Разработка методики интеллектуального противодействия информационному нападению в корпоративной ИВС

• Введение
• 1. Информационная борьба как средство интеллектуального противодействия
• 1.1 Анализ архитектуры корпоративной ИВС и особенности её функционирования
• 1.2 Основные понятия и определения информационной борьбы
• 1.3 Классификация удаленных атак на объекты корпоративной ИВС
• 1.4 Анализ типовых удаленных атак в ИВС
• 1.4.1 Анализ алгоритма внутрисегментной атаки на основе ложного сервера адресов сетевых адаптеров объектов ИВС
• 1.4.2 Анализ алгоритма атаки на основе ложного сервера сетевых имен узлов ИВС
• 1.4.3 Типовой алгоритм навязывания сетевому узлу ложного маршрута
• 1.5 Обоснование концептуальной модели информационной борьбы в корпоративной ИВС
• 1.6 Эффективность защиты от информационного нападения
• Выводы
• 2. Анализ способов и методов информационной борьбы в корпоративной ИВС
• 2.1 Формализация модели информационной борьбы в корпоративной ИВС
• 2.2 Анализ цели и задач информационной борьбы в ИВС
• 2.3 Математическая формулировка задачи информационного противодействия
• 2.4 Анализ традиционных моделей обеспечения безопасности
• 2.5 Современный подход к созданию систем зашиты информации
• 2.6 Интеллектуальное противодействие противнику в ИВС
• 2.6.1 Определение и задачи интеллектуального противодействия в сети обмена информацией
• 2.6.2 Особенности построения и использования ложного объекта атаки при интеллектуальном противодействии
• Выводы
• 3. Разработка методики интеллектуального противодействия информационному нападению в корпаративной ИВС
• 3.1 Обоснование применимости аппарата М-сетей
• 3.1.1 Определение М-сети и принципы ее функционирования
• 3.1.2 Вопросы функционирования системы усиления-торможения
• 3.1.3 Решение задачи выбора вида противодействия на М-сети
• 3.2 Методика интеллектуального противодействия в сети обмена информацией
• 3.3 Рекомендации по развитию методов информационной борьбы в сети обмена информацией
• 3.3.1 Вариант построения системы интеллектуального противодействия противнику с использованием предложенных методов
• 3.3.2 Направления дальнейших исследований в области информационной борьбы в сетях обмена информацией
• 4. Техника безопасности и экология проекта
• 4.1 Потенциально опасные и вредные производственные факторы
• 4.2 Обеспечение электробезопасности
• 4.3 Обеспечение санитарно-гигиенических требований к помещениям ВЦ и рабочим местам программистов
• 4.3.1 Требования к помещениям вычислительных центров
• 4.3.2 Организация и оборудование рабочих мест с ПЭВМ
• 4.3.3 Требования к освещению помещений и рабочих мест с ПЭВМ
• 4.4 Противопожарная защита
• 5. Технико-экономический раздел
• 5.1 Определение капитальных затрат
• 5.2 Определение годовых эксплуатационных расходов
• 5.3 Определение минимальных годовых доходов
• 5.4 Определение срока окупаемости
• Заключение
• Список использованной литературы
• Приложение А

Сегодня средства информатизации и связи — один из главных факторов прогресса, без которого невозможно представить себе поступательное развитие многих сфер человеческой деятельности. Информационные технологии прочно вошли в бизнес, образование, производство, открыв человеку небывалые возможности по скорости получения и обработке информации, а также по автоматизации производственных, управленческих и иных процессов.

Проблема создания и удержания защищенной среды информационного обмена в информационно-вычислительных сетях (ИВС) является весьма актуальной. Уже сегодня отключение компьютерных систем приведет к разорению 20% средних компаний в течение нескольких часов, 48% компаний потерпят крах в течение нескольких суток, а остальные будут разорены за этот промежуток времени. Через несколько часов после такой катастрофы разорятся около 33%, а через несколько суток — 50% банков.

Переход информации в разряд важнейших ресурсов человечества вызывает к жизни проблему борьбы за обладание этим ресурсом, и, как следствие, появление принципиально нового средства нападения — информационного оружия, которое представляет собой разные средства осуществления несанкционированного доступа (программные, аппаратные, алгоритмические и др.) к информационным ресурсам.

Поэтому сейчас как никогда актуальна проблема противодействия информационному вторжению с применением информационного оружия, разнообразие форм и способов воздействия которого, а также особенности его появления и применения породили сложнейшие задачи защиты от него. Иностранные специалисты уже оценили значение информационного оружия и стремятся захватить лидирующие позиции в решении этих задач.

Информационное воздействие на ресурсы ИВС корпорации можно охарактеризовать увеличением загрузки сети при осуществлении злоумышленником (далее по тексту противником) информационных атак и вероятностью их успешного осуществления. Последняя характеристика прямо зависит от времени бесконтрольного присутствия противника в ИВС, то есть от времени, когда системе безопасности не известна стратегия атаки, или она не может влиять на ее результат.

Задача снижения вероятности успешных информационных атак противника до настоящего времени решается, в большей части, традиционными методами обеспечения безопасности информации (ОБИ). Основной недостаток такого подхода к ОБИ заключается в том, что противник (любой антагонизм, т. е. злоумышленник) знает результат своей атаки и в случае неудачи может выбрать такую стратегию атаки и (или) канал ее реализации, которые не будут обнаружены. Этот недостаток становится все более существенным с увеличением масштабов и разнородности сети, спектра предоставляемых услуг, количественного и качественного состава информационных ресурсов, ростом числа способов и изощренности информационных атак, направленных не только на данные, но и на многочисленные сетевые службы практически всех уровней эталонной модели взаимодействия открытых систем (ЭМВОС) [2, 5].

В связи с нарастающей опасностью информационных войн, ИВС любой корпорации должна быть способна к адекватному реагированию на информационные воздействия противника. Поэтому при разработке перспективных компьютерных систем и сетей обмена информацией (СОИ) необходимо, чтобы защита ресурсов не оставалась традиционно пассивной, ей необходимо придать форму активного информационного противодействия.

Целью работы является снижение времени бесконтрольного присутствия противника в корпоративной ИВС за счет разработки системы интеллектуального противодействия информационному нападению.

В качестве основных критериев эффективности информационного противодействия в работе выбраны:

· время бесконтрольного присутствия противника в сети,

· нагрузка на сеть со стороны потоков информационного воздействия, порождаемых противником.

Так как существенной составляющей времени бесконтрольного присутствия противника в сети является время подготовки противодействия, то основное внимание уделено разработке методов противодействия, минимизирующих этот показатель.

Интеллектуальный подход к противодействию заключается во всестороннем анализе сложившейся ситуации, выборе оптимального варианта реагирования, осуществляемого с использованием средств искусственного интеллекта.

Подход к осуществлению интеллектуального противодействия основан на понятии ложного объекта атаки (ЛОА), имитирующего результат работы или процесс функционирования объекта атаки (ОА). Отдавая приоритет интеллектуальному противодействию, в сравнении с простым реагированием, не исключаются из сети и информационные потоки, порождаемые противником. Поэтому в целях снижения их влияния на сеть необходимо выбрать в последней зону расположения ЛОА и перенаправить туда порождаемый противником поток таким образом, чтобы снизить нагрузку на сеть.

Достижение цели в работе предполагало решение следующих задач:

• проанализировать классификации способов активного противодействия информационному нападению и типовых удаленных атак на ресурсы ИВС путем введения ложных объектов,

• обосновать концептуальную модель информационного противодействия корпоративной ИВС,

• разработать математическую модель информационного противодействия,

• определить задачи интеллектуального противодействия в ИВС, построения и использования ложного объекта атаки,

• выбрать методику интеллектуального противодействия противнику в ИВС,

• составить структурную схему подсистем интеллектуального противодействия во взаимосвязи с другими объектами ИВС,

определить направление дальнейших исследований в области информационной борьбы в ИВС.

1. Информационная борьба как средство интеллектуального противодействия

1.1 Анализ архитектуры корпоративной ИВС и особенности её функционирования

Возьмем в качестве примера некую корпорацию, которая имеет всеобъемлющую телекоммуникационную сеть, связывающую все филиалы в единый кибернетический организм. Такая сеть может быть представлена примерно следующей структурой (рис. 1.1.).

Главный офис корпорации должен быть связан с удаленными представительствами корпорации при помощи оптоволоконных линий связи через Internet. Могут использоваться и космические спутники-ретрансляторы.

Практически все программное обеспечение в информационной инфраструктуре корпораций создается по двухуровневой технологии «клиент-сервер». Базы данных корпорации значительно децентрализованы по региональным представительствам.

Сотрудники в отделах продаж и на складах готовой продукции активно используют персональные электронные менеджеры.

Для проведения комплекса мероприятий, направленных на создание, развертывание и эффективное функционирование упомянутой выше системы управления корпорацией, необходимы соответствующие затраты, называемые ресурсами управления.

Применительно к рассматриваемой ИВС основными информационными ресурсами являются поля данных, записи в базах данных (БД), файлы, программы, пакеты прикладных программ (ППП) автоматизированных рабочих мест (АРМ) сотрудников, магнитные и оптические носители информации и др. Одним из ключевых видов ИР в ИВС являются базы данных различного назначения, парольная и вся ключевая информация в целом. Доступ противника к этому виду ИР делает беспрепятственным его доступ ко всем другими, перечисленным выше ИР ИВС. Важной информацией является информация о клиентах корпорации.

Особо следует выделить специальную информацию (разведывательная информация о конкурентах, информация о некоторых научных экспериментах в исследовательских подразделениях корпорации и т. п.).

Рисунок 1.1 — Структурная схема телекоммуникационной сети корпорации

Основные активы корпорации размещаются в виртуальных Internet-банках, а ее представители — интеллектуальные программы-агенты, принимают активное участие в торгах на виртуальных биржах [1, 9].

Фрагмент сети корпорации в одном из ее региональных представительств мог бы выглядеть, как показано на рисунке 1.2 Конкуренты (противник) имеют цель реализовать план разрушающего воздействия в одном из наиболее узких мест бизнеса корпорации — на широкой и развитой сети обмена данными.

Как правило, телекоммуникационная инфраструктура любой корпорации предназначена для управления рядом бизнес-процессов в своей области деятельности. Пусть в состав корпорации входят региональные представительства, заводские и складские корпуса, огромная сеть клиентов по всему миру. Для упрощения организации управления подчиненных подразделений в головных отделениях корпорации созданы пункты управления.

Рисунок 1.2 — Фрагмент сети корпорации в региональном представительстве

В соответствии с целевым назначением и местом в иерархической системе на пунктах управления размещаются комплексы средств автоматизации, узлы связи, специальные и технические системы, обеспечивающие деятельность органов управления в лице совета директоров региональных представительств по решению возлагаемых на них задач.

На пунктах управления органами управление осуществляется [1, 24]:

· прием, обработка, документирование приказов, поступивших с пунктов управления высших уровней, доведение их до подчиненных;

· сбор и обработка информации о состоянии рынка сбыта, состоянии подчиненных структурных подразделений, состоянии и инициативах конкурентов;

· оценка обстановки на мировом и региональном финансовом рынках;

· планирование инвестиций и развития производства;

· формирование и выдача распоряжений подчиненным подразделениям; контроль исполнения.

Состав решаемых задач практически единый для всех региональных пунктов управления. Отличия определяются характером задач, спецификой местного рынка и политической ситуации.

С ростом требований к качественным и количественным характеристикам информационного обмена перспективным видится переход от прямых трактов информационного обмена между подразделениями корпорации к созданию сети обмена данными с коммутацией пакетов сообщений и использование при построении ИВС современных высокоскоростных технологий, таких как FDDI, FDDI И, 100-BASE X Ethernet, 100-BASE VG AnyLAN, ATM, Fiber Channel и Gigabit Ethernet [1, 20, 21].

Для перспективной ИВС любой корпорации может стать актуальным следующее: сопряжение с глобальными сетями типа Internet; сопряжение с сетями других корпораций в результате расширения международного сотрудничества.

корпоративная информационная борьба сеть Перечисленные особенности корпоративной ИВС обусловливают высокую степень уязвимости информации, хранимой, обрабатываемой и передаваемой в такой сети.

Очевидно, что при создании единой ИВС корпорации в ее системе защиты информации сразу не удастся учесть все способы и возможные каналы информационного воздействия на сеть. С учетом этого в ИВС должны функционировать эффективные механизмы противодействия информационным воздействиям со стороны противника на сеть. Противодействие должно быть построено таким образом, чтобы максимально долго контролировать противника при положительном результате обнаружения его атаки.

1.2 Основные понятия и определения информационной борьбы

В настоящее время практически любая корпорация стремится получить выход во всемирную сеть Internet для своей информационно-вычислительной сети. Одна из реальных и относительно новых глобальных yгpoз безопасности компьютерных систем — это информационное оружие, проблемы разработки и использования которого уже стали высокоприоритетными в ряде западных стран и, прежде всего, в США. Серьезной проблемой становятся не случайные сбои компьютеров, а опасность специального и целенаправленного воздействия на информационные ресурсы.

Информационная война - это соперничество и организованные действия конфликтующих сторон в области информационных потенциалов, проводимые с целью снижения возможностей по использованию имеющихся государственного, военного, экономического или других потенциалов соперника (противника) и сохранения (повышения) возможностей использования своих потенциалов [2, 4].

Информационная война антагонистических информационных систем (АИС), т. е. война систем управления, состоит из противодействий, предпринимаемых для взаимоисключающего достижения информационного превосходства в обеспечении стратегии путем воздействия на информацию и информационные системы противника с одновременным укреплением и защитой собственной информации и информационных систем.

Объектом внимания при ведении информационной войны становятся информационные системы и сети обмена информацией (включая соответствующие линии передач, обрабатывающие центры и человеческие факторы этих систем), а также информационные технологии, используемые в системах вооружений, экономики, финансов и т. п. [1, 32, 34, 35].

Если наступательная составляющая информационной войны связана с разработкой и использованием информационного оружия, то основными аспектами оборонительной составляющей являются обнаружение, реагирование и защита.

Информационное оружие - это совокупность специально организованной информации и информационных технологий, позволяющая целенаправленно изменять (уничтожать, искажать), копировать, блокировать информацию, преодолевать системы защиты, ограничивать допуск законных пользователей, осуществлять дезинформацию, нарушать функционирование носителей информации, дезорганизовывать работу технических средств, компьютерных систем и информационно-вычислительных сетей, применяемая в ходе информационной борьбы (войны) для достижения поставленных целей.

В настоящее время США являются мировым лидером в области ведения информационной войны и разработки информационного оружия. Эта деятельность осуществляется по следующим основным направлениям:

· формирование организационной структуры информационных войск Министерства обороны США;

· разработка средств информационного воздействия и способов их применения;

· подготовка высококвалифицированных кадров для ведения информационной войны.

Классификация информационного оружия представлена на рисунке 1.3.

Рисунок 1.3 — Классификация информационного оружия

По цели использования, информационное оружие делят на обеспечивающее и атакующее [5, 6]. Обеспечивающим называется информационное оружие, с помощью которого осуществляются воздействия на средства защиты информации атакуемой ИВС. В состав обеспечивающего информационного оружия входят:

средства компьютерной разведки;

средства преодоления системы защиты ИВС.

Атакующим называется информационное оружие, с помощью которого осуществляется воздействие на хранимую, обрабатываемую и передаваемую в ИВС информацию, нарушающее применяемые в ИВС информационные технологии. В составе атакующего информационного оружия выделяют четыре основных вида средств информационных воздействий:

средства нарушения конфиденциальности информации;

средства нарушения целостности информации;

средства нарушения доступности информации;

средства психологических воздействий на абонентов ИВС.

Применение атакующего информационного оружия направлено на срыв выполнения ИВС целевых задач.

Успешное применение обеспечивающего информационного оружия позволяет осуществлять деструктивные воздействия на хранимую, обрабатываемую и передаваемую в ИВС информацию с использованием атакующего информационного оружия.

По способу реализации информационное оружие можно разделить на три больших класса:

· математическое (алгоритмическое);

· программное;

· аппаратное.

Информационное оружие, относящееся к разным классам, может применяться совместно, а также некоторые виды информационного оружия могут нести в себе черты нескольких классов.

К алгоритмическому информационному оружию относят:

· алгоритмы, использующие сочетание санкционированных действий для осуществления несанкционированного доступа к информационным ресурсам;

· алгоритмы применения санкционированного (легального) программного обеспечения и программные средства несанкционированного доступа для осуществления незаконного доступа к информационным ресурсам.

К программному информационному оружию относят программы с потенциально опасными последствиями своей работы для информационных ресурсов ИВС.

Под программой с потенциально опасными последствиями понимается некоторая самостоятельная программа (набор инструкций), которая способна выполнить любое непустое подмножество перечисленных ниже функций [8]:

1. Скрывать признаки своего присутствия в программно-аппаратной среде ИВС.

2. Обладать способностью к самодублированию, ассоциированию себя с другими программами и/или переносу своих фрагментов в иные области оперативной или внешней памяти.

3. Разрушать (искажать произвольным образом) код программ в оперативной памяти.

4. Сохранять фрагменты информации из оперативной памяти в некоторой области внешней памяти прямого доступа (локальной и удаленной).

5. Искажать произвольным образом, блокировать и/или подменять выводимый во внешнюю память или в канал связи массив информации, образовавшийся в результате работы прикладных программ, или уже находящиеся во внешней памяти массивы данных.

6. Подавлять информационный обмен в телекоммуникационных сетях, фальсифицировать информацию в каналах государственного и военного управления.

7. Нейтрализовывать работу тестовых программ и систем защиты информационных ресурсов.

Программы с потенциально опасными последствиями обычно условно разделяют на следующие классы: компьютерные вирусы, средства несанкционированного доступа и программные закладки.

Отличительный признак между средствами несанкционированного доступа и программными закладками — это наличие для первых и отсутствие для вторых функции преодоления защиты.

Средства информационного воздействия могут быть внедрены в информационно-вычислительную сеть корпорации тремя основными способами:

· внедрением программных закладок в операционные системы и программное обеспечение, поставляемые на экспорт, включением противником средств информационного воздействия в импортируемые ПЭВМ и их периферийное оборудование;

· использованием противником способов удаленных информационных атак на ИВС;

· агентурным путем (внесение средств информационного воздействия завербованными противником агентами из числа абонентов ИВС).

Анализ публикаций в иностранной печати позволяет сделать следующие выводы:

· информационное оружие стало одной из важных составляющих военного потенциала;

· в первую очередь новое оружие нацелено на вооруженные силы, предприятия оборонного комплекса, структуры, ответственные за внешнюю и внутреннюю безопасность страны;

· сегодня темпы совершенствования информационного оружия (как, впрочем, и любого вида атакующего вооружения) превышают темпы развития технологий защиты и противодействия.

Существует ряд особенностей, определяющих качественное отличие информационного оружия от других видов вооружений. К ним относятся [10]:

· универсальность;

· скрытность;

· экономическая эффективность;

· возможность применения для решения широкого круга задач;

· масштабность применения;

· обладание эффектом «цепной реакции» ;

· сложность осуществления международного контроля.

Подводя итог, отметим следующие основные результаты применения информационного оружия:

· получение информации о противостоящей стороне и его намерениях;

· невозможность выработки управляющих воздействий;

· временное лишение возможности выработки управляющих воздействий;

· снижение качества выработки управляющих воздействий;

· психологические воздействия на противника.

1.3 Классификация удаленных атак на объекты корпоративной ИВС

Выделяют три основных вида угроз безопасности ИВС [10, 14, 15]:

угрозы раскрытия конфиденциальной информации;

угрозы целостности, которые заключаются в умышленном изменении данных;

угрозы отказа в обслуживании, которые заключаются в блокировке доступа к некоторому ресурсу вычислительной системы или ИВС.

Под удаленной атакой на ИВС понимается процесс неэнергетического (информационного) воздействия на хранимую, обрабатываемую и передаваемую в ИВС информацию с целью нанесения ущерба и (или) обеспечения условий для нанесения ущерба атакуемой ИВС и (или) ее пользователям, осуществляемой по каналам связи.

Поэтому можно выделить два вида удаленных атак — удаленные атаки на инфраструктуру ИВС и протоколы сети и удаленные атаки на телекоммуникационные службы. При этом под инфраструктурой ИВС понимается сложившаяся система организации отношений между объектами ИВС и используемые в сети сервисные службы [13, 24, 25].

Под субъектом атаки понимают атакующую, а под объектом атаки - атакуемую стороны, которые могут быть представлены отдельным компьютером (с хранимой и обрабатываемой в нем информацией), сегментом ИВС или ИВС в целом.

Основная цель практически любой атаки — получить несанкционированный доступ к информации. Существуют две принципиальные возможности доступа к информации: перехват и искажение. Возможность перехвата информации означает получение к ней доступа, но невозможность ее модификации. Следовательно, перехват информации ведет к нарушению ее конфиденциальности.

Возможность искажения информации означает либо полный контроль над информационным потоком между объектами системы, либо возможность передачи сообщений от имени другого объекта. Таким образом, очевидно, что искажение информации ведет к нарушению ее целостности.

Нарушение работоспособности объекта ИВС не предполагает получение атакующим несанкционированного доступа к информации. Его основная цель — добиться, чтобы операционная система на атакуемом объекте вышла из строя и для всех остальных объектов ИВС доступ к ресурсам атакованного объекта был бы невозможен.

Удаленные атаки можно классифицировать по различным признакам (рисунок 1.4.). Удаленная атака также является сетевой программой. В связи с этим представляется логичным рассматривать удаленные атаки на объекты ИВС, проецируя их на эталонную модель ВОС [20, 21].

Рисунок 1.4 — Классификация удаленных атак на ИВС

1.4 Анализ типовых удаленных атак в ИВС

В ИВС связь между двумя удаленными хостами осуществляется путем передачи по сети сообщений, которые заключены в пакеты обмена. В настоящее время в ИВС наиболее широко применяются сетевые операционные системы, использующие протоколы TCP/IP или им подобные. При этом пакет обмена выглядит следующим образом [20]:

Базовый сетевой протокол — IP (Internet Protocol). Для передачи IP-пакета на хост необходимо указать в IP-заголовке в поле Destination Address 32-разрядный IP-адрес данного хоста. IP-пакет находится внутри аппаратного пакета (например, Ethernet), поэтому он в конечном счете адресуется на аппаратный адрес сетевого адаптера.

Таким образом, для адресации пакетов в сети кроме IP-адреса хоста необходим еще либо IP-адрес его сетевого адаптера (в случае адресации внутри одной подсети), либо Ethernet-адрес маршрутизатора (в случае межсетевой адресации).

Задачу удаленного поиска информации об Ethernet-адресах других хостов, находящихся в одном сегменте, и маршрутизаторов хост решает, используя протокол ARP (Address Resolution Protocol). Протокол ARP позволяет получить взаимно однозначное соответствие IP — и Ethernet-адресов для хостов, находящихся внутри одного сегмента. Это достигается следующим образом: при первом обращении к сетевым ресурсам хост отправляет широковещательный ARP-запрос на Ethernet-адрес FFFFFFFFFFFFh, в котором указывается IP-адрес маршрутизатора, и просит сообщить его Ethernet-адрес. Этот широковещательный запрос получат все станции в данном сегменте сети, в том числе и маршрутизатор. Получив данный запрос, маршрутизатор внесет запись о запросившем хосте в свою ARP-таблицу, а затем отправит на запросивший хост ARP-ответ, в котором сообщит свой Ethernet-адрес. Полученный в ARP-ответе Ethernet-адрес будет занесен в ARP-таблицу, находящуюся в памяти операционной системы на запросившем хосте и содержащую записи соответствия IP — и Ethernet-адресов для хостов внутри одного сегмента.

Аналогично описанной процедуре хост узнает Ethernet-адрес любого другого хоста, расположенного в рассматриваемой подсети.

Таким образом появляется возможность осуществить удаленную атаку по принципу ложного объекта. В качестве ложного объекта (ложного ARP-сервера) выступает атакующий хост.

1.4.1 Анализ алгоритма внутрисегментной атаки на основе ложного сервера адресов сетевых адаптеров объектов ИВС

Обобщенная функциональная схема ложного ARP-сервера выглядит следующим образом (рис 1.5):

· ожидание ARP-запроса;

· при получении ARP-запроса передача по сети на запросивший хост ложного ARP ответа, в котором указывается адрес сетевого адаптера атакующей станции;

· прием, анализ, воздействие и передача пакетов обмена между взаимодействующими хостами.

При этом схема передачи пакетов будет следующей:

· атакованный хост передает пакеты на ложный ARP-сервер;

· ложный ARP-сервер передает принятый от атакованного хоста пакет на маршрутизатор;

· маршрутизатор, в случае получения ответа на переданный запрос, передает его непосредственно на атакованный хост, минуя ложный ARP-сервер.

Таким образом, ложный ARP-сервер действует в режиме «полуперехвата», при этом маршрут пакетов образует петлю (рис. 1.6).

Возможны несколько способов, позволяющих функционировать ложному ARP-серверу по мостовой (полной) схеме перехвата.

Рисунок 1.5 — Действия ложного ARP-сервера

Рисунок 1.6 — Петлевая схема перехвата ARP-запроса

Ложный ARP-сервер, получив ARP-запрос, посылает такой же запрос, присваивая себе данный IP-адрес. Недостаток этого подхода заключается в том, что ложный ARP-сервер легко обнаруживается (некоторые сетевые ОС перехватив запрос ложного ARP-сервера, выдадут предупреждение об использовании их IP-адреса).

Ложный ARP-сервер, получив ARP-запрос, посылает ARP-запрос, указав в качестве своего IP-адреса любой свободный в данном сегменте IP-адрес. В дальнейшем ложный ARP-сервер ведет работу с данного IP-адреса как с маршрутизатором, так и с «обманутыми» хостами (proxy-схема).

Описанный способ воздействия на ИВС относится к внутрисегментным атакам и представляет угрозу в том случае, если атакующий находится внутри данного сегмента [18, 28].

Таким образом, исполнителем данной атаки может быть доверенное лицо, обладающее пусть даже незначительными полномочиями в интересующей противника подсети ИВС.

1.4.2 Анализ алгоритма атаки на основе ложного сервера сетевых имен узлов ИВС

Для обращения к хостам в ИВС используются 32-разрядные IP-адреса, уникально идентифицирующие каждый сетевой. Пользователи оперируют не с самими 32-разрядными IP-адресами, а с их мнемоническими представлениями. Использование понятных для пользователя имен породило проблему преобразования имен в IP-адреса. Такое преобразование необходимо, так как на сетевом уровне адресация пакетов идет не по именам, а по IP-адресам. Для решения задачи преобразования имен используется доменная система имен — DNS (Domain Name System).

Эта система позволяет пользователю в случае отсутствия у него информации о соответствии имен и IP-адресов получить необходимые сведения от ближайшего информационно-поискового сервера (DNS-сервера).

Таким образом, перед хостом возникает стандартная проблема удаленного поиска: по имени удаленного хоста найти его IP-адрес; решением этой проблемы и занимается служба DNS на базе протокола DNS. Очевидно, что схема DNS уязвима для типовой удаленной атаки «Ложный объект сети» .

Служба DNS функционирует на базе протокола UDP, что делает ее менее защищенной, так как протокол UDP в отличие от TCP не предусматривает средств идентификации сообщений.

Значение поля «порт отправителя» в UDP-пакете принимает начальное значение >= 1023 и увеличивается с каждым переданным DNS-запросом.

Значение идентификатора (ID) DNS-запроса ведет себя следующим образом (в случае передачи DNS-запроса с хоста это значение зависит от конкретного сетевого приложения, вырабатывающего DNS-запрос):

· ID=1 (при передаче запроса из оболочки командного интерпретатора операционных систем Linux и Windows);

· ID_n+1 =ID_n+1 (при передаче запроса из Netscape Navigator);

· ID_n+1 =ID_n+1 (при передаче запроса непосредственно DNS-сервером).

Для реализации удаленной атаки на DNS-службу атакующий хост функционирует как ложный DNS-сервер.

Имеется три основных варианта удаленной атаки на службу DNS:

· внедрение в ИВС ложного DNS-сервера путем перехвата DNS-запроса;

· внедрение в ИВС ложного сервера путем создания направленного «шторма» ложных DNS-ответов на атакуемый хост;

· комбинированный вариант атаки.

Рассмотрим лишь первый вариант атаки — внедрение в ИВС ложного DNS-сервера путем перехвата DNS-запроса. Обобщенная схема атаки следующая (рис. 1.7 и рис. 1.8):

· ожидание DNS-запроса;

· извлечение из полученного запроса необходимых сведений (номер UDP-порта отправителя запроса, двухбайтовое значение ID идентификатора DNS-запроса и искомое мнемоническое имя) и передача по сети на запросивший хост (на извлеченный из DNS-запроса UDP-порт) ложного DNS-ответа, от имени (с IP-адреса) настоящего DNS-сервера, в котором указывается IP-адрес ложного DNS-сервера;

· в случае получения пакета от сервера (запрашиваемого хоста), изменение в IP-заголовке пакета его IP-адреса на IP-адрес ложного DNS-сервера и передача пакета на хост (для хоста ложный DNS-сервер и есть настоящий сервер).

Условия осуществления данной удаленной атаки:

· перехват DNS-запроса (необходимое условие);

· атакующий находится либо на пути основного трафика, либо в сегменте настоящего DNS-сервера.

Два других варианта удаленной атаки на службу DNS достаточно подробно описаны в работах [14, 17].

Рисунок 1.7 — Ложный DNS-сервер в фазе ожидания

1.4.3 Типовой алгоритм навязывания сетевому узлу ложного маршрута

Для обеспечения маршрутизации в памяти сетевой ОС каждого хоста существуют таблицы маршрутизации, содержащие данные о возможных маршрутах. В каждой строке таблицы маршрутизации хоста содержится описание соответствующего маршрута. Это описание включает:

· IP-адрес конечной точки маршрута (Destination);

· IP-адрес соответствующего маршрутизатора (Gateway);

· ряд других параметров, характеризующих маршрут.

Обычно в системе существует так называемый маршрут по умолчанию (поле Destination содержит значение 0.0.0.0, то есть default, a поле Gateway — IP-адрес маршрутизатора). Этот маршрут означает, что все пакеты, адресуемые на IP-адрес вне пределов данной подсети, будут направляться по указанному default-маршруту, то есть, на маршрутизатор (это реализуется установкой в поле адреса назначения в Ethernet-пакете аппаратного адреса маршрутизатора). Функция удаленного управления маршрутизацией на хостах внутри сегмента сети возлагается на протокол ICMP.

Рисунок 1.8 — Ложный DNS-сервер в фазе передачи и приема

Удаленное управление маршрутизацией необходимо для предотвращения возможной передачи сообщений по неоптимальному маршруту. Оно реализуется в виде передачи с маршрутизатора на хост управляющего ICMP-сообщения: Redirect Message (бывает двух типов: Redirect Net и Redirect Host): cообщение типа Redirect Net уведомляет хост о необходимости смены адреса маршрутизатора, то есть, default-маршрута; сообщение типа Redirect Host информирует хост о необходимости создания нового маршрута к указанной в сообщении системе и внесения ее в таблицу маршрутизации.

Для этого в сообщении указывается IP-адрес хоста, для которого необходима смена маршрута (адрес будет занесен в поле Destination), и новый IP-адрес маршрутизатора, на который необходимо направлять пакеты, адресованные данному хосту (этот адрес заносится в поле Gateway). Адрес нового маршрутизатора должен быть в пределах адресов данной подсети.

Большинство сетевых ОС игнорируют ICMP-сообщение Redirect Net. Единственным параметром, идентифицирующим управляющее сообщение ICMP Redirect Host, является IP-адрес отправителя, который должен совпадать с IP-адресом маршрутизатора, так как это сообщение может передаваться только маршрутизатором.

Особенность протокола ICMP состоит в том, что он не предусматривает никакой дополнительной аутентификации источников сообщений и при этом реализован на базе протокола UDP. Таким образом, ICMP-сообщения передаются на хост маршрутизатором однонаправленно, без создания виртуального соединения.

Следовательно, существует реальная возможность послать с атакующего хоста ложное ICMP-соединение о смене маршрута от имени маршрутизатора, то есть, осуществить типовую удаленную атаку «Внедрение в ИВС ложного объекта путем навязывания ложного маршрута» .

Для осуществления этой удаленной атаки необходимо подготовить ложное ICMP Redirect Host сообщение с указанием конечного IP-адреса маршрута (адреса хоста, маршрут к которому будет изменен) и IP-адреса ложного маршрутизатора. Затем это сообщение передается на атакуемый хост от имени маршрутизатора. Для этого в IP-заголовке в поле адреса отправителя указывается IP-адрес маршрутизатора.

Существует два варианта реализации данной атаки:

· внутрисегментная атака;

· межсегментная атака.

В первом случае атакующий хост находится в том же сегменте сети, что и цель атаки. Тогда, послав ложное ICMP-сообщение, он в качестве IP-маршрутизатора может указать либо свой IP-адрес, либо любой из адресов данной подсети.

Функциональная схема осуществления первого варианта атаки выглядит следующим образом:

· передача на атакуемый хост ложного ICMP Redirect Host сообщения;

· отправление ARP-ответа в случае, если пришел ARP-запрос от атакуемого хоста;

· перенаправление пакетов от атакуемого хоста на настоящий маршрутизатор;

· перенаправление пакетов от маршрутизатора на атакуемый хост;

· при приеме пакета возможно воздействие на информацию.

В случае осуществления второго варианта удаленной атаки атакующий находится в другом сегменте относительно цели атаки. Поэтому, даже передав ложное ICMP Redirect сообщение, атакующий не сможет получить контроль над трафиком, так как адрес нового маршрутизатора должен находиться в пределах подсети атакуемого хоста.

В этом случае достигается иная цель — нарушение работоспособности хоста, так как в случае успешной атаки все пакеты, направляемые хостом на определенный сервер, будут отправлены на IP-адрес несуществующего маршрутизатора.

Атака, использующая «слабости» протокола ICMP, осуществляется намного легче, чем рассмотренные выше атаки протокола ARP и службы DNS.

Очевидно, что рассмотренные атаки — это лишь иллюстрация возможностей удаленных атак на ИВС. Существует множество других возможностей осуществления удаленных атак на объекты ИВС. При этом успешно проводимые атаки на нижних уровнях ЭМВОС обуславливают успех атак на верхних уровнях ЭМВОС. Например, перехватив передаваемую в сети парольную и ключевую информацию, можно осуществлять доступ к информации в базах данных или в информационных хранилищах.

1.5 Обоснование концептуальной модели информационной борьбы в корпоративной ИВС

Основными аспектами оборонительной составляющей информационной борьбы являются защита информационных ресурсов, обнаружение НСД и реагирование (противодействие).

Вместе с тем, обнаружение попыток НСД является до настоящего времени до конца нерешенной проблемой. При этом реагирование невозможно без определенной осмотрительности и осторожности.

Защита от вторжений и злоупотреблений требует эффективных механизмов идентификации и аутентификации, высоконадежных брандмауэров, равно как и методов проверки и отслеживания сомнительных ситуаций.

Считается, что для предотвращения или нейтрализации последствий применения информационного оружия необходимо принять следующие меры /3, 4/:

· защита материально-технических объектов, составляющих физическую основу информационных ресурсов;

· обеспечение нормального и бесперебойного функционирования баз и банков данных;

· защита информации от несанкционированного доступа, искажения или уничтожения;

· сохранение качества информации (своевременности, точности, полноты и необходимой доступности).

Создание технологий обнаружения воздействий на информацию, в том числе в телекоммуникационных сетях, — это естественная защитная реакция на появление нового оружия. Защита сетевого оборудования от проникновения в него скрытых элементов информационного оружия особенно важна сегодня, когда осуществляются массовые закупки зарубежных информационных технологий.

Запретить разработку и использование информационного оружия вряд ли возможно, как и ограничить усилия многих стран по формированию единого глобального информационного пространства.

Поэтому необходимо решать проблему защиты ИВС от информационного оружия путем разработки соответствующих эффективных методов и средств, учитывающих эволюцию информационного оружия.

Разработка эффективных методов информационной борьбы в ИВС должна, так или иначе, базироваться на некоторой модели такой борьбы в сети.

Основные компоненты концептуальной модели информационной борьбы (МИБ) в ИВС представим в виде блоков (рисунок 1.9.), содержащих определенные атрибуты и структурно-функциональные связи, порождаемые компонентами.

Рисунок 1.9 — Концептуальная блочная модель информационной борьбы

Ядром этой модели выступает система блоков «Противник», «Система защиты информации», «Пользователь». Ядро МИБ погружено в среду, в качестве которой в работе выступает корпоративная сеть обмена информацией.

Все виды угроз субъективны, так как они связаны с действиями субъектов (противника, персонала защиты, пользователя). Внешние факторы, действующие на данную систему, могут приводить к инициированию угроз, исходящих от субъектов, усиливать или ослаблять их проявление.

Угрозы и каналы их реализации, используемые нарушителем, могут быть модифицированы им при неэффективности их прежнего варианта.

Защита от определенной угрозы должна быть модифицирована при неэффективности их прежнего варианта [5, 7].

Изменение среды (ИВС) может приводить к появлению новых СИВ, способов их использования и средств защиты.

В соответствии с выбранной стратегией «Противник» может порождать угрозы трех видов.

Угрозы первого вида (У₁) направлены против «Пользователя» как субъекта, владеющего защищаемой информацией. Угрозы первого вида могут быть реализованы через каналы первого вида (К₁).

Угрозы второго вида (У₂) направлены непосредственно против информационных ресурсов и технических средств (ТС) их обеспечения и реализуются через каналы второго вида (К₂).

Угрозы третьего вида (У₃) направлены против СЗИ, то есть против структуры, технических средств (ТС), ПО и персонала службы защиты и реализуются через каналы реализации угроз третьего вида (К₃).

Можно также предположить наличие универсальных каналов, через которые могут реализовываться угрозы различных видов.

Основными атрибутами блока «Противник» являются: субъект-противник, угроза, модификация угрозы, канал, модификация канала, результат проявления угрозы.

Для блока «Противник» прямое действие функции связи идет по цепи: Противник — Угроза — Канал — Объект атаки (пользователь, информационные ресурсы или СЗИ). Цель связи — достигаемый результат, ради которого и формулируется стратегия действия противника.

Цепь обратной связи, вносящая соответствующие коррективы в действия противника: Объект атаки (защиты) — Результат проявления угрозы — Модификация канала. Внешние проявления атаки в дальнейшем будем называть спецификацией НСД противника.

Стратегия СЗИ — ведение информационной борьбы для достижения целей оборонительных действий в ИВС. Примерами частных стратегий СЗИ могут быть обеспечение требуемой защищенности информации при поддержании заданного уровня параметров, характеризующих установленный статус ее хранения, обработки и использования в заданном временном интервале: снижение времени бесконтрольного присутствия противника в ИВС: дезинформация противника и т. д.

В [30, 31, 33] приведены функции, которые должна выполнять система защиты информации, а именно:

· предупреждение условий, порождающих дестабилизирующие факторы (ДФ) (угрозы информации);

· предупреждение проявления ДФ;

· обнаружение проявления ДФ;

· предупреждение воздействия ДФ на информацию;

· обнаружение воздействия ДФ на информацию;

· локализация воздействия ДФ на информацию;

· ликвидация последствий воздействия ДФ.

Кроме перечисленного СЗИ должна создавать и поддерживать активное функционирование средств и методов, реализующих: прогнозирование, обнаружение и подавление каналов атак на ИР, анализ и накопление статистики по угрозам и каналам, инициируемых Противником, интеллектуальное противодействие.

Основными атрибутами блока СЗИ являются: администратор сети и персонал службы защиты, технические средства защиты, программные средства защиты и противодействия, организационные средства защиты, морально-правовые средства защиты. Классификация методов и соответствующих им средств защиты приводится в работах [18, 29]

Структурно-функциональные связи:

· СЗИ — Средства и методы защиты и противодействия — Противник;

· СЗИ — Система активного поиска (обнаружения) — Противник;

· СЗИ — Система контроля доступа — Противник;

· СЗИ — Система контроля доступа — Пользователь.

Важным концептуальным положением для СЗИ является требование к ее адаптивности или способности к целенаправленному приспособлению при изменении характера внешних дестабилизирующих факторов и угроз, которое в МИБ реализуется путем своевременной модификации средств и методов информационной борьбы, выполняемой по прогнозу действий Противника или внешним проявлениям результатов его атаки.

По внешним проявлениям результатов атаки в случае необходимости осуществляется классификация НСД и реализуется выработанная в оперативном режиме стратегия интеллектуального противодействия.

Таким образом, реализуется два контура функционирования СЗИ:

· классификация НСД;

· выбор стратегии противодействия.

Стратегия действия «Пользователя» направлена на получение максимального эффекта от владения информацией при поддержании необходимого уровня ее защищенности в заданном временном интервале.

Основные атрибуты этого блока: субъект-пользователь, ТС хранения, обработки и использования информационных ресурсов, система контроля эффективности СЗИ. Наличие системы контроля эффективности СЗИ призвано гарантировать высокий уровень функционирования СЗИ.

Выбор того или иного пути атаки «Противником» зависит от реальной ситуации, в которой могут находиться «Пользователь», информационные ресурсы, СЗИ.

В предлагаемой концептуальной модели очевидны следующие конфликтные взаимодействия: «Противник» — «Пользователь» и «Противник» — СЗИ. В обоих случаях это состязательные задачи в условиях эволюции среды, применяемых субъектами и СЗИ средств и методов информационной борьбы.

1.6 Эффективность защиты от информационного нападения

Под эффективностью защиты информационных ресурсов от НСД будем понимать комплексное свойство процесса защиты информационных ресурсов от НСД, характеризующее его пригодность к решению стоящей перед ним задачи.

Эффективность системы интеллектуального противодействия определяется следующими свойствами [33, 35]:

1) результативность, характеризующаяся ее способностью давать целевой результат;

2) оперативность, характеризующаяся расходом времени, используемого на обнаружение НСД;

3) ресурсоемкость, характеризующаяся расходом сетевых ресурсов (времени занятия памяти специализированными программами, времени передачи служебных сообщений и т. п.) для обнаружения НСД и осуществления интеллектуального противодействия.

Свойство результативности количественно характеризуется вероятностью защиты информационных ресурсов в течение времени t₃ в условиях воздействия противника

W₁ = Р (t > t₃)

t₃ — определяется временем старения информации.

В современных условиях мирного времени, когда наибольшую угрозу представляют информационные войны, а не вооруженные конфликты, значение t₃ достаточно большое. Другим показателем результативности процесса защиты информационных ресурсов от НСД является показатель безопасности W_Б. Тогда, результативность системы интеллектуального противодействия оценивается двумя показателями.

W_p = ||W_Б, W₁||^T

Оперативность такой системы оценивается промежутком времени

W₂ = t_{2 -} t₁

где t₁ — момент времени начала проверки прав доступа к информационным ресурсам; t₂ — момент принятия решения о санкционировании доступа.

Ресурсоемкость системы интеллектуального противодействия W₃ характеризуется величиной суммарного времени выполнения всех операций по обнаружению НСД и осуществлению противодействия нарушителю (противнику).

Таким образом, эффективность системы интеллектуального противодействия оценивается векторным показателем эффективности W, который содержит четыре компоненты:

W=||W_Б, W₁, W₂, W₃||^T

При построении системы интеллектуального противодействия, пригодной для практического использования, необходимо, прежде всего, обеспечить ее результативность, причем безопасность самой системы является определяющей. На показатель оперативности можно наложить ограничение, исходя из требований по оперативности доступа к данным в сети, а показатель ресурсоемкости, вследствие исключительной важности системы интеллектуального противодействия для нормального функционирования ИВС, можно рассматривать в последнюю очередь.

Следовательно, можно осуществить строгое ранжирование по важности элементов системы интеллектуального противодействия:

W_Б>W₁>W₂>W₃

и решать задачу построения системы интеллектуального противодействия как задачу оптимизации.

Вследствие того, что эффективность защиты информационных ресурсов ИВС от НСД определяется эффективностью функционирования системы интеллектуального противодействия и с учетом введенных в подразделе элементов системы интеллектуального противодействия и отношения предпочтения, задача построения такой системы для ИВС будет иметь следующий вид.

Пусть U={u₁, u₂,., и_м) — множество стратегий защиты информационных ресурсов ИВС от НСД. Каждая стратегия характеризуется векторным показателем эффективности:

W (u_i) =||W_Б (u_i), W₁ (u_i), W₂ (u_i), W₃ (u_i) ||^T,

Необходимо определить стратегию u* U_L, которая является решением лексикографической задачи оптимизации:

W (u*) =lexmax W (u_j),

при ограничениях U_L:

где W₁^Тр — требуемое значение вероятности защиты информационных ресурсов в течение заданного времени при осуществлении противником попыток НСД;

W₂^Тр — требуемое значение оперативности системы интеллектуального противодействия;