Информационная безопасность

неуправляемым – в таких случаях, установив программную закладку или разослав вирус, злоумышленник полностью теряет контроль над ним;

ожидающим управление – программная закладка готовит какой-либо интерфейс для того, чтобы злоумышленник, создавший ее мог получить управление над ней и над системой (чаще всего по сети)

запрашивающим управление – программная закладка периодически выполняет подключение к каким-либо доступным ей ресурсам или серверам в сети и проверяет, нет ли для нее новых команд для исполнения (если такие команды обнаружены, то они исполняются, а результат, например, украденный файл, отправляется на тот же сервер).

Программные закладки, позволяющие  выполнять удаленное управление ими, являются очень серьезной угрозой  информационной безопасности предприятия. Кроме того, управляемые закладки, размещенные одновременно на многих серверах сети Интернет, уже неоднократно использовались для проведения скоординированных  атак. А схема с кодом, запрашивающим  управление, позволяет самому злоумышленнику в подавляющем большинстве случаев  оставаться необнаруженным.

Подведем  итоги

вредоносная программа – это программа или процедура (встроенная в какую-либо программу), умышленно изменяющая штатный режим работы компьютера.

вредоносные программы можно  классифицировать по цели функционирования: на нарушающие конфиденциальность, целостность  или доступность информации;

по степени избирательности  вредоносные программы могут  быть универсальными, ограниченными  или уникальными;

по типу управления вредоносныый код может быть неуправляемым, ожидающим управление и запрашивающим управление.

вопросы для самоконтроля

1. Приведите известные вам примеры вредоносных программ. С какими видами Вы сталкивались лично?

________________________________________________________

_____________________________________________________

 

2. Какие способы доставки  украденной информации к злоумышленнику  могут использовать программные  закладки?

________________________________________________________

________________________________________________________

 

3. Какие свойства системы могут выбраны злоумышленником в качестве признаков для активации программной закладки?

________________________________________________________

________________________________________________________

 

4. Какая схема управления вредоносным кодом наиболее опасна?

________________________________________________________

Вопрос 3.2. Троянские  программы

В результате изучения данной темы Вы будете знать

что такое троянская  программа,

где может располагаться  ее программный код,

какие несанкционированные  действия выполняют наиболее распространенные виды троянских программ.

 

Троянская программа – разновидность вредоносных программ, реализующая угрозы конфиденциальности и целостности информации и ведущая себя на атакуемом компьютере как можно менее заметно. Название произошло от мифической статуи "троянского коня", внутри которого были спрятаны люди, открывшие ворота осаждаемой Трои изнутри.

Существует три основных пути проникновения троянской программы  в защищаемую информационную систему:

программная закладка недобросовестными  производителями на этапе разработки;

умышленная установка  недобросовестным сотрудником, имеющим (или имевшим ранее) полномочия для  работы в системе;

неумышленный запуск (чаще всего в связи с заражением файлов вирусами) рядовым сотрудником.

Отдельно следует отметить случай, когда троянская программа  устанавливается извне системы  через уже имеющуюся уязвимость в системе безопасности, после  чего изнутри еще в большей  степени снижает эффективность  системы безопасности.

В операционной системе Microsoft Windows троянские программы могут располагаться:

в прикладных программах (троянская  программа активна во время работы данной прикладной программы);

в служебных невизуальных программах операционной системы – сервисах и драйверах (создается сервис с именем и описанием, напоминающими служебные, и в течение всего времени работы компьютера троянская программа может выполнять заложенные в нее злоумышленником функции);

в динамически загружаемых  библиотеках DLL (троянская программа изменяет какую-либо часто используемую библиотеку и при каждом вызове процедуры из нее может выполнять какое-либо несанкционированное действие);

редко – в программном  коде аппаратных устройств (процедура  активируется в момент инициализации  устройства или при выполнении определенных действий с ним).

Принцип активации кода троянских  программ при работе с динамически  загружаемыми библиотеками основан  на внутреннем устройстве операционной системы Microsoft Windows. Одно из основных положений работы программ в ней заключается в том, что программный код наиболее часто востребованных и системных функции операционной системы вынесен в DLL-библиотеки. При этом сразу несколько программ (как системных так и прикладных) могут одновременно использовать программный код одной и той же библиотеки. Поиск функции производится по уникальной паре требуемых имени библиотеки и имени процедуры в ней.

Закладки в программный  код аппаратных устройств имеют  гораздо более ограниченный набор  возможностей (например, не могут записывать информацию на другие устройства или  пересылать по сети) и требуют высокой  квалификации для создания. Однако, при этом обладают уникальной возможностью "выживать" при полной переустановке операционной системы и всего программного обеспечения.

  Наиболее распространенными целями работы троянских программ (исключая единичные версии) являются:

предоставление злоумышленнику полного доступа над атакованным  компьютером;

кража часто встречающейся  ценной информации (паролей доступа  к коммутируемым линиям Интернет, номеров кредитных карт, ключей систем электронных платежей);

полный лог и отправка вовне защищаемого периметра  всех текстов (в т.ч. паролей), набираемых на клавиатуре компьютера.

Более сложными и более скрытыми технологиями является перехват и фильтрация сетевых  сообщений к уже открытому TCP-порту (например, какого-либо сервера, запущенного на атакованной машине) и общение по служебному протоколу ICMP.

 Троянские программы, работающие по принципу ожидания управления чаще всего открывают на ожидание подключения какой-либо порт протокола TCP или UDP. В случае поступления пакетов на этот порт троянская программа выделяет из них команды (по заложенным в ней правилам), исполняет их и отправляет удаленной стороне результат. К типовому набору команд, реализуемых подобными программами (они получили еще одно название – "backdoor" – потайная дверь) относятся:

• чтение, запись, модификация файлов на дисках;
• запуск программ на зараженном компьютере, в том числе записанных до этого на диск от злоумышленника;
• отправка злоумышленнику копии текущего изображения на экране;
• эмуляция нажатия клавиш и передвижения курсора мыши.

В современных корпоративных  сетях все чаще в точке подключения  к сети Интернет используются межсетевые экраны, прокси-сервера и трансляция адресов. Любое из этих средств защиты не позволяет злоумышленнику начать соединение с установленной внутри защищаемого периметра троянской программой. Учитывая это, создатели и распространители вредоносных программ начинают все шире использовать принцип запроса управления.

 В этом случае троянская  программа сама, маскируясь под  сетевой трафик, разрешенный пользователю  атакованной машины, запрашивает  сервер злоумышленника о дальнейших  действиях. В качестве точки  взаимодействия может использоваться  WWW-страничка, ящик электронной почты, ICQ-подключение. Троянские программы с запросом управления являются наиболее трудно обнаружимыми из всего класса управляемых вредоносных программ.

Подведем  итоги

троянская программа – это вредоносный код, разрушающий систему защиты информации изнутри;

троянские программы могут  маскироваться или быть встроены в прикладные программы, сервисы, динамические библиотеки;

целью работы троянской программы  является либо предоставление злоумышленнику полного доступа над атакованным  компьютером, либо кража представляющей ценность информации с него;

наиболее трудно обнаружимы троянские программы, маскирующие  свой трафик под разрешенную сетевую  активность пользователя.

вопросы для самоконтроля

1. Что может послужить причиной проникновения троянской программы на защищаемый компьютер?

________________________________________________________

_____________________________________________________

 

2. Где в операционной  системе может располагаться  программный код троянской программы?  Как он получает управление (активируется)?

________________________________________________________

________________________________________________________

 

3. Каким образом злоумышленник может управлять троянской программой и что при этом он может сделать с атакованным компьютером?

________________________________________________________

 

Вопрос 3.3. Борьба с вредоносными программами

В результате изучения данной темы Вы будете знать

как не допустить  появления вредоносных программ на компьютере,

как свести к минимуму угрозы, которые вредоносные программы  могут нанести информации, даже если они попадут на компьютер,

как обнаружить вредоносный  код.

 

Мероприятия по противодействию  вредоносным программам, как частному виду угроз информационной безопасности, подразделяются на

превентивные  меры, делающие невозможным внедрение троянских программ и распространение вирусов;

поиск и уничтожение вредоносного программного кода, в тех случаях, когда он уже получил управление в системе.

Основные превентивные меры против вредоносных программ зависят  в первую очередь от способа их проникновения в систему 

Защита от закладки вредоносного кода на этапе разработки является специфичной задачей и решается:

разработкой каждого программного модуля коллективом из двух и более  человек или проверкой всего  созданного исходного программного кода отделом технического контроля, что решает проблему внедрения закладки разработчиками,

средствами обеспечения  целостности созданного исходного  кода, что решает проблему внедрения  закладки сторонними лицами на этапе  хранения исходного кода в компании-разработчике.

Защита от внедрения закладки на этапе распространения программ реализуется средствами обеспечения целостности, причем как криптографическими (электронно-цифровая подпись), так и общетехническими:

распространение программ на носителях с одноразовой записью (CD и DVD-диски);

распространение программ на электронных устройствах, запрещающих  модификацию при отсутствии пароля доступа производителя;

типографская защита, водяные  знаки, голографические метки на наклейках и бирках, не отделяемых от носителя.

Защита от вредоносного кода, запускаемого пользователем, как умышленно, так и неумышленно сводится в первую очередь к правильному разграничению прав доступа пользователей на компьютере. Сюда можно отнести:

отсутствие доступа в  каталоги других пользователей;

отсутствие доступа на запись в системные каталоги;

отсутствие доступа на запись в каталоги, в которые устанавливается  исполнимый код программ.

Мощным средством защиты от неумышленно распространяемого  вредоносного кода является установка антивирусного монитора – программы, постоянно находящейся в оперативной памяти компьютера и проверяющей открываемые и запускаемые файлы на отсутствие вредоносных программ до их активизации. Среди недостатков антивирусных мониторов необходимо назвать существенное замедление процесса запуска приложений или открытия файлов (особенно файловых архивов). В этом случае решение об установке антивирусного монитора на тот или иной компьютер должно приниматься в зависимости от конкретных задач, выполняемых на нем.

Дополнительным средством  защиты от неумышленно распространяемого  вредоносного кода должна являться высокая  техническая культура пользователей. Под этим понимается их осведомленность  о том. какие типы вирусов существуют, как они проникают на компьютер и какие файлы могут содержать вирусы. Запуск всех потенциально опасных файлов, полученных извне (другой компьютер, сеть), до проверки их антивирусной программой категорически запрещается.

Защита от вредоносного кода, распространяющегося на основе уязвимостей (в т.ч. по сети), неотъемлемо связана со своевременной информированностью технического персонала об уязвимостях в используемых версиях программных продуктов. В настоящее время практически все крупные производители имеют автоматизированные службы распространения обновлений (patches – "патчей" – программных заплаток) к своим продуктам. Под обновлениями понимаются бесплатно распространяемые утилиты обычно небольшого объема, исправляющие программный код и закрывающие обнаруженные уязвимости. В среднем от момента появления в открытом доступе информации об уязвимости до выхода обновления, закрывающего ее, проходит от нескольких дней до нескольких месяцев.