает злоумышленнику свой пароль, даже не подозревая о происшедшем. А если этим пользователем окажется ответственный сотрудник, то перед атакующим откроются огромные возможности.

«Программный червь» программа, маскирующаяся под системные средства поиска свободных вычислительных ресурсов в сети. Закладки типа компьютерного червя нацелены на проникновение в системы разграниченного доступа пользователей к ресурсам сети, к наущению работы всей сети в целом и системы разграничения доступа в частности.

Для того чтобы закладка смогла выполнить какие - либо функции по отношению к прикладной программе, она должна, получить управление на себя, т.е. процессор должен начать выполнять инструкции (команды), относящиеся к коду закладки. Это возможно только при одновременном выполнении двух условий:

закладка должна находиться в оперативной памяти до начала работы программы, которая является целью воздействия закладки; следовательно, она должна быть загружена раньше или одновременно с этой программой;

закладка должна активизироваться по некоторому общему как для закладки, так и доя программы событию, т.е. при выполнении ряда условий в программно-аппаратной среде управление должно быть, передано на программу - закладку.

К способам задействования программных закладок можно отнести:

запуск программы;

прерывания;

определенное сочетание входных данных;

определенное сочетание условий применения системы.

По времени пребывания программной закладки в оперативной памяти можно выделить следующие типы закладок:

резидентного вида - находятся постоянно с некоторого момента до окончания сеанса работы персонального компьютера (включения питание или перезагрузке). Закладка может быть загружена в память при начальной загрузке ПЭВМ, загрузке операционной среды или запуске некоторой программы (которая по традиции называется вирусоносителем), а также запущена отдельно;

нерезидентного вида - начинают работу по аналогичному событию, но заканчивают ее самостоятельно по истечении некоторого промежутка времени или некоторому событию, при этом выгружая себя из памяти целиком.

Помимо классификации программных закладок по времени пребывания в оперативной памяти их можно классифицировать еще по методу их внедрения и по типам вредоносного воздействия. Представленная на рисунке 2 классификация выполнена достаточно наглядно и дополнительного пояснения не требует.

Таким образом, программные закладки в настоящее время являются наиболее мощным и эффективным инструментом в реализации компьютерных угроз, защита от которых должна быть динамичной и постоянно совершенствования. Одним из наиболее эффективных способов борьбы с сетевыми угрозами, в том числе с программными закладками, является совершенствования методов и средств контроля доступа к сети.

4. Вирусы

Компьютерный вирус это программа, обладающая способностью к скрытому размножению в среде используемой операционной системы путем включения в исполняемые или хранящиеся программы своей, возможно модифицированной копии, которая сохраняет способность к дальнейшему размножению.

Компьютерные вирусы способны размножаться, внедряться в программы, передаваться по линиям связи, сетям обмена информации, выводить из строя системы управления.

В принципе, не все вредоносные программы являются вирусами. Строго определения компьютерного вируса не существует. Разнообразие вирусов столь велико, что дать достаточное условие(перечислить набор признаков, при выполнении которых программу можно однозначно отнести к вирусам) просто невозможно - всегда найдется класс программ с данными признаками, не являющихся при этом вирусом.

При этом большинство определений необходимого условия сходятся на том, что компьютерные вирусы - это программы, которые умеют размножаться и внедрять свои копии в другие программы. То есть заражают уже существующие файлы.

Необходимо отметить, что компьютерные вирусы, или, как более правильно, программные вирусы, являются в настоящее время наиболее эффективным средством доставки внедрения различных разведывательных программ. Под программные вирусом понимается автономно функционирующая программа, обладающая способностью к самовключению в тела других программ и последующему самовоспроизведению и самораспространению в информационно - вычислительных сетях и отдельных ЭВМ. Программные вирусы представляют собой весьма эффективное средство реализации практически всех угроз безопасности информационно-вычислительных сетях. Поэтому вопросы анализа возможностей программных вирусов и разработки способов противодействия вирусам в настоящее время приобрели значительную актуальность и образовали одно из наиболее приоритетных направлений работ по обеспечению безопасности информационно вычислительных сетях.

Предшественниками программных вирусов принято считать так называемые троянские программы, тела которых содержат скрытые последовательности команд, выполняющие действия, наносящие вред пользователям. Наиболее распространенной разновидностью троянских программ являются широкоизвестные программы массового применения (редакторы, игры, трансляторы), в которых встроены так называемые логические бомбы, срабатывающие по наступлению некоторого события. В свою очередь, разновидностью логической бомбы являет «бомба с часовым механизмом», запускаемая в моменты времени. Следует отметить, что троянские программы не являются саморазмножающимися и распространяются по информационно - вычислительным сетям самими программистами, в частности посредством общедоступных банков данных и программ.

Принципиальное отличие вируса от троянской программы состоит в том, что вирус после запуска его в информационно- вычислительные сети существуют самостоятельно и в процессе своего функционирования заражает программы путем включения в них своего текста. Таким образом, вирус представляет собой своеобразный генератор троянских программ. Программы, зараженные вирусом, называют также вирусоносителем.

Заражение программы, как правило, выполняется таким образом, чтобы вирус получил управление раньше самой программы, либо имплантируется в ее тело так, что первой командой зараженной программы является безусловный переход на вирус, тест заканчивается аналогичной командой безусловного перехода на команду вирусоносителя, бывшую первой до заражения. Получив управление, вирус выбирает следующий файл, заражает его, возможно, выполняет какие - либо другие действия, после чего отдает управление вирусоносителю.

«Первичное заражение» происходит в процессе поступления инфицированных программ из памяти одной машины в память другой, причем в качестве средства перемещения этих программ могут использоваться как магнитные носители (дискеты), так и каналы информационно - вычислительных сетей. Вирусы, использующие для размножения каналы информационно - вычислительных сетей, принято называть сетевыми.

Вероятные пути проникновения вирусов, в течение многих лет наиболее распространенным способом заражения компьютера являлась дискета. С ростом глобальных сетей пальма первенства перешла к сети Internet и системе электронной почты.

Вирус может попасть на локальный компьютер пользователя следующими способами:

напрямую через дискету, компакт - диск, удаленный почтовый ящик - классический способ;

через корпоративную систему электронной почты;

через корпоративный канал доступа в систему Internet;

с корпоративного сервера.

Цикл жизни вируса обычно включает следующие периоды: внедрение, инкубационный, репликация (самозаражение) и проявление. В течение инкубационного периода вирус пассивен. Что усложняет задачу поиска и нейтрализации. На этапе проявления вирус выполняет свойственные ему целевые функции, например необратимую коррекцию информации на магнитных носителях.

Физическая структура вируса достаточно проста. Он состоит из головы и, возможно, хвоста. Под головой вируса понимается его компонент, получающий управление первым. Хвост - это часть вируса,, расположенная в тексте зараженной программы отдельно от головы. Вирусы, состоящие из одной головы, называются несегментированными, тогда как вирусы, содержащие голову и хвост - сегментированными. В таблице 2 даны характеристики компьютерных вирусов.

Таблица 2 Характеристики компьютерных вирусов

Класс вируса	Виды вируса	Характер воздействия
Не повреждающие файловую структуру	Размножающиеся в ОЗУ. Раздражающие оператора. Сетевые.	Имитация неисправности процессора, памяти, НМД, НГМД, принтера, портов, дисплея, клавиатуры Формирование на терминале текстовых и графических сообщений. Синтез речи, формирование мелодии и звуковых спецэффектов. Переключение режимов настройки клавиатуры, дисплея, принтера, портов.
Повреждающие файловую структуру	Повреждающие пользовательские программы и данные. Разрушающие системную информацию (в том числе криптовирусы)	Разрушение исходных текстов программ, библиотек компьютеров, искажений без данных, текстовых документов, графических изображений и электронных таблиц. Разрушение логической системы диска, искажение структуры заполнения носителя, формирование носителей, повреждение файлов операционной системы.
Действующие на аппаратуру оператора	Выводящие из строя аппаратуру. Действующие на оператора	Выжигание люминофора, повреждение микросхем, магнитных дисков, принтера. Воздействие на психику оператора и т.п.

Современные компьютерные вирусы обладают широкими возможностями враждебного воздействия, начиная от безобидных шуток и кончая серьезными повреждениями аппаратуры. В этом направлении самым свежим примером может служить вирус Win95. CIH, он разрушает память BIOS (Basic Input\Output System), определяющий саму рабочею логику компьютера. При этом наносимые повреждения достаточно легко исправляются, профилактика деструктивной функции довольна, проста - достаточно в программе Setup установить запрет на обновление BIOS.

4.1 Файловые вирусы

Файловые вирусы - это вирусы, которые при размножении используют систему, какой - либо операционной системы. Внедрение файлового вируса возможно во все исполняемые файлы всех популярных операционных систем - DOS, Windows, OS\2, Macintosh, UNIX и т.д.

По способу заражения файлов файловые вирусы делятся на обычные, которые встраивают свой код в файл, по возможности не нарушая его функциональности, а также на overwriting, паразитические (parasitic), компаньон-вирусы (companion), link-вирусы, вирусы-черви, заражающие объектные модули (OBJ), библиотеки компиляров (LIB) и исходные тексты программ.

4.1.1 Файловый нерезидентный вирус

Файловый нерезидентный вирус целиком размещается в исполняемом файле, в связи, с чем он активизируется только в случае активизации вирусоносителя, а по выполнении необходимых действий возвращает управление самой программе. При этом выбор очередного файла для заражения осуществляется вирусом посредством поиска по каталогу.

4.1.2 Файловый резидентный вирус

Файловый резидентный вирус отличается от нерезидентного тем, что заражает не только исполняемые файлы, находящиеся во внешней памяти, но и оперативную память ПЭВМ.

Резидентный вирус состоит из так называемого инсталлятора и программ обработки прерываний. Инсталлятор получает управление при активизации вирусоносителя и инфицирует оперативную память путем размещения в ней управляющей части вируса и замены адресов в элементах вектора прерываний на адреса своих программ, обрабатывающих эти прерывания. На так называемой фазе слежения, следующей за описанной фазой инсталляции, при возникновении какого-либо прерывания управление получает соответствующая программа вируса.

В связи с существенно более универсальной по сравнению с нерезидентными вирусами обще схемой функционирования, резидентные вирусы могут реализовать самые разные способы инфицирования. Наиболее распространенными способами являются инфицирование запускаемых программ, а так же файлов при их открытии или чтении.

4.1.3Overwriting-вирусы

Overwriting-вирус записывает свой код вместо кода заражаемого файла, уничтожая его содержимое, после чего файл перестает работать и не восстанавливается. Такие вирусы быстро обнаруживают себя, так как операционная система и приложения быстро перестают работать.

4.1.4 Parasitic-вирусы

Parasitic-вирусы изменяют содержимое файлов, оставляя при этом сами файлы полностью или частично работоспособными. Такие вирусы подразделяются на вирусы, записывающиеся в начало, в конец и в середину файлов.

4.1.5 Companion-вирусы

Companion-вирусы не изменяют заражаемых файлов, а создают для заражаемого файла файл - двойник, причем при запуске зараженного файла управление получает именно этот двойник, то есть вирус.

4.1.6 Файловые черви

Файловые черви (worms) являются разновидностью компаньон - вирусов, однако не связывают свое присутствие с каким - либо выполняемым файлом. При размножении они всего копируют свой код в какие - либо каталоги дисков в надежде, что эти новые копии будут когда - либо запущены пользователем.

4.1.7 Link-вирусы

Link-вирусы используют особенно организации файловой системы. Они, как и компаньон - вирусы, не изменяют физического содержимого файлов, однако при запуске зараженного файла «заставляют» операционную систему выполнить свой код за счет модификации необходимых полей файловой системы.

4.1.8 OBJ, LIB и вирусы в исходных текстах

Вирусы, заражающие библиотеки компиляторов, объектные модули и исходные тексты программ. Вирусы, заражающие OBJ- и LIB- файлы, записывают в них свой код в формате объектного модуля или библиотеки. Зараженный файл не является выполняемым и не способен на дальнейшее распространение вируса в текущем состоянии. Носителем же «живого» вируса становится СОМ - или ЕХЕ-файл, получаемый в процессе линковки зараженного OBJ/LIB - файла с другими объектными модулями и библиотеками. Таким образом, вирус распространяется в два этапа: на первом заражаются OBJ/LIB файлы, на втором этапе (линковка) получается работоспособный вирус.

4.2 Макровирусы

Макровирусы являются программами на макроязыках, встроенные в некоторые системные обработки данных (текстовые редакторы, электронные таблицы и т.д.). Они заражают документы и электронные таблицы ряда офисных редакторов.

Для размножения они используют возможности макроязыков и при их помощи переносят себя из одного зараженного файла в другие. Наибольшее распространение получили Макровирусы для Microsoft Word, Excel и Office 97. Вирусы этого типа получают управление при открытии зараженного файла и идентифицируют файлы, к которым впоследствии идет обращение из соответствующего офисного приложения - Word, Excel и пр.

4.3 Скрипт-вирусы

Скрипт-вирусы - это вирусы, написанные на скрипт-языках, таких как Visual Basic script, Java Script и др. Они, в свою очередь, делятся на вирусы для DOS, для Windows, для других систем.

Помимо описанных классов существует большое количество сочетаний: например файлово - загрузочный вирус, заражающий как файлы, так и загрузочные сектора дисков, или сетевой макровирус, который не только заражает редактируемые документы, но и рассылает свои копии по электронной почте.

4.4 Резидентные вирусы

Вирус находится в оперативной памяти и перехватывает сообщения ОС. Если нерезидентные вирусы активны только в момент запуска зараженной программы, то резидентные вирусы находятся в памяти и остаются активными вплоть до выключения компьютера или перезагрузки операционной системы. Резидентные вирусы находятся в оперативной памяти, перехватывают обращения операционной системы к тем или иным объектам и внедряются в них. Такие вирусы активны не только в момент работы зараженной программы, но и после завершения работы.

4.4.1 Бутовые вирусы

Одной из разновидностей резидентных вирусов являются так называемые бутовые вирусы. Отличительной особенностью последних является инфицирование загрузочного (бут - сектора) магнитного носителя (гибкого или жесткого диска). При этом инфицированным могут быть как загружаемые, так и не загружаемые дискеты.

Голова бутового вируса всегда находится в бут - секторе (единственном для гибких дисков и одном из двух - для жестких), а хвост - в любой другой области носителя.

Хвост бутового вируса всегда содержит копию оригинального бут сектора. Механизм инфицирования, реализуемый бутовыми вирусами таков. При загрузке MS DOS с инфицированного диска вирус в силу своего положения на нем (независимо от того, с дискеты или винчестера производится загрузка) получает управление и копирует себя в оперативную память. Затем он моделирует вектор прерываний таким образом, чтобы прерывания по обращении к диску обрабатывались собственным обработчиком прерываний вируса, и запускает загрузчик операционной системы. Благодаря перехвату прерываний бутовые вирусы могут реализовать столь же широкий набор способов инфицирования и целевых функций, сколь и файловые резидентные вирусы.

Близость механизмов функционирования бутовых и файловых резидентных вирусов сделала возможным и естественным появление файлово - бутовых, или гибридных, вирусов, инфицирующих как файлы, так и бут секторы. Особенностью пакетного вируса является размещение его головы в пакетном файле. При этом голова представляет собой строку или программу на языке управления заданиями операционной системы.

4.5 Стелс-вирусы

Стелс-вирусы (невидимки) скрывают факт своего присутствия в системе. Они изменяют информацию таким образом, что файл появляется перед пользователем в незараженном виде, например, временно лечат зараженные файлы.

4.6 Полиморфик - вирусы

Полиморфик-вирусы используют шифрование для усложнения процедуры определения вируса. Данные вируса не содержат постоянных участков кода, что достигается шифрованием основного тела вируса и модификациями программы-расшифровщика. В большинстве случаев два образца одного и того же полиморфик - вируса не будут иметь ни одного совпадения. Именно поэтому полиморфик - вирус невозможно обнаружить при помощи выявления участков постоянного кода, специфичных для конкретного вируса. Полиморфизм встречается в вирусах всех типов - от загрузочных и файловых DOS - вирусов до Windows - вирусов и даже макровирусов.

Как видно из рисунка 3, современные компьютерные вирусы обладают широкими возможностями враждебного воздействия, начиная от безобидных шуток и кончая серьезными повреждениями аппаратуры.

4.7 Хронология событий. История компьютерных вирусов от древности до наших дней

Конец 1960 - начало 1970-х

На мейнфреймах этого времени периодически появлялись программы, которые получили название «кролик» (the rabbit). Эти программы клонировали себя, занимали системные ресурсы и таким образом снижали производительность системы. Скорее всего «кролики» не передавались от системы к системе и являлись сугубо местными явлениями - ошибками или шалостями системных программистов, обслуживавших компьютер. Первый же инцидент, который смело можно назвать эпидемией «компьютерного вируса», произошел на системе Univax 1108. Вирус, получивший название «Pervading Animal», дописывал себя к выполняемым файлам - делал практически то же самое, что тысячи современных компьютерных вирусов.

Первая половина 1970-х годов

Под операционную систему Tenex создан вирус «The Creeper», использовавший для своего распространения глобальные компьютерные сети. Вирус был в состоянии самостоятельно войти в сеть через модем и передать свою копию удаленной системе. Для борьбы с этим вирусом была создана программа «The Reeper» - первая известная антивирусная программа. Начало 1980-хКомпьютеры становятся все более и более популярными. Появляется все больше и больше программ, авторами которых являются не софтверные фирмы, а частные лица, причем эти программы имеют возможность свободного хождения по различным серверам общего доступа - BBS. Результатом этого является появление большого числа разнообразных «троянских коней» - программ, которые при их запуске наносят системе какой-либо вред.

1981 год

Эпидемия загрузочного вируса «Elk Cloner» на компьютерах Apple II. Вирус записывался в загрузочные сектора дискет, к которым шло обращение. Проявлял он себя весьма многосторонне - переворачивал экран, заставлял мигать текст на экране и выводил разнообразные сообщения.

1986 год

Пандемия первого IBM-PC вируса «Brain». Вирус, заражающий 360Kб дискеты, практически мгновенно разошелся по всему миру. Причиной такого «успеха» являлась скорее всего неготовность компьютерного общества к встрече с таким явлением, как компьютерный вирус.

Вирус был написан в Пакистане братьями Basit и Amjad Farooq Alvi, оставившими в вирусе текстовое сообщение, содержащее их имена, адрес и телефонный номер. Как утверждали авторы вируса, они являлись владельцами компании по продаже программных продуктов и решили выяснить уровень пиратского копирования в их стране. К сожалению, их эксперимент вышел за границы Пакистана.

Интересно, что вирус «Brain» являлся также и первым стелс - вирусом - при попытке чтения зараженного сектора он «подставлял» его незараженный оригинал.

В том же 1986 году программист по имени Ральф Бюргер (Ralf Burger) обнаружил, что программа может делать собственные копии путем добавления своего кода к выполняемым DOS-файлам. Его первый вирус, названный «WirDem» демонстрировал эту возможность. Этот вирус был проаннонсирован в декабре 1986 на форуме компьютерного «андеграунда» - хакеров, специализировавшихся в то время на взломе VAX/VMS-систем ( Chaos Computer Club in Hamburg ).

1987 год

Появление вируса «Vlekka», копия этого вируса попадает в руки все того же Ральфа Бюргера, который дизассемблирует вирус и помещает результат в свою книгу «Computer Viruses: A High Tech Desease» (русский аналог - «Пишем вирус и антивирус» г. Хижняка). Книга Бюргера популяризовала идею написания вирусов, объясняла как это происходит и служила таким образом толчком к написению сотен или даже тысяч компьютерных вирусов, частично использовавших идеи из этой книги.

В том же году независимо друг от друга появляется еще несколько вирусов для IBM-PC. Это знаменитые в прошлом «Leklgk», заражающий только COMMAND.COM, «Surlu 1» (другое название - «April1st»), заражающий COM - файлы, «Surlu 2» , заражающий (впервые) EXE-файлы, и «Surlu 3» заражающий как COM-, так и EXE-файлы. Появляются также несколько загрузочных вирусов («Yale»в США, «Cascade» в Новой Зеландии и «PingPong» в Италии) и первый самошифрующийся файловый вирус «Cascade».

Не остались в стороне и не - IBM - компьютеры: было обнаружено несколько вирусов для Apple Macintosh, Commodore Amiga и Atari ST.

В декабре 1987 произошла первая известная повальная эпидемия сетевого вируса «Cristmas», написанного на языке REXX и распространявшего себя в операционной среде VM/CMS. 9-го декабря вирус был запущен в сеть Bitnet в одном из университетов Западной Германии, проник через шлюз в European Academic Research Network (EARN) и затем - в сеть IBM VNet. Через четыре дня (13 декабря) вирус парализовал сеть - она была забита его копиями (см. пример про клерка несколькими страницами выше). При запуске вирус выводил на экран изображение новогодней (вернее, рождественской) елочки и рассылал свои копии всем пользователям сети, чьи адреса присутствовали в соответствующих системных файлах NAMES и NETLOG.

1988 год

В пятницу 13-го мая 1988-го года сразу несколько фирм и университетов нескольких стран мира «познакомились» с вирусом «Serusalem»- в этот день вирус уничтожал файлы при их запуске. Это, пожалуй, один из первых MS-DOS-вирусов, ставший причиной настоящей пандемии - сообщения о зараженных компьютерах поступали из Европы, Америки и Ближнего Востока. Название, кстати, вирус получил по месту одного из инцидентов - университета в Иерусалиме.

Вместе с несколькими другими вирусами («cascad», «sloked», «vienna») вирус «Jerusalem» распространился по тысячам компьютеров, оставаясь незамеченным - антивирусные программы еще не были распространены в то время так же широко как сегодня, а многие пользователи и даже профессионалы еще не верили в существование компьютерных вирусов. Показателен тот факт, что в том же году компьютерный гуру и человек - легенда Питер Нортон высказался против существования вирусов. Он объявил их несуществующим мифом и сравнил со сказками о крокодилах, живущих в канализации Нью-Йорка. Этот казус, однако, не помешал фирме Symantec через некоторое время начать собственный антивирусный проект - Norton AntiVirus.

Начали появляться заведомо ложные сообщения о компьютерных вирусах, никакой реальной информации не содержащие, но вносившие панику в стройные ряды компьютерных пользователей. Одна из первых таких «злых шуток» (современный термин - «virus hoax») принадлежит некому Mike RoChenle (псевдоним похож на «Microchannel»), который разослал на станции BBS большое количество сообщений о якобы существующем вирусе, который передается от модема к модему и использует для этого скорость 2400 бод. Как это ни смешно, многие пользователи отказались от стандарта тех дней 2400 и снизили скорость своих модемов до 1200 бод. Подобные «hoax»-ы появляются и сейчас. Наиболее известны на сегодняшний день - GoodTimes и RoldFree.

Ноябрь 1988: повальная эпидемия сетевого вируса Морриса (другое название - Internet Worm). Вирус заразил более 6000 компьютерных систем в США (включая NASA Research Institute) и практически парализовал их работу. По причине ошибки в коде вируса он, как и вирус-червь «Cristmas Tree», неограниченно рассылал свои копии по другим компьютерам сети и, таким образом, полностью забрал под себя ее ресурсы. Общие убытки от вируса Морриса были оценены в 96 миллионов долларов.

Вирус использовал для своего размножения ошибки в операционной системе Unix для VAX и Sun Microsystems. Помимо ошибок в Unix вирус использовал несколько других оригинальных идей, например, подбор паролей пользователей. Подробнее об этом вирусе и связанным с ним инцидентом можно прочитать в достаточно подробной и интересной статье Игоря Моисеева в журнале КомпьютерПресс, 1991, N 8, 9.

...