Иногда, во время работы информационных систем возникают различные сбои. Некоторые из них - по чьей-то оплошности, а некоторые, как результат злонаправленных действий. Как бы то нибыло эти действия причиняют ущерб. Поэтому будем называть такие события атаками, независимо от причин их возникновения.
Существуют четыре основных категории атак: ◾атаки доступа; ◾атаки модификации; ◾атаки на отказ в обслуживании; ◾атаки на отказ от обязательств.
Имеется огромное множество способов выполнения атак: при помощи специально разработанных средств, через уязвимые места компьютерных систем. При социальном инжиниринге для получения несанкционированного доступа к системе не используются технические средства. Злоумышленник получает информацию через обычный телефонный звонок или проникает внутрь организации под видом ее служащего. Атаки такого рода наиболее разрушительны.
В основном атаки, нацеленные на захват информации, хранимой в электронном виде, имеют одну интересную особенность: информация не похищается, а копируется. Она остается у исходного владельца, но при этом ее получает и злоумышленник. Таким образом, владелец информации несет убытки, а обнаружить момент, когда это произошло, очень трудно.
Атаки доступа
Атака доступа - это попытка злоумышленика получить информацию, на просмотра которой у него нет разрешений. Выполнение такой катогории атаки возможно везде, где существует информация и средства для ее передачи . Атака доступа направлена на нарушение конфиденциальности информации.
Подсматривание
Подсматривание (snooping) - это просмотр файлов или документов для поиска интересующей злоумышленника информации. Подсматривать можно не только физически существующие данные (распечатки), но и информацию хранящуюся в электронном виде.
Подслушивание
Когда злоумышленник слушает разговор, участником которого он не является, это называется подслушиванием (eavesdropping). Для подслушивания злоумышленник должен находиться поблизости от информации, хотя иногда достаточно использовать специальные электронные устройства.
Используемые в последнее время беспроводные сети увеличили вероятность выполнения успешного прослушивания. Теперь злоумышленнику не нужно находиться внутри системы или физически подключать подслушивающее устройство к сети. Вместо этого во время сеанса связи он располагается в зоне действия беспроводных систем, например находясь на стоянке автомобилей или вблизи здания.
Перехват
В отличие от подслушивания перехват (interception) - это активная атака. Злоумышленник перехватывает информацию в процессе доставки к месту назначения. После ее анализа принимается решение о разрешении / запрете ее дальнейшей передачи.
Выполнение атаки доступа на электронные документы
Информация в электронном виде как правило хранится:
◾на рабочих станциях; ◾на серверах; ◾в портативных компьютерах; ◾на внешних носителях; ◾на резервных магнитных лентах.
Злоумышленник может украсть носитель данных (дискету, компакт-диск, резервную магнитную ленту или портативный компьютер). Иногда это сделать легче, чем получить доступ к файлам, хранящимся в компьютерах.
Если злоумышленник имеет легальный доступ к системе, он будет анализировать файлы, просто открывая один за другим. При должном уровне контроля над разрешениями доступ для нелегального пользователя будет закрыт, а попытки доступа зарегистрированы в соответствующихь журналах.
Правильно настроенные разрешения предотвратят случайную утечку информации. Однако серьезный взломщик постарается обойти систему контроля и получить доступ к нужной информации. Существует большое количество уязвимых мест, которые помогут ему в этом.
При прохождении информации по сети к ней можно обращаться, прослушивая передачу. Взломщик делает это, устанавливая в компьютерной системе сетевой анализатор пакетов (sniffer). Анализатор настроен на захват любой информации, проходящей по сети, но особенно злоумышленнику интересны - пользовательские идентификаторы и пароли.
Как уже говорилось выше, появление беспроводной технологии позволяет взломщикам перехватывать трафик без физического доступа к системе. Беспроводные сигналы считываются на довольно большом расстоянии от их источника.
Подслушивание выполняется и в глобальных компьютерных сетях типа Интернет, но такой тип перехвата требует наличия соответствующей аппаратуры и специальных знаний. В этом случае наиболее удачным местом для размещения специального оборудования, может стать этажный шкаф оборудования провайдера.
Перехват возможен даже в системах оптико-волоконной связи (в которой отсутствует электомагнитное излучение) с помощью специализированного оборудования.
Информационный доступ с использованием перехвата - одна из сложнейших задач для злоумышленника. Чтобы добиться успеха, он должен поместить свою систему в линии передачи между отправителем и получателем информации. В интернете это выполняется посредством изменения имени, в результате чего при выполнении разрешения имени компьютера его имя преобразуется в неправильный адрес. Трафик перенаправляется к системе атакующего вместо реального узла назначения. При соответствующей настройке такой системы отправитель так и не узнает, что его информация не дошла до получателя.
Атака модификации
Атака модификации - это попытка неправомочного изменения информации. Такая атака возможна везде, где существует или передается информация; она направлена на нарушение целостности информации
Замена
Одним из видов атаки модификации является замена существующей информации, например, изменение заработной платы служащего. Атака замены направлена как против секретной, так и общедоступной информации.
Добавление
Другой тип атаки - добавление новых данных, например, в информацию об истории прошлых периодов. Взломщик выполняет операцию в банковской системе, в результате чего средства со счета клиента перемещаются на его собственный счет.
Удаление
Атака удаления означает перемещение существующих данных, например, аннулирование записи об операции из балансового отчета банка, в результате чего снятые со счета денежные средства остаются на нем.
Выполнение атаки модификации
Как и атаки доступа, атаки модификации выполняются по отношению к информации, хранящейся в виде бумажных документов или в электронном виде на компьютере
Документы
Документы сложно изменить так, чтобы этого никто не заметил: при наличии подписи (например, в контракте) нужно позаботиться о ее подделке, скрепленный документ необходимо аккуратно собрать заново.
Примечание
При наличии копий документа их тоже нужно переделать, как и исходный. А поскольку практически невозможно найти все копии, подделку заметить очень легко.
Очень трудно добавлять или удалять записи из журналов операций. Во-первых, информация в них расположена в хронологическом порядке, поэтому любое изменение будет сразу замечено. Лучший способ - изъять документ и заменить новым. Для атак такого рода необходим физический доступ к информации.
Информация, хранящаяся в электронном виде
Изменить информацию, хранящуюся в электронном виде, значительно легче. При наличии соответствующего доступу к системе, такая операция оставляет после себя минимум улик. При отсутствии санкционированного доступа злоумышленник первоначально обеспечивает себе вход в систему или снимает разрешения с файла. Атаки такого рода используют уязвимые места систем, например, "бреши" в безопасности сервера , позволяющие заменить домашнюю страницу.
Изменение файлов базы данных или списка транзакций должно выполняться очень осторожно. Транзакции нумеруются последовательно, и удаление или добавление неправильных операционных номеров будет замечено. В этих случаях необходимо основательно поработать во всей системе, чтобы воспрепятствовать обнаружению.
Труднее произвести успешную атаку модификации при передаче информации. Лучший способ - сначала выполнить перехват интересующего трафика, а затем внести изменения в информацию перед ее отправкой к пункту назначения.
Выполнение атаки на отказ в обслуживании
Атаки на отказ в обслуживании (Denial-of-service, DoS) - это атаки, приводящие к невозможности получения информации легальным пользователям. В результате DoS-атаки злоумышленник обычно не получает доступа к компьютерной системе и не может оперировать с информацией, он просто делает систему или находящуюся в ней информацию недоступной.
Отказ в доступе к информации
В результате DoS-атаки, направленной против информации, последняя становится непригодной для использования. Информация уничтожается, искажается или переносится в недоступное место.
Отказ в доступе к приложениям
Другой тип DoS-атак направлен на приложения, обрабатывающие или отображающие информацию, или на компьютерную систему, в которой эти приложения выполняются. В случае успеха подобной атаки решение задач, выполняемых с помощью такого приложения, становится невозможным.
Отказ в доступе к системе
Общий тип DoS-атак ставит своей целью вывод из строя компьютерной системы, в результате чего сама система, установленные на ней приложения и вся сохраненная информация становится недоступной.
Отказ в доступе к средствам связи
Атаки на отказ в доступе к средствам связи выполняются уже много лет. В качестве примера можно привести разрыв сетевого провода, глушение радиопередач или лавинную рассылку сообщений, создающую непомерный трафик. Целью атаки является коммуникационная среда. Целостность компьютерной системы и информации не нарушается, однако отсутствие средств связи лишает доступа к этим ресурсам.
Как выполняются атаки на отказ в обслуживании
DoS-атаки обычно направлены против компьютерных систем и сетей.
Существует много способов выполнения DoS-атак, способных повредить информацию, хранящуюся в электронном виде. Ее можно удалить, а для закрепления успеха злоумышленник удалит и все резервные копии этой информации. Он может привести файл в негодность, зашифровав его и затем уничтожив ключ шифрования. Доступ к информации будет потерян, если не существует резервной копии файла.
Физическая атака DoS - это и физическое уничтожение компьютера (или его кража). Пример кратковременной атаки DoS - отключение компьютера, в результате которого пользователи лишаются доступа к своим приложениям.
Существуют атаки DoS, нацеленные непосредственно на компьютерную систему. Они реализуются через эксплоиты, использующие уязвимые места операционных систем или межсетевых протоколов.
Злоумышленникам хорошо известны и "бреши" в приложениях. С их помощью атакующий посылает в приложение определенный набор команд, который оно не в состоянии правильно обработать, в результате чего приложение выходит из строя. Перезагрузка восстанавливает его работоспособность, но на время перезагрузки работать с приложением становится невозможно.
Самый легкий способ привести в нерабочее состояние средства коммуникации - это перерезать сетевой кабель. Для такой атаки требуется физический доступ к проводке, но, как мы увидим дальше, ковш экскаватора является мощным инструментом DoS-атак.
DoS-атаки, направленные на средства связи, выполняют отправку на сайт непомерно большого трафика. Этот трафик буквально переполняет коммуникационную инфраструктуру, лишая доступа к сети легальных пользователей.
Но не все DoS-атаки являются преднамеренными, иногда случайность играет большую роль в возникновении подобных инцидентов. Экскаватор, о котором говорилось выше, может оборвать оптико-волоконную линию передачи во время выполнения своей обычной работы. Такой обрыв уже служил поводом множества DoS-инцидентов для пользователей телефонных сетей и интернета. Разработчики, тестирующие новый программный код, иногда выводили из строя большие системы, совершенно того не желая. Даже дети становятся причиной случайной DoS-атаки. Во время экскурсии по центру обработки данных ребенок будет настолько очарован мерцающими повсюду огоньками, что не удержится от соблазна нажать на красивую кнопку - и остановит или перезагрузит всю систему.
Атака на отказ от обязательств
Эта атака направлена против возможности идентификации информации, другими словами, это попытка дать неверную информацию о реальном событии или транзакции.
Маскарад
Маскарад - это выполнение действий под видом другого пользователя или другой системы. Такая атака реализуется при связи через персональные устройства, при осуществлении финансовых операций или при передаче информации от одной системы к другой.
DoS-атаки против интернета
Целью DoS-атак обычно является отдельная компьютерная система или линия связи, но иногда они направлены против всего интернета! Так в 2002 г. произошла атака на серверы корневых имен интернета. Они были буквально "завалены" запросами на разрешение имен. Запросов было так много, что некоторые компьютеры вышли из строя. Но атака не имела полного успеха, так как многие серверы не потеряли работоспособность, и интернет продолжал функционировать. Если бы удалось вывести из строя все серверы, то интернет стал бы недоступным по большинству разрешенных имен. Отрицание события
Отрицание события - это отказ от факта совершения операции. Например, человек делает покупку в магазине при помощи кредитной карты. Когда приходит счет, он заявляет компании, предоставившей ему кредитную карту, что никогда не делал этой покупки.
Выполнение атаки на отказ от обязательств
Атаки на отказ от обязательств выполняются гораздо успешнее, если информация представлена в электронном виде. Ведь электронный документ может создать и отправить кто угодно. В поле "от" ("from") адреса электронной почты легко изменить имя отправителя, подлинность которого не проверяется службой электронной почты.
Это справедливо и для информации, передаваемой компьютерными системами. Система может назначить себе любой IP-адрес и замаскироваться под другую систему.
Итак, обнаружение атак - дело нелегкое. Вы можете использовать для этого электронные средства, но не пренебрегайте проблемами физической безопасности и персоналом своей организации.
Наконец, при выработке стратегии не ограничивайтесь компьютерами и сетями. Подумайте о том, как злоумышленник может использовать физические средства для получения информации или для ее уничтожения.
