12
определения списка запущенных на атакуемом компьютере служб и
приложений [11];
Подслушивание - при этом виде атаки данные передаются по
компьютерным сетям в открытой или незащищенной форме, что дает
возможность злоумышленникам, получившим доступ к каналам передачи
данных в вашей сети, считывать трафик или подслушивать [39];
Перехват - в отличие от предыдущего вида атаки, перехват
представляет собой активную атаку. Информация перехватывается
злоумышленниками в процессе ее передачи к месту назначения. Для
осуществления перехвата и анализа данных злоумышленники используют
специальные программы или устройства, называемые снифферами, которые
могут быть использованы не только для обнаружения уязвимостей, но и для
кражи идентификаторов и паролей пользователей. В связи с тем, что многие
пользователи для множества приложений и систем используют одинаковые
пароли, перехват идентификаторов и паролей представляет собой большую
опасность [28].
В настоящее время работа снифферов в сетях является вполне
законной. Их используют для анализа трафика и диагностики
неисправностей сети. В связи с тем, что некоторые приложения передают
данные в сети в текстовом формате, с помощью снифферов злоумышленники
могут узнать конфиденциальную информацию.
Перехват сеанса - после окончания начала аутентификации
соединение, установленное законным пользователем, переключается
злоумышленниками на новый хост, а исходному серверу направляется
команда на разрыв соединения. После получения доступа к сети законного
пользователя злоумышленники получают много возможностей: они могут
заблокировать трафик, перегрузить сеть, отправить некорректные данные
сетевым службам и приложениям, что приведет к неправильному
13
функционированию или аварийному завершению, а также к потере доступа к
сетевым ресурсам авторизованных пользователей [23];
2) Атаки модификации, представляющие собой попытку
неправомерного изменения данных и направленные на нарушение
целостности информации. Они делятся на следующие виды:
Изменение данных - злоумышленники, даже не зная информации об
отправителе или получателе, могут изменить их;
Добавление данных - например, сюда можно отнести перемещение
денежных средств злоумышленниками со счета клиента на свой собственный
счет;
Удаление данных - атака данного вида означает перемещение
существующих данных [25];
3) Атаки вредоносных программ - Самую опасную угрозу для
компьютерных сетей представляют собой вредоносные программы, под
которыми понимают такие программы, которые прямо или косвенно
нарушают процесс обработки информации или способствуют искажению и
утечке данных.
Под термином «вредоносные программы» относительно к
компьютерным сетям подразумевается три типа программ различного рода:
Троянские программы – вредоносные программы, выглядящие как
полезные программы, но на самом деле выполняющие вредоносные
действия. Главным назначением троянской программы является нанесение
ущерба: кража, порча или удаление конфиденциальных данных (похищение
идентификаторов и паролей), нарушение нормального функционирования
компьютера (скрытое удаленное управление ресурсами компьютера,
модификация настроек браузера), использование ресурсов его в
неблаговидных целях. Троянские программы сами не размножаются. Они
проходят три этапа: проникают в систему через компьютерные сети,
активируются и выполняют вредоносное действие [12];
14
Сетевые черви – вредоносные программы, которые могут
самостоятельно распространяться через компьютерные сети. Они проникают
в память компьютера из компьютерной сети, вычисляют сетевые адреса
других компьютеров и рассылают по этим адресам свои копии. Такие вирусы
иногда создают рабочие файлы на дисках системы, но могут вообще не
обращаться к ресурсам компьютера [5];
Компьютерные вирусы – вредоносные программы, внедряемые в
другие программы с целью выполнения вредоносных действий.
Компьютерные вирусы во многом сходны с биологическими вирусами:
способны размножаться, имеют высокую скорость распространения,
обладают избирательность поражаемых систем, трудность борьбы с ними.
Компьютерные вирусы можно классифицировать по нескольким
признакам:
А) по среде их обитания компьютерные вирусы делятся на файловые
или программные, загрузочные, макровирусы и сетевые вирусы (рисунок 3).
Рисунок 3 – Классификация компьютерных вирусов по среде обитания
15
Б) По способу заражения компьютерные вирусы могут быть:
− резидентные - попадают в оперативную память компьютера и,
находясь в памяти, могут проявлять свою активность вплоть до выключения
или перезагрузки компьютера;
− нерезидентные - в память не внедряются и активны только
ограниченное время, связанное с выполнением определенных задач [2].
В) По степени воздействия компьютерные вирусы делятся на
безвредные, неопасные, опасные и очень опасные (рисунок 4).
Рисунок 4 – Классификация компьютерных вирусов по степени воздействия
4) Атаки на отказ в обслуживании - направлены на получение доступа к
сети жертвы или на получение через сеть жертвы каких-либо данных. Атаки
данного вида лишают обычных пользователей организации доступа к
сетевым ресурсам или компьютерам сети посредством занятия всех
доступных соединений. Атаки на отказ в обслуживании могут использовать
обычные протоколы Интернета TCP и ICMP.
Они делятся на следующие виды:
16
Отказ в доступе к информации - в результате атаки данного вида
информация искажается, уничтожается или переносится в другое
недоступное место и тем самым становится непригодной для использования;
Отказ в доступе к приложениям - в результате такой атаки
приложение, на которое оно было направлено, перестает функционировать;
Отказ в доступе к системе - главной целью атаки таково вида
является вывод из строя всей компьютерной системы, в результате чего
недоступными становятся все приложения, находящиеся на ней, и
сохраненные данные;
Отказ в доступе к средствам связи - данные атаки нацелены на
лишение пользователей доступа к ресурсам компьютерной системы
посредством нанесения вреда средствам связи. Причем, целостность
информации и компьютерной системы сохраняется [39].
5) Комбинированные атаки - при данном типе атак применяются
несколько взаимосвязанных видов действий.
Рассмотрим некоторые из них:
Подмена доверенного субъекта - большая часть сетей и
операционных систем использует IP-адрес компьютера, для того чтобы
определять, тот ли это адресат, который нужен. В некоторых случаях
возможно некорректное присвоение IP-адреса (подмена IP-адреса
отправителя другим адресом) – такой способ атаки называют
фальсификацией адреса, или IP-спуфингом. В таком случае,
злоумышленники выдают себя за законного пользователя [3];
Посредничество - атаки данного типа подразумевают активное
подслушивание, перехват и управление передаваемыми данными невидимым
промежуточным узлом. Когда компьютеры взаимодействуют на низких
сетевых уровнях, они не всегда могут определить, с кем именно они
проводят обмен данными. Именно поэтому такие атаки злоумышленники
используют для кражи информации, получения доступа к сетевым ресурсам,
17
для анализа трафика, получения информации о сети и о его пользователях,
для проведения атак на отказ в доступе, ввода несанкционированной
информации в сети и для искажения передаваемой информации;
Атаки эксплойта – эксплойт представляет собой компьютерную
программу или фрагмент программного кода, использующий уязвимости в
программном обеспечении и применяемый с целью атак на компьютерную
систему. Данные атаки направлены как на захват контроля над
компьютерной системой, так и на нарушение ее нормального
функционирования;
Парольные атаки - данные атаки нацелены на завладение
идентификаторами и паролями пользователей и могут быть проведены с
помощью таких методов, как подмена IP-адреса, подслушивание, простой
перебор. Средства перехвата, подбора и взлома паролей в данное время
считаются легальными и официально распространяются достаточно большим
количеством компаний. Они позиционируются как программы для аудита
безопасности и восстановления забытых паролей, и их можно законно
приобрести у разработчиков [11];
Псевдоантивирусы - это мошеннические программы, которые
являются фальшивыми антивирусами. Они, как и законные антивирусы,
выводят сообщения об обнаружении вредоносных программ, но на самом
деле ничего не находят. Главной задачей псевдоантивирусов является
убеждение пользователей в наличии угрозы информационной безопасности и
провокация его к уплате денег за активацию. Псевдоантивирусы могут
попасть в компьютерные системы через сети посредством скрытой загрузки
троянских программ, эксплуатации взломанных или зараженных сайтов [38];
Фишинг - это относительно новый тип атаки, который нацелен на
получение идентификационных данных пользователей. Можно привести
следующие примеры: кража идентификаторов и паролей, PIN-кодов
банковских счетов, номеров кредитных карт и другой конфиденциальной
18
информации, дающей доступ к деньгам жертвы. Злоумышленниками
создаются точные копии сайтов банка, электронной платежной системы и
тому подобное. Далее при помощи спам-технологий жертвам по электронной
почте рассылаются письма, максимально похожие на настоящее письмо.
Зайдя на ложный сайт, пользователь вводит в соответствующие строки свои
конфиденциальные данные, а далее злоумышленники получают доступ в
лучшем случае к его почтовому ящику, а в худшем – к электронному счету.
Технологии фишеров постоянно совершенствуются, применяются
методы социальной инженерии. Злоумышленники пытаются напугать
клиента, придумать критичную причину для того, чтобы он выдал им свои
конфиденциальные данные. Как правило, сообщения мошенников содержат
угрозы, например, заблокировать счет в случае невыполнения получателем
требований, изложенных в сообщении.
В настоящее время злоумышленники часто пользуются троянскими
программами. Задача фишера в этом случае намного упрощается –
достаточно заставить пользователя перебраться на фишерский сайт и
«подцепить» программу, которая самостоятельно разыщет на винчестере
жертвы все, что нужно [39].
Фарминг - этот тип атаки нацелен на получение идентификационных
данных пользователей прямо через официальные сайты. Злоумышленниками
заменяются на DNS-серверах цифровые адреса легитимных сайтов на
поддельные, в результате чего пользователи перенаправляются на сайты
мошенников. Этот вид мошенничества опаснее фишинга, так как заметить
подделку практически невозможно [32];
Применение ботов - это такие программы, которые заражают
компьютерные системы и без ведома пользователя управляют ими.
Зараженные ботами компьютеры могут использоваться злоумышленниками
для рассылки спама, кражи конфиденциальных данных, анонимного доступа
в сеть, взлома веб-сайтов и кражи денег. Причем злоумышленники могут
19
управлять зараженными компьютерами с любой точки мира при условии
наличия сети Интернет [11].
1.3. Классификация методов и средств защиты информации в сети
Средства защиты информации в компьютерных сетях можно поделить
на два класса: средства компьютерной безопасности и средства сетевой
безопасности. Рассмотрим подробнее каждый из этих классов:
1) Средства компьютерной безопасности обеспечивают защиту
информации, находящейся в локальной сети или на отдельном компьютере
пользователя, от несанкционированного доступа. Они призваны защищать
серверы, маршрутизаторы, операционные системы, почтовые службы и тому
подобное.
Чаще всего в качестве средств компьютерной безопасности
используется межсетевой экран, который устанавливается в места
соединения локальной сети с Интернетом и представляет собой программное
или аппаратное средство, контролирующее трафик между внутренней
локальной сетью и Интернетом и не пропускающее подозрительный трафик в
сеть. Межсетевой экран очень часто называют брандмауэром [11].
Брандмауэр проводит анализ входящих и исходящих данных и
принимает решение: разрешить или заблокировать соединение, по которому
передаются анализируемые данные (рисунок 5).
Программный брандмауэр представляет собой сетевое приложение,
которое работает либо на компьютере, либо на каком-либо граничном
сетевом устройстве, например, машрутизаторе [5].
Аппаратный брандмауэр представляет собой специальное сетевое
устройство, представленное на рисунке 6.
Большая часть современных брандмауэров для анализа данных
используют следующие критерии:
адрес: соответствие адреса получателя или источника данных
заданному списку контроля адресов;
20
доменное имя: соответствие доменного имени получателя или
источника данных заданному списку контроля доменов;
номер порта: соответствие порта, через который были переданы
данные, заданному списку контроля портов;
протокол: соответствие протокола данных заданному списку
контроля протоколов [20].
Рисунок 5 – Схема применения межсетевого экрана
Рисунок 6 – Межсетевой экран
Еще одним способом обеспечения компьютерной безопасности
является использование прокси-серверов – программных средств,
выполняющих роль посредника между клиентом и сервером (рисунок 7), их
чаще всего применяют для организации доступа компьютеров из локальной
сети в Интернет. Точно так же, как и брандмауэр, прокси-сервер
контролирует процесс обмена данными между клиентом и сервером.
При этом, в целях обеспечения безопасности, иногда передаваемые
данные могут быть изменены прокси-сервером [27].
21
Рисунок 7 – Схема применения прокси-сервера
2) Средства сетевой безопасности обеспечивают защиту информации в
процессе еѐ передачи через сеть. Для обеспечения сетевой безопасности
используют специальные средства, называемые сервисами сетевой
безопасности. Они делятся на следующие виды: криптографические
преобразования (шифрование), аутентификация, идентификация и
авторизация, аудит, антивирусная защита [21].
Криптографические преобразования (шифрование) представляют собой
процесс преобразования информации из обычного, понятного пользователю
вида в зашифрованный код. Для расшифровки зашифрованной информации
используют процедуру, называемую дешифрованием. Процедуры
шифрования и дешифрования образуют криптосистему.
Информацию, необходимую для шифрования и дешифрования,
называют ключом.
Науку об обеспечении конфиденциальности, целостности и
подлинности передаваемых данных называют криптографией [17].
На сегодняшний день криптографические методы являются наиболее
эффективным способом обеспечения сетевой безопасности. Суть методов
шифрования (криптографических методов) заключается в следующем:
готовое к отправке сообщение (открытый или незащищенный текст)