Методы обеспечения безопасности информационных систем
Информационная безопасность – это процесс обеспечения конфиденциальности, целостности и доступности информации [8].
Конфиденциальность – обеспечение доступа к информации только авторизованным пользователям.
Целостность – обеспечение достоверности и полноты информации и методов ее обработки.
Доступность – обеспечение доступа к информации и связанным с ней активам авторизованных пользователей по мере необходимости [8].
Существующие методы обеспечения информационной безопасности можно разделить на два класса:
организационно-правовые методы;
технические методы.
К правовым методам относятся документы, регулирующие все аспекты информационной безопасности, такие как [8]:
международные договоры РФ;
Конституция РФ;
законы федерального уровня (включая федеральные конституционные законы, кодексы);
Указы Президента РФ;
постановления правительства РФ;
нормативные правовые акты федеральных министерств и ведомств;
нормативные правовые акты субъектов РФ, органов местного самоуправления и т. д.
Основные технические методы:
авторизация (этот метод позволяет создавать группы пользователей, наделять эти группы разными уровнями доступа к сетевым и информационным ресурсам и контролировать доступ пользователя к этим ресурсам);
идентификация и аутентификация;
криптография;
протоколирование и аудит;
экранирование (разделение информационных потоков между различными информационными системами);
физическая защита;
поддержка текущей работоспособности (резервное копирование, управление носителями);
Под угрозой безопасности автоматизированной системы (АС) понимается возможные действия, способные нанести ущерб ее безопасности.
Атака на автоматизированную систему – это поиск и/или использование злоумышленником той или иной уязвимости системы. Иными словами, атака – это реализация угрозы безопасности [9].
Для АС угрозы следует классифицировать прежде всего по аспекту информационной безопасности (доступность, целостность, конфиденциальность) против которого они направлены в первую очередь:
угрозы нарушения доступности (отказ в обслуживании), направленные на создание такой ситуации, при которой доступ к ресурсам ИС заблокирован либо работоспособность информационной системы нарушена;
угрозы нарушения целостности информации, обрабатываемой в информационной системе, направленные на ее изменение или искажения с целью нарушения ее качества либо уничтожения. Данная угроза особенно актуальна для систем передачи данных и систем телекоммуникации. Нарушение целостности информации может быть преднамеренным, а также воздействием окружающей среды;
угрозы нарушения конфиденциальности, направленные на разглашение конфиденциальной или секретной информации. При реализации этих угроз информация становится известна лица, которые не должны иметь к ней доступ [9].
Данные виды угроз можно считать первичными, поскольку их реализация ведет к воздействию на защищаемую информацию.
Классификация сетевых атак
Существует четыре основных категории сетевых атак:
атаки доступа;
атаки модификации;
атаки типа «отказ в обслуживании»;
комбинированные атаки.
Атака доступа
Атака доступа – это попытка получения злоумышленником информации, на которую у него нет разрешения. Данная атака направлена на нарушение конфиденциальности информации. К таким атакам относятся:
подслушивание (Sniffing);
перехват (Hijacking);
перехват сеанса (Session Hijacking).
Подслушивание (Sniffing). В основном данные передаются по компьютерным сетям в незащищенном формате, что позволяет злоумышленнику, получившему доступ к сети, подслушивать трафик. Для подслушивания в компьютерных сетях используют сниффер пакетов. Данная программа позволяет перехватывать все сетевые пакеты, передаваемые в пределах отдельной сети.
Сфера применения таких программ довольно широка. В настоящее время снифферы используются для диагностики неисправностей и анализа трафика. Также с помощью сниффера можно узнать конфиденциальную, а также полезную для развития атаки информацию. Это возможно по причине того, что многие сетевые службы (Telnet, FTP, SMTP, POP3 и т. д.) передают данные в открытом виде, никак их не защищая от прослушивания.
Перехват (Hijacking). Активная атака благодаря, которой злоумышленник перехватывает информацию в момент передаче между пользователем и сетевой службой. С помощью данной атаки можно перехватить аутентификационные данные передаваемые пользователем при условии, что они передаются в открытом формате. Если учесть, что многие пользователи имеют одну пару логин/пароль для входа в различные информационные системы, то злоумышленник перехватив данные может получить доступ к другим ресурсам.
Перехват сеанса (Session Hijacking). При завершении аутентификации на сайте пользователю выдается сессионный ключ, который предается при каждом обращении к ресурсу. Данный вид атаки заключается в перехвате сессионного ключа, таким образом злоумышленник может выполнять действия от имени пользователя, пока не истечет время жизни сессионного ключа. Нужно отметить, что злоумышленник не получает аутентификационных данных, которые можно использовать после завершения жизни сессионного ключа.
Атака модификации
Атака модификации – это попытка неправомочного изменения информации. Такая атака возможна везде, где существует или передается информация; она направлена на нарушение целостности информации [9]. К таким атакам относятся:
изменение данных;
добавление данных;
удаление данных.
Атака «отказ в обслуживании»
Атака «отказ в обслуживании» не нацелена на получение доступа к информации или сети. Главная цель данной атаки сделать недоступным атакуемый ресурс (web-приложение, сеть компании) для пользователей. Это достигает за счет превышения допустимых пределов функционирования сети, операционной системы или ресурса [9].
Совершение DoS-атак возможно по причине слабости архитектуры системы (сети, приложения). В случаях с web-серверным приложением DoS-атака может быть выполнена путем открытия максимального числа соединений с web-приложением тем самым не давая подключиться обычным пользователям.
Если для совершения атаки используется множество устройств, то данная атака называется распределенной атакой «отказ в обслуживании» (DDoS-атака).
Данный вид атаки прост в реализации, в то же время достаточно эффективен, при успешной реализации злоумышленник может нанести большой вред организации и пользователям.
Отказ в доступе к информации. В результате DoS-атаки, направленной против информации, последняя становится непригодной для использования. Информация уничтожается, искажается или переносится в недоступное место [9].
Отказ в доступе к приложениям. Другой тип DoS-атак направлен на приложения, обрабатывающие или отображающие информацию, либо на компьютерную систему, в которой эти приложения выполняются. В случае успеха подобной атаки решение задач, выполняемых с помощью такого приложения, становится невозможным [9].
Отказ в доступе к системе. Общий тип DoS-атак ставит своей целью вывод из строя компьютерной системы, в результате чего сама система, установленные на ней приложения и вся сохраненная информация становятся недоступными [9].
Отказ в доступе к средствам связи. Целью атаки является коммуникационная среда. Целостность компьютерной системы и информации не нарушается, однако отсутствие средств связи лишает пользователей доступа к этим ресурсам [9].
Комбинированная атака
При комбинированной атаке, для достижения цели злоумышленник применяет несколько видов атак.
Подмена доверенного субъекта. Данная атака заключается в подмене IP-адреса с целью получения доступа к защищенной информации иди ресурсам, а также для сокрытия личности злоумышленника при реализации других атак. Реализация данной атаки возможно если аутентификация пользователя происходит по базе IP-адресов.
Атака эксплойта. Эксплоит (exploit - эксплуатировать) – это компьютерная программа, фрагмент программного кода или последовательность команд, использующие уязвимости в программном обеспечении и применяемые для проведения атаки на компьютерную систему [9]. Результатом данной атаки может быть: нарушение функционирования, получения контроля над системой.
Выделяют два вида эксплоитов:
удаленный. Для работы эксплоита не нужен доступ к атакуемой системе т.е. возможно выполнить через сеть;
локальный. Для работы эксплоита нужен доступ к атакуемой системе. В этом случае, обычно целью является получения прав администратора.
Парольные атаки. Целью данных атак является завладение пары логин/пароль от учетной записи пользователя. Для этого злоумышленник может использовать такие атаки, как:
ip-спуфинг;
сниффинг;
полный перебор.
Атака полного перебора заключается в подборе пароля к ресурсу путем перебора большого числа вариантов.
Угадывание ключа. Цель атаки подобрать криптографический ключ необходимы для расшифровки. Для выполнения требуется большое количество ресурсов.
Атаки на уровне приложений. Атака, использующая уязвимости в прикладном программном обеспечении (FTP, Web-сервер). Вероятность данной атаки никогда нельзя исключать т.к. специалисты по безопасности регулярно находят новые уязвимости.
Фишинг (Phishing). Цель данной атаки, получение конфиденциальных данных пользователя таких как, пароли, номера кредитных карт, PIN-кодов. Для этого злоумышленник создает точную копию сайта одного из банков. Затем производится спам-рассылка, в письме содержится информация о необходимости зайти на сайт банка и обновить свои данные. Пройдя по ссылке, указанной в письме, пользователь попадает на ложный сайт, где вводит нужную информацию. Таким образом злоумышленник может получить доступ электронной почте, а иногда к банковскому счету человека.
Применение ботнетов. Ботнет – это сеть компьютеров, зараженных вредоносной программой поведения Backdoor. Backdoor позволяет киберпреступникам удаленно управлять зараженными машинами (каждой в отдельности, частью компьютеров, входящих в сеть, или всей сетью целиком) без ведома пользователя. Такие программы называются ботами [9]. Используя захваченные компьютеры злоумышленник может использовать для других атак (например, DDoS-атака). Как правило пользователь не подозревает, что его компьютер используется злоумышленником.
Уязвимости в Web-приложениях
Для выполнения атаки на web-приложение злоумышленник использует уязвимости, ниже приведен список наиболее популярных уязвимостей [10] web-приложений.
Fingerprinting
Позволяет идентифицировать операционную систему и программное обеспечение, что позволит подготовить плацдарм для атаки.
Cross-Site Scripting (XSS)
Позволяет внедрить вредоносный код в веб-страницу приложения. При эксплуатации данной уязвимости атака производится не на сервер, а на клиента. Выделают два вида XSS-уязвимостей: активная и пассивная.
Для выполнения пассивной XSS требуется дополнительное действие от жертвы (пример: клик по специальной ссылке). Это связано с тем, что скрипт не хранится на сервере.
Для выполнения активной XSS от жертвы не требуется выполнения дополнительных действий т.к. скрипт хранится на сервере и будет срабатывать при открытии страницы сайта.
Brute Force
Позволяет подобрать учетные данные пользователя перебором возможных вариантов. Одним из примеров такой уязвимости служит форма входа на сайт при этом количество попыток неверного ввода пары логин/пароль не ограничено.
SQL Injection
Позволяет выполнить произвольный запрос к базе данных, путем внедрения произвольного SQL-кода. Данная уязвимость возникает при некорректной обработки параметров в SQL-запросе. Пример:
String q = Request.Params[“q”];
String sql = “SELECT * FROM Users WHERE name=”+q;
Данный пример уязвим к SQL Injection, злоумышленник может в качестве параметра передать любой значение и сформировать любой запрос в базу данных. Пример эксплуатации уязвимости, в качестве параметра q злоумышленник передал строку:
‘admin’; INSERT INTO Users (username, password) VALUES (‘superuser’, ‘123’);
После конкатенации строк получится запрос:
SELECT * FROM Users WHERE name=‘admin’; INSERT INTO Users (username, password) VALUES (‘superuser’, ‘123’);
Это позволит выполнить два запроса в базу данных, выполнив тем самым добавление нового пользователя.
Cross-Site Request Forgery
Данный тип атак направлен на имитирование запроса пользователя к стороннему сайту. Для осуществления данной атаки, жертва должна быть авторизована на том сервере, на который отправляется запрос, и этот запрос не должен требовать какого-либо подтверждения со стороны пользователя, который не может быть проигнорирован или подделан атакующим скриптом [11].
Credential/Session Prediction
Вычисляется или угадывается уникальное значение, идентифицирующее индивидуальную сессию или пользователя, подвергающегося атаке.
Многие веб-сайты разработаны так, что подтверждают подлинность и отслуживают пользователя, когда связь впервые установлена. Чтобы сделать это, пользователи должны подтверждать их подлинность веб-сайту, обычно используя пару логин/пароль Конечно, вместо передачи этих секретных данных назад и вперед с каждой транзакцией, веб-сайты создают уникальный «идентификатор сессии» (session ID), чтобы в дальнейшем распознавать пользовательскую сессию с проверенной подлинностью. Последующие сообщения между пользователем и веб-сайтом сопровождаются этим идентификатором сессии, которая имеет статус проверенной подлинности. Если злоумышленник, сможет вычислить или угадать идентификатор сессии другого пользователя, вполне вероятно, он воспользуется этим для своих преступных деяний.
Server Misconfiguration
Данная уязвимость возникает, когда администратор использует стандартную (по умолчанию) конфигурацию сервера, что во многом упрощает задачу проведения и развития атаки.
Information Leakage
Данная уязвимость возможна, когда сервер показывает важную информацию, например, подробную информацию об ошибках, которая может быть использована для дальнейшего развития атаки.
Path Traversal
Данная уязвимость позволяет получить доступ к файлам, директориям и командам, находящимся вне основной директории Web-сервера.
URL Redirector Abuse
Данная уязвимость возникает при использовании внешних ресурсов для перенаправления.
Пример:
http://original_site.com/redirect.html?q=http://external_site.com/external_page.html
В данном примере для перенаправления в качестве параметра (параметр q) передается абсолютный путь до ресурса.
|
