ГЛАВА 10. КОМПЬЮТЕРНЫЕ ВИРУСЫ И СРЕДСТВА АНТИВИРУСНОЙ ЗАЩИТЫ

 

10.1. Общие сведения о компьютерных вирусах

 

            Компьютерный вирус как специальный класс саморепродуци­рующихся программ может причинить большой вред данным и программному обеспечению компьютерных систем. Он пред­ставляет собой специально написанную, небольшую по размерам программу, которая может "заражать" другие программы, моди­фицируя их посредством добавления своей, возможно изменен­ной, копии. Однажды внесенный в систему, компьютерный вирус распространяется в ней самостоятельно подобно лавине.

            Приблизительно до середины прошлого столетия было рас­пространено мнение, что саморепродукция, также как и мутация, характеризует процесс естественного развития только для живой природы. В конце 40-х - начале 50-х гг. американский математик Джон фон Нейман показал принципиальную возможность само­репродукции искусственных систем. В дальнейшем на этой осно­ве были открыты и саморепродуцирующиеся программы для компьютеров.

            Одним из ранних примеров подобных программ стала обна­руженная в конце 60-х годов размножающаяся по сети ARPANET программа, известная сегодня как Creeper (Вьюнок). Вьюнок про­являл себя текстовым сообщением: "Я вьюнок ,.. поймай меня, если сможешь". Он не причинял вреда ресурсам пораженного компьютера, только лишь беспокоил его владельца. Каким бы безвредным Вьюнок не казался, он впервые показал, что проник­новение на чужой компьютер возможно без ведома и против же­лания его владельцев.

            Термин "компьютерный вирус" был введен сравнительно недавно - в середине 80-х годов. В 1984 г. Ф.Коэном на 7-й кон­ференции по безопасности информации, проходившей в США, был представлен специальный класс саморепродуцирующихся программ. На основе необычного сходства некоторых свойств этой программы с биологическим вирусом она и была названа компьютерным вирусом. Это сходство с биологическим вирусом обнаруживается по:

            - способности к саморазмножению;

            - высокой скорости распространения;

            - избирательности поражаемых систем;

            - способности "заражать" еще незараженные системы;

            - трудности борьбы с вирусами и т.д.

            Из-за сходства компьютерных и биологических вирусов вместе с термином "вирус" используются и другие медицинские термины: "заражение", "профилактика", "лечение", "среда обита­ния" и др.

            В последнее время к особенностям, характерным для ком­пьютерных и биологических вирусов, можно добавить еще и по­стоянно увеличивающуюся быстроту появления новых поколе­ний и модификаций компьютерных вирусов.                                  

            Если скорость появления биологических вирусов можно  объяснить могуществом и бесконечным разнообразием природы, то компьютерные вирусы скоростью своего возникновения обя­заны только изобретательности людей определенного склада ума.

            Как и биологический вирус, который только при наличии основной клетки может стать активным, компьютерный вирус всегда связан с программой-носителем. Вирусные программы -это небольшие по размерам и трудно обнаруживаемые в КС про­граммы. Такие программы способны к саморепродукции (само­воспроизведению) и могут модифицировать или уничтожать про­граммное обеспечение или данные, хранящиеся в КС. Особен­ность саморепродукции вирусных программ заключается в том, что их копии вводятся в другую выполняемую или транслируе­мую программу, а скопированная инфицированная программа переносит копию вируса в другие программы, продолжая и под­держивая процесс его распространения.

            Вирусные программы могут существовать в следующих четы­рех фазах:

            -"спячка";

            - распространение в КС;

            - запуск;

            - разрушение программ и данных или какие-либо другие не­гативные эффекты.

            Фаза "спячки" может использоваться разработчиком вирус­ной программы для создания у пользователя уверенности в пра­вильной работе КС.

            Фаза распространения обязательна для любой программы-вируса. 3 этой фазе в процессе загрузки и выполнения програм­мы, зараженной вирусом, происходит заражение других про­грамм путем многократного самокопирования вируса в другие программы и системные области.

            Запуск вируса осуществляется, как правило, после некото­рого события, например наступления определенной даты или за­данного числа копирований.

            В последней фазе происходит разрушение программ и дан­ных или какие-либо другие негативные действия, предусмотрен­ные автором вируса.

            В настоящее время в мире зарегистрировано более 40 тыс. компьютерных вирусов. Большинство вирусов, обнаруженных на сегодняшний день в России и за рубежом, ориентированы на дей­ствие в среде определенных операционных систем. Наибольшее распространение они получили в персональных ЭВМ.

            Некоторые вирусы не представляют серьезной опасности, являются по существу безвредными и созданы не злонамеренно, а ради шутки или эксперимента с существующей техникой.

            Вместе с тем, многие вирусы вызывают не только снижение эффективности работы КС, но и приводят к опасным нарушениям целостности, конфиденциальности и доступности информации.

            Описания фактов вирусного заражения компьютерных сис­тем, в том числе и с достаточно серьезными последствиями, по­стоянно освещаются в прессе и других средствах массовой ин­формации. При этом количество инцидентов, связанных с виру­сами, вероятно, превосходит опубликованные цифры, поскольку многие фирмы умалчивают о вирусных атаках, не желая повре­дить своей репутации и привлечь внимание хакеров.

 

10.2. Классификация компьютерных вирусов

 

            Все компьютерные вирусы могут быть классифицированы по следующим признакам:

            - по среде обитания;

            - по способу заражения среды обитания;  

                - по деструктивным возможностям;

            - по особенностям алгоритма функционирования.

            В зависимости от среды обитания вирусы бывают сете­вые, файловые и загрузочные. Сетевые вирусы распространяются по компьютерной сети. Файловые вирусы размещаются в испол­няемых файлах. Загрузочные вирусы внедряются в загрузочные сектора (области) внешних запоминающих устройств.

            По способу заражения компьютерные вирусы делятся на резидентные и нерезидентные. Резидентные вирусы после их инициализации полностью или частично перемещаются из среды обитания (сеть, загрузочный сектор, файл) в оперативную память ЭВМ, где могут находиться продолжительное время, отслеживая появление доступной для заражения жертвы. В отличие от рези­дентных нерезидентные вирусы попадают в оперативную память ЭВМ только на время активности, в течение которого выполняют деструктивную функцию. Затем вирусы полностью покидают вместе с программой-носителем оперативную память, оставаясь в среде обитания.

            Арсенал деструктивных или вредительских возможностей компьютерных вирусов весьма обширен и зависит от целей и квалификации их создателей, а также от особенностей компью­терных систем.

            По степени опасности для информационных ресурсов пользователя компьютерные вирусы можно разделить на:

            - безвредные;

            - неопасные;

            - опасные;

            - очень опасные.

            Безвредные компьютерные вирусы практически не влияют на работу КС. Их авторы не ставят перед собой цель нанести ка­кой-либо ущерб ресурсам КС. Ими, как правило, движет желание показать свои возможности программиста. Для таких людей создание компьютерных вирусов - это своеобразная попытка само­утверждения.

            Неопасные вирусы также не причиняют серьезного ущерба ресурсам КС. Они лишь уменьшают свободную память компьютера. Деструктивное воздействие таких вирусов сводится к выво­ду на экран монитора шуточных текстов и картинок, исполнению музыкальных фрагментов и т.п.

            К опасным относятся вирусы, которые вызывают сущест­венное снижение эффективности КС, но не приводят к наруше­нию целостности и конфиденциальности информации, хранящей­ся в запоминающих устройствах. Последствия таких вирусов могут быть ликвидированы без особых затрат материальных и вре­менных ресурсов. Примерами таких вирусов являются вирусы, занимающие память ЭВМ и каналы связи, но не блокирующие работу сети; вирусы, вызывающие необходимость повторного выполнения программ, перезагрузки операционной системы или повторной передачи данных по каналам связи и т.п.

            Очень опасными следует считать вирусы, вызывающие на­рушение конфиденциальности, уничтожение, необратимую модификацию (в том числе путем шифрования) информации, а так­же вирусы, блокирующие доступ к информации, приводящие к отказу технических средств и наносящие вред здоровью пользо­вателей.

            Известны вирусы, вызывающие неисправности технических средств КС. Например, с помощью программы-вируса может возникнуть такой режим работы электромеханических устройств, при котором на резонансной частоте происходит разрушение их движущихся частей. Может быть также задан режим интенсивно­го использования отдельных интегральных схем, при котором на­ступает их перегрев и выход из строя.

            Возможны также воздействия на психику пользователя с помощью специально подобранных видеоизображений, выдавае­мых на экран монитора с определенной частотой (каждый два­дцать пятый кадр). Встроенные кадры этой видеоинформации воспринимаются человеком на подсознательном уровне. В ре­зультате такого воздействия может быть нанесен серьезный ущерб психике человека.

            В зависимости от особенностей алгоритма функциониро­вания вирусы можно разделить на два класса:

            - вирусы, не изменяющие среду обитания при распростра­нении;

            - вирусы, изменяющие среду обитания.

            В свою очередь, вирусы, не изменяющие среду обитания, можно разделить на две группы:

            -  вирусы-"спутники";

            -  вирусы-"черви".                                                             

            Вирусы-"спутники" не изменяют файлы, а создают копии для файлов, имеющих расширение .ЕХЕ. Копии присваивается то же имя, что и исполняемому файлу, но расширение изменяется на .СОМ. При запуске файла с общим именем операционная система первым загружает на выполнение файл с расширением .СОМ, ко­торый является программой-вирусом. Файл-вирус запускает за­тем и файл с расширением .ЕХЕ.

Вирусы-"черви" попадают в рабочую станцию из сети, вы­числяют адреса рассылки вируса по другим абонентам сети и пе­редают вирусы.

            По сложности, степени совершенства и особенностям мас­кировки алгоритмов вирусы, изменяющие среду обитания, делят­ся на:

            - студенческие;                                                            

            -  "стелс"-вирусы (вирусы-невидимки);

            -  полиморфные.

            К студенческим относятся вирусы, создатели которых име­ют невысокую квалификацию. Такие вирусы, как правило, явля­ются нерезидентными, довольно просто обнаруживаются и уда­ляются.

            "Стелс"-вирусы и полиморфные вирусы создаются квали­фицированными специалистами, хорошо знающими принцип ра­боты аппаратных средств и операционной системы, а также вла­деющими навыками работы с машиноориентированными системами программирования.

            "Стеле"-вирусы могут быть только резидентными. Они обычно маскируют свое присутствие в среде обитания под про­граммы операционной системы. Такие вирусы активизируются при возникновении прерываний, выполняют определенные дей­ствия, в том числе и по маскировке, и только затем управление передается программам операционной системы, обрабатываю­щим эти прерывания. В некоторых случаях "стелс"-вирусы способны противодействовать антивирусным программам, периоди­чески контролирующим целостность данных. Они могут изме­нить алгоритм самой программы контроля целостности таким об­разом, чтобы она всегда выдавала положительный результат про­верки.

            Полиморфные вирусы, в отличие от большинства обычных вирусов, не имеют постоянных опознавательных групп символов-сигнатур. Обычные вирусы используют на стадии распростране­ния такие сигнатуры, размещая их в зараженном файле или сек­торе для того, чтобы избежать многократного заражения одних и тех же объектов, поскольку при этом значительно возрастает ве­роятность обнаружения вируса. Полиморфные вирусы использу­ют для защиты от изучения и обнаружения средства шифрования. При этом полиморфные вирусы при создании каждой новой ко­пии (т.е. при распространении) обладают способностью изме­няться (мутировать) настолько, что их практически невозможно идентифицировать. Для этого, кроме шифрования, используются различные "механизмы мутации" кода вирусной программы.

 

10.3. Механизмы заражения компьютерными вирусами

 

            Механизм заражения компьютерным вирусом зависит от среды его обитания, т.е. от того, является данный вирус файло­вым или загрузочным.

            Файловые вирусы используют в качестве своего носителя исполняемые файлы. К ним относятся файлы, состоящие из ко­манд операционной системы, файлы пользовательских и систем­ных программ в машинных кодах, а также исполняемые с помо­щью макрокоманд программы, автоматизирующие работу с до­кументами и таблицами (например, MS Word, MS Office, MS Ex­cel).

            Файловые вирусы могут размещаться в начале, середине или конце заражаемого файла.

            Если код вируса располагается в начале заражаемой про­граммы, то тело самой программы оттесняется и приписывается к концу файла. Наряду с оттеснением программы может приме­няться вытеснение программы без сохранения ее содержимого.

Такая программа становится «убитой насмерть» и не может быть восстановлена никакими антивирусными средствами.

            Подобным образом реализуется механизм заражения при размещении вирусного кода в середине программы. Из середины файла «изымается» фрагмент программы, равный по объему коду вируса, и приписывается к концу файла. Сам вирус записывается в освободившееся место. Возможно также внедрение вируса в се­редину файла без сохранения участка, на место которого поме­щается вирус.

            Чаще всего вирус внедряется путем приписывания его в ко­нец файла. При этом, как и в случае с внедрением вируса в сере­дину файла, первые команды файла должны быть заменены ко­мандами перехода на тело вируса.

            Деструктивная функция вируса, как правило, проявляется не сразу. Как и при настоящей вирусной инфекции, при заражении компьютерным вирусом имеется «инкубационный» период, на протяжении которого вирусы только размножаются, никак не проявляя себя. Заражая новые программы, вирусы стараются со­хранить их работоспособность, с тем чтобы не выдать свое при­сутствие.

Инициирование деструктивной функции вируса может осу­ществляться при выполнении определенных условий, например в случае реализации заданного числа заражений программ, при на­ступлении определенной даты, при обращении операционной системы к некоторому ресурсу и т.д.

            Особое место среди файловых вирусов занимают так назы­ваемые макровирусы. В отличие от программных вирусов, мак­ровирусы заражают файлы не программ, а данных. Это возмож­но, если формат хранения данных допускает использование мак­рокоманд для более удобного представления информации. На­пример, файлы текстового редактора MS Word, табличного про­цессора MS Excel могут содержать макрокоманды на языке Visual Basic. Макровирусы представляют собой вредительские про­граммы, написанные на макроязыке, встроенном в текстовый ре­дактор, табличный процессор или другой пакет программных средств. При использовании этих средств для выполнения опре­деленных действий над файлами (открытие, сохранение, закрытие и т.д.) автоматически выполняются соответствующие макро­программы файлов. При этом получают управление и макровиру­сы, написанные на том же макроязыке, причем такое управление они получают либо автоматически, либо при выполнении опре­деленных условий (например, при выборе определенной клави­ши). Работая в «зараженном» редакторе (процессоре) с другим файлом, последний также заражается.

            Многие макровирусы можно рассматривать как резидент­ные, так как обычно такие вирусы находятся в оперативной памя­ти и осуществляют негативное воздействие на редактируемые документы, начиная с момента загрузки зараженных данных до момента завершения работы редактора данных.

            В отличие от макровирусов, большинство других файловых вирусов относится к числу нерезидентных. Это связано с тем, что такие вирусы используют в качестве носителя не файлы данных, а программные файлы, а поэтому находятся в оперативной памя­ти только на время инициализации программ, после чего поки­дают ее вместе с программой-носителем.

            Загрузочные вирусы с учетом механизма их распростране­ния (заражения) относятся к числу резидентных. Загрузочные ви­русы размещаются в загрузочных (Boot) секторах гибких магнит­ных дисков, а также в области, предназначенной для хранения главной загрузочной записи (MBR) жестких дисков.

            Если диск, с которого производится загрузка операционной системы, заражен загрузочным вирусом, то этот вирус первым получает управление, переписывает сам себя в оперативную па­мять, тем самым резидентно заражая компьютер. Только после этого копируется загрузочный сектор диска и ему передается управление. В дальнейшем активный вирус, постоянно находясь в ОП, будет заражать загрузочные сектора всех еще не заражен­ных гибких дисков, замещая в них программу начальной загрузки своей головкой (заголовком) и получая соответствующее управ­ление. Такое заражение может произойти даже в том случае, если дискету просто вставили в дисковод зараженного компьютера и, например, прочитали ее оглавление. Распространение загрузоч­ных вирусов происходит наиболее часто при перезагрузке операционной системы после так называемых "зависаний" или отказов ЭВМ.

            С точки зрения механизма распространения загрузочные вирусы обладают гораздо меньшими возможностями по сравне­нию с программными файловыми вирусами. Для последних все­гда имеется достаточно большое количество программ, доступ­ных для заражения. Загрузочным вирусам приходится дожидать­ся того момента, когда в дисковод будет помещен не защищен­ный от записи и еще не зараженный носитель информации.

 

10.4. Методы и средства защиты

от компьютерных вирусов

 

            Необходимость разработки и использования специальных антивирусных средств вызвана массовым распространением и серьезными последствиями воздействия на ресурсы КС компью­терных вирусов. Эффективность защиты от компьютерных виру­сов существенно повышается при совместном применении как антивирусных программно-аппаратных средств, так и организа­ционно-профилактических мер.

            Антивирусные программные и программно-аппаратные средства применяются для решения следующих основных задач:

            - обнаружение вирусов в КС;

            - блокирование работы программ-вирусов;

            - удаление вирусов и восстановление ресурсов КС.

            Существующие в настоящее время программные средства антивирусной защиты бывают следующих видов:

            -  программы-детекторы;

            - программы-фильтры;

            - программы-ревизоры;

            - программы-доктора, или фаги;

            - программы-вакцины или иммунизаторы.

            Программы-детекторы позволяют обнаружить только те

вирусы, которые известны разработчикам таких программ. С этой  целью осуществляется поиск путем сканирования характерного для конкретного вируса опознавательного кода (сигнатуры). При  обнаружении вируса программа-детектор выводит на экран соответствующее  сообщение.  Примером  такой  программы  может быть популярный американский антивирус Norton Antivirus 2000 (NAV), существующий в Windows- и DOS-версиях. Ежемесячно обновляемая база данных этой программы содержит более 40 тыс. записей, отражающих характерные признаки существующих вирусов.

            Для обнаружения вирусов используются программы-фильтры и программы-ревизоры.

            Программы-фильтры, или "сторожа", представляют собой небольшие резидентные программы, которые обнаруживают по­дозрительные действия при работе компьютера, характерные для вируса. Это могут быть, например, попытки изменения атрибутов файла. При обнаружении таких действий «сторож» посылает пользователю соответствующее сообщение. Достоинством про­грамм-фильтров является их способность к обнаружению виру­сов на самой ранней стадии существования, т.е. до размножения. Примером программы-фильтра является программа Vsafe, вхо­дящая в состав пакета утилит MS DOS. К недостаткам программ-сторожей можно отнести их "назойливость" (например, они по­стоянно выдают предупреждение о любой попытке копирования исполняемого файла), что мешает работе и вызывает раздражение пользователей.

            Наиболее надежным средством обнаружения вирусов явля­ются программы-ревизоры. Эти программы запоминают исход­ное состояние программ, каталогов и системных областей диска тогда, когда компьютер еще не заражен вирусом, а затем перио­дически или по желанию пользователя сравнивают текущее со­стояние с исходным. По результатам ревизии программа выдает сведения о предположительном наличии вирусов.

            Основным достоинством данного программного средства является возможность обнаружения вирусов всех типов, а также неизвестных вирусов. Исключение составляют макровирусы, для обнаружения которых программы-ревизоры непригодны, так как текстовые и табличные данные достаточно часто изменяются. С помощью программ-ревизоров невозможно также определить ви­рус в файлах, которые поступают в систему уже зараженными. Такие вирусы обнаруживаются только после размножения в сис­теме.

            К числу программ-ревизоров относится, например, широко распространенная в России программа Adinf.

            Программы-доктора, или фаги, а также программы-вакцины не только находят зараженные вирусами файлы, но и "лечат" их, т.е. удаляют из файла тело программы-вируса, воз­вращая файлы в исходное состояние. В начале своей работы фаги ищут вирусы в оперативной памяти, уничтожая их, и только за­тем переходят к «лечению» файлов. Среди фагов выделяют по­лифаги, т.е. программы-доктора, предназначенные для поиска и уничтожения большого количества вирусов.

            Антивирусы-полифаги исторически появились первыми и до сих пор удерживают несомненное лидерство в этой области.

            К числу подобных программ раннего поколения относится программа-полифаг Aidstest, первая версия которой была выпу­щена еще в 1988 г. Первоначально антивирусы-полифаги работа­ли по очень простому принципу: осуществляли последователь­ный просмотр (сканирование) файлов на предмет нахождения в них сигнатур известных вирусных программ. Если такая сигнату­ра была обнаружена, то производилась процедура удаления ви­русного кода из тела программы или документа.

            Последующее значительное усложнение вирусных про­грамм, увеличение их общего количества вызвали необходимость совершенствования антивирусных средств. Программы-доктора стали использовать для обнаружения вирусов эвристические анализаторы.

            Сущность эвристического анализа состоит в проверке воз­можных сред обитания дисков и выявлении в них команд, а зна­чит и действий, характерных для вирусов. Такими командами мо­гут быть команды создания резидентных модулей в оперативной памяти, команды прямого обращения к дискам, минуя операци­онную систему. Эвристические анализаторы при обнаружении «подозрительных» команд в файлах или загрузочных секторах выдают сообщение о возможном заражении. После получения та­ких сообщений необходимо тщательно проверить предположи­тельно зараженные файлы и загрузочные сектора всеми имею­щимися антивирусными средствами.

            Эвристический анализатор имеется, например, в антивирус­ной программе Doctor Web. Одной из самых популярных в Рос­сии антивирусных программ, имеющих эвристический анализа­тор, является программа Antiviral Toolkit Pro 3.0 (AVP). На дан­ный антивирус выходит еженедельное обновление, в его базе бо­лее 30 тыс. записей. Программа AVP относится к классу детекто­ров-докторов и является одним из лидеров антивирусных про­грамм на российском рынке.

            В отсутствие программ-докторов, осуществляющих "лече­ние" от вирусов, применяются программы-вакцины, или иммунизаторы, предотвращающие заражение файлов. Для этого соот­ветствующая вакцина модифицирует программу таким образом, чтобы это не отражалось на ее работе, а вирус в нее не внедрялся, воспринимая ее как уже зараженную. В настоящее время про­граммы-вакцины имеют ограниченное применение.

 

10.5. Профилактика заражения вирусами компьютерных систем

 

            Эффективное противодействие компьютерным вирусам не должно ограничиваться только применением соответствующих антивирусных средств для их своевременного обнаружения и уничтожения. Большое значение здесь имеют профилактические меры и мероприятия, изначально препятствующие заражению КС вирусами. Сущность такой профилактики обычно сводится к со­блюдению определенных правил, уже показавших на реальном опыте свою эффективность.

            Прежде всего, необходимо использовать в работе лицензи­онные программные продукты, полученные официальным закон­ным путем. Вероятность наличия вируса в пиратской копии во много раз выше, чем в официально полученном программном обеспечении.

            Следует оснастить компьютер современными антивирусны­ми программами и постоянно обновлять их версии. Если не об­новлять файлы сигнатур вирусов, то рано или поздно можно ока­заться беззащитным против новых вирусов. Старое антивирусное программное обеспечение подобно лекарству с истекшим сроком годности.

            В особо ответственных случаях для борьбы с вирусами не­обходимо использовать не только программные, но и аппаратно-программные антивирусные средства, представленные специаль­ными контроллерами с соответствующим программным обеспечением. Контроллер устанавливается в разъем расширения и имеет доступ к общей шине. Это позволяет ему контролировать все обращения к дисковой системе. Для этого в программном обеспечении контроллера запоминаются области на дисках, из­менение которых в обычных режимах работы не допускается. Аппаратно-программные антивирусные средства работают по­стоянно и обнаруживают все вирусы, независимо от механизма их действия. При возникновении запретных действий любой про­граммой контроллер выдает сообщение пользователю и блокиру­ет работу компьютера. Примером аппаратно-программной защи­ты может служить комплекс Sheriff.

            Программные антивирусные средства должны регулярно использоваться для входного контроля новых съемных носителей информации, а также всех исполняемых файлов, получаемых из компьютерных сетей. Для такой проверки целесообразно исполь­зовать специально выделенные для этой цели компьютеры. Толь­ко после всесторонней антивирусной проверки дисков и файлов они могут передаваться пользователям компьютерной системы.

            Необходимо периодически проверять на наличие вирусов жесткие диски компьютера, запуская антивирусные программы с защищенной от записи дискеты для тестирования файлов и сис­темных областей этих дисков. При этом должна быть предвари­тельно загружена операционная система с защищенной от записи системной дискеты.

            Следует также всегда защищать свои дискеты от записи при работе на других компьютерах, если на них не требуется произ­водить запись информации. При использовании магнитных дис­кет 3,5 дюйма для этого достаточно открыть квадратное отвер­стие.

            Важным профилактическим средством является дублирова­ние информации. Прежде всего, необходимо создавать дистрибу­тивные носители программного обеспечения. При этом запись на носители,   допускающие   выполнение   этой   операции,   должна быть, по возможности, заблокирована. Следует также позабо­титься о сохранении наиболее ценной рабочей информации. Предпочтительнее регулярно создавать копии рабочих файлов на съемных машинных носителях с защитой от записи. Если созда­ется копия на несъемном носителе, то желательно ее создавать на других накопителях или ЭВМ.

            Постоянное следование приведенным профилактическим рекомендациям позволяет значительно уменьшить вероятность заражения компьютерными вирусами, а также защищает пользо­вателя от безвозвратных потерь информации.

 

Контрольные вопросы

 

1.   Что представляет собой компьютерный вирус? Укажите его формальные сходства с биологическим вирусом.

2.  В каких фазах может существовать компьютерный вирус?

3.   Назовите признаки классификации компьютерных вирусов.

4.   Чем отличаются файловые и загрузочные вирусы? Какие из них являются обычно резидентными?

5.   Поясните принцип действия вирусов-"спутников",   "стелс"-вирусов и полиморфных вирусов.

6.   Рассмотрите механизм заражения файловыми вирусами. Ка­кими особенностями обладают макровирусы?

7.   Как реализуются резидентные функции загрузочного вируса с точки зрения его распространения?

8.   Дайте общую характеристику методов и средств, используе­мых для обнаружения компьютерных вирусов.

9.   Рассмотрите антивирусные средства типа полифагов.

10. Поясните сущность эвристического анализа, применяемого для удаления вирусов.

11. Какие программные средства используются для предотвраще­ния заражения файлов вирусами?

12. Основные меры, принимаемые для профилактики заражения вирусами КС.

 

ГЛАВА 11. СТАНДАРТЫ ЗАЩИЩЕННОСТИ ИНФОРМАЦИИ В КОМПЬЮТЕРНЫХ СИСТЕМАХ

 

11.1. Общая характеристика систем стандартизации в области защиты информации

 

            В настоящее время имеет большое значение система стан­дартов и иных нормативных документов, используемых в боль­шинстве развитых стран и устанавливающих требования к защи­щенности информации в компьютерных системах. В большинст­ве случаев эти требования задаются перечнем механизмов защи­ты, которые необходимо иметь в КС для того, чтобы она соответ­ствовала определенному классу защиты.

            Такие стандарты необходимы производителям, чтобы они знали требования, предъявляемые к защищенным системам, и учитывали их в своих разработках. Пользователи с помощью стандартов могут оценить степень доверия КС, выбираемой для обработки информации. Кроме того, современные стандарты по­зволяют пользователям самим принимать участие в разработке требований к защищенным системам и таким образом доводить до производителей свои потребности в средствах защиты, спо­собных решать поставленные задачи в заданных условиях. Спе­циалисты по защите информации благодаря стандартам получают возможность использовать согласованную терминологию, а так­же методики, позволяющие анализировать и оценивать защищенность КС.

            В качестве объектов стандартизации рассматриваются сред­ства вычислительной технологии (СВТ), компьютерные системы, информационные технологии и т.п. В работах, проводимых в об­ласти стандартизации, исключительно важным является между­народный опыт. Несмотря на то, что в нашей стране государст­венные нормативные документы в области защиты информации, обрабатываемой средствами вычислительной техники, начали разрабатываться ещё в 60-е годы, комплексный документ по это­му направлению впервые появился в США, где в 1983 г. были опубликованы "Критерии оценки безопасности компьютерных систем" (Trusted Computer System Evaluation Criteria, TCSEC), разработанные Министерством обороны США. За данным доку­ментом закрепилось неформальное название "Оранжевая книга", так как первоначально он был опубликован в виде книги в оранжевой обложке. Критерии ТС SEC явились первым открытым стандартом в области безопасности компьютерных систем. Все последующие стандарты разрабатывались под его влиянием и с учетом опыта его использования.

            В 1991 г. страны Европы (Франция, Германия, Великобри­тания и Голландия) приняли согласованный документ под назва­нием "Information Technology Security Evaluation Criteria, ITSEC".

            Определенным аналогом перечисленных стандартов в оте­чественной практике являются руководящие документы, разрабо­танные в 1992 г. Гостехкомиссией при Президенте РФ. Данные документы касаются, в основном, проблемы защиты информации от несанкционированного доступа, которая является только частью общей проблемы информационной безопасности.

            В 1999 г. Международной организацией по стандартизации (ISO) в качестве международного стандарта информационной безопасности приняты "Общие критерии безопасности информа­ционных технологий" (Common Criteria for Information Technol­ogy Security Evaluation) - ISO/IEC 15408-99. При работе над "Об­щими критериями" учитывался опыт разработки уже известных ранее стандартов TCSEC и ITSEC. Данный международный стан­дарт предполагается обновлять с периодичностью в 3-5 лет. В настоящее время уже готовится третья версия критериев.

 

11.2. Критерии оценки безопасности компьютерных систем Министерства обороны США

 

            Данные критерии, или стандарт TCSEC, получившие назва­ние "Оранжевая книга", ориентированы на обеспечение безопас­ности информации в компьютерных системах. При этом понятие «обеспечение безопасности информации» основывается на сле­дующем предположении: компьютерная система является безо­пасной, если она обеспечивает контроль за доступом к информа­ции так, что только уполномоченные лица или процессы, функ­ционирующие от их имени, имеют право читать, писать, созда­вать или уничтожать информацию.

            Из этого предположения вытекают шесть фундаментальных требований к защищенным КС. Первые четыре требования каса­ются того, что необходимо предусмотреть для управления досту­пом к информации, а два последних призваны обеспечить гарантию того, что система удовлетворяет требованиям с первого по четвертое.

            Требование 1. Политика безопасности

            Необходимо иметь явную и хорошо определенную полити­ку безопасности: набор правил, определяющих возможность раз­решения доступа указанного субъекта к конкретному объекту.

            Требование 2. Маркировка

            Для управления доступом к информации в соответствии с правилами мандатной политики должна быть предусмотрена маркировка каждого объекта меткой, которая надежно иденти­фицирует степень ценности объекта, а также определены режимы допуска, предоставляемые тем субъектам, которые могут запро­сить доступ к объекту.

            Требование 3. Идентификация

            С каждым активным элементом, выполняющим действия с КС, должна быть связана идентифицирующая его информация. Следует выяснить, кто запрашивает доступ к КС и какие классы информации открыты для его пользования.

            Требование 4. Подотчетность

            Для выявления и исследования фактов нарушения правил безопасности в защищенной КС должны регистрироваться все события, имеющие отношение к безопасности системы. Данная информация должна быть защищена от модификации и несанк­ционированного уничтожения.

            Требование 5. Гарантии

            Для того чтобы гарантировать реализацию указанных выше 4-х требований, необходимо предусмотреть корректно опреде­ленный, строго документированный и объединенный в единое целое набор программных и аппаратных средств управления, реализующий указанные требования.

Требование 6. Постоянная защита

Механизмы, реализующие указанные базовые требования, должны быть постоянно, в течение всего жизненного цикла КС, защищены от "взламывания" и несанкционированного внесения изменений. Класс защищенности системы по Оранжевой книге присваивается в результате проведения процедуры сертифика­ции, при которой на основании представленных исходных тек­стов программ и документации на систему оцениваются наличие и уровень реализации применяемых механизмов защиты инфор­мации.

            Согласно Оранжевой книге для оценки защищенности ин­формационных систем рассматриваются четыре группы безопас­ности, соответствующие различным степеням защищенности: от формально доказанной (группа А) до минимальной (группа D). В „ некоторых случаях группы безопасности А, В, С, D делятся на классы безопасности, например Bl, B2, ВЗ. Формулируя требо­вания для каждой из групп и каждого из классов безопасности, мы будем использовать аббревиатуру ТСВ (Trausted Computing Base) для обозначения механизмов защиты, обеспечивающих данную политику безопасности.

            Группа А обеспечивает гарантированный уровень безопас­ности. При этом реализованные в системе механизмы защиты мо­гут быть проверены формальными методами, что обеспечивает достаточную гарантию необходимой эффективности применения ТСВ.

            Классы группы В характеризуются реализацией в них ман­датного управления доступом. В этой группе выделены классы безопасности В1, В2 и ВЗ.

            Класс В1 обеспечивается использованием в КС меток или грифов секретности для всех субъектов и объектов доступа. Ме­ханизмы защиты контролируют соответствие этих меток не толь­ко при обращении пользователя к КС, но и при экспорте тех или: иных данных в каналы связи.

            Класс В2 характеризуется структурированной защитой, для которой требуется наличие хорошо определенной и документи­рованной формальной модели политики безопасности. Система должна быть четко разделена на критичные и некритичные к за­щите элементы (по сравнению с классом В). Здесь также предъ­являются некоторые дополнительные требования по архитектуре системы и защите механизмов аутентификации.

            Класс ВЗ предусматривает разделение КС на подсистемы (домены безопасности) с различным уровнем безопасности и контроль доступа к ним с помощью монитора обращений (refer­ence monitor). Монитор обращений должен быть прост для анали­за и тестирования. Для него должна быть логически доказана не­возможность внесения несанкционированных изменений. Обяза­тельным является наличие процедур, обеспечивающих восстановление работоспособности системы после случайных сбоев. Должен быть проведен поиск каналов утечки и определена их максимальная пропускная способность. Механизм регистрации событий должен сразу же оповещать администратора и пользова­телей о нарушении безопасности.

            Классы группы С представляют избирательную защиту под­систем с контролем доступа к ним пользователей. В этой группе выделены классы безопасности С1 и С2.

            Класс С1 должен поддерживать дискреционное управление доступом. ТСВ должна использовать один из механизмов аутен­тификации (например, пароли) для того, чтобы проверять под­линность идентификации пользователей. По существу, класс С1 обеспечивает начальный уровень защиты КС, который неуклонно повышается в рассмотренных ранее классах вплоть до класса А с гарантированным уровнем защищенности.

            Следующим за С1 классом безопасности является класс С2, в котором добавляются требования уникальной идентификации субъекта доступа, защиты по умолчанию и наличие системы ре­гистрации событий (аудита).

            Любой пользователь системы должен иметь "уникальное имя", а система управления доступом - возможность включать или исключать права доступа на уровне одного пользователя.

            Защита по умолчанию предполагает назначение полномо­чий доступа по принципу "Всё, что не разрешено, то запрещено", т. е. все те ресурсы, которые явно не разрешены пользователю, полагаются недоступными.

            В системах этого класса обязательно ведение системного журнала, в котором регистрируются события, связанные с безо­пасностью системы. Данные журнала должны быть недоступны любым пользователям КС, за исключением администратора сис­темы.

            Группу D образуют системы, которые по результатам испы­таний не могут быть отнесены к классам А, В или С. В таких сис­темах, обеспечивающих минимальную защиту, обычно реализу­ются лишь отдельные функции безопасности.

            "Оранжевая книга", став первым общедоступным стандар­том безопасности КС, явилась основой для создания всех после­дующих критериев безопасности, в том числе Российских стандартов, принятых Гостехкомиссией, и современных международ­ных критериев безопасности информационных технологий.

 

11.3. Документы Гостехкомиссии России по защите информации

 

            В 1992 г. Государственной технической комиссией (ГТК) при Президенте РФ принят пакет руководящих документов в об­ласти защиты информации.

            Данные документы касаются в основном проблемы защиты информации от несанкционированного доступа (НСД). Несанк­ционированный доступ в документах ГТК определяется как дос­туп к информации, нарушающий установленные правила разгра­ничения доступа, с использованием штатных средств вычисли­тельной техники (СВТ) и автоматизированных систем (АС).

            В документе ГТК "Концепция защиты СВТ и АС от несанк­ционированного доступа к информации" предусматривается су­ществование двух относительно самостоятельных направлений защиты информации от НСД. Одно направление связано с СВТ, а другое - с АС. Отличие этих направлений связано с тем, что СВТ разрабатываются и поставляются лишь как компоненты созда­ваемых АС. Если понятия "защищенность информации от НСД в АС" и "защищенность АС от НСД к информации" эквивалентны, то в случае СВТ можно говорить лишь о защищенности СВТ от НСД к "информации", для обработки, хранения и передачи кото­рой используются СВТ. При создании АС появляются, помимо пользовательской информации, ещё и такие характеристики, как полномочия пользователей, модель потенциального нарушителя, технология обработки информации в АС и др.

            Данный документ содержит приведенное ранее определение НСД, основные способы осуществления НСД, модель нарушите­ля, основные направления и принципы организации работ по за­щите информации от НСД.

            В руководящем документе ГТК "Средства вычислительной техники. Защита от несанкционированного доступа к информа­ции. Показатели защищенности от несанкционированного досту­па к информации" устанавливаются семь классов защищенности СВТ от НСД к информации (таблица 11.1). Самый низкий класс -седьмой, а самый высокий - первый. Каждый класс наследует требования защищенности от предыдущего класса.

 

            Обозначения:

            «-»- нет требований к данному классу;

            «+»- новые или дополнительные требования;

             «=»- требования совпадают с требованиями к СВТ преды­дущего класса;

            КСЗ- комплекс средств защиты.

            Подобно стандарту Оранжевой книги, отечественные классы защищенности СВТ подразделяются на четыре группы в зависимо­сти от реализованных моделей защиты и надежности их проверки.

            Первая группа включает только седьмой класс. В него входят СВТ, не удовлетворяющие требованиям более высоких классов.

            Вторая группа характеризуется реализацией дискреционного управления доступом и включает шестой и пятый классы. Напомним, что такое управление доступом предусматривает контроль доступа поименованных субъектов к поименованным объектам системы, т. е. для каждой пары "субъект - объект" в системе должны быть опреде­лены разрешенные типы доступа.

            Третья группа характеризуется реализацией мандатного управления доступом в дополнение к дискреционному и включа­ет четвертый, третий и второй классы. Как известно, мандатное управление доступом предусматривает присвоение каждому субъекту и каждому объекту системы классификационных меток, указывающих их место в соответствующей иерархии. Диспетчер доступа должен контролировать все обращения субъектов к объ­ектам и управлять доступом на основе сравнения меток взаимо­действующих субъектов и объектов. Окончательное решение о санкционированное™ запроса на доступ может быть принято только при одновременном разрешении его как дискреционными, так и мандатными правилами разграничения доступа.

            Четвертая группа характеризуется верифицированной защитой и содержит только первый класс.

            Наличие руководства администратора, руководства пользовате­ля, тестовой и конструкторской (проектной) документации - обяза­тельное условие присвоения СВТ соответствующего класса защи­щенности.

            Кроме требований к защищенности отдельных элементов СВТ, должны быть установлены также требования к защищенности авто­матизированных систем (АС), в которых учитываются особенности пользовательской информации, конкретные модели угроз, техноло­гия обработки, хранения и передачи информации в АС. Эти требова­ния определены руководящим документом ГТК "Автоматизирован­ные системы. Защита от несанкционированного доступа к информа­ции. Классификация автоматизированных систем и требования по защите информации". В данном документе устанавливается девять классов защищенности АС от НСД к информации (табл. 11.2).

 

            К числу определяющих признаков, по которым производит­ся группировка АС в различные классы, относятся: наличие в АС информации различного уровня конфиденциальности; уровень полномочий субъектов на доступ к конфиденциальной информа­ции; режим обработки данных в АС (коллективный или индиви­дуальный).

            Классы подразделяются на 3 группы, отличающиеся осо­бенностями обработки информации в АС. В пределах каждой группы соблюдается иерархия требований по защите в зависимости от ценности (конфиденциальности) информации, т.е. требования уси­ливаются при переходе к более высокому классу внутри группы.

            Третья группа классифицирует АС, с которыми работает один пользователь, допущенный ко всей информации АС, раз­мещенной на носителях одного уровня конфиденциальности. Группа содержит два класса - ЗБ и ЗА.

            Вторая группа классифицирует АС, в которых пользователи имеют одинаковые права доступа ко всей информации, обраба­тываемой и (или) хранимой на носителях различного уровня конфиденциальности. Группа содержит два класса - 2Б и 2А.

            Первая группа классифицирует многопользовательские АС, в которых одновременно обрабатывается и (или) хранится ин­формация разных уровней конфиденциальности, и не все пользо­ватели имеют право доступа ко всей информации АС. Группа со­держит пять классов - 1Д, 1Г, 1В, 1Б и 1 А.

            В 1997 г. в дополнение к уже рассмотренным документам Гостехкомиссии России принят руководящий документ "Средства вы­числительной техники. Межсетевые экраны. Защита от несанкцио­нированного доступа. Показатели незащищенности от несанкциони­рованного доступа", устанавливающие классификацию межсетевых экранов по уровню защищенности от НСД к информации.

            Межсетевые экраны предназначены для контроля за инфор­мацией, поступающей в АС и (или) выходящей из АС, и соответ­ствующей защиты АС посредством фильтрации этой информа­ции. Устанавливается пять классов защищенности, определяю­щих уровни обеспечения безопасности при межсетевом взаимо­действии. Класс защищенности межсетевых экранов, используе­мых в АС, определяется классом защищенности самой АС и гри­фом секретности обрабатываемой в ней информации.

            Общим недостатком документов ГТК, подобно стандартам TCSEC, приведенным в Оранжевой книге, является их ориента­ция только на поддержание режима секретности и отсутствие НСД. В них не определены четкие требования к структуре и функцио­нальной организации самих АС, во многом определяющих цело­стность и доступность информации. Вместе с тем, эти документы положили начало формированию отечественных стандартов в об­ласти информационной безопасности.

 

11.4. Европейские критерии безопасности информационных технологий

 

            В 1991 г. страны Европы (Франция, Германия, Англия и Голландия) приняли согласованный документ под названием "Критерии безопасности информационных технологий" ("Infor­mation Technology Security Evaluation Criteria", ITSEC).

            Рассматриваемое в данном документе понятие безопасности ин­формационной технологии связано не только с защитой конфиден­циальности обрабатываемой информации, но и с возможностью обеспечения её целостности и доступности.

            Второе отличие Европейских критериев от рассмотренных ранее состоит в том, что они не задают заранее определенную шкалу требований к механизмам защиты. Набор функциональ­ных требований к механизмам обеспечения безопасности может задаваться заказчиком. Целью процесса сертификации в таком случае является определение уровня доверия к реализованным средствам защиты. Для этого в Европейских критериях впервые вводится понятие "адекватность (assurance) средств защиты". Адекватность включает в себя два аспекта: эффективность, отра­жающую соответствие средств защиты решаемым задачам, и корректность, характеризующую процесс их разработки и функ­ционирования.

            Эффективность определяется адекватностью набора реали­зованных функций защиты угрозам безопасности для сертифици­руемого объекта, простотой применения, полнотой и согласован­ностью этих функций, а также возможными последствиями использования злоумышленниками слабых мест защиты. Кроме то­го, в понятие эффективности входит способность механизмов за­щиты противостоять прямым атакам (мощность механизма). Оп­ределяются три градации мощности: базовая, средняя и высокая. Согласно Европейским критериям, мощность можно считать ба­зовой, если механизм защиты способен противостоять отдельным случайным атакам. Мощность можно считать средней, если ме­ханизм может противостоять злоумышленникам с ограниченны­ми ресурсами и возможностями; высокой - если есть уверенность, что механизм может быть преодолен только высококвалифи­цированным злоумышленником, возможности и ресурсы которого выходят за пределы разумного.

            Корректность в оценке адекватности средств защиты учи­тывает правильность и надежность реализации функций и меха­низмов безопасности. При проверке корректности анализируется весь жизненный цикл объекта оценки - от проектирования до экс­плуатации и сопровождения.

            Общая оценка уровня безопасности системы складывается из функциональной мощности средств защиты и уровня адекват­ности их реализации. При этом Европейские критерии уделяют значительно больше внимания адекватности средств защиты, чем функциональным требованиям.

            Для оценки адекватности или гарантированности средств защиты в Европейских критериях используются семь уровней от ЕО до Е6 (в порядке возрастания). Эти уровни выстроены по нарастанию требований к тщательности контроля и оценки. Уро­вень ЕО обозначает отсутствие гарантированности. На уровне Е1 анализируется лишь общая архитектура системы, а адекватность средств защиты подтверждается функциональным тестировани­ем. На уровне ЕЗ к анализу привлекаются исходные тексты про­грамм и схемы аппаратного обеспечения. На уровне Е6 требуется формальное описание функций безопасности, общей архитектуры системы, а также модели политики безопасности. Понятие адек­ватности средств защиты и определение отдельной шкалы для ее критериев являются главными достижениями Европейских кри­териев.

            Наряду с критериями адекватности в данном документе представлены также функциональные критерии. Эти критерии допускают выбор произвольного набора функций защиты. При этом выбранный набор функций может специфицироваться по заранее определенным классам - шаблонам. В Европейских кри­териях таких классов десять. Пять из них (F-Cl, F-C2, F-Bl, F-B2, F-B3) соответствуют классам безопасности Оранжевой книги с аналогичными обозначениями. Рассмотрим назначение остав­шихся классов.

            Класс F-IN предназначен для систем с высокими требова­ниями в области целостности, что особенно типично в системах управления базами данных.

            Класс F-AV характеризуется повышенными требованиями к обеспечению работоспособности. Система, удовлетворяющая требованиям данного класса, должна восстанавливаться после отказа отдельного аппаратного компонента таким образом, чтобы все критически важные функции системы постоянно оставались доступными. Время реакции системы на внешние события долж­но быть ограничено.

            Класс F-DI ориентирован на распределенные системы обра­ботки информации. Перед началом обмена должна пройти на­дежная идентификация и аутентификация участников взаимодей­ствия. При пересылке данных должны обнаруживаться все случайные или преднамеренные искажения адресной и пользова­тельской информации, а также попытки повторной передачи ра­нее переданных сообщений. Знание алгоритмов обнаружения искажений не должно позволять злоумышленнику производить скры­тую модификацию передаваемых данных.

            Класс F-DC характеризуется особым вниманием к средствам обеспечения конфиденциальности передаваемой информации. Для защиты передаваемых данных используются криптографиче­ские алгоритмы.

            Класс F-DX предназначен для сетей с повышенными требо­ваниями к обеспечению целостности и конфиденциальности об­рабатываемой информации. Такие сети позволяют использовать для безопасного обмена общедоступные каналы связи. Данный класс можно рассматривать как объединение классов F-DI и F-DC.

 

11.5. Общие критерии безопасности информационных технологий

 

            В 1999 г. Международной организацией по стандартизации (ISO) в качестве международного стандарта приняты "Общие критерии безопасности информационных технологий" - КОЛЕС 15408-99. В дальнейшем мы будем называть их "Общие крите­рии".

            В Общих критериях продолжена линия, направленная на от­каз от заранее заданных классов безопасности. В них содержатся не наборы требований к тем или иным программам или про­граммно-аппаратным средствам, а технология создания таких наборов. Любой продукт информационных технологий может уча­ствовать в качестве объекта оценки (00) Общих критериев. Тре­бования к различным продуктам информационных технологий формулируются в виде "профилей защиты" и "заданий по безо­пасности".

            Профиль защиты (ПЗ) представляет собой набор требований к определенной категории продуктов без уточнения методов и средств их реализации.

            Задание по безопасности (ЗБ) содержит информацию, ана­логичную той, что имеется в ПЗ, но уже с учетом реализации требований безопасности в конкретном объекте оценки.

            ПЗ и ЗБ представляют собой разные уровни детализации. В ПЗ формулируются требования к 00, без учета их реализации. ПЗ может быть создан заказчиком, даже не предполагающим кто именно будет создавать соответствующий продукт. ЗБ, как пра­вило, создается разработчиком продукта и содержит информацию о том, каким образом данный продукт обеспечивает предъявляе­мые к нему требования.

            В Общих критериях рассматриваются две категории требований безопасности - функциональные требования и требования гарантии.

            Функциональные требования определяют функции ОО, на­правленные на обеспечение требуемого режима безопасности. К ним относятся требования к процедуре идентификации и аутен­тификации, механизму аудита, защите данных пользователей и т.п.

Требования гарантии призваны подтвердить правильность реализации функциональных требований и оценить, насколько реализованный набор функциональных требований обеспечивает достижение сформулированных целей безопасности. К требова­ниям гарантии относятся, ограничения на уровень строгости (упорядоченности) процесса разработки и требования к процессу поиска возможных уязвимостей и анализу их влияния на безо­пасность.

            В Общих критериях определяются 11 классов функциональ­ных требований и 7 предопределенных уровней гарантии оценки (УГ01, УГО2, ..., УГО7). При этом допускается использование функциональных требований гарантии, не содержащихся в Об­щих критериях. Однако требования, уже сформулированные в рассматриваемом документе, остаются приоритетными.

            В настоящее время Общие критерии ещё мало применяются, однако переход мирового сообщества на этот стандарт является практически неизбежным. В США Общие критерии уже вводятся и в коммерческой, и в военной сфере. Сертификация по старому стандарту TCSEC, подготовленному Министерством обороны США, не производится с октября 1999 г.

            Допускаются 2 формы использования Общих критериев. Первая форма состоит в применении Общих критериев в качестве внутригосударственного стандарта. При этом все вопросы серти­фикации государство может решать самостоятельно. Однако сле­дует иметь в виду, что результаты сертификации в этом случае не получат международного признания. Вторая форма подразумева­ет подписание международного соглашения о взаимном призна­нии результатов сертификации. В этом случае схема проведения сертификации должна обеспечивать возможность сопоставления полученных результатов.

            В настоящее время к соглашению о взаимном признании присоединилось большинство наиболее развитых в технологиче­ском отношении стран (США, Италия, Германия, Франция, Анг­лия и др.). В России ведется активная работа по подготовке при­нятия соответствующего Российского стандарта. Однако оконча­тельное решение о переходе на Общие критерии и форме такого перехода пока не принято.

 

Контрольные вопросы

 

1.   Чем вызвана необходимость разработки стандартов по защите информации в КС? Назовите существующие стандарты и нор­мативы в этой области.

2.   Рассмотрите критерии оценки безопасности компьютерных систем Министерства обороны США ("Оранжевая книга").

3. Охарактеризуйте пакет руководящих документов Гостехко-миссии РФ по защите информации.

4.   Рассмотрите Европейские критерии безопасности информаци­онных технологий (стандарт ITSEC).

5.   Дайте   общую   характеристику   международному   стандарту ISO/IEC безопасности информационных технологий.

 

ГЛАВА 12. КОМПЛЕКСНАЯ ЗАЩИТА ИНФОРМАЦИИ В КОМПЬЮТЕРНЫХ СИСТЕМАХ

 

12.1. Концепция создания комплексной системы

защиты информации в КС

 

            Под комплексной системой защиты информации (КСЗИ) понимается единая система правовых норм, организационных мероприятий, инженерно-технических, программных и крипто­графических средств, которые полно и всесторонне -охватывают все предметы, процессы и факторы, обеспечивающие безопас­ность защищаемой информации. Учитывая масштабность и раз­мерность выполняемых функций, такие системы относятся к классу больших систем. При их научной разработке, проектиро­вании, производстве, эксплуатации и развитии необходимо при­держиваться определенных методологических принципов, к чис­лу которых относятся:

            -  параллельная разработка компьютерной системы и необ­ходимой КСЗИ;

            -  системный подход к построению защищенных КС;

            -  многоуровневая структура КСЗИ;

            -  иерархичность управления КСЗИ;

            -  блочная архитектура защищенных КС;

            -  возможность развития КСЗИ;

            -  дружественный интерфейс защищенных КС с пользовате­лями и обслуживающим персоналом.

            Первый из приведенных принципов создания КСЗИ требует проведения одновременной параллельной разработки КС и необ­ходимых механизмов защиты. Только в этом случае можно полно­стью учесть взаимное влияние блоков и устройств самой компью­терной системы и используемых для нее механизмов защиты, обеспечить разумный компромисс между созданием встроенных, неотделимых от КС средств защиты и применением блочных унифицированных средств. В конечном счете, такой подход по­зволит более эффективно реализовать все остальные принципы.

            Принцип системности является одним из основных концеп­туальных и методологических принципов построения защищен­ных КС. Он предполагает:

            -анализ всех возможных угроз безопасности информации;

            -обеспечение защиты на всех жизненных циклах КС;

            -защиту информации во всех звеньях КС;

            -комплексное использование механизмов защиты.

            Анализ потенциально возможных угроз безопасности ин­формации обычно осуществляется в процессе создания и всесто­роннего исследования модели таких угроз. Моделирование за­ключается в построении образа (модели) КС, воспроизводящего с определенной точностью процессы, происходящие в реальной системе. Путем моделирования определяются условия, порож­дающие те или иные угрозы, оцениваются вероятности реализа­ции, а также степени их опасности с точки зрения ущерба, нано­симого информационным ресурсам КС.

            Защита названных ресурсов должна осуществляться на эта­пах разработки, производства, эксплуатации и модернизации КС, а также по всей технологической цепочке ввода, обработки, пере­дачи, хранения и выдачи информации. Только таким образом можно обеспечить создание КСЗИ, в которой отсутствуют слабые звенья как на различных жизненных циклах КС, так и в любых элементах и режимах работы КС.

            Механизмы защиты, которые используются при построении защищенных КС, должны быть взаимосвязаны по месту, времени и характеру действия. Комплексность предполагает использова­ние в оптимальном сочетании различных методов и средств за­щиты информации: инженерно-технических, программно-аппаратных и правовых. Любая, даже самая простая система за­щиты информации должна быть комплексной.

            Комплексная система защиты информации должна иметь многоуровневый характер, т.е. иметь несколько уровней, пере­крывающих друг друга. В этом случае для доступа к закрытой информации злоумышленнику необходимо преодолеть ("взло­мать") все уровни защиты. Например, для компьютерной системы как объекта защиты информации можно выделить следующие уровни (рубежи) защиты:

            -  охрана по периметру территории объекта;

            -  охрана по периметру здания;

            -  охрана помещения;

            -  защита аппаратных средств;

            - защита программных средств;       

            -  защита информации.

            Важным концептуальным требованием, предъявляемым к КСЗИ, является необходимость реализации принципа управления защитой информации, в процессе которого осуществляются:

            -  непрерывное слежение за функционированием механиз­мов защиты путем сбора и накопления соответствующих данных;

            -  систематический анализ текущего состояния защищенно­сти информационных ресурсов;

            -  своевременное принятие мер при нарушении или угрозе нарушения защищенности информационных ресурсов.

            Управление системой защиты информации обычно реализу­ется по иерархическому принципу, в основе которого всегда ле­жит централизованное управление на верхнем уровне системы защиты с возможной децентрализацией управления на локальных уровнях. Централизация управления защитой информации объ­ясняется необходимостью проведения единой политики в области безопасности информационных ресурсов в рамках предприятия, организации, корпорации, министерства. Эта политика детализи­руется на более низких локальных уровнях.

            Одним из важных принципов построения защищенных КС является использование блочной архитектуры, что значительно упрощает разработку, отладку и контроль работоспособности та­ких систем, позволяет альтернативно использовать аппаратные и программные блоки. Стандартизация интерфейсов отдельных блоков дает возможность использовать более совершенные блоки в процессе модернизации системы защиты.

            Совершенствование информационных технологий, расши­рение возможностей КС, а также появление новых угроз инфор­мационной безопасности постоянно стимулируют развитие но­вых механизмов защиты. В этом смысле защищенные КС должны быть развивающимися или открытыми. Важную роль в процессе создания открытых систем играют международные стандарты в области взаимодействия различных устройств и подсистем. Они позволяют использовать при совершенствовании защищенных КС подсистемы различных типов, имеющих стандартные интер­фейсы взаимодействия.

            Комплексная система защиты информации должна быть дружественной по отношению к пользователям и обслуживаю­щему персоналу и максимально автоматизированной. Вместе с тем, не должна требовать выполнения пользователем трудоемких операций, а также создавать для него ограничения в реализации установленных функциональных обязанностей.

 

12.2. Теоретические и методологические основы постановки задачи разработки КСЗИ

 

            Эффективное и гарантированное обеспечение требуемого уровня защиты информации в КС возможно только на основе комплексного использования всех известных механизмов и под­ходов к решению данной проблемы. В настоящее время, к сожа­лению, пока еще отсутствует общая теория комплексной защиты информации в КС. Однако уже сейчас можно сказать о том, что в основе разработки такой теории должна лежать целостная систе­ма принципиальных решений следующего состава:

            -формирование полного перечня так называемых функций защиты, обеспечивающих требуемый уровень защищенности ин­формации в КС;

            -формирование репрезентативного множества задач, реше­ние которых обеспечивает реализацию всех функций защиты;

            -обоснование возможностей создания арсенала адекватных по содержанию и достаточных по количеству средств защиты информации;

            -введение понятий "система защиты информации", состоя­щей из разнообразных средств защиты, и "методология оценки ее эффективности" по выбранным критериям и показателям;

            -обоснование методологии управления системой защиты для обеспечения ее необходимой эффективности;

            -формирование требований к аудиту систем защиты инфор­мации, позволяющему в случае нарушения безопасности проана­лизировать работу системы и выяснить причину нарушения.

            Рассмотрим более подробно приведенные положения, а за­тем сформулируем на этой основе общетеоретическую постанов­ку задачи разработки комплексной системы защиты информации.

            Под функцией защиты Фi понимается совокупность одно­родных в функциональном отношении мероприятий, регулярно осуществляемых в КС различными средствами и методами с це­лью создания, поддержания и обеспечения условий, объективно необходимых для надежной защиты информации. Для того чтобы множество таких функций Ф = { Ф1 Ф2, ..., Фп} соответствовало своему назначению, оно должно удовлетворять требованию пол­ноты. В этом случае при надлежащем обеспечении необходимого уровня реализации каждой из функций этого множества может быть достигнут требуемый уровень защищенности информации.

            Анализ конкретных ситуаций, которые могут быть в про­цессе защиты информации, приводит нас к следующему составу множества функций защиты:

            1)предупреждение возникновения условий, благоприятст­вующих появлению дестабилизирующих факторов (ДФ);

            2)предупреждение непосредственного проявления ДФ;

            3)обнаружение проявившихся ДФ;

            4а) предупреждение воздействия на защищаемую информа­цию проявившихся и обнаруженных ДФ;

            46) предупреждение воздействия на защищаемую информа­цию проявившихся, но необнаруженных ДФ;

            5)обнаружение воздействия ДФ на защищаемую информа­цию;

            ба)  локализация (ограничение) обнаруженного воздействия ДФ на информацию;

            6б)  локализация необнаруженного воздействия ДФ на ин­формацию;

            7а) ликвидация последствий локализованного необнаружен­ного воздействия ДФ на информацию;

            76) ликвидация последствий локализованного необнару­женного воздействия ДФ на информацию.

            На рис. 12.1 показаны все сочетания событий, которые по­тенциально возможны при всех функциях защиты. Каждый из исходов является событием случайным, а все вместе они состав­ляют полную группу несовместных событий. Для таких событий, как известно, сумма вероятностей всех событий равна 1.

            Благоприятными с точки зрения защиты информации явля­ются исходы 1-6, поэтому сумма их вероятностей  равна вероятности Р3 того, что защищенность информации обеспечена,

 

Рис. 12.1. Схема возможных сочетаний функций и результатов защиты информации

 

            Очевидно, что вероятность  исхода таких событий зави­сит от вероятностей успешного осуществления соответст­вующих функций защиты информации, т.е.:        

                       

и так далее.

            В конечном итоге защищенность информации целиком и полностью определяется вероятностями успешного осуществле­ния функций защиты, т.е.

            Если требуется обеспечить уровень защищенности инфор­мации, соответствующей вероятности , то необходимо провес­ти такие мероприятия для каждой из функции защиты, для которых

            Осуществление функций защиты информации в КС обычно достигается решением определенных задач защиты. При этом под задачей  защиты   понимаются   организованные   возможности средств, методов и мероприятий, осуществляемых в КС с целью полной или частичной реализации одной или нескольких функ­ций защиты. К числу задач можно отнести:

            -введение избыточности элементов КС;

            -резервирование элементов КС;                                            

            -регулирование доступа к элементам КС; -регулирование использования элементов КС;                      

            -контроль элементов системы;                                             

            -регистрацию событий и процессов, протекающих в КС.     

            Основными требованиями, предъявляемыми к множеству задач защиты, являются репрезентативность и реализуемость. Под репрезентативностью понимается достаточность их для обеспечения требуемого уровня и эффективности осуществления

всех функций защиты, а под реализуемостью - возможность реализации имеющимися средствами и методами.

            Для решения любой задачи защиты в КС должны быть пре­дусмотрены адекватные по содержанию и достаточные по коли­честву средства защиты. К настоящему времени имеются все объективные предпосылки для разработки необходимого арсена­ла таких средств защиты. В зависимости от способа воздействия на дестабилизирующие факторы и порождающие их причины выделяют инженерно-технические, программно-аппаратные, криптографические, организационные и правовые средства защи­ты.

            Для решения вопроса о достаточном количестве различных средств необходимо иметь данные об эффективности их исполь­зования при решении различных задач защиты. Указанные дан­ные могут быть получены в результате широкомасштабного сбо­ра и статистической обработки информации по этим вопросам на реально функционирующих системах защиты, а также постанов­кой натурных экспериментов или экспертными оценками.

            Средства защиты, необходимые для реализации функций за­щиты и решения соответствующих задач защиты, обычно объеди­няются в комплексную систему защиты информации. Такая сис­тема рассматривается как организованная совокупность всех средств, методов и мероприятий, комплексно используемых в КС для решения задач защиты информации с помощью соответст­вующих механизмов защиты. Совокупность названных механиз­мов формализовано представляется множеством М = {m1, m2, ..., mk}.

            Весьма важной является также проблема оценки эффек­тивности комплексной системы защиты. Сложность реализуе­мых функций защиты, значительная доля нечетко определенных исходных данных, большое количество механизмов защиты, сложность их взаимосвязей, подверженность самого процесса защиты влиянию случайных факторов и многое другое делают эту проблему в целом исключительно сложной и в настоящее время практически нерешенной.

            Для упрощения этой проблемы часто общая задача оценки эффективности КСЗИ разбивается на частные, например:

            -оценка эффективности защиты от случайных сбоев и отка­зов оборудования;

            -оценка эффективности метода шифрования, атакуемого пу­тем тотального перебора ключей;

            -оценка эффективности защиты от несанкционированного доступа к информации;

            -оценка эффективности защиты от перехвата побочного электромагнитного излучения и наводок и т.д.                               

            Для каждой из этих задач формальными методами можно определить соответствующие показатели эффективности у1 ,у1,…, уw. Множество таких показателей Y = {у1, у2, ..., yw} может • стать многозначной характеристикой эффективности системы защиты в целом.

            Оптимизация комплексной системы защиты информации с  точки зрения ее эффективности обычно основана на использова­нии однозначного показателя, называемого критерием эффектив­ности.

            В простейшем случае в качестве такого критерия может быть выбран один из рассмотренных ранее частных показателей эффективности, который ввиду своей значимости становится главным показателем эффективности. В этом случае оптимальной считается система, для которой этот показатель достигает экс­тремума при условии, что остальные показатели удовлетворяют системе ограничений, заданных соответствующими неравенства­ми.

            В качестве критериев эффективности могут быть использо­ваны и обобщенные показатели, полученные объединением с по­мощью операций умножения или сложения частных показателей эффективности, взятых с весовыми коэффициентами, которые определяют значимость каждого из них в обеспечении эффектив­ности системы защиты в целом.

            Для оценки оптимальности системы защиты часто приме­няются экономические показатели. Дело в том, что реализация функций защиты всегда связана с расходованием тех или иных ресурсов. Вероятность  успешного осуществления i-ой функ­ции защиты зависит от уровня вложенных в ее реализацию

 

            где  - допустимый уровень затрат на защиту информации.

            Нетрудно заметить, что первая постановка задачи соответ­ствует тому случаю, когда заданный уровень защиты должен быть достигнут при минимально возможных затратах Cmin, а вто­рая - когда затраты на защиту информации ограничены некото­рым уровнем , а естественным желанием при этом является достижение максимально возможного уровня Р3mах защищенно­сти информации.

            Как уже было отмечено ранее, обеспечение необходимого уровня эффективности КСЗИ требует соответствующего управ­ления процессами функционирования системы защиты. Различ­ные способы и методы такого управления объединяются в мно­жество U = {u1, u2, ... up}. В этом случае выбранный критерий эффективности К становится зависящим не только от реализуе­мых функций защиты Ф = {ф1; ф2, ... фп} и выбранных или соз­данных механизмов защиты М = {m1, m2, ... mk}, но и от управ­ления U, т.е. К = K(Ф,M,U).

            Тогда в общетеоретическом плане постановка задачи разра­ботки КСЗИ формулируется следующим образом. Требуется соз­дать или выбрать такие механизмы защиты и способы управления  системой защиты, при которых обеспечивается реализация всего множества необходимых функций защиты Ф и достигается экстремум выбранного критерия эффективности extr К(Ф,М*,U*).

            Следует отметить, что в реальных условиях существуют об­стоятельства, ограничивающие возможности использования рас­смотренного классического подхода к оценке эффективности систем защиты информации. Это связано, прежде всего, с высо­кой степенью неопределенности многих исходных данных, а также сложностью формализации процессов функционирования и взаимодействия между собой различных механизмов защиты.

            В связи с этим во многих случаях эффективность КСЗИ можно оценить, применив существующие стандарты информаци­онной безопасности (см. предыдущую главу). При этом критери­ем эффективности КСЗИ является ее класс защищенности, опре­деляемый перечнем механизмов защиты, реализуемых в данной КС.

            Для оценки эффективности систем защиты информации по­лучили распространение различные методы моделирования. Не­которые из них будут рассмотрены в дальнейшем более подроб­но.

 

12.3. Технология разработки комплексной системы защиты информации

 

            Разработка комплексной системы защиты информации представляет собой достаточно сложный и многоэтапный про­цесс, в котором должны быть максимально полно учтены:

            -особенности структуры и функциональной организации компьютерной системы;

            -характеристики циркулирующей в КС информации, под­лежащей защите;

            -условия возникновения и характер проявления сущест­вующих и потенциально возможных угроз информационной безопасности.

            Разработку КСЗИ рекомендуется проводить совместно с разработкой самой компьютерной системы, формируя при этом необходимые механизмы защиты с учетом особенностей экс­плуатации КС. В общем случае процесс такой разработки разби­вается на следующие основные этапы:

            -    разработка технического задания;

            -    эскизное проектирование;

            -   техническое проектирование;

            -   рабочее проектирование;

            -   производство опытного образца.

            Среди перечисленных этапов наиболее важным является этап разработки технического задания. Именно на этом этапе ре­шаются все специфические задачи, связанные с созданием КСЗИ. В большинстве случаев разработка обоснованного технического задания требует проведения научно-исследовательских работ, ко­торые на последующих этапах создания КСЗИ завершаются соот­ветствующими опытно-конструкторскими разработками.

            На рис. 12.2 показаны последовательность и содержание на­учно-исследовательских работ, предшествующих созданию КСЗИ.

            Научно-исследовательская разработка КСЗИ начинается с анализа информации, циркулирующей в КС, анализа возможных угроз безопасности информации и анализа КС, подлежащей за­щите.

            В первую очередь производится анализ конфиденциально­сти и важности информации, которая должна обрабатываться, храниться и передаваться в КС. На основе такого анализа с уче­том характеристик самой информации (объема, формы представ­ления, способа кодирования, времени жизни и др.) определяются требования к ее защищенности путем присвоения соответствую­щих грифов конфиденциальности и установления необходимых правил разграничения доступа к ней различных субъектов.

            Очень важная исходная информация для построения КСЗИ получается в результате анализа защищаемой КС. Поскольку КСЗИ является подсистемой КС, необходимо рассмотреть внут­реннее взаимодействие системы защиты с КС и взаимодействие с внешней средой (рис. 12.3).

            В числе внутренних условий взаимодействия КСЗИ учиты­ваются не только особенности структурной и функциональной организации КС, но и угрозы безопасности информации, которые возникают внутри КС (отказы технических и программных средств, алгоритмические ошибки и т.п.).

            Внешние условия функционирования КСЗИ определяются:

            -взаимодействием КСЗИ с внешними системами;

            -внешними случайными и преднамеренными угрозами безопасности информации.

            Анализ угроз безопасности информации является одним из обязательных условий построения КСЗИ. По результатам такого анализа строится модель угроз безопасности информации в КС, содержащая систематизированные данные о всех как случайных, так и преднамеренных угрозах, которые возможны в данной КС, их опасности, о временных рамках действия, вероятности реали­зации и т.д.

            Часто модель угроз рассматривается как композиция модели случайных угроз и модели злоумышленника.

            При этом случайные угрозы в настоящее время достаточно хорошо изучены. К ним относятся, прежде всего, угрозы безо­пасности, связанные с конечной надежностью технических сис­тем. Угрозы, порождаемые стихией или непреднамеренными действиями людей, формализовать сложнее. Однако по ним на­коплен большой объем статистических данных, позволяющих прогнозировать проявление угроз этого класса.

            При построении модели злоумышленника учитываются его квалификация, техническая оснащенность и возможный статус на объекте КС. В основу модели злоумышленника могут быть по­ложены два подхода:

            1)модель ориентируется только на высококвалифицирован­ного злоумышленника-профессионала, оснащенного всем необ­ходимым и имеющего легальный доступ на всех рубежах защиты КС;

            2)модель учитывает квалификацию злоумышленника, его реальную оснащенность и официальный статус в КС.

            Первый подход проще реализуется, но позволяет определить лишь верхнюю границу преднамеренных угроз безопасно­сти информации.

            Второй подход отличается гибкостью и позволяет учесть реальные возможности злоумышленника по отношению к кон­кретной КС.

            Модель злоумышленника и модель случайных угроз в сово­купности с результатами анализа защищаемой информации и мо­делью архитектуры проектируемой КС являются основной для построения модели КСЗИ (см. рис.12.2).

            Моделирование КСЗИ заключается в построении образа (модели), воспроизводящего с определенной точностью процес­сы, происходящие в реальной системе защиты. Сложность моде­лирования состоит в том, что такие системы относятся к классу больших организационно-технических систем, которым присущи следующие особенности:

            -сложность формального представления процессов функ­ционирования таких систем, в том числе из-за сложности форма­лизации действий человека;

            -многообразие архитектур сложной системы, обусловленное разновидностью структур ее подсистем и множественностью пу­тей их объединения в единую систему;

            -большое число взаимосвязанных между собой компонен­тов и подсистем;

            -сложность функций, выполняемых системой;

            -функционирование системы в условиях неполной опреде­ленности и случайности процессов, оказывающих воздействие на систему;

            -наличие множества критериев оценки эффективности (оп­тимальности) функционирования сложной системы;

            -существование интегрированных признаков, присущих системе в целом, но не свойственных каждому элементу в отдельности;

            -наличие в системе управления, часто имеющего сложную иерархическую структуру;

            -разветвленность и высокая интенсивность информацион­ных потоков.

            С учетом всего этого удается только в очень упрощенном варианте исследовать реальные системы с помощью аналитиче­ских моделей, записанных в виде формализованных математических и логических зависимостей. К такому моделированию при­бегают в основном для получения предварительных оценок КСЗИ.

            Для более детального анализа и исследования систем защи­ты, а также для их оптимизации обычно используют специальные методы неформального моделирования. В основе такого модели­рования лежат:

            -структурирование архитектуры и процессов функциониро­вания КСЗИ;

            -неформальные методы оценивания эффективности КСЗИ;

            -неформальные методы поиска оптимальных решений.

            В структурированном описании изучаемой системы защиты отображаются с достаточной полнотой основные компоненты этой системы и их функциональные взаимосвязи. Основой такого описания обычно служит декомпозиция общей задачи защиты на ряд отдельных функций защиты, реализуемых соответствующи­ми средствами.

            В процессе проектирования КСЗИ необходимо получать ха­рактеристики системы, оценивающие ее эффективность. Некото­рые такие характеристики могут быть получены путем измерений с последующей статистической обработкой. Однако существуют характеристики систем защиты информации, которые не могут быть определены таким образом. К ним относятся, например, ве­роятности реализации некоторых угроз, отдельные характеристи­ки эффективности систем защиты и т.п. Для их получения ис­пользуются так называемые методы неформального оценивания, среди которых наибольшее распространение получили хорошо отработанные методы экспертных оценок. В ряде случаев они яв­ляются единственно возможными методами оценивания характе­ристик системы защиты.

            Оптимизация КСЗИ сводится к выбору таких параметров (характеристик) системы защиты, при которых обеспечивается экстремальное значение определенного критерия. Оптимальные решения в большинстве случаев находятся неформальными ме­тодами, в реализации которых важнейшую роль играет человек, обладающий необходимыми знаниями, опытом и интуицией. Лишь в некоторых случаях эту сложную задачу удается свести к формальному описанию и ее решению формализованными мето­дами, например, методами теории графов, теории нечетких мно­жеств, теории игр и др.

            На завершающем этапе разработки КСЗИ по результатам моделирования окончательно выбираются необходимые меха­низмы и средства, обеспечивающие реализацию требуемых функций защиты информации.

 

12.4. Функционирование комплексных систем защиты информации

 

            В процессе функционирования КСЗИ должны быть наибо­лее эффективно реализованы все возможности, заложенные в систему при проектировании. С учетом изменяющихся условий эксплуатации необходимо также обеспечить возможности для дальнейшего совершенствования защитных функций системы.

            Применение КСЗИ по своему прямому назначению преду­сматривает организацию необходимого доступа к ресурсам КС, а также обеспечение их целостности и доступности.

            Под организацией доступа к ресурсам понимается весь ком­плекс мер, который реализуется в процессе эксплуатации КС для предотвращения несанкционированного воздействия на инфор­мацию, а также на технические и программные средства КС. С этой целью, как известно, создается соответствующая система разграничения доступа (СРД), в составе которой можно выделить следующие компоненты:

            -средства аутентификации субъекта доступа;

            -средства разграничения доступа к техническим устройст­вам компьютерной системы;

            -средства разграничения доступа к программам и данным;

            -средства блокировки неправомочных действий;

            -средства регистрации событий;

            -дежурный оператор системы разграничения доступа.

            Эффективность функционирования СРД во многом опреде­ляется надежностью механизмов аутентификации, при реализа­ции которых осуществляются генерация или изготовление иден­тификаторов пользователей, их учет, хранение и передача пользователю, а также контроль за правильностью выполнения процедур аутентификации. Значения идентификаторов пользовате­лей не должны храниться и передаваться в системе в открытом виде. На время ввода и сравнения идентификаторов необходимо применять особые меры защиты от подсматривания набираемого пароля. При компрометации атрибутов доступа (пароля, иденти­фикационного кода и т.п.) необходимо срочно исключить их из списка разрешенных. Эти действия должны выполняться дежур­ным оператором системы разграничения доступа.

            Особое значение имеет аутентификация при взаимодейст­вии удаленных процессов в распределенных КС. Она реализуется обычно методами криптографии. При этом секретные ключи шифрования должны всегда распределяться вне защищаемой компьютерной системы.

            Средства разграничения доступа к техническим средствам КС препятствуют несанкционированным действиям злоумыш­ленников. Разграничение доступа осуществляет дежурный опера­тор СРД путем использования технических и программных средств. Он контролирует и при необходимости блокирует ис­пользование ключей от замков подачи питания на те или иные устройства, загрузку операционной системы, изменяет техниче­скую структуру средств, которые может использовать конкрет­ный пользователь, и т.д.

            Средства блокировки неправомочных действий субъектов доступа - неотъемлемая часть СРД. Если атрибуты субъекта дос­тупа или его действия не являются разрешенными для данного субъекта, то дальнейшая работа такого нарушителя прекращается до вмешательства оператора КСЗИ. Средства блокировки исклю­чают или существенно затрудняют автоматический подбор атри­бутов доступа.

            Средства разграничения доступа к программам и данным используются наиболее интенсивно и во многом определяют ха­рактеристики СРД в целом. Эти средства являются программно-аппаратными. Они настраиваются должностными лицами под­разделения, обеспечивающего безопасность информации, и изме­няются при изменении полномочий пользователя или при изме­нении программной и информационной структуры КС. Доступ к файлам регулируется диспетчером доступа. Доступ к записям и

отдельным полям записей в файлах баз данных регулируется также с помощью систем управления базами данных (СУБД).

            Эффективность СРД можно значительно повысить путем шифрования данных, хранящихся на внешних запоминающих устройствах. В этом случае даже несанкционированное копиро­вание не даст злоумышленнику доступ к информации без знания ключа шифрования.

            В распределенных КС доступ между удаленными подсисте­мами регулируется с помощью межсетевых экранов. Межсетевой экран используется для управления обменом между защищенной и незащищенной компьютерными подсистемами. Компьютер, реализующий функции межсетевого экрана, целесообразно раз­мещать на рабочем месте дежурного оператора КСЗИ.

            Одним из основных требований, предъявляемых к защи­щенной КС, является наличие в ней подсистемы аудита, осущест­вляющей регистрацию всех событий, важных с точки зрения обеспечения безопасности информации. Данная подсистема явля­ется обязательной компонентой КСЗИ. Задачи, решаемые средст­вами аудита, рассмотрены более подробно в п. 12.5.

            Управление КСЗИ непосредственно осуществляет дежур­ный оператор, который, как правило, выполняет и функции де­журного администратора защищаемой КС. Он загружает операционную систему, обеспечивает требуемую конфигурацию и ре­жимы работы КС, вводит в СРД полномочия и атрибуты пользо­вателей, контролирует и управляет доступом пользователей к ре­сурсам КС.

            Как уже отмечалось ранее, в процессе функционирования КСЗИ реализуется не только необходимый доступ к ресурсам КС, но и обеспечивается целостность и доступность информации.

            Одним из главных условий обеспечения целостности и дос­тупности информации в КС является ее дублирование. Стратегия дублирования выбирается с учетом ценности информации, тру­доемкости ее восстановления, а также требований к непрерывно­сти работы КС. Дублирование информации обеспечивается де­журным администратором КС.

            Целостность и доступность информации поддерживается путем резервирования аппаратных средств, блокировки ошибочных действий людей, использованием надежных элементов и от­казоустойчивых систем, комплексом антивирусных мероприятий.

            В защищенных КС должно использоваться только разре­шенное программное обеспечение. Перечень официально разре­шенных к использованию программных средств, периодичность и способы контроля их целостности следует определить перед началом эксплуатации КС.

            Простейшим методом контроля целостности программ яв­ляется метод контрольного суммирования. Для исключения воз­можности внесения изменений в контролируемый файл с после­дующей коррекцией контрольной суммы необходимо хранить контрольную сумму в зашифрованном виде или использовать для ее получения секретный алгоритм.

            Однако наиболее приемлемым методом контроля целостно­сти информации является использование хэш-функции, которую практически невозможно подделать без знания ключа (стартового вектора хэширования).

            Особое внимание должно быть сосредоточено на обеспече­нии целостности структур КС и ее информационных ресурсов во время проведения технического обслуживания, восстановлении работоспособности, ликвидации аварий, а также в период модер­низации КС.

            Перед проведением таких работ необходимо изолировать ту часть КС, на которой выполняются эти работы, от функциони­рующей части КС. Для этого могут быть использованы аппарат­ные и программные блокировки или физическое отключение со­ответствующих цепей.

            Все съемные носители с конфиденциальной информацией должны быть сняты с устройств и храниться в заземленных ме­таллических шкафах в специальном помещении. Информация на несъемных носителях стирается, а если этого нельзя сделать, то данное устройство подлежит утилизации, включая физическое разрушение носителя.

            В процессе выполнения специальных работ необходимо ис­ключить использование непроверенных аппаратных и программ­ных средств. После завершения этих работ должна проводиться проверка КС на отсутствие закладок. После такой проверки информация восстанавливается и задействуются все механизмы за­щиты КС.

 

12.5. Аудит в защищенных КС

 

            Одним из основных требований к защищенной КС является наличие в ней подсистемы аудита, осуществляющей регистрацию событий, важных с точки зрения обеспечения безопасности. К та­ким событиям относятся: регистрация входа пользователей в КС и выхода из нее, изменение прав доступа и полномочий пользователей, изменение настроек системы, реализующих поддержи­ваемую политику безопасности, выполнение доступа к защищае­мым компьютерным ресурсам и т.п. Имеет смысл регистрировать не только успешное выполнение указанных действий, но и неус­пешные попытки, заблокированные системой защиты.

            Основной формой регистрации указанных событий является программное ведение специальных журналов аудита, в которых для каждого регистрируемого события указываются: его тип, идентификационные данные пользователя, инициировавшего данное событие, дата и время, успешность или неуспешность вы­полнения действий. Для некоторых событий может фиксировать­ся и другая информация, например, при неуспешной попытке входа в систему желательно сохранить введенную аутентифицирующую информацию пользователя (данные о полномочиях, па­ролях, ключах и др.), а также идентификатор терминала, с кото­рого поступил запрос.

            Имея такие сведения, можно получить статистические дан­ные относительно терминалов, пользователей и программ, ини­циирующих соответствующий доступ, а также сведения о резуль­татах выполнения запросов и характере использования запраши­ваемых ресурсов.

            В случае нарушения информационной безопасности нали­чие аудита позволяет проанализировать работу системы и выяс­нить причину нарушения. В каком-то смысле это аналог "черного ящика", размещенного на самолетах. По записям в журнале ауди­та можно восстановить механизмы атаки и принять соответст­вующие меры для предотвращения таких случаев в дальнейшем. Сам факт ведения регистрационных журналов оказывает психологическое воздействие на потенциальных нарушителей, удер­живая их от злоумышленных действий. Количество "эксперимен­тов", проводимых пользователями с целью преодоления системы разграничения доступа, резко снижается, если они знают, что их действия протоколируются. При правильной организации под­системы аудита записи в регистрационном журнале могут не только указать на нарушителя правил эксплуатации КС, но и по­служить доказательством для обоснования обвинения против злоумышленника.

            Данные журнала аудита должны быть защищены от несанк­ционированного ознакомления, так как они содержат подробную информацию о работе всех пользователей КС. Если злоумыш­ленник получит возможность анализировать содержимое журна­ла аудита, то ему будет легче организовать свою атаку таким об­разом, чтобы не оставить в этом журнале нежелательные для него записи. Просматривать и копировать записи журнала аудита мо­жет только специально уполномоченное на это лицо.

            Регистрация событий производится подсистемой аудита не­зависимо от действий других субъектов КС. Ни один субъект доступа не имеет возможности вносить несанкционированные изменения в журнал аудита, включая несанкционированное уничтожение занесенных в него данных.

            После переполнения журнала аудита с системой могут рабо­тать только аудиторы, очистка журнала - в их компетенции. По­сле очистки в журнал автоматически заносится запись о дате и времени очистки, а также идентификаторы лица, проводившего очистку.

            Все это свидетельствует о необходимости и важности выбо­ра эффективной политики аудита, т.е. совокупности правил, оп­ределяющих множество регистрируемых событий, правил обра­ботки и хранения сведений журнала аудита.

            Выбор оптимальной политики аудита определяется множе­ством факторов: возможностями подсистемы аудита, характером обрабатываемой информации, количеством пользователей, ин­тенсивностью использования различных ресурсов и т.п. Очевид­но, что многие из этих факторов могут изменяться во времени, поэтому нельзя сформулировать единую политику аудита для различных КС. Даже в одной системе политика аудита не должна оставаться неизменной. Например, при обнаружении попыток взлома системы может потребоваться внесение изменений в по­литику аудита, с тем чтобы данные аудита помогли разобраться в механизме проводимой атаки и выявить нарушителя.

            В некоторых случаях политика аудита включает в себя не только пассивную регистрацию событий, но и оповещение адми­нистратора или аудитора о наиболее важных событиях. Чтобы максимально снизить объем информации, поступающей к ауди­тору, подсистема аудита должна быть интеллектуальной, т. е. способной анализировать регистрируемые события и оповещать аудитора о реальных признаках нарушения или подготовки к на­рушению безопасности КС. Например, оповещать о попытках подбора паролей, нехарактерных действиях пользователей, обна­ружении признаков присутствия в системе компьютерных виру­сов и т.п. При интерактивном аудите появляется возможность оперативно реагировать на попытки преодоления злоумышлен­никами системы защиты.

            Интеллектуальность подсистемы аудита позволяет, в ряде случаев, принимать самостоятельные решения по пресечению нарушений безопасности обрабатываемой информации. Напри­мер, при регистрации последовательных событий, указывающих на присутствие вируса, может инициироваться запуск антивирус­ных программ, при обнаружении попыток несанкционированного доступа со стороны того или иного пользователя может быть за­блокирована его учетная запись. При возникновении определен­ных нештатных ситуаций интеллектуальная подсистема может быть способной даже изменить политику безопасности, например запретить доступ к некоторым данным, отключить ряд устройств и т.п. Вместе с тем, подсистема интеллектуального аудита эффек­тивна только тогда, когда достаточно мала вероятность появле­ния ложных тревог. Как правило, такие системы эффективны только в стандартных ситуациях и против уже известных атак. При настройке таких систем нужна очень высокая квалификация, иначе они будут либо бесполезны, либо ухудшать защищенность КС. Особенно продуманными должны быть настройки подсистемы аудита, способной принимать самостоятельные решения по изменению политики безопасности.

 

12.6. Создание организационной структуры комплексной системы защиты информации

 

            Одной из основных составляющих КСЗИ является органи­зационная структура. Она создается для выполнения организаци­онных мер защиты, эксплуатации технических, программных и криптографических средств защиты, а также для контроля за вы­полнением установленных правил эксплуатации КС обслужи­вающим персоналом и пользователями. Такие структуры входят в состав службы безопасности ведомств, корпораций, фирм, орга­низаций и создаются в соответствии с действующим законода­тельством РФ, регулирующим взаимоотношения граждан и юри­дических лиц в сфере информационных технологий, а также тре­бованиями подзаконных актов (Постановлений Правительства, решений Государственной технической комиссии, ГОСТов и других руководящих документов).

            Для формирования такой организационной структуры ис­пользуются данные, полученные в процессе и в результате разработки КСЗИ. К числу таких данных относятся:

            -  официальный статус КС и информации, обрабатываемой и хранящейся в системе;

            -  особенности технической структуры и режимы функцио­нирования КС;

            -  структура технических и технологических средств, ис­пользуемых в составе КСЗИ;

            -  степень автоматизации КСЗИ и перечень организацион­ных мероприятий, необходимых для ее реализации.

            Все организационные мероприятия, выполняемые сотруд­никами службы безопасности, обслуживающим персоналом и пользователями, в интересах обеспечения безопасности инфор­мации можно разделить на два класса:

            1)защитные мероприятия, непосредственно направленные на обеспечение безопасности информации;

            2)эксплуатационные мероприятия, связанные с организацией эксплуатации защищенной КС.  

            Подавляющее большинство организационных мероприятий защитного характера связано с обслуживанием технических, про­граммных и криптографических средств защиты. Примерами та­ких мероприятий являются: использование материальных иден­тификаторов и паролей, контроль доступа к информационным ресурсам путем выполнения необходимых действий при получе­нии сигнала о нарушении правил разграничения доступа или по результатам анализа журнала аудита, дублирование и восстанов­ление информации и др.

            Некоторые функции системы защиты могут быть реализо­ваны только за счет организационных мероприятий (доступ в по­мещение с информационными ресурсами может осуществлять контролер). Защита от пожара реализуется путем вызова пожар­ной команды, эвакуации информационных ресурсов, использова­ния средств тушения пожара.

            Часто организационные мероприятия дополняют техниче­ские, программные и криптографические 'средства, образуя еще один уровень защиты. Так, зеркальное дублирование, выполняе­мое без участия человека, может быть дополнено периодическим дублированием информации на съемные магнитные носители. Автоматизированный контроль вскрытия дверей, корпусов, кры­шек и других элементов защиты внутреннего монтажа устройств от несанкционированного вмешательства может быть дополнен опечатыванием этих элементов и контролем целостности печатей должностными лицами.

            Эксплуатационные организационные мероприятия направ­лены на более эффективное использование КСЗИ по назначению и поддержание системы защиты в работоспособном состоянии.

            Для непрерывного выполнения организационных мероприя­тий, связанных с эксплуатацией всех механизмов защиты, орга­низуется дежурство. Дежурный оператор КСЗИ может выполнять и функции администратора компьютерной сети. Рабочее место оператора КСЗИ, как правило, располагается в непосредственной близости от наиболее важных компонентов КС и оборудуется всеми необходимыми средствами оперативного управления КСЗИ. Режим дежурства зависит от режима использования КС.

            Одной из центральных задач технической эксплуатации яв­ляется поддержание работоспособности КСЗИ. Работоспособ­ность поддерживается за счет проведения технического обслужи­вания, постоянного контроля работоспособности и ее восстановления в случае отказа. Работоспособность средств защиты ин­формации постоянно контролируется с помощью программно-аппаратных средств встроенного контроля и периодически долж­ностными лицами службы безопасности. Сроки проведения кон­троля и объем проводимых работ определяются в руководящих документах.

            Имея полный перечень защитных и эксплуатационных ор­ганизационных мероприятий и зная их характеристики, можно определить необходимую для их реализации организационно-штатную структуру КСЗИ. Эффективность функционирования КСЗИ во многом зависит от уровня организации управления про­цессом эксплуатации.

            Орган управления КСЗИ готовит предложения руководству организации при формировании и корректировке политики безо­пасности, определяет права и обязанности должностных лиц, планирует и обеспечивает выполнение технического обслужива­ния, организует контроль и проводит анализ эффективности КСЗИ, подбирает и обучает специалистов.

            Для эффективного выполнения организационных мероприя­тий каждое должностное лицо должно обладать знаниями и на­выками работы с КСЗИ в объеме, достаточном для выполнения своих функциональных обязанностей. Причем должностные лица должны располагать минимально возможными сведениями о конкретных механизмах защиты и о защищаемой информации. Это достигается за счет строгой регламентации их деятельности. Рабочие места должностных лиц, выполняющих организацион­ные и управленческие функции, оборудуются средствами, полу­ченными от разработчиков КСЗИ. Это пульты управления, мони­торы, средства дистанционного контроля и т.п. Кроме того, на рабочих местах должны быть средства связи, инструкции, экс­плуатационная документация, а также средства пожаротушения.

 

Контрольные вопросы

 

1.   Дайте общее понятие комплексной системы защиты информа­ции (КСЗИ). Рассмотрите основные методологические прин­ципы и положения, реализующие системный подход к по­строению КСЗИ.

2.   Определите понятие множества функций защиты информа­ции. Как интуитивно оценивается полнота такого множества, необходимая при формировании КСЗИ?

3.   Какая формализованная связь может быть установлена между уровнем защищенности информации и вероятностями успеш­ной реализации с помощью соответствующих механизмов ка­ждой из функций защиты?

4.   Определите смысл частных показателей и обобщенного кри­терия эффективности КСЗИ.

5.   Сформулируйте общетеоретическую постановку задачи раз­работки КСЗИ.

6.   Проанализируйте основные технологические этапы, реализуе­мые в процессе разработки КСЗИ.

7.   Охарактеризуйте сущность процесса моделирования КСЗИ. Какие подходы используются для оптимизации модели КСЗИ?

8.   Рассмотрите функциональные процессы, реализуемые ком­плексной системой защиты информации в процессе эксплуа­тации.

9.  Какие функции выполняет подсистема контроля и аудита в со­ставе защищенных КС?

10. Проанализируйте основные мероприятия, реализуемые орга­низационной структурой КСЗИ.

 

ЗАКЛЮЧЕНИЕ

 

            На основании материала, изложенного в данном учебном пособии, можно с уверенностью констатировать, что в современ­ных условиях проблема обеспечения информационной безопас­ности приобрела большую актуальность и вызвала необходи­мость проведения масштабных и комплексных исследований в этом направлении. При этом важно иметь в виду, что на постин­дустриальном этапе развития человеческой цивилизации объек­том безопасности становится почти любая деятельность, для ко­торой требуется обеспечить безопасность его "информационного измерения". Неуклонно повышается значимость этого измерения для обеспечения безопасности развития личности, функциониро­вания общественных структур и государственных органов в ин­формационной сфере.

            В инфраструктуре современных социально-экономических об­щественно-политических процессов велика роль компьютерных и телекоммуникационных систем, отражающих информационными средствами деятельность различных предприятий, организаций, учреждений и государства в целом. В пособии была дана общая характеристика таких систем как наиболее распространенных и достаточно уязвимых объектов информационной безопасности, проведены анализ и классификация возможных угроз их безопас­ности, рассмотрены существующие средства и методы противо­действия таким угрозам, приведены основные стандарты, обеспе­чивающие гарантированный уровень информационной безопас­ности.

            Представленный в пособии материал не претендует на все­объемлющую полноту рассмотрения данной проблемы, он не да­ет ответов на все вопросы, связанные с обеспечением безопасно­сти конкретных информационных систем. Однако он содержит основные концептуальные и методологические подходы, которые необходимо знать специалистам, участвующим в разработке, эксплуатации и развитии информационных систем различного назначения.