Преднамеренные угрозы. 
Экономическая информатика

Второй класс угроз безопасности информации в ИС составляют преднамеренно создаваемые угрозы. Природу этих угроз характеризует несимметричность. С позиций злоумышленника угрозы, как правило, имеют признаки как детерминированных, так и случайных событий. Так, время и алгоритм реализации чаще всего являются детерминированными, а последствия реализации угроз часто носят случайный характер. Для субъекта, против которого направлены действия злоумышленника, угрозы безопасности информации полностью связаны со случайными событиями. Даже если система информационной безопасности вскрыла подготовку злоумышленников к воздействию на систему, то и в этом случае, как правило, отсутствуют полные данные о времени начала атаки и реальных возможностях злоумышленников. Данный класс угроз отличает динамика изменений угроз, и он постоянно пополняется новыми угрозами.

Угрозы этого класса в соответствии с их физической сущностью и механизмами реализации могут быть распределены по пяти группам.

Методы традиционного шпионажа и диверсий — угрозы, которые не связаны напрямую с использованием компьютерных технологий в ИС. Они использовались еще до появления современных информационных технологий, но ио-прежнему остаются актуальными и эффективными. Методы традиционного шпионажа и диверсий, опираясь на новые технологические возможности, используются как для непосредственного получения конфиденциальной информации и навязывания ложной информации, гак и для негативного воздействия на компоненты ИС. Эти методы могут использоваться также совместно с методами воздействия на компьютерные системы.

Целью несанкционированного воздействия являются получение контроля над ИС и (или) сотрудниками, а также нарушение работоспособности системы.

К методам шпионажа и диверсий относятся:

• — подслушивание;
• — визуальное наблюдение;
• — дезинформация;
• — хищение документов и машинных носителей информации;
• — хищение программ и атрибутов системы защиты;
• — сбор и анализ отходов машинных носителей информации;
• — подкуп и шантаж сотрудников;
• — поджоги;
• — взрывы.

Для подслушивания злоумышленнику не обязательно проникать на объект. Современные средства позволяют прослушивать разговоры с расстояния нескольких сотен метров. В помещениях аудиоинформация может прослушиваться с расстояния от нескольких сотен до нескольких десятков метров, например с помощью лазерных устройств.

Вне помещений подслушивание ведется с помощью сверхчувствительных направленных микрофонов на расстояниях 50—150 м в городе и до 500 м за городом.

Разговоры в соседних помещениях, за стенами зданий толщиной до 50—100 см могут контролироваться с помощью стетоскопных микрофонов.

Одним из возможных каналов утечки звуковой информации может быть прослушивание переговоров, ведущихся с помощью средств связи. Контролироваться могут как проводные каналы связи, так и радиоканалы. Прослушивание переговоров, но проводным и радиоканалам не требует дорогостоящего оборудования и высокой квалификации злоумышленника.

Дистанционная видеоразведка для получения информации в ИС малопригодна и носит, как правило, вспомогательный характер. Видеоразведка организуется в основном для выявления режимов работы и расположения механизмов защиты информации.

Для аудиои видеоконтроля помещений при отсутствии в них злоумышленника могут использоваться закладные устройства или «жучки». Закладные устройства делятся на проводные и излучающие.

Ущерб организации может быть нанесен с помощью дезинформации. В конкурентной борьбе довольно часто прибегают к распространению ложной или искаженной информации с целью введения в заблуждение соперника относительно своих намерений, состоянии рынка, проводимых переговоров и т. п.

По-прежнему весьма эффективным способом воздействия на объекты ИС является хищение документов, машинных носителей информации, атрибутов систем защиты.

Вербовка сотрудников и физическое уничтожение объектов КС может осуществляться без непосредственного доступа на объект.

Для некоторых объектов И С существует угроза вооруженного нападения террористических или диверсионных групп. Целями нападения могут быть: уничтожение отдельных элементов ИС или всего объекта, захват документации, машинных носителей, а также лиц из числа обслуживающего персонала.

Серьезную угрозу безопасности информации несут злоумышленные действия сотрудников предприятия — инсайдеров (от англ, inside — внутри). Под инсайдером понимают любое лицо, имеющее доступ к конфиденциальной информации о деятельности фирмы в силу своего служебного положения или родственных связей. На долю инсайдеров приходится более 80% всех злоумышленных действий в отношении ИС.

Несанкционированный доступ к информации (НСДИ) определен как доступ к информации, нарушающий правила разграничения доступа с использованием штатных средств вычислительной техники или автоматизированных систем.

Под правилами разграничения доступа понимается совокупность положений, регламентирующих права доступа лиц или процессов (субъектов доступа) к единицам информации (объектам доступа). Право доступа к ресурсам И С определяется руководством организации для каждого сотрудника в соответствии с его функциональными обязанностями.

НСДИ возможен только с использованием штатных аппаратных и программных средств в следующих случаях:

• — отсутствие системы разграничения доступа;
• — возникновение стихийные бедствий и аварий;
• — сбой или отказ в КС;
• — ошибочные действия пользователей или обслуживающего персонала компьютерных систем;
• — ошибки в системе разграничения доступа, в программном обеспечении;
• — фальсификация полномочий.

Процесс обработки и передачи информации техническими средствами КС сопровождается электромагнитными излучениями в окружающее пространство, а также наведением электрических сигналов в линиях связи, сигнализации, заземлении и других проводниках, находящихся в непосредственной близости с проводящими линиями передачи электрических сигналов КС. Они получили соответственно название побочных электромагнитных излучений и наводок (ПЭМИН).

С помощью специального оборудования сигналы электромагнитных излучений принимаются на расстояниях до нескольких сотен метров, выделяются, усиливаются и могут либо просматриваться, либо записываться в запоминающих устройствах.

Наведенные в проводниках электрические сигналы могут выделяться и фиксироваться с помощью оборудования, подключаемого к этим проводникам на расстоянии в сотни метров от источника сигналов.

Электромагнитные излучения используются противоборствующими сторонами не только для получения информации, но и для ее уничтожения. Электромагнитные импульсы способны уничтожить информацию на магнитных носителях. Для уничтожения информации на магнитных носителях с расстояния нескольких десятков метров может быть использовано устройство, помещающееся в портфель.

Мощные высокочастотные электромагнитные излучения могут вывести из строя электронные блоки ИС. В отличие от ПЭМИН эта угроза реализуется сравнительно просто.

Несанкционированная модификация программной и технической (аппаратной) структур системы приводит к изменению алгоритмов функционирования систем и представляет большую угрозу безопасности информации в КС. Модификация структуры КС заключается в изменении элементов системы (программ, устройств, блоков), их состава (удаление, добавление и подмена элементов), а также в изменении режимов работы элементов КС и связей между ними.

Аппаратные «закладки» могут в определенный момент времени подавать высокое напряжение в цепи питания микросхем, передавать по радиоканалу информацию, пересылаемую внутри компьютера между устройствами, изменять алгоритм функционирования, дублировать информацию в открытые разделы памяти и многое другое. В микросхемах, насчитывающих миллиарды электронных элементов (транзисторов и др.), очень сложно обнаружить «закладку».

Программные «закладки» функционируют самостоятельно, изменяя алгоритм работы системы, или обеспечивают работу аппаратных «закладок». Программные «закладки» представляют собой измененный, добавленный или удаленный функциональный блок (программный код) существующей программы. Создаются также «закладки» как отдельные программы. Функциональным блоком является процедура, функция, ветвь или оператор.

Программные и аппаратные «закладки» используются либо для непосредственного вредительского воздействия на ИС, либо для обеспечения неконтролируемого входа в систему. Вредительские воздействия «закладок» на ИС осуществляются при получении соответствующей команды извне или при наступлении определенных событий в системе. Такими событиями могут быть: переход на определенный режим работы (например, боевой режим системы управления оружием или режим устранения аварийной ситуации на атомной электростанции и т. п.), наступление установленной даты, достижение определенной наработки и т. д.

Программная структура несанкционированно изменяется чаще всего на этапе эксплуатации ИС. Одним из основных источников угроз безопасности информации в КС является использование специальных программ, получивших общее название «вредительские программы» (Malware, «зловреды»). К этим программам относятся все программы, которые способны выполнять недекларированные (не объявленные официально) действия или препятствовать выполнению штатных действий, независимо от последствий наличия таких программ в ИС.

Создатели вредительских программ преследуют различные цели. Поэтому последствия выполнения таких программ для информационных ресурсов ИС находятся в очень широком диапазоне. Тем не менее любая программа, наличие которой не предусмотрено штатной структурой, снижает эффективность работы ИС. Даже если программа не наносит явный ущерб информационным ресурсам, то она, по крайней мере, расходует ресурсы ИС для своего хранения и выполнения.

По данным фирмы Panda Security, ежедневно в мире фиксируется появление более 50 000 новых вредительских программ. Существует много различных классификаций вредительских программ. Одна из таких классификаций выполнена специалистами лаборатории Касперского по признаку наличия деструктивной функции, выполняемой вредительской программой на зараженном компьютере.

• 1. Программы, непосредственно выполняющие деструктивную функцию (собственно вредительские программы):
  • — вирусы;
  • — черви;
  • — «троянские» программы.
• 2. Программы, обеспечивающие выполнение программ с деструктивной функцией:
  • — подозрительные упаковщики;
  • — вредоносные утилиты;
  • — условно нежелательные программы (.Adware и Riskware).

Вирусные программы способны создавать свои копии (репликации) в пределах зараженного компьютера, заражая, в том числе, и съемные носители информации. Черви создают копии и распространяются в компьютерных сетях. Троянские программы не создают своих копий. В разные периоды количественное соотношение между этими видами вредительских программ изменялось. В настоящее время более 70% вредительских программ относятся к троянским программам и только 2% — к вирусам. Объясняется это направленностью действий современных злоумышленников на заражение конкретных компьютеров или сетей.

Подозрительные упаковщики используются для скрытного размещения вредительских программ. Достигается это путем преобразования кодов программ, после которого затрудняется идентификация таких программ антивирусными средствами.

Вредоносные утилиты применяются для автоматизации создания других вирусов, червей или троянских программ, организации атак на удаленные серверы, взлома других компьютеров и т. п. В отличие от вирусов, червей и троянских программ, представители данной категории не представляют угрозы компьютеру, на котором исполняются.

К группе нежелательных программ относятся рекламные программы {Adware), которые используют для распространения и работы вредительских программ (скрытое размещение на компьютере, блокирование механизмов удаления и т. п.). К этой же группе следует отнести программы, которые можно характеризовать как программы двойного применения (Riskware). Они могут быть использованы как для получения положительного эффекта, так и для нанесения ущерба. К ним относятся программы удаленного администрирования, сканирования защищенности системы от сетевых атак и т. п.

Вредительские программы могут классифицироваться и по другим признакам. По своему назначению вредительские программы могут разделяться на следующие основные группы:

• — шпионские программы (Spyware);
• — программы рассылки спама {Adware)-,
• — программы скрытого удаленного администрирования {Rootkit, Backdoor)-,
• — программы перехвата сообщений в сети {Sniffing).

Шпионские программы предназначены для сбора информации, интересующей злоумышленников. Такие программы используются чаще всего для получения сетевых имен и паролей, ключей шифрования информации, банковских реквизитов, ноу-хау, конфиденциальной и другой важной информации. Примером могут служить программы, получившие общее название клавиатурный шпион {Keylogger). Программа запоминает информацию, вводимую с помощью клавиатуры, а затем передает по определенному адресу в сети.

Назначение программ рассылки спама и перехвата сообщений в сети очевидно.

Программы скрытого дистанционного администрирования или управления могут использоваться для различных конечных целей злоумышленника. С помощью таких программ осуществляется скрытая установка других вредительских программ, изменение алгоритма выполнения легитимно установленных на компьютере программ, создание сетей из зараженных компьютеров {Botnets).

Современным вредительским программам присущи следующие особенности:

• — использование, как правило, в корыстных целях;
• — появление совершенных программ, поражающих ИС управления промышленными предприятиями (например, вирус Stuxnet, внедренный в систему управления атомной электростанции в Иране);
• — работу вредительских программ могут обеспечивать другие вспомогательные программы;
• — частое использование ошибок в программах, не входящих в состав операционных систем;
• — применение в отношении информационных систем определенных организаций, что затрудняет их идентификацию антивирусными лабораториями, по сравнению с массовым распространением вредительских программ;

основным каналом распространения вредительских программ является сеть Интернет.