Атаки на уровне сетевого программного обеспечения
СПО является наиболее уязвимым, потому что канал связи, по которому передаются сообщения, чаще всего не защищен, и всякий, кто может иметь доступ к этому каналу, соответственно, может перехватывать сообщения и отправлять свои собственные. Поэтому на уровне СПО возможны следующие атаки:
■ прослушивание сегмента локальной сети (в пределах одного и того же сегмента локальной сети любой подключенный к нему компьютер в состоянии принимать сообщения, адресованные другим компьютерам сегмента, а следовательно, если компьютер нарушителя подсоединен к некоторому сегменту локальной сети, то ему становится доступен весь информационный обмен между компьютерами этого сегмента);
■ перехват сообщений на маршрутизаторе (если нарушитель имеет привилегированный доступ к сетевому маршрутизатору, то он получает возможность перехватывать все сообщения, проходящие через этот маршрутизатор, и хотя тотальный перехват невозможен из-за слишком большого объема, чрезвычайно привлекательным для нарушителя является выборочный перехват сообщений, содержащих пароли пользователей и их электронную почту);
■ создание ложного маршрутизатора (путем отправки в сеть сообщений специального вида нарушитель добивается, чтобы его компьютер стал маршрутизатором сети, после чего получает доступ ко всем проходящим через него сообщениям);
■ навязывание сообщений (отправляя в сеть сообщения с ложным обратным сетевым адресом, нарушитель переключает на свой компьютер уже установленные сетевые соединения и в результате получает права пользователей, чьи соединения обманным путем были переключены на компьютер нарушителя);
■ отказ в обслуживании (нарушитель отправляет в сеть сообщения специального вида, после чего одна или несколько компьютерных систем, подключенных к сети, полностью или частично выходят из строя).
Удаленные атаки на объекты корпоративной сети обмена информацией если компьютерная система имеет выход в Internet.
Под удаленной атакойна АСОД будем понимать атаку на хранимую, обрабатываемую и передаваемую в АСОД информацию осуществляемой по каналам связи. Поэтому можно выделить два вида удаленных атак – удаленные атаки на инфраструктуру АСОД и протоколы сети, и удаленные атаки на телекоммуникационные службы.
Удаленные атаки можно классифицировать по следующим признакам
По характеру воздействия:
- пассивные;
- активные;
- условно-пассивные.
Пассивные воздействия не оказывают непосредственного влияния на работу АСОД, но могут нарушать ее политику безопасности.
Активные воздействия имеют целью нанесение прямого ущерба АСОД, заключающегося в нарушении конфиденциальности, целостности и доступности информации, а также в осуществлении психологических воздействий на пользователей АСОД.
Условно-пассивные воздействия имеют целью подготовку к активной информационной атаке и включают в себя ведение компьютерной разведки преодоление СЗИ АСОД.
По цели воздействия:
- нарушение конфиденциальности информации либо ресурсов АСОД;
- нарушение целостности информации;
- нарушение работоспособности (доступности) объекта АСОД;
Основная цель практически любой атаки – получить несанкционированный доступ к информации. Существуют две принципиальные возможности доступа к информации: перехват и модифимация. Возможность перехвата информации означает получение к ней доступа, но невозможность ее модификации. Следовательно, перехват информации ведет к нарушению ее конфиденциальности.
Возможность искажения информации означает либо полный контроль над информационным потоком между объектами системы, либо возможность передачи сообщений от имени другого объекта. Таким образом, очевидно, что искажение информации ведет к нарушению ее целостности.
Принципиально другой целью атаки является нарушение работоспособности объекта АСОД. В этом случае не предполагается получение атакующим несанкционированного доступа к информации. Его основная цель – добиться, чтобы операционная система на атакуемом объекте вышла из строя и для всех остальных объектов АСОД доступ к ресурсам атакованного объекта был бы невозможен.
По условию начала осуществления воздействия:
- атака по запросу от атакуемого объекта;
- атака по наступлению ожидаемого события на атакуемом объекте);
- безусловная атака
В первом случае атакующий ожидает передачи от потенциальной цели атаки запроса определенного типа, который и будет условием начала осуществления воздействия.
Во втором случае атакующий сервер осуществляет постоянное наблюдение за состоянием операционной системы удаленной цели атаки и при возникновении определенного события в этой системе начинает воздействие. Как и в предыдущем случае, инициатором осуществления начала атаки выступает сам атакуемый объект.
В случае безусловной атаки начало осуществления атаки, то есть атака осуществляется немедленно и безотносительно к состоянию системы и атакуемого объекта. Следовательно, в этом случае атакующий сервер является инициатором начала осуществления атаки.
По наличию обратной связи с атакуемым объектом:
- с обратной связью;
- без обратной связи (однонаправленная атака).
Удаленная атака, осуществляемая при наличии обратной связи с атакуемым объектом, характеризуется тем, что на некоторые запросы, переданные на атакуемый объект, атакующему требуется получить ответ, а, следовательно, между атакующим и целью атаки существует обратная связь, которая позволяет атакующему адекватно реагировать на все изменения, происходящие на атакуемом объекте.
Данная удаленная атака может выполняться следующим образом
1) установление атакующим контроля за объектом атаки (наблюдение за объектом атаки);
2) ожидание атакующим установленного запроса («доклада») от системы информационного воздействия, функционирующего на объекте атаки;
3) выдача атакующим команды на выполнение определенных операций;
4) выполнение заданных операций;
5) сообщение о выполнении операций.
Далее следует переход к п.2 (или к п.3).
Таким образом, при наличии обратной связи субъект атаки имеет возможность управлять удаленной атакой ( в идеальном случае – в реальном масштабе времени).
В то же время, прерывание обратной связи может привести к потере управления атакой, а, следовательно, и к прекращению атаки.
Атаки без обратной связи обычно осуществляются передачей на атакуемый объект одиночных запросов, ответы на которые атакующему серверу не нужны.
По расположению атакующего относительно атакуемого объекта:
- внутрисегментные;
- межсегментные .
В случае внутрисегментной атаки атакующий и объект атаки находится в одном сегменте.
На практике межсегментную атаку осуществить значительно труднее, чем внутрисегментную, но и при этом, межсегментная удаленная атака представляет гораздо большую опасность, чем внутрисегментная. Это связано с тем, что в случае межсегментной атаки ее объект и субъект могут находиться на расстоянии многих тысяч километров друг от друга, что может существенно воспрепятствовать мерам по отражению атаки.
По продолжительности воздействий:
- разовые атаки
- долговременные атаки.
Разовые атаки заключаются в ограниченных во времени целенаправленных воздействиях на объекты АСОД.
При осуществлении долговременных атак предусматривается проведение продолжительных по срокам многоразовых атак на объекты АСОД, как правило, с использованием различных видов ИО.
По масштабу воздействий:
- локальные атаки;
- глобальные (широкомасштабные) атаки.
Локальныеатаки направлены на отдельный сегмент АСОД, а в частном случае, на отдельный элемент АСОД (ПЭВМ, канал связи).
Если же атакам подвергаются несколько сегментов АСОД, то такие атаки будут глобальными(широкомасштабными).
По уровню эталонной модели взаимодействия открытых систем (ЭМВОС), на котором осуществляется воздействие:
- физический;
- канальный;
- сетевой;
- транспортный;
- сеансовый;
- представительный;
- прикладной.
Риски атак на информацию.
Последствия, к которым приводит реализация угроз могут быть самыми различными: от невинных недоразумений до потери сотен тысяч рублей и жизней.
Понятие рискавведено для определения вероятного ущерба который будет нанесен организации в случае реализации какой либо или совокупности угроз. Риски являются как бы обратной связью между вероятными угрозами и затратами на организацию всего комплекса средств защиты информации. Основные показатели эффективности защиты рассчитываются исходя из минимизации потерь, а значит компенсации рисков.
Риск-это вероятный ущерб который может быть нанесен организации при реализации угроз. Ущерб это не только вероятные экономические потери, но и моральные, психологические, физические и политические потери, которые по отдельности и в определенной комбинации в определенных условиях могут привести к катастрофическим последствиям особенно в военной области.
Предупреждение последствий и есть основная цель создания системы безопасности информации.
Для построения сбалансированной системы защиты информации необходимо проводить анализ рисков в области информационной безопасности.
Цель процесса оценивания рисковсостоит в определении характеристик рисков в информационной системе и ее ресурсах. На основе таких данных выбираются необходимые средства управления системой защиты.
Еще на этапе проектировании АСОД необходимо провести оценку рисков. Эта оценка должна предусматривать определение всей совокупности факторов неопределенности (рисков), возникающих как на этапе проектирования, так и в процессе эксплуатации АСОД, чтобы получить необходимые основания для принятия решения о целесообразности создания системы защиты информации, а также разработку способов управления рисками.
По видам риски можно классифицировать согласно угрозам:
1. риски от угроз случайного характера;
2. риски от преднамеренных угроз
Основной целью является не просто определение наличия и степени риска, но и выработка мер по его снижению. Такой подход позволяет направить дополнительные ресурсы на предотвращение риска или снижение его до приемлемого уровня.
Оценка риска и управление им предполагают проведение комплекса мероприятий, направленных на определение, анализ, устранение риска (снижение до приемлемого уровня)
Основнымиэтапами анализа и оценки рисков являются:
Первый — выявление внутренних и внешних факторов, приводящих к возникновению рисков.
Второй — оценка влияния факторов и ущерба от их проявления, определение ущерба для каждого из возможных видов риска.
Третий — количественная оценка рисков для каждого из возможных вариантов
Четвертый — определение допустимых уровней риска.
Пятый — принятие решения о целесообразности реализации системы защиты информации АСОД (варианта) либо о её корректировке.
Показателем (мерой) рискаможет быть математическое ожидание ущерба от наступления неблагоприятного события (НСД), выраженное в натуральном (например, степень снижения уровня выполнения задач системой, потери личного состава и т.п.) или стоимостном виде (потери вооружения и технических средств).
Математическое ожидание ущерба Мс, связанного с угрозами случайного характера, может быть определено по формуле
MС [W] = 
(1.3.1)
где i —вариант угрозы;
Рi— вероятность реализации i-го варианта угрозы;
Wi — величина ущерба при реализации i-го варианта угрозы.
Математическое ожидание ущерба, обусловленного преднамеренными угрозами определяется аналогично.
MП [W]= (1.3.2)
где i —вариант угрозы;
Рi— вероятность реализации i-го варианта угрозы;
Wi — величина ущерба при реализации i-го варианта угрозы
Количественные значения величин, входящих в выражения (1.3.1) и (1.3.2), определяются с помощью методов экспертных или экономико-математических оценок, а также математического моделирования.
При неудовлетворительном значении показателей риска следует искать способы его снижения до требуемых значений. Данный подход позволяет формировать вариант развития системы защиты информации с максимально достижимым уровнем эффективности при существующих финансовых ограничениях.
Снижение степени рисков должно обеспечиваться за счет активного управления ими.