Научная организация инженерного труда

В глобальных вычислительных сетях должны быть доступны информационные ресурсы и различные сервисы, например, почтовый сервер, сервер доменных имен, web-сервер и др.

При рассмотрении вопросов, связанных  с информационной безопасностью, в  современных вычислительных сетях  необходимо учитывать следующие  факторы:

a) глобальную связанность;

б) разнородность корпоративных информационных систем;

в) распространение технологии "клиент/сервер".

Применительно к системам связи  глобальная связанность означает, что  речь идет о защите сетей, пользующихся внешними сервисами, основанными на протоколах TCP/IP, и предоставляющих  аналогичные сервисы вовне. Весьма вероятно, что внешние сервисы  находятся в других странах, поэтому  от средств защиты в данном случае требуется следование стандартам, признанным на международном уровне. Национальные границы, законы, стандарты не должны препятствовать защите потоков данных между клиентами и серверами.

Из факта глобальной связанности  вытекает также меньшая эффективность  мер физической защиты, общее усложнение проблем, связанных с защитой  от несанкционированного доступа, необходимость  привлечения для их решения новых  программно-технических средств, например, межсетевых экранов.

Разнородность аппаратных и программных  платформ требует от изготовителей  средств защиты соблюдения определенной технологической дисциплины. Важны  не только чисто защитные характеристики, но и возможность встраивания  этих систем в современные корпоративные  информационные структуры. Если, например, продукт, предназначенный для криптографической  защиты, способен функционировать исключительно  на платформе Wintel (Windows+Intel), то его практическая применимость вызывает серьезные сомнения.

Корпоративные информационные системы  оказываются разнородными еще в  одном важном отношении – в  разных частях этих систем хранятся и  обрабатываются данные разной степени  важности и секретности.

Использования технологии "клиент/сервер" с точки зрения информационной безопасности имеет следующие особенности:

а) каждый сервис имеет свою трактовку главных аспектов информационной б) безопасности (доступности, целостности, конфиденциальности);

в) каждый сервис имеет свою трактовку понятий субъекта и объекта;

г) каждый сервис имеет специфические угрозы;

д) каждый сервис нужно по-своему администрировать;

е) средства безопасности в каждый сервис нужно встраивать по-особому.

Рассмотрим еще одну особенность  информационной безопасности, связанную  с вычислительными сетями. В последнее  время все четче просматривается  незащищенность вычислительных сетей  от глобальных атак.

Исторически первой глобальной атакой на компьютерные сети считается распространение  вируса Морриса (4 ноября 1988) в сети "Arpanet", когда примерно из 60 000 компьютеров в сети было заражено около 10% (примерно 6 000). Неконтролируемый процесс распространения вируса привел к блокировке сети.

За последние два года как  минимум успешными были три глобальные атаки:

1)   21 октября 2002. Сеть "Internet". Запланированная DoS-атака на Интернет. В момент атаки нагрузка на Европейский сегмент Интернета возросла на 6%.

2) 25 января 2003. Сеть "Internet". Флеш-червь "SQL. Slammer". Неконтролируемый процесс распространения вируса привел к перегрузке каналов передачи данных в Ю. Корее. Нагрузка на Европейский сегмент Интернета возросла примерно на 25%.

3)   12 августа 2003. Сеть "Internet". Сетевой червь "Lovesan".

Успешные глобальные сетевые атаки, безусловно, являются самым разрушительным явлением, которое может произойти  в современных сетях.

3 Удаленные угрозы в вычислительных сетях

3.1 Классификация удаленных угроз и их характеристика

При изложении данного материала  в некоторых случаях корректнее говорить об удаленных атаках нежели, об удаленных угрозах объектам вычислительных сетей, тем не менее, все возможные  удаленные атаки являются в принципе удаленными угрозами информационной безопасности.

Удаленные угрозы можно классифицировать по следующим признакам:

1. По характеру воздействия:

а) пассивные (класс 1.1);

б) активные (класс 1.2).

Пассивным воздействием на распределенную вычислительную систему называется воздействие, которое не оказывает  непосредственного влияния на работу системы, но может нарушать ее политику безопасности. Именно отсутствие непосредственного влияния на работу сети приводит к тому, что пассивное удаленное воздействие практически невозможно обнаружить. Примером пассивного типового удаленного воздействия в вычислительных сетях является прослушивание канала связи в сети.

Под активным воздействием на вычислительную сеть понимается воздействие, оказывающее  непосредственное влияние на работу сети (изменение конфигурации, нарушение  работоспособности и т. д.) и нарушающее принятую в ней политику безопасности. Практически все типы удаленных  угроз являются активными воздействиями. Это связано с тем, что в  самой природе разрушающего воздействия  содержится активное начало. Очевидной  особенностью активного воздействия  по сравнению с пассивным является принципиальная возможность его обнаружения, так как в результате его осуществления в системе происходят определенные изменения. В отличие от активного, при пассивном воздействии не остается никаких следов (просмотр чужого сообщения ничего не меняет).

2. По цели воздействия:

а) нарушение конфиденциальности информации (класс 2.1);

б) нарушение целостности информации (класс 2.2);

в) нарушение работоспособности системы (класс 2.3).

Этот классификационный признак является прямой проекцией трех основных типов угроз – раскрытия, целостности и отказа в обслуживании.

Одна из основных целей злоумышленников  – получение несанкционированного доступа к информации. Существуют две принципиальные возможности  доступа к информации: перехват и искажение. Возможность перехвата информации означает получение к ней доступа, но невозможность ее модификации. Следовательно, перехват информации ведет к нарушению ее конфиденциальности. Примером перехвата информации может служить прослушивание канала в сети. В этом случае имеется несанкционированный доступ к информации без возможности ее искажения. Очевидно также, что нарушение конфиденциальности информации является пассивным воздействием.

Возможность искажения информации означает либо полный контроль над  информационным потоком между объектами  системы, либо возможность передачи сообщений от имени другого объекта. Таким образом, очевидно, что искажение  информации ведет к нарушению  ее целостности. Данное информационное разрушающее воздействие представляет собой яркий пример активного  воздействия. Примером удаленной угрозы, цель которой нарушение целостности  информации, может служить типовая  удаленная атака "ложный объект распределенной вычислительной сети".

Принципиально другая цель преследуется злоумышленником при реализации угрозы для нарушения работоспособности  сети. В этом случае не предполагается получение несанкционированного доступа  к информации. Его основная цель – добиться, чтобы узел сети или какой то из сервисов поддерживаемый им вышел из строя и для всех остальных объектов сети доступ к ресурсам атакованного объекта был бы невозможен. Примером удаленной атаки, целью которой является нарушение работоспособности системы, может служить типовая удаленная атака "отказ в обслуживании".

3. По условию начала осуществления воздействия

Удаленное воздействие, также как  и любое другое, может начать осуществляться только при определенных условиях. В вычислительных сетях можно выделить три вида условий начала осуществления удаленной атаки:

а) по запросу от атакуемого объекта (класс 3.1);

б) по наступлению ожидаемого события на атакуемом объекте (класс 3.2);

в) безусловная атака (класс 3.3).

В первом случае, злоумышленик ожидает передачи от потенциальной цели атаки запроса определенного типа, который и будет условием начала осуществления воздействия. Примером подобных запросов в сети Internet служат DNS-запросы. Отметим, что данный тип удаленных атак наиболее характерен для распределенных вычислительных сетей.

Во втором случае, злоумышленник  осуществляет постоянное наблюдение за состоянием операционной системы удаленной  цели атаки и при возникновении  определенного события в этой системе начинает воздействие. Как  и в предыдущем случае, инициатором  осуществления начала атаки выступает  сам атакуемый объект.

Реализация третьего вида атаки  не связана ни с какими событиями  и реализуется безусловно по отношению к цели атаки, то есть атака осуществляется немедленно.

4. По наличию обратной связи с атакуемым объектом:

а) с обратной связью (класс 4.1);

б) без обратной связи (однонаправленная атака) (класс 4.2).

Удаленная атака, осуществляемая при  наличии обратной связи с атакуемым  объектом, характеризуется тем, что  на некоторые запросы, переданные на атакуемый объект, атакующему требуется получить ответ, а следовательно, между атакующим и целью атаки существует обратная связь, которая позволяет атакующему адекватно реагировать на все изменения, происходящие на атакуемом объекте.

В отличие от атак с обратной связью удаленным атакам без обратной связи  не требуется реагировать на какие-либо изменения, происходящие на атакуемом  объекте. Атаки данного вида обычно осуществляются передачей на атакуемый  объект одиночных запросов, ответы на которые атакующему не нужны. Подобную удаленную атаку можно называть однонаправленной удаленной атакой. Примером однонаправленных атак является типовая удаленная атака "отказ в обслуживании".

5. По расположению субъекта атаки относительно атакуемого объекта:

а) внутрисегментное (класс 5.1);

б) межсегментное (класс 5.2).

Рассмотрим ряд определений:

Субъект атаки (или источник атаки) – это атакующая программа или злоумышленник, непосредственно осуществляющие воздействие.

Маршрутизатор (router) – устройство, обеспечивающее маршрутизацию пакетов обмена в глобальной сети.

Подсеть (subnetwork) (в терминологии Internet) – совокупность хостов, являющихся частью глобальной сети, для которых маршрутизатором выделен одинаковый номер подсети. Хосты внутри одной подсети могут взаимодействовать между собой непосредственно, минуя маршрутизатор.

Сегмент сети – физическое объединение хостов. Например, сегмент сети образуют совокупность хостов, подключенных к серверу по схеме "общая шина". При такой схеме подключения каждый хост имеет возможность подвергать анализу любой пакет в своем сегменте.

С точки зрения удаленной атаки  чрезвычайно важно, как по отношению  друг к другу располагаются субъект  и объект атаки, то есть в одном  или в разных сегментах они  находятся. В случае внутрисегментной атаки, как следует из названия, субъект  и объект атаки находятся в  одном сегменте. При межсегментной  атаке субъект и объект атаки  находятся в разных сегментах.

Данный классификационный признак  позволяет судить о так называемой "степени удаленности" атаки.

Важно отметить, что межсегментная  удаленная атака представляет гораздо большую опасность, чем внутрисегментная. Это связано с тем, что в случае межсегментной атаки объект её и непосредственно атакующий могут находиться на расстоянии многих тысяч километров друг от друга, что может существенно воспрепятствовать мерам по локализации субъекта атаки.

6. По уровню модели ISO/OSI, на котором осуществляется воздействие:

а) физический (класс 6.1);

б) канальный (класс 6.2);

в) сетевой (класс 6.3);

г) транспортный (класс 6.4);

д) сеансовый (класс 6.5);

е) представительный (класс 6.6);

ж) прикладной (класс 6.7).

 

3.2 Типовые удаленные атаки и их характеристика

Распределенные вычислительные сети проектируются на основе одних и тех же принципов, а, следовательно, имеют практически одинаковые проблемы безопасности, причем, в большинстве случаев, независимо от используемых сетевых протоколов, топологии и инфраструктуры вычислительной сети.

С учетом этого специалисты в  области информационной безопасности используют понятие типовой удаленной  угрозы (атаки), характерной для любых  распределенных вычислительных сетей. Введение этого понятия в совокупности с описанием механизмов реализации типовых удаленных угроз позволяет  выработать методику исследования безопасности вычислительных сетей, заключающуюся  в последовательной умышленной реализации всех типовых удаленных угроз  и наблюдению за поведением системы [6].

  Типовая удаленная атака – это удаленное информационное разрушающее воздействие, программно осуществляемое по каналам связи и характерное для любой распределенной вычислительной сети.