Файл: Классификация угроз и атак на операционную систему (Оценка и предотвращение атак на операционную систему.).pdf

1. Ошибки при проектировании и программировании операционной системы, а также недокументированные возможности установленного программного обеспечения. Сюда следует отнести и так называемые «люки» - специально или непреднамеренно встроенные в систему «служебные входы», позволяющие миновать систему безопасности.

2. Неправильная политика безопасности. Чаще всего под этим понятием подразумевают ошибки системного администратора [11, c. 34].

Классификация по принципу оказываемого на операционную систему воздействия:

1. Использование легальных каналов доступа к информации - доступ к файлу со стороны пользователя, не имеющего права на его чтение. Данная ситуация возможна при неправильной установке прав доступа пользователей. То есть, в том случае, если пользователь получает права, которых, согласно политике безопасности, иметь не должен.

2. Использование скрытых каналов доступа к информации - ситуация возможна, когда злоумышленник использует недокументированные возможности операционной системы.

3. Создание новых каналов получения информации - использование специализированного программного обеспечения, заранее установленного в систему [11, c. 35].

Классификация по характеру воздействия на операционную систему:

1. Пассивное воздействие - наблюдение атакующего за процессами, происходящими в системе.

2. Активное воздействие - непосредственное воздействие злоумышленника на процессы, происходящие в операционной системе (удаление файлов, изменение прав доступа и т.д.).

Отметим также классификацию по цели, осуществляемой атаки:

1. Деструктивные действия по отношению к операционной системе - полное разрушение, либо уничтожение отдельных частей.

2. Несанкционированное чтение информации.

3. Несанкционированное изменение информации.

4. Несанкционированное уничтожение информации [11, c. 35].

Угроза является потенциальной возможностью определенным образом нарушить информационную безопасность операционной системы.

Попытка реализации угрозы называется атакой, а тот, кто предпринимает такую попытку, - злоумышленником. Потенциальные злоумышленники называются источниками угрозы.

Чаще всего угроза является следствием наличия уязвимых мест в защите информационных систем (таких, например, как возможность доступа посторонних лиц к критически важному оборудованию или ошибки в программном обеспечении) [14, c. 62].

Промежуток времени от момента, когда появляется возможность использовать слабое место, и до момента, когда пробел ликвидируется, называется окном опасности, ассоциированным с данным уязвимым местом. Пока существует окно опасности, возможны успешные атаки на операционную систему.

Если речь идет об ошибках в программном обеспечении, то окно опасности «открывается» с появлением средств использования ошибки и ликвидируется при наложении заплат, ее исправляющих.

Для большинства уязвимых мест окно опасности существует сравнительно долго (несколько дней, иногда - недель), поскольку за это время должны произойти следующие события:

- должно стать известно о средствах использования пробела в защите;

- должны быть выпущены соответствующие заплаты;

- заплаты должны быть установлены в защищаемой операционной системе.

Отметим, что некоторые угрозы нельзя считать следствием каких-то ошибок или просчетов; они существуют в силу самой природы современных операционных систем. Например, угроза отключения электричества или выхода его параметров за допустимые границы существует в силу зависимости аппаратного обеспечения операционной системы от качественного электропитания.

Рассмотрим наиболее распространенные угрозы, которым подвержены современные операционные системы.

Эти угрозы Ю.Ф. Мартемьянов классифицирует по нескольким критериям:

- по аспекту информационной безопасности (доступность, целостность, конфиденциальность), против которого угрозы направлены в первую очередь;

- по компонентам информационных систем, на которые угрозы нацелены (данные, программы, аппаратура, поддерживающая инфраструктура);

- по способу осуществления (случайные/преднамеренные действия природного/техногенного характера);

- по расположению источника угроз (внутри/вне рассматриваемой ИС) [15, c. 122].

В качестве основного критерия мы будем использовать первый (по аспекту информационной безопасности), привлекая при необходимости остальные.

Самыми частыми и самыми опасными (с точки зрения размера ущерба) являются непреднамеренные ошибки штатных пользователей, операторов, системных администраторов и других лиц, обслуживающих информационные системы. Иногда такие ошибки и являются собственно угрозами (неправильно введенные данные или ошибка в программе, вызвавшая крах системы), иногда они создают уязвимые места, которыми могут воспользоваться злоумышленники (таковы обычно ошибки администрирования). По некоторым данным, до 65% потерь - следствие непреднамеренных ошибок.

Очевидно, самый радикальный способ борьбы с непреднамеренными ошибками - максимальная автоматизация и строгий контроль.

Другие угрозы доступности классифицируем по компонентам информационной системы, на которые нацелены угрозы:

- отказ пользователей;

- внутренний отказ информационной системы;

- отказ поддерживающей инфраструктуры [15, c. 124].

Обычно применительно к пользователям рассматриваются следующие угрозы:

- нежелание работать с информационной системой (чаще всего проявляется при необходимости осваивать новые возможности и при расхождении между запросами пользователей и фактическими возможностями, и техническими характеристиками);

- невозможность работать с системой в силу отсутствия соответствующей подготовки (недостаток общей компьютерной грамотности, неумение интерпретировать диагностические сообщения, неумение работать с документацией и т.п.);

- невозможность работать с системой в силу отсутствия технической поддержки (неполнота документации, недостаток справочной информации и т.п.).

Основными источниками внутренних отказов являются:

- отступление (случайное или умышленное) от установленных правил эксплуатации;

- выход системы из штатного режима эксплуатации в силу случайных или преднамеренных действий пользователей или обслуживающего персонала (превышение расчетного числа запросов, чрезмерный объем обрабатываемой информации и т.п.);

- ошибки при (пере)конфигурировании системы;

- отказы программного и аппаратного обеспечения;

- разрушение данных;

- разрушение или повреждение аппаратуры [15, c. 125].

По отношению к поддерживающей инфраструктуре рекомендуется рассматривать следующие угрозы:

- нарушение работы (случайное или умышленное) систем связи, электропитания, водо- и/или теплоснабжения, кондиционирования;

- разрушение или повреждение помещений;

- невозможность или нежелание обслуживающего персонала и/или пользователей выполнять свои обязанности (гражданские беспорядки, аварии на транспорте, террористический акт или его угроза, забастовка и т.п.).

С.М. Доценко отмечает, что весьма опасны так называемые «обиженные» сотрудники - нынешние и бывшие. Как правило, они стремятся нанести вред организации- «обидчику», например: испортить оборудование; встроить логическую бомбу, которая со временем разрушит программы и/или данные; удалить данные [7, c. 90].

Таким образом, универсальной классификации угроз операционной системы не существует и каждый день применяются новые способы, разрабатываются новые средства мониторинга, появляются новые вирусы, находятся новые изъяны в существующих программных и аппаратных продуктах. В ответ на это разрабатываются все более изощренные средства защиты, которые ставят преграду на пути многих типов угроз, но затем сами становятся новыми объектами атак.

1.3. Типичные атаки на операционную систему

Помимо приведенной классификации угроз, перечислим еще несколько: используемые технические средства атаки, объект атаки в составе операционной системы, способ воздействия на объект атаки, специфика действий атакующего и т.д.

На основе классификаций угроз безопасности операционной системы Д.В. Кудин определяет несколько типичных видов атак на нее:

1. Подбор пароля одной из учетных записей, имеющих, как правило, административный доступ к операционной системе. Существуют несколько способов подбора пароля пользователя: подбор пароля с использованием информации о пользователе (дата рождения, девичья фамилия матери, номер телефона, адрес, номер квартиры, имя, фамилия и т.д.), тотальный перебор с учетом всех возможных комбинаций, оптимизированный тотальный перебор - перебор значений по словарю, либо с использованием статистических данных о встречаемости символов [10, c. 40].

2. Превышение полномочий. При реализации данной угрозы злоумышленник, используя ошибки в программном обеспечении операционной системы и/или политике безопасности, получает полномочия, превышающие те, которые ему предоставлены в соответствии с политикой безопасности. Обычно это достигается путем запуска программы от имени другого пользователя или подмены динамически подгружаемой библиотеки. Эта угроза представляет наибольшую опасность для операционных систем, в которых допускается временное повышение полномочий пользователя, например, в UNIX.

3. Так называемые «жадные» программы. Это программы, которые, будучи запущенными в операционной системе, стараются захватить как можно больше аппаратных ресурсов (оперативная память, процессор и т.д.), мешая другим приложениям получить к ним доступ. Если система имеет недостаточно сильную аппаратную часть, либо использование ресурсов в операционной системе не оптимизировано - запуск в ней «жадной» программы может привести к атаке типа DDOS или полному краху системы [10, c. 41].

4. Сканирование файловой системы. Данная атака является одной из наиболее тривиальных, но в то же время одной из наиболее опасных. Суть атаки заключается в том, что злоумышленник просматривает файловую систему компьютера и пытается прочесть (или скопировать или удалить) все файлы подряд. Если он не получает доступ к какому-то файлу или каталогу, то продолжает сканирование. Если объем файловой системы достаточно велик, рано или поздно обнаруживается хотя бы одна ошибка администратора. В результате злоумышленник получает доступ к информации, доступ к которой должен быть ему запрещен. Данная атака может осуществляться специальной программой, которая выполняет вышеописанные действия в автоматическом режиме.

Несмотря на кажущуюся примитивность описанной атаки, защититься от нее не так просто. Если политика безопасности допускает анонимный или гостевой вход в систему, администраторам остается только надеяться, что права доступа ко всем файлам системы, число которых может составлять сотни тысяч, определены абсолютно корректно. Если же анонимный и гостевой вход в систему запрещен, поддержание адекватной политики регистрации потенциально опасных событий (аудита) позволяет организовать эффективную защиту от этой угрозы. Впрочем, следует отметить, что поддержание адекватной политики аудита требует от администраторов системы определенного искусства. Кроме того, если данная атака осуществляется злоумышленником от имени другого пользователя, аудит совершенно неэффективен [10, c. 41].

5. Кража ключевой информации. В простейшем случае эта атака заключается в том, что злоумышленник подсматривает пароль, набираемый пользователем. То, что все современные операционные системы не высвечивают на экране вводимый пользователем пароль, несколько затрудняет эту задачу, но не делает ее невыполнимой. Известно, что для того, чтобы восстановить набираемый пользователем пароль только по движениям рук на клавиатуре, достаточно всего несколько недель тренировок. Кроме того, достаточно часто встречается ситуация, когда пользователь ошибочно набирает пароль вместо своего имени, которое, в отличие от пароля, на экране высвечивается.

Некоторые программы входа в операционную систему удаленного сервера допускают ввод пароля из командной строки. К таким командам относится, например, команда nwlogin операционной системы UNIX, предназначенная для входа на сервер Novell Netware. При использовании с ключом - р она позволяет вводить пароль в командной строке, например: nwlogin server user – p password [10, c. 42].

При вводе пароля в командной строке пароль, естественно, отображается на экране и может быть прочитан злоумышленником. Известны случаи, когда пользователи создавали командные файлы, состоящие из команд, подобных вышеприведенной, для автоматического входа на удаленные серверы. Если злоумышленник получает доступ к такому файлу, тем самым он получает доступ ко всем серверам, к которым имеет доступ данный пользователь, в пределах предоставленных ему полномочий.

Иногда пользователи, чтобы не забыть пароль, записывают его на бумагу, которую приклеивают к нижней части клавиатуры, к задней стенке системного блока или в какое-нибудь другое якобы укромное место. В этом случае пароль рано или поздно становится добычей злоумышленника. Особенно часто такие ситуации имеют место в случаях, когда политика безопасности требует от пользователей использовать длинные, трудные для запоминания пароли.