11
Рисунок 2 – Классификация сетевых атак
1) Атаки доступа, представляющие собой «попытку получения
злоумышленниками информации, для ознакомления с которой у них нет
разрешения» [36]. Атаки доступа направлены на нарушение
конфиденциальности данных.
Атаки доступа разделяются на следующие виды:
− Сетевая разведка - представляет собой процесс сбора информации о
компьютере жертвы для обнаружения уязвимостей в его безопасности. Самая
простая сетевая разведка может быть проведена с помощью обычной команды
ping и специального программного обеспечения для сканирования портов.
Данная команда дает возможность определить доступные IP-адреса среди всех
присвоенных компьютеру. Сетевая разведка проводится с целью определения
списка запущенных на атакуемом компьютере служб и приложений [29];
− Подслушивание - при этом виде атаки данные передаются по
компьютерным сетям в открытой или незащищенной форме, что дает
возможность злоумышленникам, получившим доступ к каналам передачи
данных в вашей сети, считывать трафик или подслушивать [28];
− Перехват - в отличие от предыдущего вида атаки, перехват
представляет собой активную атаку. Информация перехватывается
злоумышленниками в процессе ее передачи к месту назначения. Для
осуществления перехвата и анализа данных злоумышленники используют
специальные программы или устройства, называемые снифферами, которые
могут быть использованы не только для обнаружения уязвимостей, но и для
Классификация
сетевых атак
Атаки
доступа
Атаки
модификации
Атаки на отказ
в обслуживании
Комбинированные
атаки
Атаки вредоносных
программ
12
кражи идентификаторов и паролей пользователей. В связи с тем, что многие
пользователи для множества приложений и систем используют одинаковые
пароли, перехват идентификаторов и паролей представляет собой большую
опасность [28].
В настоящее время работа снифферов в сетях является вполне законной.
Их используют для анализа трафика и диагностики неисправностей сети. В
связи с тем, что некоторые приложения передают данные в сети в текстовом
формате, с помощью снифферов злоумышленники могут узнать
конфиденциальную информацию.
− Перехват сеанса - после окончания начала аутентификации
соединение, установленное законным пользователем, переключается
злоумышленниками на новый хост, а исходному серверу направляется
команда на разрыв соединения. После получения доступа к сети законного
пользователя злоумышленники получают много возможностей: они могут
заблокировать трафик, перегрузить сеть, отправить некорректные данные
сетевым службам и приложениям, что приведет к неправильному
функционированию или аварийному завершению, а также к потере доступа к
сетевым ресурсам авторизованных пользователей [36];
2) Атаки модификации, представляющие собой попытку
неправомерного изменения данных и направленные на нарушение
целостности информации. Они делятся на следующие виды:
− Изменение данных - злоумышленники, даже не зная информации
об отправителе или получателе, могут изменить их;
− Добавление данных - например, сюда можно отнести
перемещение денежных средств злоумышленниками со счета
клиента на свой собственный счет;
− Удаление данных. Атака данного вида означает перемещение
существующих данных [36];
3) Атаки вредоносных программ - Самую опасную угрозу для
компьютерных сетей представляют собой вредоносные программы, под
13
которыми понимают такие программы, которые прямо или косвенно
нарушают процесс обработки информации или способствуют искажению и
утечке данных.
Под термином «вредоносные программы» относительно к
компьютерным сетям подразумевается три типа программ различного рода:
− Троянские программы – вредоносные программы, выглядящие как
полезные программы, но на самом деле выполняющие вредоносные действия.
Главным назначением троянской программы является нанесение ущерба:
кража, порча или удаление конфиденциальных данных (похищение
идентификаторов и паролей), нарушение нормального функционирования
компьютера (скрытое удаленное управление ресурсами компьютера,
модификация настроек браузера), использование ресурсов его в
неблаговидных целях. Троянские программы сами не размножаются. Они
проходят три этапа: проникают в систему через компьютерные сети,
активируются и выполняют вредоносное действие [28];
− Компьютерные вирусы – вредоносные программы, внедряемые в
другие программы с целью выполнения вредоносных действий.
Компьютерные вирусы во многом сходны с биологическими вирусами:
способны размножаться, имеют высокую скорость распространения,
обладают избирательность поражаемых систем, трудность борьбы с ними.
По среде их обитания компьютерные вирусы делятся на файловые или
программные, загрузочные, макровирусы и сетевые вирусы.
По способу заражения компьютерные вирусы могут быть:
− резидентные - попадают в оперативную память компьютера и,
находясь в памяти, могут проявлять свою активность вплоть до выключения
или перезагрузки компьютера;
− нерезидентные - в память не внедряются и активны только
ограниченное время, связанное с выполнением определенных задач [16].
По степени воздействия компьютерные вирусы делятся на безвредные,
неопасные, опасные и очень опасные.
14
4) Атаки на отказ в обслуживании - направлены на получение доступа к
сети жертвы или на получение через сеть жертвы каких-либо данных. Атаки
данного вида лишают обычных пользователей организации доступа к сетевым
ресурсам или компьютерам сети посредством занятия всех доступных
соединений. Атаки на отказ в обслуживании могут применять обыкновенные
протоколы Интернета TCP и ICMP. Они делятся на следующие виды:
− Отказ в доступе к информации. В результате атаки данного вида
информация искажается, уничтожается или переносится в другое недоступное
место и тем самым становится непригодной для использования;
− Отказ в доступе к приложениям. В результате такой атаки
приложение, на которое оно было направлено, перестает функционировать;
− Отказ в доступе к системе. Главной целью атаки таково вида является
вывод из строя всей компьютерной системы, в результате чего недоступными
становятся все приложения, находящиеся на ней, и сохраненные данные;
− Отказ в доступе к средствам связи. Данные атаки нацелены на
лишение пользователей доступа к ресурсам компьютерной системы
посредством нанесения вреда средствам связи. Причем, целостность
информации и компьютерной системы сохраняется [32, 35].
5) Комбинированные атаки. При данном типе атак применяются
несколько взаимосвязанных видов действий. Рассмотрим некоторые из них:
− Атаки эксплойта. Эксплойт представляет собой компьютерную
программу или фрагмент программного кода, использующий уязвимости в
программном обеспечении и применяемый с целью атак на компьютерную
систему. Данные атаки направлены как на захват контроля над компьютерной
системой, так и на нарушение ее нормального функционирования;
− Парольные атаки. Данные атаки нацелены на завладение
идентификаторами и паролями пользователей и могут быть проведены с
помощью таких методов, как подмена IP-адреса, подслушивание, простой
перебор. Средства перехвата, подбора и взлома паролей в данное время
считаются легальными и официально распространяются достаточно большим
15
количеством компаний. Они позиционируются как программы для аудита
безопасности и восстановления забытых паролей, и их можно законно
приобрести у разработчиков [23];
− Псевдоантивирусы – это мошеннические программы, которые
являются фальшивыми антивирусами. Они, как и законные антивирусы,
выводят сообщения об обнаружении вредоносных программ, но на самом деле
ничего не находят. Главной задачей псевдоантивирусов является убеждение
пользователей в наличии угрозы информационной безопасности и провокация
его к уплате денег за активацию. Псевдоантивирусы могут попасть в
компьютерные системы через сети посредством скрытой загрузки троянских
программ, эксплуатации взломанных или зараженных сайтов [16];
− Фишинг. Это относительно новый тип атаки, который нацелен на
получение идентификационных данных пользователей. Можно привести
следующие примеры: кража идентификаторов и паролей, PIN-кодов
банковских счетов, номеров кредитных карт и другой конфиденциальной
информации, дающей доступ к деньгам жертвы. Злоумышленниками
создаются точные копии сайтов банка, электронной платежной системы и
тому подобное. Далее при помощи спам-технологий жертвам по электронной
почте рассылаются письма, максимально похожие на настоящее письмо.
Применение ботов. Это такие программы, которые заражают компьютерные
системы и без ведома пользователя управляют ими. Зараженные ботами
компьютеры могут использоваться злоумышленниками для рассылки спама,
кражи конфиденциальных данных, анонимного доступа в сеть, взлома веб-
сайтов и кражи денег. Причем злоумышленники могут управлять
зараженными компьютерами с любой точки мира при условии наличия сети
Интернет [17].
1.3. Классификация методов и средств защиты информации в сети
Средства обеспечения информационной безопасности в компьютерных
сетях можно поделить на два класса: средства компьютерной безопасности и
16
средства сетевой безопасности. Рассмотрим подробнее каждый из этих
классов:
1) Средства компьютерной безопасности обеспечивают защиту
информации, находящейся в локальной сети или на отдельном компьютере
пользователя, от несанкционированного доступа. Они призваны защищать
серверы, маршрутизаторы, операционные системы, почтовые службы и тому
подобное.
Чаще всего в качестве средств компьютерной безопасности
используется межсетевой экран, который устанавливается в места соединения
локальной сети с Интернетом и представляет собой программное или
аппаратное средство, контролирующее трафик между внутренней локальной
сетью и Интернетом и не пропускающее подозрительный трафик в сеть.
Межсетевой экран очень часто называют брандмауэром [24].
Брандмауэр проводит анализ входящих и исходящих данных и
принимает решение: разрешить или заблокировать соединение, по которому
передаются анализируемые данные (рисунок 3).
Программный брандмауэр представляет собой сетевое приложение,
которое работает либо на компьютере, либо на каком-либо граничном сетевом
устройстве, например, маршрутизаторе [17].
Аппаратный брандмауэр представляет собой специальное сетевое
устройство, представленное на рисунке 3.
Большая часть современных брандмауэров для анализа данных
используют следующие критерии:
− адрес: соответствие адреса получателя или источника данных
заданному списку контроля адресов;
− доменное имя: соответствие доменного имени получателя или
источника данных заданному списку контроля доменов;
− номер порта: соответствие порта, через который были переданы
данные, заданному списку контроля портов;
17
− протокол: соответствие протокола данных заданному списку
контроля протоколов.
Рисунок 3 – Схема применения межсетевого экрана
Еще одним способом обеспечения компьютерной безопасности является
использование прокси-серверов – программных средств, выполняющих роль
посредника между клиентом и сервером (рисунок 4), их чаще всего применяют
для организации доступа компьютеров из локальной сети в Интернет. Точно
так же, как и брандмауэр, прокси-сервер контролирует процесс обмена
данными между клиентом и сервером.
При этом, в целях обеспечения безопасности, иногда передаваемые
данные могут быть изменены прокси-сервером [17].
Рисунок 4 – Схема применения прокси-сервера
18
2) Средства сетевой безопасности обеспечивают защиту информации в
процессе её передачи через сеть. Для обеспечения сетевой безопасности
используют специальные средства, называемые сервисами сетевой
безопасности. Они делятся на следующие виды: криптографические
преобразования (шифрование), аутентификация, идентификация и
авторизация, аудит, антивирусная защита.
3) Криптографические преобразования (шифрование) представляют
собой процесс преобразования информации из обычного, понятного
пользователю вида в зашифрованный код. Для расшифровки зашифрованной
информации используют процедуру, называемую дешифрованием.
Процедуры шифрования и дешифрования образуют криптосистему.
Информацию, необходимую для шифрования и дешифрования,
называют ключом.
Науку об обеспечении конфиденциальности, целостности и
подлинности передаваемых данных называют криптографией [27].
На сегодняшний день криптографические методы являются наиболее
эффективным способом обеспечения сетевой безопасности. Суть методов
шифрования (криптографических методов) заключается в следующем:
готовое к отправке сообщение (открытый или незащищенный текст)
зашифровывается, преобразуясь в шифрограмму (закрытый текст).
Пользователь, получив сообщение, посредством обратного преобразования
криптограммы или дешифрованием раскрывает его. В результате получается
обратно открытый текст [32].
В настоящее время основными направлениями использования
криптографических методов являются:
− идентификация санкционированных пользователей;
− контроль целостности информационных ресурсов;
− обеспечение конфиденциальности информации;
− аутентификация информации;
− защита от отказа приема сообщений;
19
− электронная цифровая подпись;
− защита документов и ценных бумаг от подделок;
− системы тайного электронного голосования.
Шифрование может быть двух типов:
− симметричное – используется один секретный ключ для шифрования и
дешифрования;
− асимметричное – для шифрования используется один общедоступный
ключ, а для дешифрования – другой секретный ключ [32].
Одним из первых и известных типов шифра криптографической
системы является шифр сдвига. Процесс шифрования сдвигом заключается в
замене каждой буквы сообщения на другую, отстоящую от исходной на
определенное количество позиций в зависимости от ключа. Недостатком
шифра сдвига является то, что существует слишком мало ключей (всего 25).
Для устранения данного недостатка был придуман шифр замены.
Шифрование заменой заключается в том, что каждая буква открытого
текста заменяется на соответствующую ей нижнюю букву. Чтобы найти
зашифрованный текст, необходимо найти каждую букву в нижней строке и
заменить ее буквой верхней строки. Количество возможных ключей шифра
замены равно количеству возможных перестановок (26 элементов).
Основным недостатком шифров сдвига и замены является то, что каждая
буква открытого текста при шифровании заменяется раз и навсегда
фиксированным символом. Именно поэтому при взломе шифра эффективно
работает статистика подлежащего языка [35]. Рассмотренные шифры
относятся к моноалфавитным шифрам.
Аутентификация представляет собой процесс подтверждения
подлинности. Она направлена на предотвращение несанкционированного
доступа к сети злоумышленников и разрешения доступа законным
пользователям.
Примером аутентификации на уровне приложений служит
аутентификация клиента и сервера, когда клиент, доказавший серверу свою
20
подлинность, должен убедиться, что ведет диалог действительно со своим
сервером. В процессе установления сеанса связи между двумя устройствами
также может быть использована взаимная аутентификация. Для
осуществления аутентификации используется средство электронной подписи
[32].
Аутентификацию не следует путать с идентификацией и авторизацией.
Идентификация представляет собой процесс сообщения пользователем
системе своих идентификационных данных, а аутентификация – процесс
доказательства подлинности представленных идентификационных данных.
Авторизация представляет собой процедуру контроля доступа к системе
законных пользователей с предоставлением каждому из них определенных
администратором конкретно ему прав.
Аудит представляет собой процесс фиксации в системном журнале
событий, которые связаны с доступом к защищаемым системам. Современные
средства наблюдения и учета позволяют обнаруживать и фиксировать
события, связанные с безопасностью.
Антивирусная защита - Компьютерные вирусы были и остаются одним
из распространенных причин потери информационных ресурсов. Особенно
компьютерные вирусы представляют опасность при работе с локальными и
глобальными сетями, объединяющими сотни и миллионы пользователей.
Самым эффективным способом борьбы с вирусами является применение
специальных программ, способных распознавать и обезвреживать вирусы в
файлах и других объектах. Программы такого рода называются
антивирусными.
В современных антивирусных программах используется два подхода к
обнаружению вирусов: сигнатурный и эвристический.
Сигнатурный метод основан на сравнении файла с известными
образцами вирусов. Главным недостатком сигнатурного метода является
задержка при реакции на новые угрозы. Для создания сигнатуры экспертам
необходимо иметь образец вируса. Только после попадания вируса в руки