28
За счет побочных электромагнитных излучений электронно-
вычислительной техники;
За счет наводок по цепям питания;
За счет радиоизлучений, модулированных информационным
сигналом.
Угрозы НСД к ИОД
Угрозы НСД к ИОД, обрабатываемой в ИС ООО «ЮНАЙТЕД
ИНШУРЕНС КОМПАНИ», с применением программных и программно-
аппаратных средств реализуются при осуществлении НСД, в том числе
случайного, в результате которого происходит нарушение
конфиденциальности (копирование, несанкционированное распространение),
целостности (уничтожение, изменение) и доступности (блокирование)
информации (рис. 4).
Рисунок 4 – Угрозы НСД
Угрозы НСД, связанные с действиями нарушителей, имеющих доступ к ИС
Угрозы НСД к ИОД
1. угрозы, связанные с действиями
нарушителей, имеющих
непосредственный доступ к ИС
Управления, в том числе за
пределами КЗ;
2. угрозы внедрения (в том числе по
сети) вредоносных программ
(программно-математического
воздействия);
3. угрозы, связанные с реализацией
протоколов сетевого
взаимодействия;
4. угрозы не декларированных
возможностей в программном
обеспечении;
5. угрозы среды виртуализации.
29
Данные угрозы могут быть реализованы нарушителем в случае получения
физического доступа к ИС ООО «ЮНАЙТЕД ИНШУРЕНС КОМПАНИ» или,
по крайней мере, к средствам ввода ИОД в ИС ООО «ЮНАЙТЕД
ИНШУРЕНС КОМПАНИ». При этом можно выделить следующие угрозы:
1. Угрозы, реализуемые в ходе загрузки ОС.
Эти угрозы безопасности ИОД направлены на перехват паролей или
идентификаторов, модификацию ПО BIOS, перехват ООО «ЮНАЙТЕД
ИНШУРЕНС КОМПАНИ» загрузкой с изменением необходимой
технологической информации для получения НСД в операционную среду ИС
ООО «ЮНАЙТЕД ИНШУРЕНС КОМПАНИ». Чаще всего такие угрозы
реализуются с использованием отчуждаемых носителей информации.
2. Угрозы, реализуемые после загрузки ОС, независимо от того, какая
прикладная программа запускается пользователем.
Эти угрозы, как правило, направлены на выполнение непосредственно
НСД к ИОД. При получении доступа в операционную среду нарушитель
может воспользоваться как стандартными функциями ОС (уничтожение,
копирование, перемещение, форматирование носителей информации и т. п.)
или какой-либо прикладной программой общего пользования (например,
СУБД), так и специально созданными для выполнения НСД программами,
например:
программами просмотра и модификации реестра ОС;
программами поиска текстов в текстовых файлах по ключевым
словам и копирования;
специальными программами просмотра и копирования записей в
базе данных;
программами быстрого просмотра графических файлов, их
редактирования или копирования;
программами поддержки возможностей реконфигурации
программной среды (настройки ИС ООО «ЮНАЙТЕД
ИНШУРЕНС КОМПАНИ» в интересах нарушителя) и др.
30
Кроме того, к данным угрозам необходимо отнести угрозы утечки ИОД
путем копирования ее на съемные носители.
3. Угрозы, реализуемые после загрузки операционной среды, реализация
которых определяется тем, какая из прикладных программ запускается
пользователем, или фактом запуска любой из прикладных программ. Большая
часть таких угроз представляет собой угрозы внедрения вредоносных
программ.
4. Угрозы внедрения аппаратных закладок.
Действие аппаратных закладок подробно рассмотрено ниже.
5. Угрозы, связанные с физическим доступом к носителям ИОД и ТС ИС
ООО «ЮНАЙТЕД ИНШУРЕНС КОМПАНИ», реализуемые в пределах КЗ.
Можно выделить следующие угрозы НСД, связанные с физическим
доступом к носителям ИОД и ТС ИС ООО «ЮНАЙТЕД ИНШУРЕНС
КОМПАНИ» в пределах КЗ:
угроза утечки информации с украденных резервных копий ИОД и ТС ИС
ФБК;
угроза преднамеренного или неумышленного вывода из строя,
реконфигурирования, модификации и/или отключения доступных ТС ИС
ООО «ЮНАЙТЕД ИНШУРЕНС КОМПАНИ» и каналов связи.
6. Угрозы физического доступа к носителям ИОД и ТС ИС ООО
«ЮНАЙТЕД ИНШУРЕНС КОМПАНИ», реализуемые при их выводе за
пределы КЗ.
Можно выделить следующие угрозы НСД, связанные с выводом
носителей и ТС ИС ООО «ЮНАЙТЕД ИНШУРЕНС КОМПАНИ» за пределы
КЗ:
угроза утечки информации со списанного (ремонтируемого)
оборудования, на котором проводилась обработка ИОД;
угроза утечки информации с утраченного (украденного) оборудования,
выведенного за пределы КЗ в рамках транспортировки ТС либо
31
предназначенного для удаленного доступа пользователей ИС ООО
«ЮНАЙТЕД ИНШУРЕНС КОМПАНИ».
Угрозы, связанные с реализацией протоколов сетевого взаимодействия
Можно выделить следующие угрозы, связанные с реализацией
протоколов сетевого взаимодействия, реализуемые, как внутри
распределенной вычислительной сети, так и путем проведения атак из сетей
общего пользования и (или) международного информационного обмена (в том
числе, сети Интернет):
1. Угроза анализа сетевого трафика.
Эта угроза реализуется с помощью специальной программы-анализатора
пакетов (sniffer), перехватывающей все пакеты, передаваемые по сегменту
сети, и выделяющей среди них те, в которых передаются идентификатор
пользователя и его пароль, а также ИОД.
2. Угроза сканирования сети.
Сущность процесса реализации угрозы заключается в передаче запросов
сетевым службам хостов ИС ФБК и анализе ответов от них с целью выявления
используемых протоколов, доступных портов сетевых служб, законов
формирования идентификаторов соединений, определения активных сетевых
сервисов, подбора идентификаторов и паролей пользователей.
3. Угроза выявления паролей.
Цель реализации угрозы состоит в получении НСД к ИОД путем
преодоления парольной защиты. Злоумышленник может реализовывать угрозу
с помощью целого ряда методов, таких как простой перебор, перебор с
использованием специальных словарей, установка вредоносной программы
для перехвата пароля, подмена доверенного объекта сети (IP-spoofing) и
перехват пакетов (sniffing). В основном для реализации угрозы используются
специальные программы, которые пытаются получить доступ к хосту путем
последовательного подбора паролей. В случае успеха злоумышленник может
создать для себя «проход» для будущего доступа, который будет действовать,
даже если на хосте изменить пароль доступа.
32
4. Угроза навязывания ложного маршрута сети.
Данная угроза реализуется путем несанкционированного изменения
маршрутно-адресных данных. Возможность навязывания ложного маршрута
обусловлена недостатками, присущими алгоритмам маршрутизации (в
частности, из-за проблемы идентификации сетевых управляющих устройств),
в результате чего можно попасть, например, на хост или в сеть
злоумышленника, где войти в операционную среду ТС в составе ИС ООО
«ЮНАЙТЕД ИНШУРЕНС КОМПАНИ». Реализация угрозы основывается на
несанкционированном использовании протоколов маршрутизации (RIP, OSPF,
LSP) и ООО «ЮНАЙТЕД ИНШУРЕНС КОМПАНИ» сетью (ICMP, SNMP)
для внесения изменений в маршрутно-адресные таблицы. При этом
нарушителю необходимо послать от имени сетевого управляющего устройства
(например, маршрутизатора) управляющее сообщение.
5. Угроза внедрения ложного объекта сети.
Эта угроза основана на использовании недостатков алгоритмов
удаленного поиска. В случае если объекты сети изначально не имеют
адресной информации друг о друге, используются различные протоколы
удаленного поиска (например, SAP – в сетях Novell NetWare; ARP, DNS,
WINS – в сетях со стеком протоколов TCP/IP), заключающиеся в передаче по
сети специальных запросов и получении на них ответов с искомой
информацией. При этом существует возможность перехвата нарушителем
поискового запроса и выдачи на него ложного ответа, использование которого
приведет к требуемому изменению маршрутно-адресных данных. В
дальнейшем весь поток информации, ассоциированный с объектом-жертвой,
будет проходить через ложный объект сети.
6. Угрозы типа «Отказ в обслуживании».
Эти угрозы основаны на недостатках сетевого ПО, его уязвимостях,
позволяющих нарушителю создавать условия, когда ОС оказывается не в
состоянии обрабатывать поступающие пакеты.
Может быть выделено несколько разновидностей таких угроз:
33
скрытый отказ в обслуживании, вызванный привлечением части
ресурсов ИС ООО «ЮНАЙТЕД ИНШУРЕНС КОМПАНИ» на обработку
пакетов, передаваемых злоумышленником со снижением пропускной
способности каналов связи, производительности сетевых устройств,
нарушением требований к времени обработки запросов. Примерами
реализации угроз подобного рода могут служить направленный шторм эхо-
запросов по протоколу ICMP (Ping flooding), шторм запросов на установление
TCP-соединений (SYN-flooding), шторм запросов к FTP-серверу;
явный отказ в обслуживании, вызванный полным исчерпанием ресурсов
ИС ООО «ЮНАЙТЕД ИНШУРЕНС КОМПАНИ» при обработке пакетов,
передаваемых злоумышленником (занятие всей полосы пропускания каналов
связи, переполнение очередей запросов на обслуживание), при котором
легальные запросы не могут быть переданы через сеть из-за недоступности
среды передачи либо получают отказ в обслуживании ввиду переполнения
очередей запросов, дискового пространства памяти и т. д. Примерами угроз
данного типа могут служить шторм широковещательных ICMP-эхо-запросов
(Smurf), направленный шторм (SYN-flooding), шторм сообщений почтовому
серверу (Spam);
явный отказ в обслуживании, вызванный нарушением логической
связности между ТС ИС ООО «ЮНАЙТЕД ИНШУРЕНС КОМПАНИ» при
передаче нарушителем управляющих сообщений от имени сетевых устройств,
приводящих к изменению маршрутно-адресных данных (например, ICMP
Redirect Host, DNS-flooding) или идентификационной и аутентификационной
информации;
явный отказ в обслуживании, вызванный передачей злоумышленником
пакетов с нестандартными атрибутами (угрозы типа Land, TearDrop, Bonk,
Nuke, UDP-bomb) или имеющих длину, превышающую максимально
допустимый размер (угроза типа Ping Death), что может привести к сбою
сетевых устройств, участвующих в обработке запросов, при условии наличия
ошибок в программах, реализующих протоколы сетевого обмена.
34
Результатом реализации данной угрозы может стать нарушение
работоспособности соответствующей службы предоставления удаленного
доступа к ИОД в ИС ООО «ЮНАЙТЕД ИНШУРЕНС КОМПАНИ», передача
с одного адреса такого количества запросов на подключение к ТС в составе
ИС ООО «ЮНАЙТЕД ИНШУРЕНС КОМПАНИ», какое максимально может
вместить трафик (направленный «шторм запросов»), что влечет за собой
переполнение очереди запросов и отказ одной из сетевых служб или полную
остановку ИС ООО «ЮНАЙТЕД ИНШУРЕНС КОМПАНИ» из-за
невозможности системы заниматься ничем другим, кроме обработки запросов.
7. Угроза удаленного запуска приложений.
Угроза заключается в стремлении запустить на хосте ИС ООО
«ЮНАЙТЕД ИНШУРЕНС КОМПАНИ» различные, предварительно
внедренные, вредоносные программы:
программы-закладки;
вирусы;
«сетевые шпионы» и т. д.
Основная цель внедренных вредоносных программ – нарушение
конфиденциальности, целостности, доступности ИОД и полный контроль
работы хоста. Кроме того, возможен несанкционированный запуск
прикладных программ пользователей для несанкционированного получения
необходимых нарушителю данных, для запуска управляемых прикладной
программой процессов и др.
Выделяют три подкласса данной угрозы:
1) Распространение файлов, содержащих несанкционированный
исполняемый код. Типовые угрозы этого подкласса основываются на
активизации распространяемых файлов при случайном обращении к ним.
Примерами таких файлов могут служить файлы, содержащие исполняемый
код в виде макрокоманд (документы Microsoft Word, Excel и т. п.), html-
документы, содержащие исполняемый код в виде элементов ActiveX, Java-
апплетов, интерпретируемых скриптов (например, тексты на JavaScript), а
35
также файлы, содержащие исполняемые коды программ. Для распространения
файлов могут использоваться службы электронной почты, передачи файлов,
сетевой файловой системы.
2) Удаленный запуск приложения путем переполнения буфера
приложений-серверов. При угрозах этого подкласса используются недостатки
программ, реализующих сетевые сервисы (в частности, отсутствие контроля
переполнения буфера). Настройкой системных регистров иногда удается
переключить процессор после прерывания, вызванного переполнением
буфера, на исполнение кода, содержащегося за границей буфера. Примером
реализации такой угрозы может служить внедрение широко известного
«вируса Морриса».
3) Удаленный запуск приложения путем использования возможностей
удаленного ООО «ЮНАЙТЕД ИНШУРЕНС КОМПАНИ» системой,
предоставляемых скрытыми программными и аппаратными закладками либо
используемыми штатными средствами. При угрозах этого подкласса
нарушитель использует возможности удаленного ООО «ЮНАЙТЕД
ИНШУРЕНС КОМПАНИ» системой, предоставляемые скрытыми
компонентами (например, «троянскими» программами типа Back Orifice, Net
Bus) либо штатными средствами ООО «ЮНАЙТЕД ИНШУРЕНС
КОМПАНИ» и администрирования компьютерных сетей (Landesk
Management Suite, Managewise, Back Orifice и т. п.). В результате их
использования удается добиться удаленного контроля над станцией в сети.
Угрозы внедрения по сети вредоносных программ (программно-
математического воздействия)
Программно-математическое воздействие - это воздействие с помощью
вредоносных программ. Программой с потенциально опасными
последствиями или вредоносной программой называют некоторую
самостоятельную программу (набор инструкций), которая способна выполнять
любое непустое подмножество следующих функций:
36
скрывать признаки своего присутствия в программной среде
компьютера;
обладать способностью к самодублированию, ассоциированию себя с
другими программами и (или) переносу своих фрагментов в иные области
оперативной или внешней памяти;
разрушать (искажать произвольным образом) код программ в
оперативной памяти;
выполнять без инициирования со стороны пользователя
(пользовательской программы в штатном режиме ее выполнения)
деструктивные функции (копирования, уничтожения, блокирования и т. п.);
сохранять фрагменты информации из оперативной памяти в некоторых
областях внешней памяти прямого доступа (локальных или удаленных);
искажать произвольным образом, блокировать и (или) подменять
выводимый во внешнюю память или в канал связи массив информации,
образовавшийся в результате работы прикладных программ, или уже
находящиеся во внешней памяти массивы данных.
Вредоносные программы могут быть внесены (внедрены) как
преднамеренно, так и случайно в ПО, используемое в ИС ООО «ЮНАЙТЕД
ИНШУРЕНС КОМПАНИ», в процессе его разработки, сопровождения,
модификации и настройки. Кроме этого, вредоносные программы могут быть
внесены в процессе эксплуатации ИС ООО «ЮНАЙТЕД ИНШУРЕНС
КОМПАНИ» с внешних носителей информации или посредством сетевого
взаимодействия как в результате НСД, так и случайно пользователями ИС
ООО «ЮНАЙТЕД ИНШУРЕНС КОМПАНИ».
Вредоносные программы основаны на использовании уязвимостей
различного рода ПО и разнообразных сетевых технологий, обладают широким
спектром возможностей и могут действовать во всех видах ПО.
Наличие в ИС ООО «ЮНАЙТЕД ИНШУРЕНС КОМПАНИ»
вредоносных программ может способствовать возникновению скрытых, в том
37
числе нетрадиционных каналов доступа к информации, позволяющих
вскрывать, обходить или блокировать защитные механизмы, предусмотренные
в системе, в том числе парольную защиту.
Угрозы недекларированных возможностей в программном обеспечении
Недекларированные возможности (НДВ) - функциональные возможности
ПО, не описанные или не соответствующие описанным в документации, при
использовании которых возможно нарушение конфиденциальности,
доступности или целостности обрабатываемой информации.
Угрозы НДВ в ПО бывают нескольких видов:
1. угрозы, связанные с наличием недокументированных
(недекларированных) возможностей в системном программном обеспечении,
используемом в информационной системе;
2. угрозы, связанные с наличием недокументированных
(недекларированных) возможностей в прикладном программном обеспечении,
используемом в информационной системе.
Угрозы, связанные с использованием систем виртуализации
1. Угроза проведения сетевых атак между виртуальными машинами.
Эта угроза основана на возможности осуществления атаки на
виртуальную машину с другой виртуальной машины (виртуальные машины
одного физического сервера могут обмениваться трафиком напрямую без
участия физических сетевых коммутаторов, поскольку трафик между
виртуальными машинами может не покидать пределов сервера
виртуализации).
2. Угроза вирусного заражения файлов образов виртуальных машин.
Эта угроза основана на возможности вирусного заражения файлов
образов виртуальных машин (так как на выключенной виртуальной машине
нельзя запустить средства защиты, то существует возможность ее вирусного
заражения или компрометации).
3. Угроза хищения файлов образов виртуальных машин.