Безопасность банковских электронных систем

Банковская информация всегда была объектом пристального интереса всякого рода злоумышленников. Прогресс в технике преступлений шел не менее быстрыми темпами, чем развитие банковских технологий.

ВНИМАНИЕ! Работа на этой странице представлена для Вашего ознакомления в текстовом (сокращенном) виде. Для того, чтобы получить полностью оформленную работу в формате Word, со всеми сносками, таблицами, рисунками (вместо pic), графиками, приложениями, списком литературы и т.д., необходимо скачать работу.

СОДЕРЖАНИЕ

1.АКТУАЛЬНОСТЬ ПРОБЛЕМЫ ЗАЩИТЫ БАНКОВСКИХ СИСТЕМ
2.ПОДХОДЫ К ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ БАНКОВСКИХ ЭЛЕКТРОННЫХ СИСТЕМ
3.КЛАССИФИКАЦИЯ УГРОЗ БЕЗОПАСНОСТИ
4.НАИБОЛЕЕ ПОПУЛЯРНЫЕ УГРОЗЫ БЕЗОПАСНОСТИ.

1.АКТУАЛЬНОСТЬ ПРОБЛЕМЫ ЗАЩИТЫ БАНКОВСКИХ СИСТЕМ

Банковская информация всегда была объектом пристального интереса всякого рода злоумышленников. Прогресс в технике преступлений шел не менее быстрыми темпами, чем развитие банковских технологий. Особы опасны для банков так называемые компьютерные преступления. Открытый характер компьютерных систем, обслуживающих большое число пользователей с помощью средств связи в автоматическом режиме, наряду с высокой степенью концентрации и мобильности денежных средств способствовали появлению новой - компьютерной - формы преступности. По некоторым данным ежегодные потери США и Западной Европы от компьютерных преступлений в финансовой сфере достигает 100 млрд. и 35 млрд долларов соответственно, причем сохраняется устойчивая тенденция к росту убытков, связанных с компьютерной преступностью. По оценкам экспертов нарушения безопасности банковских систем выявляются лишь в каждом десятом случае. Защита ИСБ банка — дорогостоящее и сложное мероприятие. Средний европейский банк тратит на информационную защиту до 9% бюджета или примерно 25% средств, затрачиваемых банком на автоматизацию. Из этих средств 80% уходит на обеспечение структуры безопасности и 20% - на закупку технических средств. Японские банки до последнего времени тратили на эти цели всего 2% бюджета, а сейчас наверстывают упущенное и тратят 50% бюджета на информационную безопасность.
Потери несут и российские банки, недооценивающие вопросы информационной безопасности. По данным МВД еще в 1995 году в России было выявлено 185 хищений с использованием электронных средств, ущерб от которых составил 250 млрд рублей. Известное “дело Левина” (г. Санкт-Петербург) относится к транснациональным сетевым компьютерным преступлениям и стало первым случаем такого типа в России. Левин с сообщниками через коммуникационные сети входил в систему управления наличными фондами Сити-банка (г.Нью-Йорк). В июне-октябре 1994 года преступники организовали около сорока переводов на общую сумму свыше 10 млн долларов, из которых почти 400 тыс. долларов им удалось похитить. География мошенничества помимо России и США охватывала Нидерланды, Швейцарию и Израиль.
Действия злоумышленников часто достигают цели. Это связано с тем, что в подавляющем большинстве банков эксплуатируются однотипные стандартные вычислительные средства (IBM-совместимые персональные компьютеры, локальные сети с программным обеспечением фирмы Novell, программы автоматизации банковской деятельности, написанные на стандартных языках программирования), которые хорошо документированы и в деталях известны профессионалам. Простейшие механизмы защиты таких изделий легко преодолимы. Проблемы создает и возрастающая компьютерная грамотность клиентов.
Последствия недооценки вопросов безопасности могут оказаться катастрофическими для банка. Известно, что коммерческие банки собственных денег не имеют: все имеющиеся у них деньги - это чужие деньги, которыми они пользуются только тогда, когда им доверяют. Поэтому так важно не подорвать доверия к банку. Но безопасность автоматизированной банковской системы - это не только защита от хищений. Ведь отказ от обслуживания клиента или несвоевременное предоставление пользователю важной информации, хранящейся в системе, из-за неработоспособности этой системы по своим последствиям равноценны потери информации (несанкционированному ее уничтожению). Следовательно, при создании своих электронных систем банкам надо уделять пристальное внимание обеспечению их безопасности.
Современные технологии дают банкам преимущества в организации систем доставки товаров и услуг. Использование электронных средств связи позволяет реализовать:
• электронные платежи и расчеты в точке продажи;
• клиентские терминалы, осуществляющие прямую связь с банком;
• домашнее банковское обслуживание с помощью персонального компьютера или телефона;
• обмен электронными данными в сети с расширенным набором услуг;
• технологии электронных банковских карт, включая магнитные пластиковые и интеллектуальные карты.
Реализация этих и других методов банковского обслуживания в конкретных системах требует разработки жестких мер защиты для предотвращения случайных и умышленных нарушений их функционирования.
Для противодействия компьютерным преступлениям или хотя бы уменьшения ущерба от них необходимо грамотно выбирать меры и средства обеспечения защиты информации от умышленного разрушения, кражи, порчи и несанкционированного доступа. Необходимо знание основных законодательных положений в этой области, организационных, экономических и иных мер обеспечения безопасности.

2.ПОДХОДЫ К ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ БАНКОВСКИХ ЭЛЕКТРОННЫХ СИСТЕМ

Под безопасностью банковской электронной системы будем понимать ее свойство, выражающееся в способности противодействовать попыткам нанесения ущерба владельцам и пользователям системы при различных возмущающих (умышленных и неумышленных) воздействиях на нее. Природа воздействия может быть различной: попытки проникновения злоумышленника, ошибки персонала, стихийные бедствия (ураган, пожар), выход из строя отдельных ресурсов.
Обычно различают внутреннюю и внешнюю безопасность. Внешняя включает защиту от стихийных бедствий, от проникновения злоумышленника извне с целями хищения, получения доступа к носителям информации или вывода системы из строя. Предметом внутренней безопасности является обеспечение надежной и корректной работы системы, целостности ее программ и данных.
В настоящее время сложилось два приема построения защиты для банковских систем: “фрагментарный” - противодействие строго определенным угрозам при определенных условиях (например, специализированные антивирусные средства, автономные средства шифрования и т.д.) и комплексный - создание защищенной среды обработки информации, объединяющий разнородные меры противодействия угрозам (правовые, организационные, программно-технические). Комплексный прием применяют для защиты крупных систем (например SWIFT) или небольших систем, обрабатывающих дорогостоящую информацию или выполняющих ответственные задачи.
При создании защищенных компьютерных систем используют три основных подхода:
1.“Административный” - подразумевает меры, принимаемые администрацией системы по обеспечению безопасности информации в организационном порядке согласно должностной инструкции и действующему законодательству в рамках наделенных полномочий.
2.“Криптографический” - специальное преобразование информации с целью ее сокрытия от посторонних лиц.
3.“Программно-технический” - использование для защиты специальных аппаратных и программных средств.
За годы применения в деятельности банков компьютерных систем накоплен достаточно большой опыт защиты этих систем. Поэтому типичная западная банковская система, платформа, на которой она базируется (СУБД, операционная система), содержат строенные средства предотвращения несанкционированного доступа. Но для обеспечения безопасности банковской системы этого недостаточно. Необходимо обеспечить выполнение следующих мер:
• организационных мероприятий по контролю за персоналом, имеющим высокий уровень полномочий на действия в банковской системе (программистам, администраторами баз данных и т.п.);
• организационных и технических мероприятий по резервированию критически важной информации;
• организационных мероприятий по восстановлению работоспособности системы в случае возникновения нештатных ситуаций;
• организационных и технических мероприятий по управлению доступом в помещения, в которых находятся вычислительная техника и носители данных;
• организационных и технических мероприятий по физической защите помещений, в которых находятся вычислительная техника и носители данных от пожара, стихийных бедствий, массовых беспорядков, терроризма и т.п.
В 1985 году Национальным центром компьютерной безопасности Министерства обороны США была опубликована так называемая “Оранжевая книга” (“Критерии оценки достоверности вычислительных систем Министерства обороны”). В ней были приведены основные положения, по которым американское военное ведомство определяло степень защищенности информационно-вычислительных систем. В ней в систематизированном виде приведены основные понятие, классификация и рекомендации по видам угроз безопасности информационной системы и методам защиты от них. Впоследствии она превратилась в свод научно обоснованных норм и правил, описывающих применение системного подхода к обеспечению безопасности информационных систем и их элементов и стала настольной книгой для специалистов в области защиты информации. Предложенная в “Оранжевой книге” методология стала, по существу, общепринятой и вошла в той или иной форме в национальные стандарты различных государств.
Одно из основных понятий, введенных в Оранжевой книге - политика безопасности. Политика безопасности - это совокупность норм, правил и методик, на основе которых в дальнейшем строится деятельность информационной системы в области обращения, хранения и распределения критичной информации. При этом под “информационной системой” понимается не только аппаратно-программный комплекс, но и обслуживающий его персонал.
Политика безопасности формируется на основании анализа текущего состояния и перспективы развития информационной системы, возможных угроз и определяет:
• цели, задачи и приоритеты системы безопасности;
• области действия отдельных подсистем;
• гарантированный минимальный уровень защиты;
• обязанности персонала по обеспечению защиты;
• спектр санкций за нарушения защиты.
Для банковских электронных систем центральной в ряду проблем защиты является защита информации. Все остальные виды защиты сводятся к ней.
Информация - это специфический продукт, поэтому необходимы четкие границы, определяющие информацию как объект права, которые позволят применять к ней законодательные нормы. Федеральный Закон "Об информации, информатизации и защите информации", направленный на регулирование взаимоотношений в информационной сфере совместно с Гражданским кодексом Российской Федерации, относит информацию к объектам права и дает ее определение: "Информация - сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления".
Существуют и другие определения понятия информация. При этом в настоящее время понятие информация выходит на уровень таких мировоззренческих понятий, как материя, энергия, сознание. В частности, в информатике информация - это совокупность знаний о фактических данных и зависимостях между ними. С этим определением чаще всего приходится работать специалистам в области компьютерных информационных систем (ИС), и именно такое определение (такой подход с точки зрения ИС) приводит к однобокому решению проблемы обеспечения безопасности в виртуальном мире. Однако существует более традиционное определение, связанное с бытовым пониманием информации. В частности, "Большой энциклопедический словарь" трактует понятие информации как "нечто, передаваемое устно или письменно"; латинское понятие Information - трактует как "передавать, владеть, сообщать"; на английском языке - "что-то переданное". Т.е. в целом можно сказать, что информация - это знания, которые могут существовать в различных видах или на различных носителях, т.е. это мысли человека, записи на бумаге, аудио- и видеозапись, электронные сигналы.
Ценность информации является критерием при принятии любого ре¬шения о ее защите. Хотя было предпринято много различных попыток формализовать этот процесс с использованием методов теории информа¬ции и анализа решений, процесс оценки до сих пор остается весьма субъективным. Для оценки требуется распределить информацию на ка¬тегории не только в соответствии с ее ценностью, но и важностью. Из¬вестно следующее разделение информации по уровню важности:
• жизненно важная незаменимая информация, наличие которой не-обходимо для функционирования организации;
• важная информация — информация, которая может быть заменена или восстановлена, но процесс восстановления очень труден и связан с большими затратами;
• полезная информация — информация, которую трудно восстано¬вить, однако организация может эффективно функционировать и без нее;
• несущественная информация — информация, которая больше не нужна организации.
На практике отнесение информации к одной из этих категорий может представлять собой очень трудную задачу, так как одна и та же инфор¬мация может быть использована многими подразделениями организа¬ции, каждое из которых может отнести эту информацию к различным ка¬тегориям важности.
Информация может состоять из :
• букв, символов, цифр;
• слов;
• текста;
• рисунков;
• схем;
• формул;
• алгоритмов и т. д.,
Объектом защиты должна являться информация в любом виде на любых носителях. Только определив информацию таким образом, мы можем говорить о комплексном, или интегрированном подходе к проблеме информационной безопасности.
Информационная безопасность является одним из важнейших аспектов совокупной безопасности, на каком бы уровне мы не рассматривали последнюю - национальном, отраслевом, корпоративном или персональном.
Под информационной безопасностью понимается защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, чреватых нанесением ущерба владельцам или пользователям информации и поддерживающей инфраструктуре.
Таким образом, более правильный подход к проблемам информационной безопасности начинается с выявления субъектов информационных отношений и интересов этих субъектов, связанных с использованием информационных систем. Угрозы информационной безопасности - это оборотная сторона использования информационных технологий. Из этого положения можно сделать два вывода:
• трактовка проблем, связанных с информационной безопасностью, для разных категорий субъектов существенно различается, достаточно сопоставить режимные государственные организации и коммерческие структуры;
• информационная безопасность не сводится исключительно к защите информации, это более широкое понятие. Субъект информационных отношений может пострадать (понести материальные и/или моральные убытки) не только от несанкционированного доступа к информации, но и от поломки системы, вызвавшей перерыв в работе. Более того, для многих открытых организаций (например, учебных) собственно защита информации стоит по важности отнюдь не на первом месте.
Информационная безопасность - многогранная, многомерная область деятельности, в которой успех может принести только систематический, комплексный подход.
ИС должны отвечать следующим требованиям:
• доступность (возможность за приемлемое время получить требуемую информационную услугу);
• целостность (актуальность и непротиворечивость информации, ее защищенность от разрушения и несанкционированного изменения);
• конфиденциальность (защита от несанкционированного ознакомления).
Информационные системы создаются для получения и предоставления определенных информационных услуг. Если по тем или иным причинам получение этих услуг пользователями становится невозможным, это, очевидно, наносит ущерб всем субъектам информационных отношений. Поэтому, не противопоставляя доступность остальным моментам, ее можно выделить как важнейший элемент информационной безопасности.
Целостность информационной безопасности можно подразделить на статическую (понимаемую как неизменность информационных объектов) и динамическую (относящуюся к корректному выполнению сложных действий - транзакций). Практически все нормативные документы и отечественные разработки относятся к статической целостности, хотя динамический аспект не менее важен. Пример динамической целостности - контроль потока финансовых сообщений на предмет выявления кражи, переупорядочения или дублирования отдельных сообщений.
Конфиденциальность - самый проработанный у нас в стране аспект информационной безопасности. На страже конфиденциальности стоят законы, нормативные акты, многолетний опыт соответствующих служб. Отечественные аппаратно-программные продукты позволяют закрыть практически все потенциальные каналы утечки информации.
Информационная безопасность должна обеспечиваться на законодательном, административном, процедурном, программно-техническом уровнях. Законодательный уровень является важнейшим. К этому уровню относится весь комплекс мер, направленных на создание и поддержание в обществе негативного (в том числе карательного) отношения к нарушениям и нарушителям информационной безопасности. Большинство людей не совершают противоправных действий не потому, что это технически невозможно, а потому, что это осуждается и/или наказывается обществом. К законодательному уровню необходимо отнести и приведение российских стандартов в соответствие с международным уровнем информационных технологий вообще и информационной безопасности в частности. Есть много причин, по которым это должно быть сделано. Одна из них - необходимость взаимодействия с зарубежными компаниями и зарубежными филиалами российских компаний. Сейчас эта проблема решается путем получения разовых разрешений.
Основой мер административного уровня, то есть мер, предпринимаемых руководством организации, является политика безопасности. Под этим термином понимается совокупность документированных управленческих решений, направленных на защиту информации и ассоциированных с ней ресурсов. Политика безопасности определяет стратегию организации в области информационной безопасности, а также меру внимания к ней и количество ресурсов, которые руководство считает целесообразным выделить для ее обеспечения.
К процедурному уровню относятся меры безопасности, реализуемые людьми. В отечественных организациях накоплен богатый опыт составления и реализации процедурных (организационных) мер, однако проблема состоит в том, что они пришли из докомпьютерного прошлого, поэтому нуждаются в существенном пересмотре.
Можно выделить следующие группы процедурных мер:
• управление персоналом;
• физическая защита;
• поддержание работоспособности;
• реагирование на нарушения режима безопасности;
• планирование восстановительных работ.
Для каждой группы в каждой организации должен существовать свой набор правил, определяющих действия персонала. В свою очередь исполнение этих правил следует отработать на практике.
Согласно современным представлениям, в рамках информационных систем должны быть доступны по крайней мере следующие механизмы безопасности:
• идентификация и проверка подлинности пользователей;
• управление доступом;
• протоколирование и аудит;
• криптография;
• экранирование;
• обеспечение высокой доступности.
Главная задача для коммерческих структур - усвоить современный подход к информационной безопасности, заполнить пробелы на административном и процедурном уровнях, осознать важность проблемы обеспечения высокой доступности информационных ресурсов.
Таким образом, информационная безопасность - понятие комплексное, и обеспечена она может быть только при комплексном подходе и конструктивном взаимодействии заинтересованных структур.
Если выполнение политики безопасности проводится не в полной мере или непоследовательно, то вероятность нарушения защиты информации резко возрастает. Под защитой информацией понимается комплекс мероприятий, обеспечивающих:
• сохранение конфиденциальности информации - предотвращение ознакомление с информацией лиц, не уполномоченных на эти действия;
• сохранность информации - информация может пострадать от сознательных действий злоумышленника, от ошибок персонала, от пожара, аварий и др. (например, пожар в Промстройбанке в 1995 году, похищение в ноябре 1996 года из информационного центра VISA Int. компьютера, хранящего базу данных о 314 тыс. карточных счетов клиентов VISA Int., MasterCard, American; Express, Diners Club, замена карточек обойдется VISA в 6.3 млн.долларов);
• доступность, т.е. наличие системы безопасности не должно создавать помех нормальной работе системы.
Определение политики безопасности невозможно без анализа риска. Анализ риска улучшает осведомленность руководства и ответственных сотрудников банка о сильных и слабых сторонах системы защиты, создает базу для подготовки и принятия решений и оптимизирует размер затрат на защиту, поскольку большая часть ресурсов направляется на блокирование угроз, приносящих наибольший ущерб.
Основные этапы анализа риска:
1.Описание состава системы:
• аппаратные средства;
• программное обеспечение;
• данные;
• документация;
• персонал.
2.Определение уязвимых мест: выясняется уязвимость по каждому элементу системы с оценкой возможных источников угроз.
3.Оценка вероятностей реализации угроз.
4.Оценка ожидаемых размеров потерь. Этот этап сложен, поскольку не всегда возможна количественная оценка данного показателя (например, ущерба репутации банка при нарушении конфиденциальности информации о счетах и операциях клиентов).
5.Анализ возможных методов и средств защиты.
6.Оценка выигрыша от предлагаемых мер. Если ожидаемые потери больше допустимого уровня, необходимо усилить меры защиты.
Категорирование информации по важности существует объективно и не зависит от желаний руководства, поскольку определяется механизмом деятельности банка и характеризует опасность уничтожения либо модификации информации. Можно указать много вариантов такого категорирования. Здесь приводится наиболее простой.
1. Важная информация - незаменимая и необходимая для деятельности банка информация, процесс восстановления которой после уничтожения невозможен, либо очень трудоемок и связан с большими затратами, а ее ошибочное изменение или подделка приносит большой ущерб.
2. Полезная информация - необходимая информация, которая может быть восстановлена без больших затрат, причем ее модификация или уничтожение приносит относительно небольшие материальные потери.
Категорирование информации по конфиденциальности выполняется субъективно руководством или персоналом в соответствии с выделенными ему полномочиями в зависимости от риска ее разглашения. Для деятельности коммерческого банка достаточно двух градаций.
1. Конфиденциальная информация - информация, доступ к которой для части персонала или посторонних лиц нежелателен, т.к. может вызвать материальные и моральные потери.
2. Открытая информация - информация, доступ к которой посторонних не связан ни с какими потерями.
Руководство должно принять решение о том, кто и каким образом будет определять степень важности и конфиденциальности информации. Без такого решения невозможна никакая целесообразная работа по созданию банковской электронной системы.

3.КЛАССИФИКАЦИЯ УГРОЗ БЕЗОПАСНОСТИ
Основным элементом при исследовании проблем защиты информации является анализ угроз, которым подвергается система.
Под угрозой будем понимать потенциально возможные воздействия на систему, которые прямо или косвенно могут нанести урон пользователю. Непосредственную реализацию угрозы называют атакой.
Угрозы реализуются на практике в результате стечения случайных обстоятельств (ошибки, пропуски, события, не зависящие от человека, например, природные бедствия), либо из-за преднамеренных действий злоумышленников.
Преднамеренные угрозы могут реализовать как внутренние для системы участники процесса обработки данных (персонал организации, сервисное звено и т.д.), так и люди, внешние по отношению к системе, так называемые “хакеры”.
Не существует общепринятой классификации угроз безопасности. Один из вариантов классификации может быть выполнен по следующим признакам:
По цели реализации:
- нарушение конфиденциальности;
- нарушение целостности данных;
- нарушение работоспособности системы.
По принципу воздействия на систему:
- с использованием доступа субъекта к объектам системы (файлу данных, каналу связи);
- с использованием скрытых каналов.
По характеру воздействия на систему:
- активное воздействие - всегда связано с выполнением каких-либо действий (состояние системы изменяется);
- пассивное – осуществляется путем наблюдения пользователем побочных эффектов и их последующим анализом (состояние системы не изменяется).
По причине появления используемой ошибки защиты:
- неадекватность защиты системе (при разработке мер защиты угроза не учитывалась);
- ошибки административного управления;
- ошибки в алгоритмах программ.
По способу воздействия на систему:
- в интерактивном режиме;
- в пакетном режиме.
По используемым средствам атаки:
- стандартное программное обеспечение;
- специально разработанные программы.

4.НАИБОЛЕЕ ПОПУЛЯРНЫЕ УГРОЗЫ БЕЗОПАСНОСТИ.

Несанкционированный доступ.
Несанкционированный доступ (НСД) - наиболее распространенный вид компьютерных нарушений. Он заключается в получении пользователем доступа к объекту, на который у него нет разрешения в соответствии с принятой в организации политикой безопасности. Обычно самая главная проблема определить, кто и к каким наборам данных должен иметь доступ, а кто нет.
Незаконное использование привилегий.
Злоумышленники, применяющие данный способ атаки, обычно используют штатное программное обеспечение, функционирующее в нештатном режиме. Незаконный захват привилегий возможен либо при наличии ошибок в самой системе защиты (что, например, оказалось возможным в одной из версий UNIX), либо в случае халатности при управлении системой и привилегиями в частности. Строгое соблюдение правил управления системой защиты, соблюдение принципа минимума привилегий позволяет избежать таких нарушений.
Атаки "салями"
Атаки "салями" (salami attack) более всего характерны для систем, обрабатывающих денежные счета и, следовательно, наибольшую опасность такие нарушения представляют для банков. При реализации расчетов вычисляются различного рода доли, которые округляются в большую или меньшую сторону. Атака "салями" состоит в накоплении на отдельном счете этих долей денежной единицы. Практика доказала, что эксплуатация такой программы обеспечивает накопление значительных сумм

"Скрытые каналы"
Скрытые каналы — это программы, передающие информацию лицам, которые в обычных условиях эту информацию получать не должны. Злоумышленник не всегда имеет непосредственный доступ к компьютерной системе. Для скрытой передачи информации используют различные элементы, форматы "безобидных" отчетов, например, разную длину строк, пропуски между строками, наличие или отсутствие служебных заголовков, управляемый вывод незначащих цифр в выводимых величинах, количество пробелов или других символов в определенных местах отчета и т.д.;
При использовании скрытых каналов для получения относительно небольших объемов информации захватчик вынужден проделать достаточно большую работу. Поэтому скрытые каналы более приемлемы в ситуациях, когда нарушителя интересует не сама информация, а факт ее наличия.
Может возникнуть ситуация, когда скрытый канал сообщает о наличии в системе определенной информации, что в свою очередь служит признаком работы в системе определенного процесса, позволяющего провести атаку иного типа.
"Маскарад"
Под "маскарадом" понимается выполнение каких-либо действий одним пользователем банковской электронной системы от имени другого пользователя. При этом такие действия другому пользователю могут быть разрешены. Нарушение заключается в присвоении прав и привилегий. Наиболее опасен "маскарад" в банковских системах электронных платежей, где неправильная идентификация клиента может привести к огромным убыткам. Особенно это касается платежей с помощью электронных банковских карт. Сам по себе метод идентификации с помощью персонального идентификатора (Personal Identification Number: PIN) достаточно надежен, нарушения могут происходить вследствие ошибок его использования. Это произойдет, например, в случае утери банковской карты, при использовании очевидного идентификатора (своего имени, ключевого слова и т.д.). Поэтому клиентам надо строго соблюдать все рекомендации банка по выполнению такого рода платежей.
"Сборка мусора"
После окончания работы обрабатываемая информация не всегда полностью удаляется из памяти. Данные хранятся на носителе до перезаписи или уничтожения; при выполнении этих действий на освободившемся пространстве диска находится их остатки. Хотя при искажении заголовка файла их прочитать трудно, однако, используя специальные программы и оборудование, все же возможно. Такой процесс принято называть "сборкой мусора". Он может привести к утечке важной информации. Для защиты используются специальные механизмы. Примерами таких механизмов являются стирающий образец и метка полноты.
“Взлом системы”
Под "взломом системы" понимают умышленное проникновение в систему с систему с несанкционированными параметрами входа, то есть именем пользователя и его паролем. Основную нагрузку на защиту системы от "взлома" несет программа входа. Алгоритм ввода имени и пароля, их шифрование, правила хранения и смены паролей не должны содержать ошибок.
"Люки"
Люки" или "trap door" — не описанные в документации возможности работы с программным продуктом. Сущность использования люков состоит в том, что при реализации пользователем не описанных в документации действий, он получает доступ к ресурсам и данным, которые в обычных условиях для него закрыты (в частности, вход в привилегированный режим обслуживания).
Люки могут появиться в программном продукте следующими путями:
• люки чаще всего являются результатом забывчивости разработчиков. В процессе разработки программы создаются временные механизмы, облегчающие ведение отладки за счет прямого доступа к продукту.
• Одним из примеров использования забытых люков является инцидент с вирусом Морриса. Одной из причин обусловившей распространение этого вируса, являлась ошибка разработчика программы электронной почты, входящей в состав одной из версий ОС UNIX, приведшая к появлению малозаметного люка.
• Люки могут образоваться также в результате часто практикуемой технологии разработки программных продуктов "сверху—вниз". При этом программист приступает к написанию управляющей программы, заменяя предполагаемые в будущем подпрограммы так называемыми "заглушками" — группами команд, имитирующими или обозначающими место присоединения будущих подпрограмм. В процессе работы эти заглушки заменяются реальными подпрограммами.
• На момент замены последней заглушки реальной подпрограммой, программа считается законченной. Но на практике подобная замена выполняется не всегда. Во-первых, из-за нарушения сроков разработки и сдачи в эксплуатацию и, во-вторых, из-за невостребованности данной подпрограммы. Таким образом, заглушка остается, представляя собой слабое место системы с точки зрения информационной безопасности. Программист пишет программу, которой можно управлять с помощью определенных команд, или, например, путем ввода "Y" ("Да") или "N" ("Нет"). А что произойдет, если в ответ на запрос будет вводиться "А" или "В" и т. д.? Если программа написана правильно, то на экране должно появиться сообщение типа "Неправильный ввод" и повтор запроса. Однако может быть ситуация, когда программа не учитывает такое, предполагая, что пользователь будет действовать правильно. В таком случае реакция программы на неопределенный ввод может быть непредсказуемой. Такую ситуацию в программе можно специально создать для того, чтобы получить доступ к определенным ресурсам и данным.
В большинстве случаев обнаружение "люков" - результат случайного поиска.
Повторное использование объектов
Повторное использование объектов (object reutilization) — состоит в восстановлении и повторном использовании удаленных объектов системы.
Примером реализации подобного злоупотребления служит удаление файлов операционной системой. Когда ОС выдает сообщение, что, некоторый файл удален, то это не означает, что информация, содержащаяся в данном файле уничтожена в прямом смысле слова. Данное сообщение означает, что система пометила блоки памяти, ранее составлявшие содержимое файла, специальным флажком, говорящим о том, что данный блок не входит в состав какого-либо файла и может быть использован для размещения в нем другой информации. Но информация, которая была в данном блоке, никуда не исчезает до момента записи на это место другой информации. Таким образом, если прочесть содержание блока, можно получить доступ к "удаленной" информации.

Запуск "воздушного змея".
Для реализации подобного программного злоупотребления/используется такая последовательность действий. В двух или более банках открываются счета. Денежные средства переводятся из одного банка в другой с повышающимися размерами. Суть злоупотребления заключается в том, чтобы замаскировать необеспеченный денежными средствами перевод. Данный цикл повторяется многократно, пока на конкретном счете не осядет значительная сумма. После этого денежные средства снимаются и операции прекращаются. Следует отметить, что данное злоупотребление требует точного расчета и синхронизации последовательности действий нарушителей.

"Отказы в обслуживании"
Несанкционированное использование компьютерной системы в своих целях (например, для бесплатного решения своих задач), либо блокирование системы для отказа в обслуживании другим пользователям. Для реализации такого злоупотребления используются программы, способные захватить монопольно определенный ресурс системы (причем необязательно центральный процессор). В последнее время большое распространение получили атаки класса “отказ в обслуживании”, так называемые “распределенные атаки”, приводящие к тому что Web серверы кредитно-финансовых учреждений оказываются перегруженными ложными запросами и не могут обслуживать клиентов. В связи с тем, что в последее время эти атаки приобрели большую популярность, рассмотрим хронологию развития событий и механизм действия этой атаки:
7 и 8 февраля 2000 года было зафиксировано нарушение функционирования таких популярных и ведущих Internet-серверов, как Yahoo, eBay, Amazon, Buy и CNN. 9 февраля аналогичная участь постигла и сервера ZDNet, Datek и E*Trade. Проведенное ФБР расследование показало, что указанные сервера вышли из строя из-за огромного числа направленных им запросов, что и привело к тому, что эти сервера не могли обработать трафик такого объема и вышли из строя. Например, организованный на сервер Buy трафик превысил средние показатели в 24 раза, и в 8 раз превысил максимально допустимую нагрузку на сервера, поддерживающие работоспособность Buy.
Одним из первых предупреждений о такого рода атаках было сделано в сентябре 1998 года. Распределенная атака строится следующим образом. Злоумышленник управляет небольшим числом т.н. "мастеров" (master), каждый из которых в свою очередь управляет большим числом "демонов" (daemon). Именно эти “демоны” и используются для непосредственной атаки на выбранную жертву.
В зафиксированных в 1998-2000 годах случаях распределенные атаки использовали несколько сотен “демонов”. Согласно данным одного из потерпевших в февральском инциденте в распределенной атаке участвовало до 10 тысяч “демонов”. Эти “демоны” устанавливаются путем использования на скомпрометированных узлах различных уязвимостей, в т.ч. и позволяющих получить права администратора (root) на узле с установленным “демоном”. Как только “демон” установлен, он уведомляет об этом "мастера" (обычно трех или четырех). После получения определенных команд от злоумышленника "мастер" программирует "демона" на выполнение определенных действий против жертвы.
После получения от "мастера" команды "демон" начинает атаку и в дальнейшем ему не требуется осуществлять связь с "мастером". Можно заметить, что эти атаки не являются нечто совершенно новым. Все их отличие от известных атак - в механизме реализации. Они используют распределенную (клиент-серверную) технологию, на основе которой построено большинство современных приложений.
Особенность распределенных атак в том, что в отличие от "стандартных" атак с их помощью более эффективно достигаются следующие четыре цели:
• Скрытость. Работа сразу из нескольких адресов существенно затрудняет обнаружение нападавших стандартными механизмами (межсетевыми экранами, системами обнаружения атак и т.д.)
• "Огневая мощь". Координация атак сразу из нескольких точек сети позволяет за короткий промежуток времени реализовать более мощную атаку, чем это было бы возможно в случае реализации аналогичной атаки из одной точки. Наиболее опасными в этом случае являются атаки типа "отказ в обслуживании". Как и в предыдущем случае, существующие методы обнаружения и блокирования распределенных атак малоэффективны.
• Сложность блокирования. Обнаружение и блокирование одного или нескольких "мастеров" или "демонов" не приводит к окончанию действия атаки, поскольку каждый "демон" действует независимо от других и получив соответствующие команды от "мастера" уже не нуждается в дальнейшем поддержании связи с ним, т.е. "демон" работает автономно, что существенно затрудняет обнаружение и блокирование всех демонов, участвующих в распределенной атаке.
Злоумышленник может реализовать посылку большого объема данных сразу из всех узлов, которые задействованы в распределенной атаке. В этом случае атакуемый узел захлебнется огромным трафиком и не сможет обрабатывать запросы от нормальных пользователей.

Работа между строк
Работа между строк (between lines) — подключение к линиям связи и внедрение в компьютерную систему с использованием промежутков в действиях законного пользователя. При интерактивной работе пользователя образуются своеобразные "окна" (например, отклик системы опережает действия пользователя, которому необходимо время для обдумывания последующих действий). Эти "окна" вполне могут быть использованы нарушителем для работы с системой под маской пользователя.

Анализ трафика
Анализ трафика (trafic analysis) — специализированная программа анализирует проходящий по сети трафик и декодирует его, в результате чего можно получить большой объем информации: топологию сети, о пользователях работающих в настоящий момент в сети, пароли пользователей и т.д.

"Подкладывание свиньи"
"Подкладывание свиньи" (piggback) — нарушитель подключается к линиям связи и имитирует работу системы с целью осуществления незаконных манипуляций. Например, он может имитировать сеанс связи и получить данные под видом легального пользователя. Пользователь, не подозревая об этом, передает информацию и/или получает ее. Таким образом, может осуществляться не только шпионаж, но и дезинформация, что также отрицательно сказывается на работе АИС и объекта управления в целом.
Развитие средств связи и электронной почты выделило злоупотребление, которое относится к классу "компьютерного хулиганства" и в литературе получило название "пинание" (pinging) ( в среде специалистов это явление носит название spam ).Суть данного злоупотребления заключается в том, что, используя стандартные или специально разработанные программные средства, злоумышленник; может вывести из строя электронный адрес, бомбардируя его многочисленными почтовыми сообщениями. Следствием этого могут стать осложнения и возможность непреднамеренного игнорирования полученной электронной почты.

Вредоносные программы

В последнее время участились случаи воздействия на вычислительную систему при помощи специально созданных программ. Для обозначения всех программ такого рода был предложен термин "вредоносные программы". Эти программы прямо или косвенно дезорганизуют процесс обработки информации или способствуют утечке или искажению информации. К самым распространенным видам подобных программ относятся:
"Троянский конь"(Trojan horses) - это программа, которая приводит к неожиданным (и обычно нежелательным) результатам. Особенностью этих программ является то, что пользователь обращается к этой программе, считая ее полезной. Троянские кони способны раскрыть, изменить или уничтожить данные или файлы. Их встраивают в программы широкого пользования, например в программы обслуживания сети, электронной почты. Реализация дополнительных функций выполняется скрытым от пользователя модулем, который может встраиваться в системное и прикладное программное обеспечение. При реализации пораженной программы троянский конь получает доступ к ресурсам вместе с пользователем. Компьютерные системы, использующий дескрипторные методы управления доступом (и том числе такие, как полномочия, списки управления доступом и др.), становятся практически беззащитными против программ типа троянский конь. Антивирусные средства не обнаруживают эти программы, но системы управления доступом в больших компьютерах обладают механизмами идентификации и ограничения их действия. В “Оранжевой книге” ведется постоянно обновляемый список известных программ этого рода.
"Червяки" (worms) - это программа, которая распространяется в системах и сетях по линиям связи. Такие программы подобно вирусам в том, что заражают другие программы, а отличаются от них тем, что не способны самовоспроизводиться.
Вирус (viruses)- это программа, которая способна заражать другие программы, модифицируя их так, чтобы они включали в себя копию вируса.
"Жадная" программа (greedy program) - программа, которая захватывает (монополизирует) отдельные ресурсы вычислительной системы, не давая другим программам возможности его использовать.
“Захватчик паролей” (password grabber)- программы специально предназначены для получения идентификаторов и паролей пользователей. Программы открытия паролей последовательно генерируют все возможные варианты пароля и выдают их системе до тех пор, пока не будет определен необходимый пароль . Пароли являются основным средством идентификации пользователей в многопользовательских компьютерных системах и открытие пароля и входного имени пользователя позволяет организовать доступ к конкретной информации. Программы захвата паролей имитируют различные события в ИС, например, системный сбой в работе компьютера (например, перезагрузку операционной системы, отключение сети и др.), и запрашивают у пользователя идентификатор и пароль, после чего передают управление рабочей программе, операционной системе или другим программам.
Программные закладки — программы, которые сохраняют вводимую с клавиатуры информацию (в том числе и пароли) в некоторой зарезервированной для этого области. Данный тип программных злоупотреблений включает:
- закладки, ассоциируемые с программно-аппаратной средой (BIOS);
- закладки, ассоциируемые с программами первичной загрузки, находящимися в Master Boot Record или Root секторов активных разделов;
- закладки, ассоциируемые с загрузкой драйверов DOS, командного интерпретатора, сетевых драйверов;
- закладки, ассоциируемые с прикладным программным обеспечением общего назначения (встроенные в клавиатурные или экранные драйверы, программы тестирования, утилиты и оболочки типа Norton Commander);
- исполняемые модули, содержащие только код закладки (как правило, внедряемые в пакетные файлы типа ВАТ);
- модули-имитаторы, совпадающие по внешнему: виду с программами, требующими ввода конфиденциальной информации;
- закладки, маскируемые под ПС ( программные средства ) оптимизационного назначения (архиваторы, ускорители и т.д.);
- закладки, маскируемые под ПС игрового и развлекательного назначения.
.“Бактерии” (bacteria) - программа, которая делает копии самой себя и становится паразитом. Перегружая память и процессор.
“Логические бомбы” (logic bombs) - программа, которая приводит к повреждению файлов или компьютеров (от искажения данных до полного уничтожения данных). Логическую бомбу вставляют, как правило, во время разработки программы, а срабатывает она при выполнении некоторого условия (время, дата, кодовое слово). Логические бомбы, в которых срабатывание скрытого модуля определяется временем (текущий датой), называют бомбами с часовым механизмом (time bomb). Подобные программы, реализующие свой механизм после конкретного числа исполнении, при наличии или, наоборот, отсутствии определенного файла, а также соответствующей записи в файле. В связи с тем, что подобные программы имеют ограниченный доступ к ресурсам системы, разрушительный эффект остается достаточно низким. Опасность может значительно увеличиться, если логическая бомба будет встроена в системное программное обеспечение, что приведет к уничтожению файлов, переформатированию машинных носителей или к другим разрушающим последствиям. Основной целью функционирования программ типа логической бомбы следует считать нарушение нормальной работы компьютерной системы.
Репликаторы— могут создавать одну, или более своих копий в компьютерной системе. Это приводит к быстрому переполнению памяти компьютера, но данные действия могут быть обнаружены опытным пользователем и достаточно легко устранены. Устранение программы репликатора усложняется в тех случаях, когда репликация выполняется с модификацией исходного текста: программы, что затрудняет распознавание ее новых копий. Репликаторные программы становятся особенно опасными, когда к функции размножения будут добавлены другие разрушающие воздействие.
Необходимо отметить, что при планировании и разработке злоупотреблений нарушителями могут создаваться новые, не приведенные в данной классификации, а также применяться любые сочетания описанных злоупотреблений.
Анализ статистики позволяет сделать важный вывод: защита финансовых организаций (в том числе и банков) строится несколько иначе, чем обычных коммерческих и государственных организаций. Хотя для защиты ИСБ вполне возможно применять те же самые технические и организационные решения, которые были разработаны для стандартных ситуаций, только учитываю специфику конкретной финансовой организации. Нельзя бездумно копировать чужие системы — они разрабатывались для иных условий.


Скачиваний: 1
Просмотров: 0
Скачать реферат Заказать реферат