CC BY
40
С.В. Гурченко,
начальник ФГУ НИЦ «Охрана» МВД России
МЕХАНИЗМЫ ПРОТИВОПРАВНЫХ ДЕЙСТВИЙ В ОТНОШЕНИИ ИНФОРМАЦИИ ИНТЕГРИРОВАННЫХ СИСТЕМ БЕЗОПАСНОСТИ
MECHANISMS OF ILLEGAL ACTIONS DIRECTED AGAINST INTEGRATED SECURITY SYSTEMS INFORMATION
Рассматриваются особенности противоправных действий в отношении информации интегрированных систем безопасности (ИСБ). Дается интерпретация нормативно определенных подходов к реализации угроз информационной безопасности автоматизированных систем в условиях функционирования ИСБ.
Peculiarities of illegal actions aimed at information of integrated security systems (ISS) are examined. Interpretation is given to standard approaches to implementation of threats to information security of automated systems in operating conditions ISS.
Современное состояние систем охранной безопасности и совершенствование информационных технологий дают основания полагать о повышении уровня автоматизации охранных процессов за счет широкого применения компьютерных систем. Характерным примером таких систем являются интегрированные системы безопасности (ИСБ)
— класс систем, ориентированных на управление функционирующим оборудованием в режиме реального времени. Являясь, по сути, информационными процессами, процессы функционирования ИСБ подвержены различного рода угрозам информационной безопасности. То обстоятельство, что ИСБ, как правило, являются элементами критически важных и потенциально опасных объектов, ставит ряд проблем, связанных с исследованием механизмов противоправных действий в отношении информации ИСБ с целью обоснования требований к используемым способам и средствам защиты информации.
Существующая методическая база в этой части проблематики обеспечения информационной безопасности дает основание утверждать, что наиболее полным нормативнометодическим основанием для анализа механизмов противоправных действий в отношении информации ИСБ являются «Специальные требования и рекомендации по технической защите конфиденциальной информации».
На основании анализа проблематики защиты информации в ИСБ [1] основными угрозами безопасности их информационных ресурсов можно считать:
- заражение программного обеспечения компьютерными вирусами;
- внедрение программных закладок с целью получения несанкционированного доступа к информации, а также дезорганизации работы ИСБ;
- несанкционированный доступ к:
- информации, хранящейся и обрабатываемой на серверах и рабочих станциях ИСБ;
- коммуникационному оборудованию (маршрутизатору, концентратору, серверу и т .д.);
- данным, передаваемым между АРМами ИСБ.
В виду того что большинство ИСБ строится по сетевым технологиям [2], существует ряд технических методов реализации вышеназванных угроз в сетевом пространстве, а именно маскировка:
- под уполномоченного пользователя ИСБ на основе активного или пассивного перехвата данных аутентификации;
- под уполномоченного пользователя ИСБ на основе подделки сетевых адресов;
- использования запрещенного сервиса под использование разрешенного сервиса.
При анализе маскировки под уполномоченного пользователя ИСБ на основе активного или пассивного перехвата данных аутентификации надо учитывать, что то обстоятельство, что сегменты ИСБ распределены в пространстве и связь между ними осуществляется как физически по сетевым соединениям, так и программно при помощи механизма сообщений, а также то, что все управляющие сообщения и данные, пересылаемые между сегментами ИСБ, передаются по сетевым соединениям в виде пакетов обмена, привело к появлению специфичной для ИСБ угрозы информационной безопасности — сетевого анализа.
Кроме изучения логики работы сегмента ИСБ путем определения взаимно однозначного соответствия событий, происходящих в сети, и команд, пересылаемых друг другу ее объектами, в момент появления этих событий с помощью сетевого анализа осуществляется непосредственный перехват потока данных, которыми обмениваются объекты сегмента. Таким образом, злоумышленник получает несанкционированный доступ к информации, которой обмениваются элементы ИСБ. Отметим, что при этом способе нарушения информационной безопасности трафик не модифицируется, а сам анализ осуществляется только внутри сегмента.
Однозначная идентификация сообщений, передаваемых между сегментами, реализуется за счет создания виртуального канала, в котором объекты обмениваются определенной информацией, уникально идентифицирующей данный канал. Следует отметить, что такой канал не всегда создается. На практике часто для идентификации сообщений используется режим передачи одиночных сообщений, не требующих подтверждения.
Известно, что для адресации сообщений в ИСБ используется сетевой адрес, уникальный для каждого элемента ИСБ. Сетевой адрес как средство идентификации несложно подделать. Это позволяет передавать по каналам связи сообщения от имени любого объекта или субъекта сегмента. При этом существуют две разновидности реализации данного способа нарушения информационной безопасности ИСБ:
- при установленном виртуальном канале;
- без установленного виртуального канала.
При маскировке под уполномоченного пользователя ИСБ на основе подделки сетевых адресов в первом случае подмена доверенного объекта будет заключаться в передаче пакетов обмена с сетевого компьютера злоумышленника на объект атаки от имени доверенного субъекта взаимодействия, что приводит к восприятию переданных сообщений как корректных. Реализация этого способа сопряжена с необходимостью преодоления механизма идентификации, аутентификации сообщений. Во втором случае подмена доверенного объекта будет заключаться в передаче служебных сообщений от имени сетевых управляющих устройств, например от имени маршрутизаторов.
Так как на сегодняшний день в ИСБ не решены проблемы идентификации маршрутизаторов, возникающие при взаимодействии этих устройств с элементами охранного оборудования, имеют место ситуации внедрения ложных объектов в сегменты ИСБ путем изменения маршрутизации.
Для уяснения особенностей реализации данного способа нарушения информационной безопасности рассмотрим механизм сетевой маршрутизации. Под маршрутом понимается последовательность узлов сети, по которой данные передаются от источника к приемнику. Таким образом маршрутизация представляет собой выбор маршрута. Каждый маршрутизатор имеет специальную таблицу, называемую таблицей маршрутизации, в которой для каждого адресата указывается оптимальная последовательность узлов. Следует отметить, что такие таблицы существуют не только у маршрутизаторов, но и у любых сетевых компьютеров. Для обеспечения маршрутизации в ИСБ применяются специальные управляющие протоколы, позволяющие маршрутизаторам обмениваться информацией друг с другом, уведомлять маршрутизаторы о новом маршруте, а также удаленно управлять ими. Все эти протоколы позволяют удаленно изменять маршрутизацию в ИСБ, то есть являются протоколами управления ею как компьютерной сетью.
Важная роль, отводимая маршрутизации в ИСБ, делает ее объектом угрозы доступности информации, связанной с навязыванием ложного маршрута, — изменением исходной маршрутизации таким образом, чтобы новый маршрут проходил через ложный объект — сетевой компьютер злоумышленника.
Реализация данного способа нарушения доступности информации в ИСБ состоит в несанкционированном использовании сетевых протоколов для изменения исходных таблиц маршрутизации. Для этого злоумышленник передает по сети специальные служебные сообщения, определенные протоколами управления сети, от имени маршрутизаторов. В результате успешного изменения маршрута злоумышленник получает полный контроль над информационным потоком, что дает ему возможность принимать, анализировать и передавать сообщения, получаемые от дезинформированных элементов ИСБ.
Внедрить ложный объект в сегмент ИСБ можно и в том случае, если ее инфраструктура предусматривает использование алгоритмов удаленного поиска.
Для уяснения особенностей реализации данного способа нарушения доступности информации рассмотрим механизм удаленного поиска. Следует иметь в виду, что элементы ИСБ имеют не всю необходимую для адресации сообщений информацию. Для получения аппаратных и логических адресов элементов ИСБ используются различные алгоритмы удаленного поиска, заключающиеся в передаче по сети специального вида поисковых запросов и в ожидании ответов на них. Полученных таким образом сведений об искомом объекте запросившему субъект достаточно для последующей адресации к нему.
В ИСБ существуют два типа поисковых запросов: широковещательный и направленный. Широковещательный поисковый запрос получают все элементы ИСБ, но только искомый объект отсылает в ответ нужную информацию, Поэтому, чтобы избежать перегрузки, подобный механизм запросов используется обычно внутри одного сегмента ИСБ, если не хватает информации для адресации на канальном уровне. Направленный поисковый запрос передается на один или несколько специально выделенных для обработки подобных запросов объектов и применяется при межсегментном поиске в том случае, когда не хватает информации для адресации на сетевом уровне.
При использовании в ИСБ механизмов удаленного поиска реализация данного способа нарушения доступности информации состоит в перехвате злоумышленником поискового запроса и передаче в ответ на него ложного сообщения, в котором указываются данные, приводящие к переадресации информации. В дальнейшем весь поток информации между субъектом и объектом взаимодействия будет проходить через сетевой компьютер злоумышленника.
Другой вариант реализации данного способа нарушения доступности информации состоит в периодической передаче на атакуемый объект заранее подготовленного ложного ответа без приема поискового запроса. Для передачи ложного ответа злоумышленнику не обязательно ожидать приема запроса. Он может спровоцировать атакуемый объект на передачу поискового сообщения.
Получив контроль над информационным потоком между элементами ИСБ, ложный объект может применять различные методы воздействия на перехваченную информацию, которые можно разделить на три группы:
- методы селекции потока информации и сохранения ее на ложном объекте;
- методы модификации информации;
- методы подмены информации.
Характерным действием по селекции потока информации и сохранению ее на ложном объекте является перехват информации, передаваемой между субъектом и объектом взаимодействия. Такой перехват возможен из-за того, что при выполнении операций чтения и копирования файлов их содержимое передается по сети, а значит, поступает на ложный объект. Простейший способ реализации перехвата — это сохранение всех получаемых ложным объектом пакетов обмена. Однако такой способ оказывается недостаточно информативным, так как в пакетах обмена кроме полей данных существуют и служебные поля, не представляющие интереса для злоумышленника. Следовательно, для того чтобы получить непосредственно передаваемый файл, необходимо проводить на ложном объекте динамическую семантическую селекцию потока информации.
Особенностью ложного объекта как источника угроз нарушения целостности информации в ИСБ является то, что он способен модифицировать перехваченную информацию. В этом случае различают два основных метода модификации информации:
- модификация передаваемых данных;
- модификация передаваемого кода.
В первом случае в результате селекции потока перехваченной информации и его анализа ложный объект может распознавать тип передаваемых файлов. При обнаружении файла требуемого типа осуществляется его модификация.
Во втором случае, проводя семантический анализ перехваченной информации, ложный объект способен выделять из потока данных исполняемый код. Выделяются два различных по цели вида модификации кода:
- внедрение вредоносных программ;
- внесение изменений в логику работы исполняемого файла.
При внедрении вредоносной программы в исполняемый файл последний модифицируется по вирусной технологии, то есть к нему одним из известных способов дописывается тело вредоносной программы, и точка входа изменяется таким образом, чтобы она указывала на ее начало. Описанный способ мало чем отличается от стандартного заражения вирусом, за исключением того, что файл оказывается зараженным вредоносной программой в момент передачи его по сети.
При внесении изменений в логику работы исполняемого файла происходит модификация его кода с целью изменения логики работы. Данное воздействие требует предварительного исследования работы исполняемого файла.
Целью подмены перехваченной ложным объектом информации является передача заранее подготовленной дезинформации одному из участников обмена при возникновении в сегменте ИСБ определенного контролируемого ложным объектом события. Подобная дезинформация может быть воспринята атакуемым объектом либо как исполняемый код, либо как данные.
Из изложенного становится очевидным, что рассмотренные способы вредоносного воздействия на инфраструктуру ИСБ представляют серьезную угрозу ее информационной безопасности.
ЛИТЕРАТУРА
1. Гайфулин В.В. Методические аспекты проблемы систематизации характеристик средств защиты информации в интегрированных системах безопасности // Информация и безопасность. — Воронеж: ВГТУ, 2009.— Вып. 1. — С. 25—28.
2. Зарубин В.С., Гурченко С.В., Фамильнов А.Р. Классификация информационных угроз интегрированных систем безопасности // Информация и безопасность. — Воронеж: ВГТУ, 2009. — Вып. 3.— С. 425 — 428.
