Угрозы, характерные для электронных платежных систем

Под угрозой обычно понимают потенциально возможное событие, действие (воздействие), процесс или явление, которое может привести к нанесению ущерба чьим-либо интересам.

Основными видами угроз безопасности АС и информации (угроз интересам субъектов информационных отношений) являются:

• — стихийные бедствия и аварии (наводнение, ураган, землетрясение, пожар и т. п.);
• — сбои и отказы оборудования (технических средств) АС;
• — последствия ошибок проектирования и разработки компонентов АС (аппаратных средств, технологии обработки информации, программ, структур данных и т. п.);
• — ошибки эксплуатации (пользователей, операторов и другого персонала);
• — преднамеренные действия нарушителей и злоумышленников (обиженных лиц из числа персонала, преступников и т. п.).

Все множество потенциальных угроз по природе их возникновения разделяется на два класса:

• — естественные угрозыэто угрозы, вызванные воздействиями на АС и ее элементы объективных физических процессов или стихийных природных явлений, независящих от человека;
• — искусственные угрозыэто угрозы АС, вызванные деятельностью человека.

Среди них, исходя из мотивации действий, можно выделить:

• — непреднамеренные (неумышленные, случайные) угрозы, вызванные ошибками в проектировании АС и ее элементов, ошибками в программном обеспечении, ошибками в действиях персонала и т. п.;
• — преднамеренные (умышленные) угрозы, связанные с корыстными устремлениями людей (злоумышленников).

Источники угроз по отношению к АС могут быть внешними или внутренними (компоненты самой АС — ее аппаратура, программы, персонал). Основные непреднамеренные искусственные угрозы АС (действия, совершаемые людьми случайно, по незнанию, невнимательности или халатности, из любопытства, но без злого умысла):

• — неумышленные действия, приводящие к частичному или полному отказу системы или разрушению аппаратных, программных, информационных ресурсов системы (неумышленная порча оборудования, удаление, искажение файлов с важной информацией или программ, в том числе системных и т. п.);
• — неправомерное отключение оборудования или изменение режимов работы устройств и программ;
• — неумышленная порча носителей информации;
• — запуск технологических программ, способных при некомпетентном использовании вызывать потерю работоспособности системы или осуществляющих необратимые изменения в системе (форматирование или реструктуризацию носителей информации, удаление данных и т. п.);
• — нелегальное внедрение и использование неучтенных программ (игровых, обучающих, технологических и др., не являющихся необходимыми для выполнения нарушителем своих служебных обязанностей) с последующим необоснованным расходованием ресурсов (загрузка процессора, захват оперативной памяти и памяти на внешних носителях);
• — заражение компьютера вирусами;
• — неосторожные действия, приводящие к разглашению конфиденциальной информации или делающие ее общедоступной;
• — разглашение, передача или утрата атрибутов разграничения доступа (паролей, ключей шифрования, идентификационных карточек, пропусков и т. п.);
• — проектирование архитектуры системы, технологии обработки данных, разработка прикладных программ, с возможностями, представляющими опасность для работоспособности системы и безопасности информации;
• — игнорирование установленных правил при работе в системе;
• — вход в систему в обход средств защиты (загрузка посторонней операционной системы со сменных магнитных носителей и т. п.);
• — некомпетентное использование, настройка или неправомерное отключение средств защиты персоналом службы безопасности;
• — пересылка данных по ошибочному адресу абонента (устройства);
• — ввод ошибочных данных;
• — неумышленное повреждение каналов связи.

Основные пути умышленной дезорганизации работы, вывода системы из строя, проникновения в систему и несанкционированного доступа к информации:

• — физическое разрушение системы (путем взрыва, поджога и т. п.) или вывод из строя всех или отдельных наиболее важных компонентов компьютерной системы (устройств, носителей важной системной информации, лиц из числа персонала и т. п.);
• — отключение или вывод из строя подсистем обеспечения функционирования вычислительных систем (электропитания, охлаждения и вентиляции, линий связи и т. п.);
• — действия по дезорганизации функционирования системы (изменение режимов работы устройств или программ, забастовка, саботаж персонала, постановка мощных активных радиопомех на частотах работы устройств системы и т. п.);
• — внедрение агентов в число персонала системы (в том числе, возможно, и в административную группу, отвечающую за безопасность);
• — вербовка (путем подкупа, шантажа и т. п.) персонала или отдельных пользователей, имеющих определенные полномочия;
• — применение подслушивающих устройств, дистанционная фотои видеосъемка и т. п.;
• — перехват побочных электромагнитных, акустических и других излучений устройств и линий связи, а также наводок активных излучений на вспомогательные технические средства, непосредственно не участвующие в обработке информации (телефонные линии, сети питания, отопления и т. п.);
• — перехват данных, передаваемых по каналам связи, и их анализ с целью выяснения протоколов обмена, правил вхождения в связь и авторизации пользователя и последующих попыток их имитации для проникновения в систему;
• — хищение носителей информации (магнитных дисков, лент, микросхем памяти, запоминающих устройств и целых компьютеров);
• — несанкционированное копирование носителей информации;
• — хищение производственных отходов (распечаток, записей, списанных носителей информации и т. п.);
• — чтение остаточной информации из оперативной памяти и с внешних запоминающих устройств;
• — чтение информации из областей оперативной памяти, используемых операционной системой (в том числе подсистемой защиты) или другими пользователями, в асинхронном режиме используя недостатки мультизадачных операционных систем и систем программирования;
• — незаконное получение паролей и других реквизитов разграничения доступа (агентурным путем, используя халатность пользователей, путем подбора, путем имитации интерфейса системы и т. д.) с последующей маскировкой под зарегистрированного пользователя («маскарад»);
• — несанкционированное использование компьютеров пользователей, имеющих уникальные физические характеристики, такие как номер рабочей станции в сети, физический адрес, адрес в системе связи, аппаратный блок кодирования и т. п;
• — вскрытие шифров криптозащиты информации;
• — внедрение аппаратных спецвложений, программных «закладок» и вирусов («троянских коней» и «жучков»), то есть таких участков программ, которые не нужны для осуществления заявленных функций, но позволяющих преодолевать систему защиты, скрытно и незаконно осуществлять доступ к системным ресурсам с целью регистрации и передачи критической информации или дезорганизации функционирования системы;
• — незаконное подключение к линиям связи с целью работы «между строк», с использованием пауз в действиях законного пользователя от его имени с последующим вводом ложных сообщений или модификацией передаваемых сообщений;
• — незаконное подключение к линиям связи с целью прямой подмены законного пользователя путем его физического отключения после входа в систему и успешной аутентификации с последующим вводом дезинформации и навязыванием ложных сообщений;
• — следует заметить, что чаще всего для достижения поставленной цели злоумышленник использует не один, а некоторую совокупность из перечисленных выше путей.