Файл: Базовая модель угроз безопасности персональных данных при их обработке в информационных системах.pdf

32 коммерческой основе прикладного программного обеспечения собираются, обобщаются и анализируются в базе данных CVE
1
5.3. Общая характеристика угроз непосредственного доступа
в операционную среду информационной системы персональных данных
Угрозы доступа (проникновения) в операционную среду компьютера и несанкционированного доступа к ПДн связаны с доступом: к информации и командам, хранящимся в базовой системе ввода/вывода
(BIOS)
ИСПДн, с возможностью перехвата управления загрузкой операционной системы и получением прав доверенного пользователя; в операционную среду, то есть в среду функционирования локальной операционной системы отдельного технического средства ИСПДн с возможностью выполнения несанкционированного доступа путем вызова штатных программ операционной системы или запуска специально разработанных программ, реализующих такие действия; в среду функционирования прикладных программ (например, к локальной системе управления базами данных); непосредственно к информации пользователя (к файлам, текстовой, аудио- и графической информации, полям и записям в электронных базах данных) и обусловлены возможностью нарушения ее конфиденциальности, целостности и доступности.
Эти угрозы могут быть реализованы в случае получения физического доступа к ИСПДн или, по крайней мере, к средствам ввода информации в ИСПДн. Их можно объединить по условиям реализации на три группы.
Первая группа включает в себя угрозы, реализуемые в ходе загрузки операционной системы. Эти угрозы безопасности информации направлены на перехват паролей или идентификаторов, модификацию программного обеспечения базовой системы ввода/вывода (BIOS), перехват управления загрузкой с изменением необходимой технологической информации для получения НСД в операционную среду ИСПДн. Чаще всего такие угрозы реализуются с использованием отчуждаемых носителей информации.
Вторая группа – угрозы, реализуемые после загрузки операционной среды независимо от того, какая прикладная программа запускается пользователем. Эти угрозы, как правило, направлены на выполнение непосредственно несанкционированного доступа к информации. При получении доступа в операционную среду нарушитель может воспользоваться как стандартными функциями операционной системы или какой-либо прикладной программы общего пользования (например, системы управления базами данных), так и специально созданными для выполнения несанкционированного доступа программами, например: программами просмотра и модификации реестра; программами поиска текстов в текстовых файлах по ключевым словам и копирования;
1
Ведется зарубежной фирмой CERT на коммерческой основе

33 специальными программами просмотра и копирования записей в базах данных; программами быстрого просмотра графических файлов, их редактирования или копирования; программами поддержки возможностей реконфигурации программной среды (настройки ИСПДн в интересах нарушителя) и др.
Наконец, третья группа включает в себя угрозы, реализация которых определяется тем, какая из прикладных программ запускается пользователем, или фактом запуска любой из прикладных программ. Большая часть таких угроз – это угрозы внедрения вредоносных программ.
5.4. Общая характеристика угроз безопасности персональных данных,
реализуемых с использованием протоколов межсетевого взаимодействия
Если ИСПДн реализована на базе локальной или распределенной информационной системы, то в ней могут быть реализованы угрозы безопасности информации путем использования протоколов межсетевого взаимодействия. При этом может обеспечиваться НСД к ПДн или реализовываться угроза отказа в обслуживания. Особенно опасны угрозы, когда
ИСПДн представляет собой распределенную информационную систему, подключенную к сетям общего пользования и (или) сетям международного информационного обмена. Классификационная схема угроз, реализуемых по сети, приведена на рисунке 5. В ее основу положено семь следующих первичных признаков классификации.
1. Характер угрозы. По этому признаку угрозы могут быть пассивные и активные. Пассивная угроза – это угроза, при реализации которой не оказывается непосредственное влияние на работу ИСПДн, но могут быть нарушены установленные правила разграничения доступа к ПДн или сетевым ресурсам. Примером таких угроз является угроза «Анализ сетевого трафика», направленная на прослушивание каналов связи и перехват передаваемой информации.
Активная угроза – это угроза, связанная с воздействием на ресурсы
ИСПДн, при реализации которой оказывается непосредственное влияние на работу системы (изменение конфигурации, нарушение работоспособности и т.д.), и с нарушениемустановленных правил разграничения доступа к ПДн или сетевым ресурсам. Примером таких угроз является угроза «Отказ в обслуживании», реализуемая как «шторм TCP-запросов».
2. Цель реализации угрозы. По этому признаку угрозы могут быть направлены на нарушение конфиденциальности, целостности и доступности информации (в том числе на нарушение работоспособности ИСПДн или ее элементов).
3. Условие начала осуществления процесса реализации угрозы. По этому признаку может реализовываться угроза: по запросу от объекта, относительно которого реализуется угроза. В этом случае нарушитель ожидает передачи запроса определенного типа, который и будет условием начала осуществления несанкционированного доступа;

34
Рисунок 5. Классификационная схема угроз с использованием протоколов межсетевого взаимодействия
3 4
Классификация угроз безопасности информации, реализуемых с использованием протоколов межсетевого взаимодействия в автоматизированных системах
По характеру
воздействия
Пассивные
Активные
По цели воздействия
Угрозы с нарушением конфиденциальности информации
Угрозы с нарушением целостности информации
Угрозы с нарушением доступности информации
Угрозы с комплексным воздействием на информацию
По условию начала процесса
реализации угрозы
Угрозы, реализуемые по запросу от ИСПДн
Угрозы, реализуемые по наступлению ожидаемого события в
ИСПДн
Безусловные воздействия
По наличию обратной
связи с ИСПДн
С обратной связью
Без обратной связи
(однонаправленная атака)
По расположению субъекта
атаки относительно ИСПДн
Внутрисегментные
Межсегментные
По уровню эталонной модели
взаимодействия открытых систем
Угрозы на физическом уровне
Угрозы на канальном уровне
Угрозы на сетевом уровне
Угрозы на транспортном уровне
Угрозы на сеансовом уровне
Угрозы на представительном уровне
Угрозы на прикладном уровне
По соотношению количества
нарушителей и хостов,
относительно которых
реализуются угрозы
Угроза "Один к одному"
Угроза "Один ко многим"
Распределенные
(скоординированные) угрозы

35 по наступлению ожидаемого события на объекте, относительно которого реализуется угроза. В этом случае нарушитель осуществляет постоянное наблюдение за состоянием операционной системы ИСПДн и при возникновении определенного события в этой системе начинает несанкционированный доступ; безусловное воздействие. В этом случае начало осуществления несанкционированного доступа безусловно по отношению к цели доступа, то есть угроза реализуется немедленно и безотносительно к состоянию системы.
4. Наличие обратной связи с ИСПДн. По этому признаку процесс реализации угрозы может быть с обратной связью и без обратной связи. Угроза, осуществляемая при наличии обратной связи с ИСПДн, характеризуется тем, что на некоторые запросы, переданные на ИСПДн, нарушителю требуется получить ответ. Следовательно, между нарушителем и ИСПДн существует обратная связь, которая позволяет нарушителю адекватно реагировать на все изменения, происходящие в ИСПДн. В отличие от угроз, реализуемых при наличии обратной связи с ИСПДн, при реализации угроз без обратной связи не требуется реагировать на какие-либо изменения, происходящие в ИСПДн.
5. Расположение нарушителя относительно ИСПДн. В соответствии с этим признаком угроза реализуется как внутрисегментно, так и межсегментно.
Сегмент сети – физическое объединение хостов (технических средств ИСПДн или коммуникационных элементов, имеющих сетевой адрес). Например, сегмент ИСПДн образует совокупность хостов, подключенных к серверу по схеме «общая шина». В случае, когда имеет место внутрисегментная угроза, нарушитель имеет физический доступ к аппаратным элементам ИСПДн. Если имеет место межсегментная угроза, то нарушитель располагается вне ИСПДн, реализуя угрозу из другой сети или из другого сегмента ИСПДн.
6. Уровень эталонной модели взаимодействия открытых систем
1
(ISO/OSI), на котором реализуется угроза. По этому признаку угроза может реализовываться на физическом, канальном, сетевом, транспортном, сеансовом, представительном и прикладном уровне модели ISO/OSI.
7. Соотношение количества нарушителей и элементов ИСПДн, относительно которых реализуется угроза. По этому признаку угроза может быть отнесена к классу угроз, реализуемых одним нарушителем относительно одного технического средства ИСПДн (угроза «один к одному»), сразу относительно нескольких технических средств ИСПДн (угроза «один ко многим») или несколькими нарушителями с разных компьютеров относительно одного или нескольких технических средств ИСПДн (распределенные или комбинированные угрозы).
С учетом проведенной классификации можно выделить семь наиболее часто реализуемых в настоящее время угроз.
1. Анализ сетевого трафика (рисунок 6).
1
Международная Организация по Стандартизации (ISO) приняла стандарт ISO 7498, описывающий взаимодействие открытых систем (OSI).

36
Хост 2
Маршрутизатор 1
Маршрутизатор 2
Хост 1
Хост N
Хост 2
Хост 1
Хост M
Хост нарушителя
Прослушивание канала связи
Рисунок 6. Схема реализации угрозы «Анализ сетевого трафика»
Эта угроза реализуется с помощью специальной программы-анализатора пакетов (sniffer), перехватывающей все пакеты, передаваемые по сегменту сети, и выделяющей среди них те, в которых передаются идентификатор пользователя и его пароль. В ходе реализации угрозы нарушитель изучает логику работы сети – то есть стремится получить однозначное соответствие событий, происходящих в системе, и команд, пересылаемых при этом хостами, в момент появления данных событий. В дальнейшем это позволяет злоумышленнику на основе задания соответствующих команд получить, например, привилегированные права на действия в системе или расширить свои полномочия в ней, перехватить поток передаваемых данных, которыми обмениваются компоненты сетевой операционной системы, для извлечения конфиденциальной или идентификационной информации
(например, статических паролей пользователей для доступа к удаленным хостам по протоколам FTP и TELNET, не предусматривающим шифрование), ее подмены, модификации и т.п.
2. Сканирование сети.
Сущность процесса реализации угрозы заключается в передаче запросов сетевым службам хостов ИСПДн и анализе ответов от них. Цель – выявление используемых протоколов, доступных портов сетевых служб, законов формирования идентификаторов соединений, определение активных сетевых сервисов, подбор идентификаторов и паролей пользователей.
3. Угроза выявления пароля.
Цель реализации угрозы состоит в получении НСД путем преодоления парольной защиты. Злоумышленник может реализовывать угрозу с помощью целого ряда методов, таких как простой перебор, перебор с использованием специальных словарей, установка вредоносной программы для перехвата пароля, подмена доверенного объекта сети (IP-spoofing) и перехват пакетов
(sniffing). В основном для реализации угрозы используются специальные программы, которые пытаются получить доступ к хосту путем последовательного подбора паролей. В случае успеха, злоумышленник может создать для себя «проход» для будущего доступа, который будет действовать, даже если на хосте изменить пароль доступа.

37 4. Подмена доверенного объекта сети и передача по каналам связи сообщений от его имени с присвоением его прав доступа (рисунок 7).
Хост Х
Хост B
2. Хост Х посылает на хост A серию TCP-запросов на создание соединения, заполняя тем самым очередь запросов с целью вывести из строя на некоторое время хост A
Хост А - доверенный хост
Хост Х
Хост А
Хост Х
Хост А
Хост B
Хост B
Хост B
SYN, ACK, ISSb
ACK(ISSx+1)
Ответ хоста В на TCP-запрос
SYN-бит синхронизации номера последовательности
ISSb-произвольный номер последовательности хоста B
ACK(ISSx+1)-номер подтверждения приема TCP-пакета от хоста A, равный ISSx+1
ACK, ISSx+1
ACK(ISSb+1)
RST
ASK(ISSb+1)-номер подтверждения приема TCP-пакета от хоста В, в котором атакующий указывает подобранный номер ISSb+1
ASK(ISSx+1)-номер следующего TCP-пакета
Отсутствует сообщение о разрыве TCP-соединения от выведенного из строя хоста А (пакет с заполненным служебным заголовком RST)
1. Хост Х ведет наблюдение за хостами А и В и определяет нумерацию пакетов сообщений, идущую от хоста В
Хост B
Хост Х - хост нарушителя
SYN,
ISSx
Хост А
Хост Х
Хост А
SYN,
ISSx
TCP-запрос на открытие соединения от имени хоста А
SYN-бит синхронизации номера последовательности
ISSx-произвольный номер последовательности хост А выведен из строя
Рисунок 7. Схема реализации угрозы «Подмена доверенного объекта сети»

38
Такая угроза эффективно реализуется в системах, где применяются нестойкие алгоритмы идентификации и аутентификации хостов, пользователей и т.д. Под доверенным объектом понимается объект сети (компьютер, межсетевой экран, маршрутизатор и т.п.), легально подключенный к серверу.
Могут быть выделены две разновидности процесса реализации указанной угрозы: с установлением и без установления виртуального соединения.
Процесс реализации с установлением виртуального соединения состоит в присвоении прав доверенного субъекта взаимодействия, что позволяет нарушителю вести сеанс работы с объектом сети от имени доверенного субъекта.
Реализация угрозы данного типа требует преодоления системы идентификации и аутентификации сообщений (например, атака rsh-службы UNIX-хоста).
Процесс реализации угрозы без установления виртуального соединения может иметь место в сетях, осуществляющих идентификацию передаваемых сообщений только по сетевому адресу отправителя. Сущность заключается в передаче служебных сообщений от имени сетевых управляющих устройств
(например, от имени маршрутизаторов) об изменении маршрутно-адресных данных. При этом необходимо иметь в виду, что единственными идентификаторами абонентов и соединения (по протоколу TCP) являются два
32-битных параметра Initial Sequence Number – ISS (номер последовательности) и Acknowledgment Number – ACK (номер подтверждения). Следовательно, для формирования ложного TCP-пакета нарушителю необходимо знать текущие идентификаторы для данного соединения – ISSa и ISSb, где:
ISSa – некоторое численное значение, характеризующее порядковый номер отправляемого TCP-пакета, устанавливаемого TCP-соединения, инициированного хостом А;
ISSb – некоторое численное значение, характеризующее порядковый номер отправляемого TCP-пакета, устанавливаемого TCP-соединения, инициированного хостом В.
Значение ACK (номера подтверждения установления TCP-соединения) определяется как значение номера, полученного от респондента ISS (номер последовательности) плюс единица АСКb = ISSa+1.
В результате реализации угрозы нарушитель получает права доступа, установленные его пользователем для доверенного абонента, к техническому средству ИСПДн – цели угроз.
5. Навязывание ложного маршрута сети.
Данная угроза реализуется одним из двух способов: путем внутрисегментного или межсегментного навязывания.
Возможность навязывания ложного маршрута обусловлена недостатками, присущими алгоритмам маршрутизации (в частности, из-за проблемы идентификации сетевых управляющих устройств), в результате чего можно попасть, например, на хост или в сеть злоумышленника, где можно войти в операционную среду технического средства в составе ИСПДн. Реализация угрозы основывается на несанкционированном использовании протоколов маршрутизации (RIP,
OSPF, LSP) и управления сетью (ICMP, SNMP) для внесения изменений в маршрутно-адресные таблицы. При этом нарушителю необходимо послать от