Text
                    Н. 3. Емельянова, Т. Л . Партыка,
И. И. Попов
ЗАЩИТА ИНФОРМАЦИИ
В ПЕРСОНАЛЬНОМ КОМПЬЮТЕРЕ
Рекомендовано Учебно-методическим советом
Учебно-методического центра по профессиоанальному образованию
Департ амент а образования города Москвы в качестве учебного пособия
для студентов образовательных учреждений среднего
профессионального образования
■рррум 2009


УДК 002.56(075.032) ББК 32.973я723 Е60 Рецензенты: кандидат физико-математических наук, доцент кафедры информационных систем в экономике и менеджменте РЭА им. Г. В. Плеханова Б. В. Евтеев; доктор экономических наук, профессор, вице-президент Московской финансово-промышленной академии, заведующий кафедрой математических и инструментальных методов экономики Л. Л. Емельянов Емельянова Н. 3 ., Партыка Т. JI., Попов И. И. Е60 Защита информации в персональном компьютере учебное по­ собие / Н. 3. Емельянова, Т. JL Партыка, И. И. Попов. — М. ФОРУМ, 2009. — 368 с. ил. — (Профессиональное образование). ISBN 978-5 -91 134 -328 -6 Рассмотрены вопросы информационной безопасности и защиты дан ­ ных, в том числе в информационно-вычислительных системах и сетях. Дано введение общей проблемы безопасности, определены роль и место информационной безопасности в системе обеспечения национальной безопасности государства. Рассмотрены проблемы защиты информации в автоматизированных системах обработки информации, криптографиче­ ские методы защиты информации, вопросы защиты информации в персо­ нальных компьютерах, компьютерные вирусы и антивирусные програм­ мы, а также проблемы защиты информации в сетях ЭВМ и организации комплексны х систем технического обеспечения безопасности. Для учащихся техникумов, колледжей, а также студентов вузов. УДК 002.56(075.032) ББК 32.973я723 © Н. 3 . Емель янова, Т. JI. Партыка, И. И. Попов, 2009 ISBN 978-5 -91134 -328 -6 © Издательство «ФОРУМ», 2009
Я не люблю .................................................... и еще, Когда чужой мои читает п ис ьма , Заглядывая мне через плечо. Владимир Высоцкий Введение Современное развитие мировой экономики характеризуется все большей зависимостью рынка от значительного объема и н ­ формационных потоков. Несмотря на все возрастающие усилия по созданию технологий защиты данных, их уязвимость не толь­ ко не уменьшается, но и постоянно возрастает. Поэтому акту­ альность проблем, связанных с защитой потоков данных и обес­ печением информационной безопасности их обработки и пере­ дачи, все более усиливается. Поскольку информация является предметом собственности (государства, коллектива, отдельного лица/субъекта) неизбежно возникает проблема угрозы безопасности этой информации, за­ ключающейся в неконтролируемом ее распространении, хище­ нии, несанкционированном уничтожении, искажении, передаче, копировании, блокировании доступа к информации. Следова­ тельно, возникает проблема защиты информации от утечки и не­ санкционированных воздействий на информацию и ее носители, а также предотвращения других форм незаконного вмешательст­ ва в информационные ресурсы и информационные системы [1]. В связи с этим понятие «защита информации» становится ключевым и рассматривается как процесс или деятельность, на­ правленная на предотвращение утечки защищаемой информа­ ции, а также различного рода несанкционированных воздейст­ вий (НСВ) на информацию и ее носители. Значимость защиты информации увеличивается в связи с возрастанием возможностей иностранных разведок за счет со ­ вершенствования технических средств разведки, приближения этих средств к объектам разведки (носителям информации) вследствие развертывания инспекционной деятельности, созда­
ния совместных предприятий и производств, сокращения закры­ тых для иностранцев зон и городов. С развитием конкуренции в среде свободного предпринима­ тельства крупномасштабной задачей в области защиты информа­ ции становится борьба с промышленным и экономическим шпионажем, распространению которого способствует ш ироко ­ масштабное применение для обработки информации средств вы ­ числительной техники (особенно персональных ЭВМ), создание вычислительных сетей, систем, баз данных, многочисленных средств передачи информации. Промышленный шпионаж ведет­ ся в основном с целью завоевания рынков сбыта, исключения технологических прорывов конкурентов, срыва переговоров по контрактам, перепродажи фирменных секретов и т. д. По мере ослабления противостояния между Востоком и Западом про­ мышленный ш пионаж в работе многих разведок, в том числе и ЦРУ США, становится приоритетным направлением наряду с политической разведкой. В настоящее время основные вопросы защиты информации регламентированы Законами РФ «О государственной тайне», «Об информации, информатизации и защите информации», «О безопасности», «О связи», «Положением о государственном лицензировании деятельности в области защиты информации», документами Гостехкомиссии России и оборонных отраслей промышленности. Проблема защиты информации является многоплановой и комплексной и охватывает ряд важных задач. Например, ко нф и­ денциальность данных, которая обеспечивается применением различных криптографических методов и средств (ш ифрование закрывает данные от посторонних лиц, а также решает задачу их целостности); идентификация пользователя, на основе анализа кодов, используемых им для подтверждения своих прав на доступ в систему (сеть), на работу с данными и на их изменение (обеспе­ чивается введением соответствующих паролей, анализом элек­ тронной подписи). Перечень аналогичных задач, решаемых для обеспечения информационной безопасности и защиты информа­ ции в современных системах обработки и передачи данных, м о­ жет быть продолжен. И нтенсивное развитие современных ин ­ формационны х технологий, и в особенности сетевых технологий создает для этого все предпосылки. Сюда необходимо также от­ нести бурное развитие в настоящее время технических и про­ граммных средств обеспечения информационных технологий,
обусловленное прогрессом, происшедшим в области м икроэлек­ тронной технологии, и появлением мощных мультипроцессор­ ных систем обработки данных. В результате расширились функ­ циональные возможности, и повысился «интеллект» средств обработки и передачи данных, а также технических средств, пр и­ меняемых для защиты информации. При решении перечислен­ ных выше задач обязательным является комплексный подход, требующий необходимого сочетания применяемых законодатель­ ных, организационных и программно-технических мер. Каждый сбой работы компьютерной сети это не только «мо­ ральный» ущерб для работников предприятия и сетевых админи­ страторов. По мере развития технологий электронных платежей, «безбумажного» документооборота, серьезный сбой локальных сетей может просто парализовать работу целых корпораций и банков, что приводит к ощутимым материальным потерям. Не случайно, что защита данных в компьютерных сетях становится одной из самых острых проблем в современной информатике. На сегодняшний день сформулировано три базовых принципа, которые должна обеспечивать информационная безопасность: • целостность данных — защита от сбоев, ведущих к потере информации, а также защиту от неавторизованного созда­ ния или уничтожения данных; • конфиденциальность информации; • доступность информации для всех авторизованных пользо­ вателей. Следует отметить, что отдельные сферы деятельности (бан­ ковские и финансовые институты, информационные сети, сис­ темы государственного управления, оборонные и специальные структуры) требуют специальных мер безопасности и предъявля­ ют повышенные требования к надежности функционирования информационных систем в соответствии с характером и важно­ стью решаемых ими задач. При разработке компьютерных систем, выход из строя или ошибки в работе которых могут привести к тяжелым последст­ виям, вопросы компьютерной безопасности становятся перво­ очередными. Известно много мер, направленных на обеспечение компьютерной безопасности, основными среди них являются технические, организационные и правовые. К техническим мерам можно отнести защиту от не­ санкционированного доступа к системе, резервирование особо важных компьютерных подсистем, организацию вычислитель­
ных сетей с возможностью перераспределения ресурсов в случае нарушения работоспособности отдельных звеньев, установку оборудования обнаружения и тушения пожара и оборудования обнаружения утечек воды, принятие конструкционных мер за­ щиты от хищений, саботажа, диверсий, взрывов, установку ре­ зервных систем электропитания, оснащение помещений замка­ ми, установку сигнализации и многое другое. Корганизационным мерам относятся: охрана вычис­ лительного центра, тщательный подбор персонала, исключение случаев ведения особо важных работ только одним человеком, н а­ личие планов восстановления работоспособности центра после выхода его из строя, организация обслуживания вычислительного центра сторонней организацией или лицами, незаинтересован­ ными в сокрытии фактов нарушения работы центра, универсаль­ ная эффективность средств защиты для всех пользователей — по ­ тенциальных нарушителей (включая высшее руководство), возло­ жение ответственности на лиц, которые должны обеспечить безопасность центра, выбор места расположения центра и т. п. К правовым мерам следует отнести разработку норм, устанавливающих ответственность за компьютерные преступле­ ния, предусматривающих защиту авторских прав программистов, а также совершенствование уголовного и гражданского законо ­ дательства, процесса судопроизводства. Сюда же относятся во­ просы общественного контроля за разработчиками компьютер­ ных систем и принятие международных договоров, регламенти­ рующих эту деятельность в той степени, в какой они влияют или могут повлиять на военные, экономические и социальные ас­ пекты жизни стран, заключающих соглашение. Сложность создания системы защиты информации опреде­ ляется тем, что данные могут быть похищены из компьютера и одновременно оставаться на месте; ценность данных для на­ рушителя заключается, прежде всего, в обладании ими, а не в уничтожении или изменении. Обеспечение безопасности информации — дорогостоящее дело, и не только из-за затрат на закупку или установку средств защиты, но также из-за того, что трудно квалифицированно оп­ ределить границы разумной безопасности и обеспечить соответ­ ствующее поддержание системы в работоспособном состоянии. Средства защиты информации нельзя проектировать, поку­ пать или устанавливать до тех пор, пока не произведен соответст­ вующий анализ. Анализ риска должен дать объективную оценку
многих факторов (подверженности к появлению нарушения ра­ боты системы, вероятности появления нарушения работы, ущер­ ба от коммерческих потерь, снижения коэффициента готовности системы, общественных отношений, юридических проблем) и предоставить информацию для определения подходящих типов и уровней безопасности. Коммерческие организации все в боль­ шей степени переносят критическую корпоративную информа­ цию с больших вычислительных систем в среду открытых систем и встречаются с новыми и сложными проблемами при реализа­ ции и эксплуатации систем безопасности. Сегодня все больше организаций разворачивают мощные распределенные базы дан ­ ных и приложения «клиент—сервер» для управления коммерче­ скими данными. При увеличении степени распределенности воз­ растает также и риск неавторизованного доступа к данным и их искажения. Шифрование данных традиционно использовалось прави­ тельственными и оборонными ведомствами, но в связи с необхо­ димостью защиты коммерческой тайны частные компании тоже начинают использовать возможности, предоставляемые ш ифро­ ванием для обеспечения конфиденциальности информации. Следует подчеркнуть, что никакие аппаратные, программные и любые другие решения не смогут гарантировать абсолютную надежность и безопасность данных в компьютерных системах. В то же время свести риск потерь к минимуму возможно, но лишь при комплексном подходе к вопросам безопасности. В первой главе настоящего учебного пособия рассматривают­ ся общие проблемы безопасности. Дается определение предмета и структура национальной безопасности, ее составляющие и ис­ тория вопроса. Анализируется информационная безопасность и ее место в системе национальной безопасности, определяются жизненно важные интересы в информационной сфере и угрозы для них. Рассматриваются вопросы информационной войны, информационного оружия, принципы, основные задачи и функ­ ции обеспечения информационной безопасности, функции госу­ дарственной системы по обеспечению информационной безо­ пасности, отечественные и зарубежные стандарты в области ин ­ формационной безопасности. Значительное внимание уделяется также правовым вопросам информационной безопасности. Во второй главе рассматриваются общие вопросы защиты ин­ формации в автоматизированных системах обработки информа­ ции (СОИ), предмет и объекты защиты информации, задачи за­
щиты информации в СОИ. Рассмотрены типы преднамеренных угроз безопасности и методы защиты информации в СОИ. Рас­ смотрены методы и средства подтверждения подлинности поль­ зователей и разграничения их доступа к компьютерным ресур­ сам. Излагаются проблемы криптографической защиты инфор­ мации — методы криптографического закрытия, подстановки и перестановки, одноалфавитные и многоалфавитные системы. Кратко описываются задача защиты ПК от вредоносных закла­ док (разрушающих программных средств), приводится класси­ фикация закладок и даются общие их характеристики. В третьей главе рассматриваются встроенные средства опе­ рационных систем и приложений, предназначенных для обес­ печения информационной безопасности ПК, на примере ОС MS Windows 2000/ХР и таких распространенных прикладных программных средств, как MS Word, Excel и Access. В 4-й главе рассматриваются методы борьбы с вредоносным программным обеспечением. Подробно описываются возможно­ сти наиболее популярных средств программной защиты — Ad-Aware, антивирусная система Dr.Web для Windows, антиви­ рус-ревизор диска ADinf, ESET Smart Security, Антивирус Кас­ перского, а также Symantec AntiVirus Учебное пособие базируется на материалах, накопленных ав­ торами в процессе практической, исследовательской, а также преподавательской (МИФИ, РГГУ, МФПА, РЭА им. Г. В. Пле­ ханова) деятельности. Авторы выражают благодарность коллегам, принявшим участие в обсуждении материала: Н. В. Максимову, А. Г. Романенко (РГГУ), К. И. Курбакову (РЭА им. Г. В. Плеха­ нова), рецензентам, а также студентам РЭА им. Г В. Плеханова, МФПА и РГГУ за предоставленные иллюстративные материалы.
Глава 1 ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ И ЗАЩИТА ИНФОРМАЦИИ. ОБЩИЕ ПРОБЛЕМЫ И ОСНОВНЫЕ ПРИНЦИПЫ Защита информации в персональном компьютере, будучи сама по себе важной проблемой для любого индивидуального пользователя, во-первых, имеет достаточно много различных ас­ пектов, а во-вторых, является частью более общей проблемати­ ки — информационной безопасности и защиты информации в целом. Поскольку ни один из пользователей ПК не «висит в безвоздушном пространстве», а является членом общества, сотрудником фирмы, наконец, гражданином своей страны, обеспечение информационной безопасности на этих, да и других уровнях тесно связано с локальной задачей защиты ПК. Кроме того, это часть обеспечения безопасности в оо б­ ще и национальной безопасности в частности. Рассмотрим дан ­ ную проблематику с более общих позиций. 1.1 . Национальные интересы и безопасность Основанием для определения содержания национальной безопасности (в рамках классических традиций и имеющейся мировой практики) является наличие сформулированных нацио­ нальных интересов — осознанных потребностей нации в самосо­ хранении и развитии [14]. Под интересом понимается причина действий индивидов, социальных общностей (класса, нации, профессиональной груп­ пы), определяющих их социальное поведение. Интересы различают: • по степени общности (индивидуальные, групповые, обще­ ственные); • направленности (экономические, политические, духовные);
• степени осознанности (реализующиеся стихийно или на основе программы); • возможности осуществления (реальные и мнимые); • отношению к объективной тенденции общественного раз­ вития (прогрессивные, реакционные, консервативные); • срокам реализации (долгосрочные, среднесрочные, кратко­ срочные); • характеру субъекта (классовые, национальные, профессио­ нальные). Предпосылкой идеи национальных интересов стало обособ­ ление племенных, а затем государственных и национальных общ­ ностей, породившее стереотипы сознания в делении «мы—они», «наше—не наше». Существует различие между государственными и обществен­ ными потребностями людей, влияющими на формирование на­ циональных интересов. Повсюду в мире существует большая или меньшая степень расхождения между тем, как понимают нацио­ нальные интересы «элита» и «простой народ», правящие круги и оппозиция. У бюрократического аппарата, составляющего кос­ тяк государственного механизма, имеются собственные интере­ сы, далеко не всегда совпадающие с потребностями общества и интересами граждан. В России издавна государственный интерес доминировал над общественным, первое место среди приоритетов однозначно от­ давалось могуществу российской державы, а не благосостоянию ее граждан. Такой подход сохранялся и в советское время. Ре­ формы 1980—90 -х гг., положив начало формированию граждан­ ского общества, создали предпосылки для того, чтобы в понима­ нии национальных интересов, а значит, в формулировании задач внутренней и внешней политики, достигался разумный баланс между непосредственно «державными» и общественными по­ требностями, принимались во внимание интересы различных социальных групп, частные интересы и права граждан в их сово­ купности. К числу нерешенных пока проблем следует отнести и соот­ ношение интересов по срокам их реализации (долгосрочные, среднесрочные, краткосрочные) — об актуальности этой пробле­ мы говорит то обстоятельство, что пока ни один из заявленных национальных интересов в современной России не реализован в установленные сроки, и отношение интересов к идеологии, о чем писал еще К. Маркс: «идея неизменно посрамляла себя,
как только она отделялась от интереса» и на что указывает само понятие «интерес» в таком его значении — желании вникнуть в суть, узнать, понять, т. е. требует осмысления возможность ис­ пользования организующей — внешней информации как средст­ ва организации социальных систем. К важным проблемам относится соотношение национальных интересов и национальной безопасности. С одной стороны, безо­ пасность понимается как защищенность самих национальных интересов. С другой стороны, безопасность сама может быть оп­ ределена как наиболее важный национальный интерес, посколь­ ку обеспечение безопасности — непременное условие выжива­ ния страны, без чего невозможно достижение любых других целей. Национальные интересы и безопасность России Формирование системы взглядов и подходов по определе­ нию государственной политики национальной безопасности в условиях становления новой государственности России началось при следующих исходных условиях, предопределивших как осо­ бенности, так и трудности этого процесса. В национальном отношении Россия представляет собой уни­ кальную общность. С одной стороны, ее можно считать монона­ циональной, поскольку более четыре пятых населения — русские. С другой, в ней насчитывается более 100 народностей, проживаю­ щих в основном компактно на своих исторических землях и со­ хранивших, несмотря на мощное притяжение русского языка и культуры, свои языки, культуру, обычаи, традиции, сознание са­ мобытности. Многие народности сохранили собственную субго­ сударственность или приобрели различные формы политической автономии в составе России. При доминирующей роли право­ славного христианства около 20 % населения исповедуют ислам, существуют крупные общины приверженцев буддизма, иудаизма, т. е. практически всех основных конфессий. Таким образом, несмотря на безусловно ведущую и интегри­ рующую роль русского народа, Россия не стала «нацией-госу­ дарством» как некоторые развитые страны мира. У русского и других народов, населяющих нашу страну, есть свои специфиче­ ские потребности, которые должны быть согласованы и учтены во внутренней (особенно национальной) и внешней политике
российского государства. В силу этих обстоятельств существует точка зрения, что общие интересы России как целостного соци­ ально-политического образования выражают интересы всех рос­ сиян, которые и должны быть положены в основу национальных интересов государства. При определении национальных интересов и национальной безопасности России учитывают следующие предпосылки: • объективную слабость России, перешедшей в состав «сред­ них держав»; • потерю стратегического интереса Запада к России, обу­ словленную как слабостью, так и «замкнутостью на себе» развитых стран Европы. Достаточно ясно, что финансовые ограничения, отсутствие серьезных иностранных инвести­ ций и в то же время высокая ресурсная самообеспечен­ ность диктуют необходимость возврата к традиционной для России континентальной стратегии, частичный отказ от навязанного коммунистическим мессианством и случайно­ стями истории глобального вовлечения России в дела всего мира. Если ценностные ориентации выступают как категории ус­ тойчивые, определяющие, то национальные интересы и нацио­ нальные цели — как категории подвижные, изменчивые, что обусловлено конкретными геополитическими и стратегическими условиями, внутренней и международной ситуацией, характером имеющихся и зарождающихся противоречий и порождаемыми ими угрозами национальной безопасности в конкретно-истори- ческой обстановке. Существует точка зрения, что необходимо, прежде всего, пе­ рестать «забалтывать» проблему перечнем десятков и сотен «приоритетов» и вернуться к собственным цивилизационным ценностям, имея при этом в виду, что сохранение России — это, прежде всего, сохранение, сбережение русского народа, как общече­ ловеческой ценности, ка к носителя наиболее важных духовных к а ­ честв российской цивилизации. Речь идет о русском народе преж­ де всего потому, что он все еще остается носителем единства, за­ щиты, помощи, безопасности не только для самого себя, но и для других народов, выступающих вместе с ним как единая общ­ ность, он выступает носителем общинного духа, т. е. той самой ценности, которая в любых, самых тяжелых испытаниях не толь­ ко помогала выжить, сохранить себя и других, но и подняться на уровень общепланетарного значения. Вот почему благополучие
русского народа — это благополучие России в целом, что всегда понимали и понимают противники Великой России (например, А. Даллес в качестве основного метода разрушения России пред­ лагал антирусский национализм). И менно ценностные ориента­ ции российской цивилизации и русский народ как ведущая ее сила определяют цели, приоритеты, интересы национальной безопасности. Ряд теоретиков считает, что основной национальный инте­ рес, стоящий перед современной Россией, заключается в воссоз­ дании самобытного, уникального многонационального, демокра­ тического государственного образования на собственной циви­ лизационной основе, способного вобрать в себя достижения иных цивилизаций, но не подменить ими свою самобытность. При этом интеграцию России в международное сообщество сле­ дует рассматривать, прежде всего, как средство обеспечения на­ циональных интересов, так как превращение интеграции в само­ цель (и это показал короткий исторический опыт новой России) сопряжено с отказом от основных ценностных ориентации рос­ сийской цивилизации, с потерей экономической и политической независимости. В Концепции национальной безопасности РФ (от 10 января 2000 г.) на основе и с учетом результатов проведенных исследова­ ний введено понятие национальных интересов как совокупности сбалансированных интересов личности, общества и государства. При этом ограничен (хотя и условно) перечень областей, нацио­ нальные интересы в которых определяют предмет национальной безопасности: в экономической, социальной, внутриполитиче­ ской, международной, информационной сферах, в области воен­ ной (оборонной), пограничной и экологической безопасности. Интересы личности определены в Концепции как полное обеспечение конституционных прав и свобод, личной безопасно­ сти, повышения качества и уровня жизни, физического, духовно­ го и интеллектуального развития. Интересы общества состоят в упрочении демократии, создании правового, социального госу­ дарства, достижении и поддержании общественного согласия, духовном обновлении России. Интересы государства состоят в незыблемости конституционного строя, суверенитета и террито­ риальной целостности России, в политической, экономической и социальной стабильности, в безусловном обеспечении закон­ ности и поддержании правопорядка, в развитии международного сотрудничества.
Национальная безопасность, ее определения. В недавнем пр о ­ шлом под безопасностью понимали защищенность страны от нападения извне, шпионажа, покушения на государственный и общественный строй. В. Даль указывал, что безопасность есть отсутствие о пасно ­ сти, сохранность, надежность. По С. Ожегову, безопасность — это «состояние, при котором не угрожает опасность, есть защита от опасности». Сегодня появилось множество других определе­ ний безопасности, авторы которых исходят из разных критериев: • безопасность есть состояние, тенденции развития (в том числе латентные) и условия жизнедеятельности социума, его структур, институтов и установлений, при которых обеспечивается сохранение их качественной определенно­ сти и свободное, соответствующее собственной природе и ею определяемое функционирование; • безопасность есть деятельность людей, общества, государст­ ва, мирового сообщества народов по выявлению (изуче­ нию), предупреждению, ослаблению, устранению (ликвида­ ции) и отражению опасностей и угроз, способных погубить их, лиш ить фундаментальных материальных и духовных ценностей, нанести неприемлемый (недопустимый объек­ тивно и субъективно) ущерб, закрыть путь для выживания и развития; • безопасность страны не есть состояние, а системное свой­ ство, позволяющее развиваться и процветать в условиях конфликтов, неопределенности и рисков на основе само­ организации и управления. Известна формула безопасности, закрепленная с 1992 г. в за­ коне РФ «О безопасности» как «состояние защищенности жиз­ ненно важных интересов личности, общества и государства от внутренних и внешних угроз». Исходя из этого, к основным объ­ ектам безопасности относятся: • личность (ее права и свободы); • общество (его материальные и духовные ценности); • государство (его конституционный строй, суверенитет и территориальная целостность). Одновременно с этим государство, организации и граждане относятся и к основным субъектам обеспечения безопасности. Главную роль из них в этом играет государство, которое в соот­ ветствии с действующим законодательством должно обеспечивать безопасность каждого гражданина, а также социальную и право­
вую защиту гражданам и организациям, оказывающим содейст­ вие в обеспечении безопасности в соответствии с законом. В то же время закрепленные в этом законе положения нельзя назвать полными и достаточными, так как они не раскрывают механиз­ мов определения интересов, их соотношения и реализации, что обусловлено рядом нерешенных проблем, в том числе методоло­ гического порядка. Отсюда возникает проблема установления соотношения ин­ тересов личности, общества и государства. Ослабление любой из этих составляющих — ущерб для страны в целом и для конкрет­ ной личности в частности, но и перекос в определении приори­ тетов также не менее опасен. Превращение, например, в 1930-е годы государственной безопасности в абсолютную величину (то­ ждественно равную национальной безопасности) привело страну к террору, к массовому уничтожению граждан, подавлению об­ щества и личности, оценке их интересов лишь через призму ин­ тересов государства. Государственная безопасность тогда следовала политической формуле: народ и общество для государства. В конце 1980-х — начале 1990-х гг. объявленный приоритет общественной безо­ пасности, обусловленный приоритетом целей и задач построе­ ния гражданского общества, сопровождался разрушением струк­ туры органов государственной безопасности, что (осознанно или неосознанно) оправдывалось стремлением утвердить принцип правового государства: государство для личности и общества. Если проанализировать эволюцию подхода к решению этого вопроса, то можно выделить три основных принципа в установ­ лении соотношения интересов личности, общества и государст­ ва: приоритет интересов — паритет интересов — баланс интере­ сов. Очевидно, более предпочтительным является принцип ба­ ланса интересов, как принцип, позволяющий наиболее полно учитывать интересы каждого субъекта в конкретных историче­ ских и иных условиях обстановки. Уровни обеспечения национальной безопасности. Предм етная область безопасности определяется следующими первоочеред­ ными интересами и целями: • достижения политической стабильности (управляемости, поддержания порядка, необходимого для нормального функционирования всех общественных и государственных институтов, защиты конституционной законности, прав и свобод граждан);
• обеспечения целостности государства (такой его структуры и политического режим, которые исключают угрозу распа­ да под воздействием внутренних противоречий); • обороны (защиты независимости и территориальной цело­ стности страны от вооруженной агрессии извне); • техноэкологической безопасности (предупреждения техно­ генных катастроф, преодоления последствий стихийных бедствий); • экономической безопасности (обеспечения экономической самостоятельности страны как условия выживания и раз­ вития народа); • выбора внешнеполитических приоритетов (способствую­ щих созданию максимально благоприятной для России ме­ ждународной среды). Указанные цели могут быть распределены по уровням, кото­ рые определяются в соответствии общим принципам взаимосвя­ зи личности, общества и государства [14]. На личностном уровне это — надежная защита личной и иму­ щественной безопасности; обеспечение научно обоснованного и гарантированного государством минимума материальных и эко ­ логических условий существования при тенденции к их улучше­ нию; реальное обеспечение конституционных прав и свобод лич­ ности. На уровне гражданского общества — преодоление конфронта­ ционноеTM в обществе, достижение и поддержание национально­ го согласия по жизненно важным проблемам политического, э ко ­ номического, социального, этнонационального развития страны; выход из кризисной демографической и экологической ситуации и обеспечение здоровья населения; ускорение процессов форми­ рования институтов самоорганизации гражданского общества; повышение созидательной активности населения; преодоление экономического кризиса и обеспечение поступательного э ко но­ мического развития на началах рыночной экономики; формиро­ вание политической и правовой культуры населения, соответст­ вующей принципам гражданского общества; обеспечение пр и­ знанных международным правом интересов и прав граждан России, проживающих в зарубежных странах; обеспечение эко ­ номических, социальных, политических, информационных усло­ вий всестороннего развития личности. На государственном уровне — неуклонное обеспечение суве­ ренитета и территориальной целостности России; обеспечение
социально-политической и экономической стабильности страны; защита и обеспечение законных прав, свобод и интересов гражда­ нина; совершенствование федеративного государственного уст­ ройства: повышение эффективности защиты конституционного строя, правопорядка, борьбы с организованной преступностью и коррупцией; развитие эффективной системы международных связей на основе партнерства и сотрудничества; создание надеж­ ного оборонного потенциала, способного к отражению любой внешней агрессии; развитие всесторонних взаимовыгодных свя­ зей со странами СНГ, участие в развитии интеграционных про­ цессов между ними на взаимной основе. Если раньше угрозы имели внешний и военный характер, когда невоенные и военные средства практически невозможно было применять в комплексе, то сейчас в условиях взаимозависимого мира и новых технологий угроза национальной безопасности носит, как правило, ком­ плексный характер. Наиболее яркий пример тому — поражение СССР в «холодной войне» и его устранение с мировой арены без применения военных мер. Основные угрозы безопасности России Сегодня можно смоделировать несколько сценариев сущест­ венного подрыва безопасности России в результате враждебных действий (без применения военных средств). Дезорганизация национальной экономики вплоть до ее банкр от­ ства — в результате проведения целенаправленных и масштабных спекуляций на рынке ценных бумаг либо массированного предъ­ явления платежных требований, которые РФ, как страна-долж­ ник, окажется не в состоянии выполнить, с последующим аре­ стом зарубежного имущества и замораживанием банковских сче­ тов и прочими негативными последствиями. Продовольственная уязвимость. Россия рискует перейти в им­ порте продуктов питания «красную» черту: критический для про­ довольственной независимости страны уровень порядка 30 %, в то время как в ряде регионов РФ доля импортного продовольст­ вия составляет до 60 %. К этому сценарию примыкает проблема биологической деградации населения вследствие последователь­ ного ухудшения структуры питания и качества продуктов массо­ вого потребления. ----- —
Экономическая блокада, или «мягкое эмбарго» (в ф ор м е и н ­ тенсивной, целенаправленной конкуренции). Технологическая блокада. Россия все еще остается страной с об­ разованным населением и высокотехнологичным потенциалом. Однако за последние годы уровень образованности и научно-тех­ нический потенциал существенно понизились. Например, за пе­ риод 1991—2001 гг. финансирование науки сократилось в 15 раз, численность научных сотрудников — в 5 раз, а финансирование такой специфической научно-технологической среды, как науко­ грады, — приблизительно в 100 раз. Имело место также сущест­ венное сокращение доли расходов на НИОКР в резко уменьшив­ шемся российском оборонном бюджете. При этом утрата науч­ но-технического потенциала может носить необратимый характер. Проблема информационно-коммуникационной безопасности, например, от целенаправленной компьютерной агрессии либо «ползучей» утраты действенного контроля над национальными информационными и коммуникационными ресурсами. Сущест­ вует не только вероятность деградации российской экономики до уровня природно-сырьевого анклава мирового хозяйства, но и возможная перспектива поэтапного выведения страны из ми­ ровой торговли ресурсами. Угроза дезинтеграции российского пространства ка к по э тн и ­ ческому признаку, так и в результате «естественного сепаратиз­ ма» (например, существует возможность отпадения Дальнего Востока путем постепенного разрыва связи (при сохранении ны ­ нешнего состояния экономики) или стремительного отделения (в случае коллапса транспортной либо энергетической системы). Угроза криминализации общества, утраты государством ко н ­ троля над экономической и финансовой деятельностью. По не­ которым оценкам, криминальными группировками в той или иной форме контролируется 60—80 % коммерческих и банков­ ских структур. Проявлением этой угрозы является и крупномас­ штабная коррупция во всех эшелонах власти. В целом, по оценке российских ученых, в настоящее время критические отметки по более чем десяти предельным показате­ лям опасных социальных процессов, принятые в развитых стра­ нах, в России перекрываются в 1,5—3 раза. В то же время такие оценки «катастрофичности» российской практики в очередной раз ставят вопрос об ответственности не только руководителей страны, политиков, но и науки и ее представителей за результа­ ты такой деятельности.
1 .2 • Информационная безопасность Следующие факторы в связи с возрастанием роли информа­ ционных ресурсов и технологий в развитии граждан, общества и государства в XXI в. выводят вопросы информационной безопасности (ИБ) на первый план в системе обеспечения национальной безопасности: • национальные интересы, угрозы им и обеспечение защиты от этих угроз выражаются, реализуются и осуществляются через информацию и информационную сферу; • человек и его права, информация и информационные сис­ темы и права на них — это основные объекты не только информационной безопасности, но и основные элементы всех аспектов безопасности во всех ее областях; • решение задач национальной безопасности связано с ис­ пользованием информационного подхода как основного научно-практического метода, • проблема национальной безопасности имеет ярко выражен­ ный информационный характер. Роль информационной безопасности и ее место в системе национальной безопасности страны определяется также тем, что государственная информационная политика тесно взаимодейст­ вует с государственной политикой обеспечения национальной безопасности страны через систему информационной безопас­ ности, где последняя выступает важным связующим звеном всех основных компонентов государственной политики в единое целое. Государственная информационная политика (ГИП) пред­ ставляет собой совокупность целей, отражающих национальные интересы России в информационной сфере, стратегических на­ правлений их достижения (задач) и систему мер, реализующих их, она является важной составной частью внешней и внутрен­ ней политики государства и охватывает все сферы жизнедеятель­ ности общества. В рамках такой политики должны быть заложены основы для решения таких крупных задач, как формирование единого ин­ формационного пространства России и ее вхождение в мировое информационное пространство, обеспечение информационной безопасности личности, общества и государства, формирование демократически ориентированного массового сознания, станов­
ление отрасли информационных услуг, расширение правового поля регулирования общественных отношений, в том числе свя­ занных с получением, распространением и использованием ин ­ формации. В целом, сегодня сложились две тенденции в органах госу­ дарственной власти в определении понятия и структуры инфор­ мационной безопасности. Представители гуманитарного направ­ ления связывают информационную безопасность только с инсти­ тутом тайны. Представители силовых структур предлагают распространить сферу информационной безопасности практиче­ ски на все вопросы и отношения в информационной сфере, по сути отождествляя информационную безопасность с информа­ ционной сферой. Эти два взаимоисключающих подхода порож­ дают путаницу, причем не только в журнальных статьях, но даже в законодательных актах. Истина, как всегда, лежит посредине. Жизненно важные интересы в информационной сфере и угрозы жизненно важным интересам в информационной сфере В Доктрине информационной безопасности РФ от 9 сентяб­ ря 2000 г. [6] содержатся следующие определения, связанные с рассматриваемой проблематикой. Под информационной безопасностью РФ п о н и ­ мается состояние защищенности ее национальных интересов в информационной сфере, определяющихся совокупностью сба­ лансированных интересов личности, общества и государства. Интересы личности в информационной сфе­ ре заключаются в реализации конституционных прав человека и гражданина на доступ к информации, на использование ин­ формации в интересах осуществления не запрещенной законом деятельности, физического, духовного и интеллектуального раз­ вития, а также в защите информации, обеспечивающей личную безопасность. Интересы общества в информационной с ф е - р е заключаются в обеспечении интересов личности в этой сфе­ ре, упрочении демократии, создании правового социального го­ сударства, достижении и поддержании общественного согласия, в духовном обновлении России.
Интересы государства в информационной сфере заключаются в создании условий для гармоничного раз­ вития российской информационной инфраструктуры, для реали­ зации конституционных прав и свобод человека и гражданина в области получения информации и пользования ею в целях обес­ печения незыблемости конституционного строя, суверенитета и территориальной целостности России, политической, эко ном и­ ческой и социальной стабильности, в безусловном обеспечении законности и правопорядка, развитии равноправного и взаимо­ выгодного международного сотрудничества. На основе национальных интересов РФ в информационной сфере формируются стратегические и текущие задачи внутрен­ ней и внешней политики государства по обеспечению информа­ ционной безопасности. Выделяются четыре основные составляющие национальных интересов РФ в информационной сфере (табл. 1.1). Таблица 1.1. Составляющие национальных интересов в информационной сфере Наименован ие составляющей Пути достижения цели Соблюдение конституци- • Повысить эффективность использования информационной ин- онных прав и свобод че- фраструктуры в интересах общественного развития, консолида- ловека и гражданина в ции российского общества, духовного возрождения многонацио- области получения ин- нального народа РФ; формации и пользования • усовершенствовать систему формирования, сохранения и ра- ею, обеспечение духовно- ционального использования информационных ресурсов; го обновления России, • обеспечить конституционные права и свободы человека и сохранение и укрепление гражданина свободно искать, получать, передавать, производить и нравственных ценностей распространять информацию любым законным способом, полу- общества, традиций пат- чать достоверную информацию о состоянии окружающей среды; риотизма и гуманизма, • обеспечить конституционные права и свободы человека и граж- культурного и научного данина на личную и семейную тайну, тайну переписки, телефон- потенциала страны ных переговоров, почтовых, телеграфных и иных сообщений, на защиту своей чести и своего доброго имени; • укрепить механизмы правового регулирования отношений в об­ ласти охраны интеллектуальной собственности, создать условия для соблюдения установленных федеральным законодательством ограничений на доступ к конфиденциальной информации; • гарантировать свободу массовой информации и запрет цензу­ ры; не допускать пропаганду и агитацию, которые способствуют разжиганию социальной, расовой, национальной или религиозной ненависти и вражды; • обеспечить запрет на сбор, хранение, использование и распро­ странение информации о частной жизни лица без его согласия и другой информации, доступ к которой ограничен федеральным законодательством
Окончание табл. 1.1 Наимено ван ие состав ляющей Пути достижени я цели Информационное обес­ печение государственной политики РФ, связанное с доведением до россий­ ской и международной общественности досто­ верной информации о го­ сударственной политике РФ, ее официальной по­ зиции по социально зна­ чимым событиям россий- j!ской и международной 1жизни с обеспечением ijдоступа граждан к откры­ тым государственным jинформационным ресурсам itРазвитие современных jинформационных техно­ логий , отечественной ин­ дустрии информации, |І в том числе индустрии |ісредств информатиза­ ции, телекоммуникации ! и связи, обеспечение no­ liтребностей внутреннего jрынка ее продукцией и I! выход этой продукции на мировой рынок Защита информационных ресурсов от несанкциони­ рованного доступа, обес­ печение безопасности ин­ формационных и теле­ коммуникационных систем, как уже развер­ нутых, так и создаваемых на территории России • Укреплять государственные средства массовой информации, расширять их возможности по своевременному доведению досто­ верной информации до российских и иностранных граждан; • и нтенсифицировать формирование открытых государственных информационных ресурсов, повысить эффективность их хозяйст­ венного использования • Развивать и совершенствовать инфраструктуру единого инф ор­ мационного пространства РФ; • развивать отечественную индустрию информационных услуг и повышать эффективность использования государственных информационных ресурсов; • развивать производство в РФ конкурентоспособных средств и систем информатизации, телекоммуникации и связи, расширять участие России в международной кооперации производителей этих средств и систем; • обеспечить государственную поддержку отечественных фунда­ ментальных и прикладных исследований, разработок в сферах ин­ форматизации, телекоммуникации и связи • Повысить безопасность информационны х систем, включая сети связи, прежде всего безопасность первичных сетей связи и ин­ формационны х систем федеральных органов государственной власти, органов государственной власти субъектов РФ; • интенсифицировать развитие отечественного производства ап­ паратных и программных средств защиты информации и методов контроля за их эффективностью; • обеспечить защиту сведений, составляющих государственную тайну; • расширять международное сотрудничество РФ в области разви­ тия и безопасного использования информационных ресурсов, противодействия угрозе развязывания противоборства в инф ор­ мационной сфере Соответственно этому могут быть выделены четыре группы угроз ИБ Российской федерации (табл. 1.2).
Таблица 1.2. Источники угроз информационной безопасности Группа угроз Угрозы конституционным правам и свободам человека и гражданина в области ду­ ховной жизни и информаци­ онной деятельности, индиви­ дуальному, групповому и об­ щественному сознанию, духовному возрождению России Угрозы информационному обеспечению государствен­ ной политики РФ Возможные примеры • Принятие органами государственной власти нормативных правовых актов, ущемляющих конституционные права и сво­ боды граждан в области духовной жизни и информационной деятельности; • создание монополий на формирование, получение и рас­ пространение информации в РФ; • противодействие, в том числе со стороны криминальных структур, реализации гражданам и своих конституционных прав на личную и семейную тайну; • чрезмерное ограничение доступа к общественно необходи­ мой информации; • противоправное применение специальных средств воздейст­ вия на индивидуальное, групповое и общественное сознание; • неисполнение органами государственной власти, организа­ циями и гражданами требований федерального законодатель­ ства, регулирующего отношения в информационной сфере; • неправомерное ограничение доступа граждан к открытым информационны м ресурсам органов государственной власти, местного самоуправления, к открытым архивным материа­ лам, к другой открытой социально значимой информации; • дезорганизация и разрушение системы накопления и сохра­ нения культурных ценностей, включая архивы; • нарушение конституционных прав и свобод человека и граж­ данина в области массовой информации; • вытеснение российских информационных агентств, средств массовой информации с внутреннего информационного рын­ ка и усиление зависимости духовной, экономической и поли­ тической сфер общественной жизни России от зарубежных информационны х структур; • девальвация духовных ценностей, пропаганда образцов мас­ совой культуры, основанных на культе насилия, на духовных и нравственных ценностях, противоречащих ценностям, приня­ тым в российском обществе; • снижение духовного, нравственного и творческого потен­ циала населения России, что существенно ослож нит подготов­ ку трудовых ресурсов для внедрения и использования новей­ ших технологий; • манипулирование информацией (дезинформация, сокрытие или искажение информации) • Монополизация информационного рынка России, его от­ дельных секторов отечественными и зарубежными информа­ ционными структурами; • блокирование деятельности государственных средств массо­ вой информации по информированию российской и зарубеж­ ной аудитории;
Продолжение табл. 1.2 Группа угроз Угрозы безопасности ин­ формационных и телеком­ муникационных средств и систем Возможные примеры • низкая эффективность информационного обеспечения го­ сударственной политики РФ вследствие дефицита квалиф ици­ рованных кадров, отсутствия системы формирования и реали­ зации государственной информационной политики Угрозы развитию отечест­ венной индустрии информа­ ции, обеспечению потребно­ стей внутреннего рынка в ее продукции и выходу этой продукции на мировой ры­ нок, а также обеспечению накопления и эффективного использования отечествен­ ных информационных ре­ сурсов • Противодействие доступу РФ к новейшим информационным технологиям, равноправному участию российских производи­ телей в мировом разделении труда в индустрии информаци­ онных услуг, средств информатизации, телекоммуникации и связи, а также создание условий для усиления технологиче­ ской зависимости России в области современных информа­ ционных технологий; • з акупка органам и государственной власти импортных средств информатизации, телекоммуникации и связи при на­ личии отечественных аналогов, не уступающих по своим ха­ рактеристикам зарубежным образцам; • вытеснение с отечественного рынка российских производи­ телей средств информатизации, телекоммуникации и связи; • увеличение о по ка за рубеж специалистов и правообладате­ лей интеллектуальной собственности • Противоправные сбор и использование информации; • нарушения технологии обработки информации; • внедрение в аппаратные и программные изделия компонен­ тов, реализующих функции, не предусмотренные документа­ цией на эти изделия; • разработка и распространение программ, нарушающих нор­ мальное функционирование информационных и информаци­ онно-телекоммуникационных систем, в том числе систем защиты информации; • уничтожение, повреждение, радиоэлектронное подавление или разрушение средств и систем обработки информации, те­ лекоммуникации и связи; • воздействие на парольно-ключевые системы защиты автома­ тизированных систем обработки и передачи информации; • компрометация ключей и средств криптографической защи­ ты информации; утечка информации по техническим каналам; • внедрение электронных устройств для перехвата информа­ ции в технические средства обработки, хранения и передачи информации по каналам связи, а также в служебные помеще­ ния органов государственной власти, предприятий, учрежде­ ний и организаций независимо от формы собственности; • уничтожение, повреждение, разрушение или хищение ма­ шинных и других носителей информации;
Окончание табл. 1.2 Группа угроз Возможные примеры • перехват информации в сетях передачи данных и на линиях связи, дешифрование этой информации и навязывание лож­ ной информации; • использование несертифицированных отечественных и зару­ бежных информационны х технологий, средств защиты ин­ формации, средств информатизации, телекоммуникации и связи при создании и развитии российской информационной инфраструктуры; • несанкционированный доступ к информации, находящейся в банках и базах данных; нарушение законных ограничений на распространение информации Наконец, источники угроз информационной безопасности РФ подразделяются на внешние и внутренние. К внешним ис­ точникам относятся: • деятельность иностранных политических, экономических, во­ енных, разведывательных и информационных структур, на­ правленная против интересов РФ в информационной сфере; • стремление ряда стран к доминированию и ущемлению ин­ тересов России в мировом информационном пространстве, вытеснению ее с внешнего и внутреннего информацион­ ных рынков; • обострение международной конкуренции за обладание ин ­ формационными технологиями и ресурсами; • деятельность международных террористических организаций; • увеличение технологического отрыва ведущих держав мира и наращивание их возможностей по противодействию соз­ данию конкурентоспособных российских информацион­ ных технологий; • деятельность космических, воздушных, морских и назем­ ных технических и иных средств (видов) разведки ино­ странных государств; • разработка рядом государств концепций информационных войн, предусматривающих создание средств опасного воз­ действия на информационные сферы других стран мира, нарушение нормального функционирования информаци­ онных и телекоммуникационных систем, сохранности ин­ формационных ресурсов, получение несанкционированно­ го доступа к ним.
К внутренним источникам относятся: • критическое состояние отечественных отраслей промыш­ ленности; • неблагоприятная криминогенная обстановка, сопровож­ дающаяся тенденциями сращивания государственных и криминальных структур в информационной сфере, получе­ ния криминальными структурами доступа к конфиденци­ альной информации, усиления влияния организованной преступности на жизнь общества, снижения степени защи­ щенности законных интересов граждан, общества и госу­ дарства в информационной сфере; • недостаточная координация деятельности федеральных ор­ ганов государственной власти, органов государственной власти субъектов РФ по формированию и реализации еди­ ной государственной политики в области обеспечения и н ­ формационной безопасности РФ; • недостаточная разработанность нормативной правовой базы, регулирующей отношения в информационной сфере, а также недостаточная правоприменительная практика; • неразвитость институтов гражданского общества и недоста­ точный государственный контроль за развитием информа­ ционного рынка России; • недостаточное финансирование мероприятий по обеспече­ нию информационной безопасности РФ; • недостаточк экономическая мощь государства; • снижение эффективности системы образования и воспи­ тания, недостаточное количество квалифицированных кадров в области обеспечения информационной безопас­ ности; • недостаточная активность федеральных органов государст­ венной власти, органов государственной власти субъектов РФ в информировании общества о своей деятельности, в разъяснении принимаемых решений, в формировании открытых государственных ресурсов и развитии системы доступа к ним граждан; • отставание России от ведущих стран мира по уровню и н ­ форматизации федеральных органов государственной вла­ сти, органов государственной власти субъектов РФ и орга­ нов местного самоуправления, кредитно-финансовой сфе­ ры, промышленности, сельского хозяйства, образования, здравоохранения, сферы услуг и быта граждан.
Приведем лишь некоторые из направлений деятельности и полномочия государственных органов по формированию и реали­ зации политики обеспечения национальной безопасности, имею­ щие прямое отношение к теме информационной безопасности: • своевременное выявление и нейтрализация внешних и внутренних угроз национальной безопасности Российской Федерации; • преодоление научно-технической и технологической зави­ симости Российской Федерации от внешних источников; • обеспечение личной безопасности граждан Российской Федерации, их конституционных прав и свобод; • обеспечение полноты и совершенствование законодатель­ ства Российской Федерации при обеспечении приоритета федерального законодательства; • принятие эффективных мер по пресечению разведыватель­ ной и подрывной деятельности иностранных государств против Российской Федерации; • разработка организационных и правовых механизмов защи­ ты государственной целостности, единства правового про­ странства и национальных интересов России; • выработка и реализация региональной политики, обеспе­ чивающей оптимальный баланс федеральных и региональ­ ных интересов; • совершенствование механизма предупреждения возникно­ вения политических партий и общественных объединений, преследующих сепаратистские и антиконституционные цели, и пресечения их деятельности. Информационная война В настоящее время серьезную опасность представляет разра­ ботка рядом государств концепции информационных войн, предусматривающих создание средств опасного воздей­ ствия на информационные сферы других стран мира, наруше­ ния нормального функционирования информационных и теле­ коммуникационных систем, сохранности информационных ре­ сурсов или получения несанкционированного доступа к ним. С учетом того, что угроза ведения информационной войны и применения информационного оружия носит многоплановый и актуальный характер, рассмотрим подробнее содержание этой угрозы и особенности ее реализации.
Информационное противоборство присутствовало практиче­ ски во всех войнах в таких основных формах, как ведение развед­ ки и противодействие ей, распространение дезинформации, слу­ хов и борьба с ними (в том числе с помощью цензуры) и т. п. С появлением новых информационных технологий и организаци­ ей международного информационного обмена на новом уровне информационная составляющая в стратегии обеспечения нацио­ нальной безопасности, по оценкам Совета Безопасности Россий­ ской Федерации, руководителей российских спецслужб и М ин­ обороны России, вышла на первый план. По данным ФАПСИ, расходы на приобретение средств информационной борьбы США занимают сейчас первое место среди всех программ по вооруже­ нию. В интересах обеспечения информационной безопасности Пентагон выделяет значительные ассигнования для проведения экспериментальных исследований по ряду направлений, в том числе по созданию новых технологий распознавания образов, формированию электронного образа боевого пространства, авто­ матическому поиску, сбору и обработки информации с помощью спутников. Информационное противоборство в ходе ведения обычной войны начало переходить на новую, более высокую ста­ дию — стадию информационной войны. Термин «информационная война» (далее — ИВ) появился в середине 80-х гг. в связи с новыми задачами Вооруженных Сил США после окончания «холодной войны» и начал активно упот­ ребляться после проведения операции «Буря в пустыне» в 1991 г., когда новые информационные технологии впервые были использованы как средства ведения войны; официально впервые закреплен в директиве Министерства обороны США от 21 де­ кабря 1992 г. В военных кругах США под информационной вой­ ной понимаются действия, предпринимаемые для достижения информационного превосходства в поддержке национальной во­ енной стратегии посредством воздействия на информацию и и н­ формационные системы противника при одновременном обес­ печении безопасности и защиты собственной информации и ин­ формационных систем. К особенностям ИВ можно отнести следующие: • ИВ охватывает в качестве самостоятельных объектов все виды информации и информационных систем, отделяя ин­ формацию от среды использования; • объекты могут выступать и как оружие, и как объект за­ щиты;
• ИВ расширяет территорию и пространство ведения войн, ведется как при объявлении войны, так и в кризисных с и­ туациях в различных сферах жизнедеятельности; • ИВ ведется как специализированными военными, так и гражданскими структурами. Концепция «информационной войны», по оценкам россий­ ских спецслужб, предусматривает: • подавление (в военное время) элементов инфраструктуры государственного и военного управления (поражение цен­ тров командования и управления); • электромагнитное воздействие на элементы информацион­ ных и телекоммуникационных систем (радиоэлектронная борьба); • получение разведывательной информации путем перехвата и дешифрования информационных потоков, передаваемых по каналам связи, а также по побочным излучениям и за счет специально внедренных в помещения и технические средства электронных устройств перехвата информации (ра­ диоэлектронная разведка); • осуществление несанкционированного доступа к информа­ ционным ресурсам (путем использования программно-ап- паратных средств прорыва систем защиты информацион­ ных и телекоммуникационных систем противника) с по­ следующим их искажением, уничтожением или хищением либо нарушением нормального функционирования этих систем («хакерная» война); • формирование и массовое распространение по информа­ ционным каналам противника или глобальным сетям де­ зинформации или тенденциозной информации для воздей­ ствия на оценки, намерения и ориентацию населения и лиц, принимающих решения (психологическая война); • получение интересующей информации путем перехвата и обработки открытой информации, передаваемой по неза­ щищенным каналам связи, циркулирующей в информаци­ онных системах, а также публикуемой в средствах массо­ вой информации. В целях реализации этой концепции (как в наступательном, так и в оборонительном плане) в США проведены и осуществля­ ются следующие основные мероприятия. 1. Создана объединенная (Министерством обороны и ЦРУ) комиссия по безопасности, которая исследовала эту проблемати­
ку и пришла к выводу, что вторжение в информационные систе­ мы и сети — это важнейшая угроза безопасности в XXI в., что сети передачи данных превращаются в поле битвы будущего. Информационное оружие, стратегию и тактику применения ко­ торого еще предстоит тщательно разработать, будет использо­ ваться с «электронными скоростями» при обороне и нападении. Информационные технологии позволят обеспечить разрешение геополитических кризисов, не производя ни одного выстрела. Политика обеспечения национальной безопасности и процедура ее реализации должны быть направлены на защиту возможно­ стей по ведению информационных войн и на создание всех не­ обходимых условий для воспрещения противоборствующим США государствам вести такие войны. 2. Начата разработка стратегии подготовки и ведения ИВ. Во всех видах Вооруженных Сил США созданы специализированные центры по ведению ИВ (Центр информационных боевых дейст­ вий ВВС США — AFIWC (расположен в шт. Техас на базе ВВС Келли); Служба наземных информационных боевых действий Армии США — LIWA (расположена в шт. Вирджиния в форте Белвуар). При этом в Пентагоне каждый из видов войск имеет свою рабочую группу по этой проблематике. В уставах Вооруженных Сил США и нормативных документах изложены принципы и способы ведения ИВ. 3. Во всех видах Вооруженных Сил США созданы спецпод- разделения ведения ИВ и введены специальные должности офи­ церов. Во всех военных учебных заведениях введены спецкурсы по ИВ и идет подготовка специалистов ведения ИВ. 4. В Вооруженных Силах США проводятся учения и штаб­ ные игры по этой проблематике. Во время практических боевых действий за пределами США отрабатываются конкретные опера­ ции ИВ с применением информоружия. 5. Проведен ряд международных конференций по ИВ под эгидой правительства США. 6. Принимаются меры по ежегодному совершенствованию национальной информационной инфраструктуры, где, по оцен­ кам представителей правительства США, циркулирует до 80 % конфиденциальной информации, в том числе особо важной. 7. Ежегодно увеличиваются ассигнования на разработку но ­ вых видов информационного оружия (в Министерстве обороны, Агентстве национальной безопасности, ЦРУ США) и оснащение
им национальных структур в объеме, превышающем, по оцен­ кам экспертов, уровень затрат на ракетно-ядерные и космиче­ ские программы. Информационное превосходство в обычных и информационных войнах Американские аналитики утверждают, что преобразование вооруженных сил с целью достижения всеобъемлющего военно­ го господства во многом зависит от информационного превос­ ходства как основного фактора, определяющего успех этого пре­ образования, так и от способности к внедрению инноваций. Информационное превосходство — возможность сбора, обра­ ботки и распространения непрерывного потока информации при воспрещении использования (получения) информации против­ ником. Информационное превосходство достигается в небоевой обстановке или в обстановке, в которой еще нет четко обозна­ чившихся противников, в то время, когда свои войска получают информацию, необходимую им для выполнения оперативных за­ дач. Аналитики рассматривают информационное превосходство как новый уровень боеготовности, необходимость в котором воз­ никла за последнее время. Пентагон в условиях стремительного развития информаци­ онных возможностей отдает себе отчет, что «информационное превосходство» обозначает состояние дисбаланса в пользу одной из сторон, которое должно завоевываться и поддерживаться с помощью специальных операций. Принятая в США концепция защиты от нападения с любого направления означает способность объединенных сил защитить свой личный состав, боевые и материально-технические средст­ ва, необходимые для выполнения поставленных задач. Такой вид защиты должен быть достигнут выбором и применением «много­ слойных» активных и пассивных мер защиты в воздушном, на­ земном, космическом и информационном пространствах в лю ­ бых видах военных действий. Во всех разделах данной концепции, во всех намеченных элементах преобразования ВС США, во всех их боевых возмож­ ностях выделен один из самых мощных факторов влияния — информация. Подтверждается старая истина: кто владеет ин ­ формацией, тот владеет миром. Информационное превосходст­
во обеспечивает быстродействие и возможность маневра. Но информационную работу нельзя рассматривать только как со­ ставляющую различных направлений военной сферы. Инфор­ мационная работа — большая самостоятельная область деятель­ ности. Американцы уделяют огромное внимание информаци­ онным операциям, под которыми подразумевают мероприятия, осуществляемые с целью воздействия на содержание информа­ ции и работу информационных систем противника при одно­ временной защите своей информации и своих информацион­ ных систем. Сегодня информационные операции играют существенную роль в достижении военного превосходства. Американцы в своей концепции ставят вопрос об усилении работы по объединению информационных операций как самостоятельного вида боевых действий с другими операциями вооруженных сил (от ф изическо ­ го устранения до психологической операции против систем защи­ ты компьютерных сетей). В этом контексте отдельно рассматри­ вается проблема оценки военного ущерба, нанесенного против­ нику информационными операциями, что является довольно трудной задачей. Но руководство Пентагона намерено тщательно исследовать этот вопрос в ходе учений и экспериментов, в том числе, очевидно, и в «полевых условиях». Более того, рассматривая информационные операции как перспективный самостоятельный вид боевых действий (за счет которого с учетом совершенствования военной доктрины в Пен­ тагоне и рассчитывают в будущем добиваться решающих резуль­ татов), командование ВС США предполагает введение во всех видах вооруженных сил соответствующих формирований, уком­ плектованных специалистами, получившими специальную под­ готовку. Информационное оружие. Информационное оружие, как и информационное противоборство, по мере развития общества и информационных технологий претерпевало изменения. Информационное оружие (далее — ИО) — это средства уничтожения, искажения или хищения информационных масси­ вов, добывания из них необходимой информации после преодо­ ления систем защиты, ограничения или воспрещения доступа к ним законных пользователей, дезорганизации работы техниче­ ских средств, вывода из строя телекоммуникационных сетей, компьютерных систем, всех средств высокотехнологического обеспечения жизни общества и функционирования государства.
ИО от обычных средств поражения отличает: • скрытность — возможность достигать цели без видимой подготовки и объявления войны; • масштабность — возможность наносить невосполнимый ущерб, не признавая национальных границ и суверенитета, без ограничения пространства во всех сферах жизнедея­ тельности человека; • универсальность — возможность многовариантного ис­ пользования как военных, так и гражданских структур страны нападения против военных и гражданских объектов страны поражения. Особенностью информационного оружия является то, что оно поражает мозг человека, разрушает способы и формы иденти­ фикации личности по отношению к фиксированным общностям, оно трансформирует матрицу памяти индивида, создавая л ич­ ность с заранее заданными параметрами (типом сознания, искус­ ственными потребностями, формами самоопределения и т. д .), удовлетворяющими требованиям агрессора, выводит из строя системы управления государства-противника и его вооруженных сил. Доказано, что наибольшие потери вооруженные силы несут от воздействия поражающих элементов ИО, действующих на сис­ темы управления и психику человека; По оценкам экспертов Службы внешней разведки Россий­ ской Федерации, сфера применения ИО включает как военную, так и экономическую, банковскую, социальную и иные области потенциального противника в целях: • дезорганизации деятельности управленческих структур, транспортных потоков и средств коммуникации; • блокирования деятельности отдельных предприятий и бан­ ков, а также базовых отраслей промышленности путем на­ рушения многозвенных технологических связей и системы взаиморасчетов, посредством осуществления валютно-фи­ нансовых махинаций и т. п.; • ин ициирования крупных техногенных катастроф на терри­ тории противника в результате нарушения штатного управ­ ления технологическими процессами и объектами, имею­ щими дело с большими количествами опасных веществ и высокими концентрациями энергии; • массового распространения и внедрения в сознание людей навязанных противником представлений, привычек и по­ веденческих стереотипов;
• вызова недовольства или паники среди населения, а также провоцирования деструктивных действий различных соци­ альных групп. При этом в качестве основных объектов применения ИО как в м ирное, так и в военное время выступают: • компьютерные и коммуникационные системы, используе­ мые государственными организациями при выполнении своих управленческих функций; • военная информационная инфраструктура, решающая задачи управления войсками и боевыми средствами, сбора и обработки информации в интересах вооруженных сил; • информационные и управленческие структуры банков, транспортных и промышленных предприятий; • средства массовой информации, в первую очередь элек­ тронные (радио, телевидение и т. д.). По области применения информационное оружие подразде­ ляется на ИО военного и невоенного назначения. ИО, примене­ ние которого возможно в условиях открытой войны (радиоэлек­ тронное подавление), включает в себя средства, обеспечивающие: • поражение объектов противника обычными боеприпасами по целеуказаниям собственных средств радиотехнической разведки и частичным самонаведением на конечном участ­ ке траектории; • поражение высокоточными боеприпасами нового поколе­ ния, интеллектуальными боеприпасами с самостоятельным поиском цели и самонаведением на ее уязвимые элементы; • радиолокационное подавление средств связи маскирующи­ ми помехами; • создание имитирующих помех, затрудняющих вхождение в связь, синхронизацию в каналах передачи данных, ини ­ циирующих функций переспроса и дублирования сооб­ щений; • подавление с помощью средств силовой радиоэлектронной борьбы (РЭБ) (с помощью мощного электромагнитного из­ лучения, создающего подавляющие помехи за счет пара­ зитных каналов приема); • выведение из строя радиоэлектронных компонентов за счет воздействия больших уровней электромагнитных или ио­ низирующих излучений; • силовое воздействие импульсом высокого напряжения че­ рез сеть питания;
• нарушение свойств среды распространения радиоволн (на­ пример, срыв KB-радиосвязи за счет модификации пара­ метров ионосферы); • воздействие с помощью специальных методов систем связи на ЭВМ; • средства генерации естественной речи конкретного человека. Особую опасность ИО представляет сегодня для информаци­ онных компьютерных систем органов государственной власти, управления войсками и оружием, финансами и банками, экономи­ кой страны, а также для людей при информационно-психологиче- ском (психофизическом) воздействии на них с целью изменения и управления их индивидуальным и коллективным поведением. При этом по своей результативности информационное ору­ жие сопоставимо с оружием массового поражения. К ИО, применение которого возможно как в военное, так и в мирное время, могут быть отнесены средства поражения и н ­ формационных компьютерных систем и средства поражения лю ­ дей (их психики). Возможность применения этих и других видов информаци­ онного оружия в условиях открытости и роста международного информационного обмена определяет необходимость и особен­ ности защиты человека, общества, государства и информацион­ ных систем от его воздействия. В последние годы ведущими организациями-разработчиками в России интенсивно ведутся Н И Р по созданию новых средств за­ щиты от информационного оружия. Однако в связи с широтой на­ учных исследований, относящихся к различным сферам жизнедея­ тельности человека, актуальным становится снижение стоимости разработки средств защиты в условиях ограниченности финансов. Организация защиты от такого оружия предполагает выпол­ нение ряда условий: • наличие разработанной базовой концепции «информаци­ онного оружия», позволяющей определить те психофизио­ логические и социокультурные средства и механизмы, ко ­ торые необходимы для защиты российского социума, госу­ дарства и личности на основе рассмотрения общества как организованной, автономной и самоуправляемой системы с вписанным в нее менталитетом и набором социокультур­ ных традиций; • создание классификации основных способов и форм пора­ жения и разрушения органов управления государства и
сознания индивида в информационной войне с учетом уче­ та особенностей цивилизационно-культурного контекста. Эта классификация позволит на основе особенностей рос­ сийской цивилизации выработать психологические, куль­ турные и концептуальные установки, образующие систему защитных фильтров от дезорганизации противником обще­ ственного и индивидуального сознания путем размывания «смыслов» российской культуры, подмены значений в сис­ теме принятых ценностей, стирания различий между доб­ ром и злом, истиной и заблуждением, прекрасным и без­ образным и пр.; • определение механизмов воздействия так называемых «программных закладок» (речи в речи, изображения в изо­ бражении) с использованием компьютеров и других аудио­ визуальных средств на нейрофизиологический субстрат психического мира человека, нейролингвистического про­ граммирования, действующего на левое и правое полуша­ рия человеческого мозга, и разработка мероприятий, на­ правленных на защиту индивида от поражающего воздей­ ствия этих «программных закладок» на матрицу памяти и психику индивида; • теоретическое моделирование спектра вариантов и методов применения ИО и разработка прогноза его развития в свя­ зи с обычным военным оружием и выработка соответст­ вующих средств защиты. Одним из средств защиты национальной безопасности Рос­ сии является подготовка к возможному нанесению ответного или превентивного массированного удара по мировому киберне­ тическому пространству, воплощенному в Internet, и объединяю­ щему десятки миллионов пользователей во всем мире и прежде всего, в потенциальных странах-агрессорах. Принципы, основные задачи и функции обеспечения информационной безопасности Принципы. Поскольку информационная безопасность, как было сказано выше, должна быть связующим звеном между по­ литикой национальной безопасности и информационной поли­ тикой страны, то логично было бы проводить ее по единым принципам, общим и для национальной безопасности, и для ин­
формационной политики. В Концепции национальной безопас­ ности по ряду принципов, закрепленных в Законе РФ «О без­ опасности», раскрыто их содержание (приведено в скобках): • законность (соблюдение Конституции Российской Федера­ ции, законодательства Российской Федерации и норм меж­ дународного права при осуществлении деятельности по обеспечению национальной безопасности); • соблюдение баланса жизненно важных интересов лично ­ сти, общества и государства (единство, взаимосвязь и сба­ лансированность всех видов безопасности, гибкое измене­ ние их приоритетности в зависимости от ситуации); • не допускается ограничение прав и свобод граждан, за ис­ ключением случаев, прямо предусмотренных законом (ува­ жение прав и свобод человека). Ряд принципов не нашел отражения в Концепции, хотя за­ креплен в Законе (взаимная ответственность личности, общества и государства по обеспечению безопасности; интеграция с меж­ дународными системами безопасности). Добавлены новые принципы обеспечения безопасности (приоритет политических и экономических мер обеспечения на ­ циональной безопасности с опорой на военный потенциал Рос­ сии; сочетание централизованного управления силами и средст­ вами обеспечения безопасности с передачей в соответствии с федеративным устройством России части полномочий в этой об­ ласти органам государственной власти субъектов Российской Федерации и органам местного самоуправления). Государственная информационная политика (ГИП) должна опираться на следующие базовые принципы: • открытости политики (все основные мероприятия инфор­ мационной политики открыто обсуждаются обществом и государство учитывает общественное мнение); . • равенства интересов (политика в равной степени учитывает интересы всех участников информационной деятельности вне зависимости от их положения в обществе, формы соб­ ственности и государственной принадлежности); • системности (при реализации принятых решений по изме­ нению состояния одного из объектов регулирования долж­ ны учитываться его последствия для состояния других и всех в совокупности); • приоритетности отечественного производителя (при рав­ ных условиях приоритет отдается конкурентоспособному
отечественному производителю информационно-коммуни- кационных средств, продуктов и услуг); • социальной ориентации (основные мероприятия ГИП должны быть направлены на обеспечение социальных и н ­ тересов граждан России); • государственной поддержки (мероприятия информацион­ ной политики, направленные на информационное развитие социальной сферы, финансируются преимущественно госу­ дарством); • приоритетности права (развитие и применение правовых и экономических методов имеют приоритет перед любыми формами административных решений проблем информа­ ционной сферы). В Доктрине [6] отмечается, что правовое обеспечение и н ­ формационной безопасности Российской Федерации должно ба­ зироваться, прежде всего, на соблюдении принципов закон но­ сти, баланса интересов граждан, общества и государства в и н ­ формационной сфере: • принцип законности требует от федеральных органов госу­ дарственной власти и органов государственной власти субъектов Российской Федерации при решении возникаю­ щих в информационной сфере конфликтов неукоснитель­ но руководствоваться законодательными и иными норма­ тивными правовыми актами, регулирующими отношения в этой сфере; • принцип баланса интересов граждан, общества и государ­ ства в информационной сфере предполагает законодатель­ ное закрепление приоритета этих интересов в различных областях жизнедеятельности общества, а также использова­ ние форм общественного контроля деятельности федераль­ ных органов государственной власти и органов государст­ венной власти субъектов Российской Федерации. Реализа­ ция гарантий конституционных прав и свобод человека и гражданина, касающихся деятельности в информационной сфере, является важнейшей задачей государства в области информационной безопасности. Разработка механизмов правового обеспечения информаци­ онной безопасности Российской Федерации включает в себя ме­ роприятия по информатизации правовой сферы в целом. В целях выявления и согласования интересов федеральных органов государственной власти, органов государственной вла­
сти субъектов Российской Федерации и других субъектов о тно­ шений в информационной сфере, выработки необходимых ре­ шений государство поддерживает формирование общественных советов, комитетов и комиссий с широким представительством общественных объединений и содействует организации их эф ­ фективной работы. Основные задачи в сфере обеспечения информационной безопас­ ности. К основным задачам в сфере обеспечения информацион­ ной безопасности относятся: • формирование и реализация единой государственной поли­ тики по обеспечению защиты национальных интересов от уг­ роз в информационной сфере, реализации конституционных прав и свобод граждан на информационную деятельность; • совершенствование законодательства Российской Федера­ ции в сфере обеспечения информационной безопасности; • определение полномочий органов государственной власти Российской Федерации, субъектов Российской Федерации и органов местного самоуправления в сфере обеспечения информационной безопасности; • координация деятельности органов государственной власти по обеспечению информационной безопасности; • создание условий для успешного развития негосударствен­ ного компонента в сфере обеспечения информационной безопасности, осуществления эффективного гражданского контроля за деятельностью органов государственной власти; • совершенствование и защита отечественной информацио н­ ной инфраструктуры, ускорение развития новых информа­ ционных технологий и их широкое распространение, уни­ фикация средств поиска, сбора, хранения, обработки и ана­ лиза информации с учетом вхождения России в глобальную информационную инфраструктуру; • развитие стандартизации информационных систем на базе общепризнанных международных стандартов и их внедре­ ние для всех видов информационных систем; • развитие отечественной индустрии телекоммуникационных и информационных средств, их приоритетное по сравне­ нию с зарубежными аналогами распространение на внут­ реннем рынке; • защита государственных информационных ресурсов, преж­ де всего в федеральных органах государственной власти, на предприятиях оборонного комплекса;
• духовное возрождение России; обеспечение сохранности и защиты культурного и исторического наследия (в том чис­ ле музейных, архивных, библиотечных фондов, основных историко-культурных объектов); • сохранение традиционных духовных ценностей при важ­ нейшей роли Русской православной церкви и церквей дру­ гих конфессий; • пропаганда средствами массовой информации элементов национальных культур народов России, духовно-нравст­ венных, исторических традиций, норм общественной жиз­ ни и передового опыта подобной пропагандистской дея­ тельности; • повышение роли русского языка как государственного язы ­ ка и языка межгосударственного общения народов России и государств-участников СНГ; • создание оптимальных социально-экономических условий для осуществления важнейших видов творческой деятель­ ности и функционирования учреждений культуры; • противодействие угрозе развязывания противоборства в информационной сфере; • организация международного сотрудничества по обеспече­ нию информационной безопасности при интеграции Рос­ сии в мировое информационное пространство. Функции государственной системы по обеспечению информа­ ционной безопасности. Для реализации указанных задач государ­ ственной системой обеспечения информационной безопасности должны осуществляться следующие функции [14]: • оценка состояния информационной безопасности в стране, определение приоритетов по интересам в информационной сфере и установление их баланса в конкретных условиях; • выявление и учет источников внутренних и внешних угроз, проведение их мониторинга и классификации; • определение основных направлений предотвращения угроз или минимизации ущерба от их реализации; • организация исследований в сфере обеспечения информа­ ционной безопасности; • разработка и принятие законов и иных нормативных пра­ вовых актов; • разработка федеральных целевых и ведомственных про­ грамм обеспечения информационной безопасности, коор­ динация работ по их реализации;
• организация единой системы лицензирования, сертифика­ ции, экспертизы и контроля в этой сфере; • страхование информационных рисков; • подготовка специалистов по обеспечению информацион­ ной безопасности, в том числе из работников правоохрани­ тельных и судебных органов; • информирование общественности о реальной ситуации в сфере обеспечения информационной безопасности и рабо­ те государственных органов в этой сфере; • изучение практики обеспечения информационной безопас­ ности, обобщение и пропаганда передового опыта такой работы в регионах; • правовая защита прав и интересов граждан, интересов общества и государства в сфере информационной безопас­ ности; • организация обучения способам и методам самозащиты ф и ­ зических лиц от основных угроз в информационной сфере; • содействие разработке и принятию норм международного права в сфере обеспечения информационной безопасности; • установление стандартов и нормативов в сфере обеспече­ ния информационной безопасности. Поскольку от эффективности выполнения последней указан­ ной функции во многом напрямую зависят сроки и возможности организации системы обеспечения информационной безопасно­ сти, то рассмотрим ее содержание подробнее. Отечественные и зарубежные стандарты в области информационной безопасности В Российской Федерации сейчас насчитывается более 22 ты ­ сяч действующих стандартов. Стандартизация начинается с ос­ новополагающего стандарта, устанавливающего общие положе­ ния. На сегодняшний день такого стандарта в области информа­ ционной безопасности нет. Девять ГОСТов — ГОСТ 28147 —89, ГОСТ Р 34.10-94, ГОСТ Р 34.11-94, ГОСТ 29. 339 -92, ГОСТ Р 50752-95 , ГОСТ РВ 50170 -92 , ГОСТ Р 50600 -93 , ГОСТ Р 50739—95, ГОСТ Р 50922 —96 — относятся к различным груп­ пам по классификатору стандартов и, к сожалению, не являются функционально полными ни по одному из направлений защиты
информации. Кроме того, есть семейства родственных стандар­ тов, имеющих отношение к области защиты информации: • системы тревожной сигнализации, комплектуемые извеша- телями различного принципа действия — 12 ГОСТов; • и нформационные технологии (сертификация систем теле­ коммуникации, программных и аппаратных средств, атте­ стационное тестирование взаимосвязи открытых систем, аттестация баз данных и т. д.) — около 200 ГОСТов; • системы качества (в том числе стандарты серии ISO 9000, введенные в действие на территории РФ) — больше 100 ГОСТов. Значительная часть стандартов на методы контроля и испы­ таний (около 60 %) может быть признана не соответствующей требованию Закона «Об обеспечении единства измерений», как правило, в части погрешностей измерений. Отсутствуют стан­ дарты в сфере информационно-психологической безопасности. Зарубежные стандарты. Очевидно, для работы над объекта­ ми стандартизации в сфере информационной безопасности крайне важен международный опыт. В 1983 г. Агентство компью­ терной безопасности Министерства обороны США опубликова­ ло отчет, названный TSEC (Trusted Computer System Evaluation Criteria, Критерии безопасности надежных/доверенных систем) или «Оранжевая книга» (по цвету переплета), где были определе­ ны семь уровней безопасности для оценки защиты конфиденци­ альных данных в многопользовательских компьютерных систе­ мах [8]. Для оценки компьютерных систем М инистерства оборо­ ны США Национальный Центр компьютерной безопасности МО США выпустил инструкции NCSC-TG -005h NCSC-TG -011 , из­ вестные как «Красная книга» (по цвету переплета). В качестве ответа Агентство информационной безопасности ФРГ подгото­ вило Green Book («Зеленая книга»), где рассмотрены в комплексе требования к доступности, целостности и конфиденциальности информации как в государственном, так и в частном секторе. В 1990 г. «Зеленая книга» была одобрена ФРГ, Великобрита­ нией, Францией и Голландией и направлена в ЕС, где на ее ос­ нове были подготовлены ITSEC (Критерии оценки защищенно­ сти информационных технологий) или «Белая книга», как евро­ пейский стандарт, определяющий критерии, требования и процедуры для создания безопасных информационных систем, имеющий две схемы оценки: по эффективности (от Е1 до Ё6) и по функциональности (доступность, целостность системы, цело­
стность данных, конфиденциальность информации и передача данных). С учетом интеграции России в общеевропейские струк­ туры рассмотрим подробнее положения европейского стандарта. В «Белой книге» названы основные компоненты критериев безопасности ITSEC: • информационная безопасность; • безопасность системы; • безопасность продукта; • угроза безопасности; • набор функций безопасности; • гарантированность безопасности; • общая оценка безопасности; • классы безопасности. Согласно европейским критериям ITSEC, информационная безопасность включает в себя шесть основных элементов ее де­ тализации: • конфиденциальность информации (защита от несанкцио­ нированного получения информации); • целостность информации (защита от несанкционированно­ го изменения информации); • доступность информации (защита от несанкционированно­ го или случайного удержания информации и ресурсов сис­ темы); • цели безопасности (зачем нужны функции информацион­ ной безопасности); • спецификация функций безопасности: — идентификация и аутентификация (понимается не толь­ ко традиционная проверка подлинности пользователя, но и функции для регистрации новых пользователей и удаления старых, а также функции для изменения и про­ верки аутентификационной информации, в том числе средств контроля целостности, и функции для ограниче­ ния количества повторных попыток аутентификации); — управление доступом (в том числе функции безопасно­ сти, которые обеспечивают: временное ограничение до­ ступа к совместно используемым объектам с целью поддержания целостности этих объектов; управление распространением прав доступа; контроль за получением информации путем логического вывода и агрегирования данных); — подотчетность (протоколирование);
— аудит (независимый контроль); — повторное использование объектов; — точность информации (поддержка определенного соот­ ветствия между разными частями данных (точность свя­ зей) и обеспечение неизменности данных при передаче между процессами (точность коммуникации)); — надежность обслуживания (функции обеспечения, когда действия, критичные по времени, будут выполнены именно тогда, когда нужно; некритичные действия нель­ зя перенести в разряд критичных; авторизованные поль­ зователи за разумное время получат запрашиваемые ресурсы; функции обнаружения и нейтрализации ош и­ бок; функции планирования для обеспечения коммуни­ кационной безопасности, т. е. безопасности данных, передаваемых по каналам связи); — обмен данными; • описание механизмов безопасности. В «Белой книге» декларируется разница между «системой» и «продуктом». Под «системой» понимается конкретная аппарат­ но-программная конфигурация, созданная с вполне определен­ ными целями и работающая в известном окружении, а под «про­ дуктом» — аппаратно-программный пакет, который можно ку­ пить и по своему усмотрению вставить в ту или иную «систему». Для объединения критериев оценки «системы» и «продукта» в ITSEC вводится единый термин — «объект» оценки. Каждая «система» и/или «продукт» предъявляют свои требования к обес­ печению конфиденциальности, целостности и доступности ин­ формации. Для их реализации необходим и соответствующий набор функций безопасности, таких как идентификация и ау­ тентификация, управление доступом, восстановление после сбо­ ев, подотчетность, аудит, правила повторного использования объектов доступа, точность информации, надежность обслужи­ вания, обмен данными. Например, для реализации функций идентификации и аутентификации могут использоваться такие механизмы, как специальный сервер «Kerberos», а для защиты компьютерных сетей — фильтрующие маршрутизаторы, сетевые анализаторы протоколов (экраны) типа Firewall/Plus, Firewall/1, пакеты фильтрующих программ и т. д. Чтобы «объект» оценки можно было признать надежным, не­ обходима определенная степень уверенности, которая деклариру­ ется как гарантированность безопасности, включающая в себя
два компонента — эффективность и корректность механизмов безопасности (средств защиты). В некоторых источниках гаран­ тированность также называют адекватностью средств защиты. При проверке эффективности анализируется соответствие между задачами безопасности по конфиденциальности, целост­ ности, доступности информации и реализованным набором функций безопасности — их функциональной полнотой и согла­ сованностью, простотой использования, а также возможными последствиями использования злоумышленниками слабых мест защиты. Кроме того, в понятие эффективности включается и способность механизмов защиты противостоять прямым атакам, которая называется мощностью механизмов защиты. По ITSEC декларируется три степени мощности (базовая, средняя, высо­ кая). При проверке корректности анализируется правильность и надежность реализации функций безопасности. По ITSEC декла­ рируется семь уровней корректности — от ЕО до Е6. Общая оценка безопасности системы по ITSEC состоит из двух компонент — оценки уровня гарантированной эффектив­ ности механизмов (средств) безопасности и оценки уровня их гарантированной корректности. Безопасность системы в це­ лом оценивается отдельно для «систем» и «продуктов». Защ и­ щенность их не может быть выше мощности самого слабого из критически важных механизмов безопасности (средств за­ щиты). В европейских критериях устанавливается 10 классов безо­ пасности (F-Cl, F-C2, F -Bl, F-B2, F-B3, F-IN, F-AV, F-D1, F-DC , F-DX). Первые пять из них аналогичны классам С 1, С2, В1, В2, ВЗ американских критериев TCSEC. Класс F-1N предна­ значен для систем с высокими потребностями к обеспечению целостности, что типично для СУБД, и различает виды доступа: чтение, запись, добавление, удаление, создание, переименование и выделение объектов. Класс F-AV предназначен для систем с высокими требованиями к обеспечению их работоспособности за счет противодействия угрозам отказа в обслуживании (суще­ ственно для систем управления технологическими процессами). Класс F-DI ориентирован на системы с повышенными требова­ ниями к целостности данных, которые передаются по каналам связи. Класс F-DC характеризуется повышенными требования­ ми к конфиденциальности информации, а класс F-DX предна­ значен для систем с повышенными требованиями одновременно по классам F-DI и F-DC .
Канада разработала СТСРЕС, и, наконец, США разработали новые Федеральные Критерии (Federal Criteria). Так как эти критерии являются несовместимыми между собой, было приня­ то решение попытаться гармонизировать (объединить) все эти критерии в новый набор критериев оценки защищенности, на­ званный Common Criteria (СС). Общие критерии дают набор критериев по оценке защищенности и устанавливают: • требования к функциональным возможностям и требова­ ния к гарантиям; • семь уровней доверия (уровни гарантий при оценке), кото­ рые может запросить пользователь (уровень EAL1 обеспе­ чивает лиш ь небольшое доверие к корректности системы, а уровень EAL7 дает очень высокие гарантии); • два понятия: Профиль Защиты (РР) и Цель безопасности (ST). Стандарты РФ. Одним из отечественных аналогов пере­ численных стандартов является Руководящий документ Гостех­ комиссии РФ «Автоматизированные системы. Защита от не­ санкционированного доступа к информации. Классификация автоматизированных систем и требований по защите информа­ ции» [3]. Комплексность защиты информации достигается за счет ис­ пользования унифицированного алгоритмического обеспечения для средств криптографической защиты в соответствии с рос­ сийскими государственными стандартами: • ГОСТ 28147—89 «Системы обработки информации. Защита криптографическая. Алгоритм криптографического преоб­ разования»; • ГОСТ Р 34. 10—94 «Информационная технология. Крипто­ графическая защита информации. Процедуры выработки и проверки электронной цифровой подписи на базе асим­ метричного криптографического алгоритма»; • ГОСТ Р 34. 11—94 «Информационная технология. Крипто­ графическая защита информации. Функция хэширования»; • ГОСТ Р 50739—95 «Средства вычислительной техники. За­ щита от несанкционированного доступа к информации. Общие технические требования». Поскольку деятельность любой организации подвержена множеству рисков, в том числе вследствие использования ин­ формационных технологий, то относительно недавно появилась новая функция — управление рисками, которая включает в себя
два вида деятельности: оценку (измерение) рисков и выбор эф ­ фективных и экономичных защитных регуляторов. Процесс управления рисками можно подразделить на следующие этапы: 1. Выбор анализируемых объектов и степени детальности их рассмотрения. 2. Выбор методологии оценки рисков. 3. Идентификация активов. 4. Анализ угроз и их последствий, определение слабостей в защите. 5. Оценка рисков. 6. Выбор защитных мер. 7. Реализация и проверка выбранных мер. 8. Оценка остаточного риска. Правовое регулирование этих отношений возможно и необ­ ходимо, прежде всего, через страхование информацио нных рисков. Проблема обеспечения безопасности носит комплексный ха­ рактер. Для ее решения необходимо сочетание как правовых мер, так и организационных (например, в компьютерных информаци­ онных системах на управленческом уровне руководство каждой организации должно выработать политику безопасности, опреде­ ляющую общее направление работ и выделить на эти цели соот­ ветствующие ресурсы) и программно-технических (идентифика­ ция и аутентификация; управление доступом; протоколирование и аудит; криптография; экранирование). 1.3 . Защита информации Защита информации (ЗИ) — комплекс мероприятий, направленных на обеспечение важнейших аспектов информаци­ онной безопасности (целостности, доступности и, если нужно, конфиденциальности информации и ресурсов, используемых для ввода, хранения, обработки и передачи данных) [9, 14]. Некоторые определения. Система назы вается безопасной, если она, используя соответствующие аппаратные и программ­ ные средства, управляет доступом к информации так, что только должным образом авторизованные лица или же действующие от их имени процессы получают право читать, писать, создавать и удалять информацию.
Очевидно, что абсолютно безопасных систем нет, и здесь речь идет онадежной (доверенной) системе, т. е. « сис­ теме, которой можно доверять» (как можно доверять человеку). Система считается надежной, если она с использованием доста­ точных аппаратных и программных средств обеспечивает одно­ временную обработку информации разной степени секретности группой пользователей без нарушения прав доступа. Основными критериями оценки надежности являются: п о ­ литика безопасности и гарантированность. Политика безопасности, являясь активным компонентом за­ щиты (включает в себя анализ возможных угроз и выбор соот­ ветствующих мер противодействия), отображает тот набор зако­ нов, правил и норм поведения, которым пользуется конкретная организация при обработке, защите и распространении инфор­ мации. Выбор конкретных механизмов обеспечения безопасности системы производится в соответствии со сформулированной по­ литикой безопасности. Гарантированность, являясь пассивным элементом защиты, отображает меру доверия, которое может быть оказано архитек­ туре и реализации системы (другими словами, показывает, н а ­ сколько корректно выбраны механизмы, обеспечивающие безо­ пасность системы). В надежной системе должны регистрироваться все происхо­ дящие события, касающиеся безопасности (должен использо­ ваться механизм подотчетности протоколирования, дополняю ­ щийся анализом запомненной информации, т. е. аудитом). При оценке степени гарантированности, с которой систему можно считать надежной, центральное место занимает достовер­ ная (надежная) вычислительная база. Достоверная (дове­ ренная, надежная) вычислительная база (ДВБ, или ТСВ — Trusted Computer Base) представляет собой полную сово­ купность защитных механизмов компьютерной системы, кото­ рая используется для претворения в жизнь соответствующей по ­ литики безопасности. Надежность ДВБ зависит исключительно от ее реализации и корректности введенных данных (например, данных о благона­ дежности пользователей, определяемых администрацией). Граница ДВБ образует периметр безопасности. К о м ­ поненты ДВБ, находящиеся внутри этой границы, должны быть надежными (следовательно, для оценки надежности компьютер-
ной системы достаточно рассмотреть только ее ДВБ). От ком по­ нентов, находящихся вне периметра безопасности, вообще гово­ ря, не требуется надежности. Однако это не должно влиять на безопасность системы. Так как сейчас более ш ироко пр именя­ ются распределенные системы обработки данных, то под «пери­ метром безопасности» понимается граница владений оп­ ределенной организации, в подчинении которой нахо­ дится эта система. Тогда по аналогии то, что находится внутри этой границы, считается надежным. Посредством шлюзовой системы, которая способна противостоять потенциально не­ надежному, а может быть даже и враждебному окружению, осу­ ществляется связь через эту границу. Контроль допустимости выполнения субъектами определен­ ных операций над объектами, т. е. функции мониторинга, выполняется достоверной вычислительной базой. При каждом обращении пользователя к программам или данным монитор проверяет допустимость данного обращения (согласованность действия конкретного пользователя со списком разрешенных для него действий). Реализация монитора обращений называется ядром безопасности, на базе которой строятся все защит­ ные механизмы системы. Ядро безопасности должно гарантиро­ вать собственную неизменность. Предметная область «Защита информации» согласно ГОСТ Р 50922—96 [1]. Основополагающим здесь является понятие «за­ щита информации» с позиции собственника, владельца, пользо­ вателя информацией как деятельность (процесс), направленная на предотвращение утечки защищаемой информации, а также по предотвращению различного рода несанкционированных воз­ действий (НСВ) на информацию и ее носители, т. е. защита ин­ формации от угроз безопасности информации. Могут быть так­ же введены более узкие области (рис. 1.1): • защита информации от разглашения; • защита информации от утечки по каналам (иностранной) технической разведки; • защита информации от физического (частного) лица; • защита информации от несанкционированного доступа; • зашита информации от несанкционированных воздейст­ вий, которые, в свою очередь, могут включать такие разде­ лы предметной области, как: — защита информации от утечки по каналам радио-, радио­ технической разведки;
Рис. 1.1. Структура предметной области «Зашита информации» со гл асн о ГО СТ Р50922—96 — защита информации от утечки по каналам визуально-оп­ тической разведки; — защита информации от утечки по акустическому каналу; — защита информации от утечки за счет побочных электро­ магнитных излучений и наводок (ПЭМИН); — защита информации от утечки по каналам специальных электронных закладных устройств; — защита информации от несанкционированного доступа (НСД) при ее обработке с помощью технических средств (средств вычислительной техники и средствах связи, в средствах оргтехники); — защита информации шифрованием; — защита информации режимно-секретной деятельностью; — защита информации обеспечением безопасности связи. Основные предметные направления ЗИ Основные предметные направления ЗИ — охрана государст­ венной, коммерческой, служебной, банковской тайн, персональ­ ных данных и интеллектуальной собственности [14]. Государственная тайна — защищаемые государством сведе­ ния в области его военной, внешнеполитической, экономиче­ ской, разведывательной, контрразведывательной и оператив­
но-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации. Сведения могут считаться государственной тайной (могут быть засекречены), если они отвечают следующим требованиям: • соответствуют перечню сведений, составляющих государст­ венную тайну, не входят в перечень сведений, не подлежа­ щих засекречиванию, и отвечают законодательству РФ о государственной тайне (принцип законности); • целесообразность засекречивания конкретных сведений ус­ тановлена путем экспертной оценки вероятных эконо миче­ ских и иных последствий, возможности нанесения ущерба безопасности РФ, исходя из баланса жизненно важных и н ­ тересов государства, общества и личности (принцип обос­ нованности); • ограничения на распространение этих сведений и на дос­ туп к ним установлены с момента их получения (разработ­ ки) или заблаговременно (принцип своевременности); • компетентные органы и их должностные лица приняли в отношении конкретных сведений решение об отнесении их к государственной тайне и засекречивании и установили в отношении их соответствующий режим правовой охраны и защиты (пр инцип обязательной защиты). Коммерческая тайна исстари охранялась при содействии го­ сударства. Примером этого утверждения могут служить м ного­ численные факты ограничения доступа иностранцев в страну (в Китае — для защиты секретов производства фарфора), в от­ дельные отрасли экономики или на конкретные производства. В России к коммерческой тайне относили промысловую тайну, но затем она была ликвидирована как правовой институт в нача­ ле 30-х годов и в связи с огосударствлением отраслей экономики защищалась как государственная и служебная тайна. Сейчас на­ чался обратный процесс. Информация может составлять коммерческую тайну, если она отвечает следующим требованиям (критерии правовой ох­ раны): • имеет действительную или потенциальную коммерческую ценность в силу ее неизвестности третьим лицам; • не подпадает под перечень сведений, доступ к которым не может быть ограничен, и перечень сведений, отнесенных к государственной тайне; • к ней нет свободного доступа на законном основании;
• обладатель информации принимает меры к охране ее кон­ фиденциальности. К коммерческой тайне не может быть о тнесена информация: • содержащаяся в учредительных документах; • содержащаяся в документах, дающих право заниматься предпринимательской деятельностью (регистрационные удостоверения, лицензии и т. д .); • содержащаяся в годовых отчетах, бухгалтерских балансах, формах государственных статистических наблюдений и других формах годовой бухгалтерской отчетности, включая аудиторские заключения, а также в иных, связанных с ис­ числением и уплатой налогов и других обязательных пла­ тежей; • содержащая сведения об оплачиваемой деятельности госу­ дарственных служащих, о задолженностях работодателей по выплате заработной платы и другим выплатам социаль­ ного характера, о численности и кадровом составе рабо­ тающих; • содержащаяся в годовых отчетах фондов об использовании имущества; • подлежащая раскрытию эмитентом ценных бумаг, профес­ сиональным участником рынка ценных бумаг и владельцем ценных бумаг в соответствии с законодательством Россий­ ской Федерации о ценных бумагах; • связанная с соблюдением экологического и антимонополь­ ного законодательства, обеспечением безопасных условий труда, реализацией продукции, причиняющей вред здоро­ вью населения, другими нарушениями законодательства Российской Федерации, законодательства субъектов Рос­ сийской Федерации, а также содержащая данные о разме­ рах причиненных при этом убытков; • о деятельности благотворительных организаций и иных не­ коммерческих организаций, не связанной с предпринима­ тельской деятельностью; • о наличии свободных рабочих мест; • о хранении, использовании или перемещении материалов и использовании технологий, представляющих опасность для жизни и здоровья граждан или окружающей среды; • о реализации государственной программы приватизации и об условиях приватизации конкретных объектов;
• о размерах имущества и вложенных средствах при привати­ зации; • о ликвидации юридического лица и о порядке и сроке по­ дачи заявлений требований его кредиторами; • для которой определены ограничения по установлению ре­ жима коммерческой тайны в соответствии с федеральными законами и принятыми в целях их реализации подзакон­ ными актами. Основными субъектами права на коммерческую тайну явл я­ ются обладатели коммерческой тайны, их правопреемники. Обладатели коммерческой тайны — ф изически е (независимо от гражданства) и юридические (коммерческие и некоммерческие организации) лица, занимающиеся предприни­ мательской деятельностью и имеющие монопольное право на информацию , составляющую для них коммерческую тайну. При этом под предпринимательством понимается «самостоя­ тельная, осуществляемая на свой риск деятельность, направлен­ ная на систематическое получение прибыли от пользования имуществом, продажи товаров, выполнения работ или оказания услуг лицами, зарегистрированными в этом качестве в установ­ ленном законом порядке» (ст. 2 Гражданского кодекса Россий­ ской Федерации). Правопреемники — физические и юридические лица, которым в силу служебного положения, по договору или на ином законном основании (в том числе по наследству) извест­ на информация, составляющая коммерческую тайну другого лица. Банковская тайна — защищаемые банками и иными кредит­ ными организациями сведения о банковских операциях по счетам и сделкам в интересах клиентов, счетах и вкладах своих клиентов и корреспондентов, а также сведения о клиентах и корреспонден­ тах, разглашение которых может нарушить право последних на неприкосновенность частной жизни. К основным объектам банковской тайны относятся сле­ дующие: • тайна банковского счета — сведения о счетах клиентов и корреспондентов и действиях с ними в кредитной органи­ зации (о расчетном, текущем, бюджетном, депозитном, валютном, корреспондентском и тому подобных счетах, об открытии, закрытии, переводе, переоформлении счетов и т. д.);
• тайна операций по банковскому счету — сведения о приня­ тии и зачислении поступающих на счет клиента денежных средств, о выполнении его распоряжений по перечислению и выдаче соответствующих сумм со счета, а также проведе­ нии других операций и сделок по банковскому счету, пре­ дусмотренных договором банковского счета или законом, установленными в соответствии с ним банковскими прави­ лами, а также обычаями делового оборота. Профессиональная тайна — защищаемая по закону информа­ ция, доверенная или ставшая известной лицу (держателю) ис­ ключительно в силу исполнения им своих профессиональных обязанностей, не связанных с государственной или муниципаль­ ной службой, распространение которой может нанести ущерб правам и законным интересам другого лица (доверителя), дове­ рившего эти сведения, и не являющаяся государственной или коммерческой тайной. Информация может считаться профессиональной тайной, если она отвечает следующим требованиям (критериям охрано­ способности права): • доверена или стала известна лицу лишь в силу исполнения им своих профессиональных обязанностей; • лицо, которому доверена информация, не состоит на госу­ дарственной или муниципальной службе (в противном слу­ чае информация считается служебной тайной); • запрет на распространение доверенной или ставшей из­ вестной информации, которое может нанести ущерб пра­ вам и законным интересам доверителя, установлен феде­ ральным законом; • информация не относится к сведениям, составляющим го­ сударственную и коммерческую тайну. В соответствии с этими критериями можно выделить сле­ дующие объекты профессиональной тайны. Врачебная тайна —информация, содержащая: • результаты обследования лица, вступающего в брак; • сведения о факте обращения за медицинской помощью, о состоянии здоровья, диагнозе заболевания и иные сведе­ ния, полученные при обследовании и лечении гражданина; • сведения о проведенных искусственном оплодотворении и имплантации эмбриона, а также о личности донора; • сведения о доноре и реципиенте при трансплантации орга­ нов и (или) тканей человека;
• сведения о наличии психического расстройства, фактах об­ ращения за психиатрической помощью и лечении в учреж­ дении, оказывающем такую помощь, а также иные сведе­ ния о состоянии психического здоровья гражданина; • иные сведения в медицинских документах гражданина. Тайна связи — тайна переписки, телефонных перегово­ ров, почтовых, телеграфных и иных сообщений. Нотариальная тайна — сведения, доверенные нота­ риусу в связи с совершением нотариальных действий. Адвокатская тайна — сведения, сообщенные адвокату гражданином в связи с оказанием ему юридической помощи. Тайна усыновления — сведения об усыновлении ре­ бенка, доверенные на законном основании иным лицам, кроме судей, вынесших решение об усыновлении, и должностных лиц, осуществляющих государственную регистрацию этого усынов­ ления. Тайна страхования —сведения о страхователе, застра­ хованном лице и выгодоприобретателе, состоянии их здоровья, а также об имущественном положении этих лиц, полученные стра­ ховщиком в результате своей профессиональной деятельности. Тайна исповеди — сведения, доверенные священнослу­ жителю гражданином на исповеди. Служебная тайна — защищаемая по закону конфиденциаль­ ная информация, ставшая известной в государственных органах и органах местного самоуправления только на законных основа­ ниях и в силу исполнения их представителями служебных обя­ занностей, а также служебная информация о деятельности госу­ дарственных органов, доступ к которой ограничен федеральным законом или в силу служебной необходимости. Служебная тайна является видом конфиденциальной инфор­ мации, и право на служебную тайну выступает самостоятельным объектом права. Для осуществления ее правовой охраны и защи­ ты необходим специальный федеральный закон «О служебной тайне» . Информация может с ч итаться служебной тайной, если она отвечает следующим требованиям (критериям охрано­ способности права): • отнесена федеральным законом к служебной информации о деятельности государственных органов, доступ к которой ограничен по закону или в силу служебной необходимости (собственная служебная тайна);
• является охраноспособной конфиденциальной информаци­ ей («чужой тайной») другого лица (коммерческая тайна, банковская тайна, тайна частной жизни, профессиональ­ ная тайна); • не является государственной тайной и не подпадает под перечень сведений, доступ к которым не может быть огра­ ничен; • получена представителем государственного органа и органа местного самоуправления только в силу исполнения обя­ занностей по службе в случаях и порядке, установленных федеральным законом. Информация, н е отвечающая этим требованиям, не может считаться служебной тайной и не подлежит правовой охране. В действующем законодательстве приводится перечень сведений, которые н е могут быть отнесены к служебной информации ограниченного распростра­ нения: • акты законодательства, устанавливающие правовой статус государственных органов, организаций, общественных объ­ единений, а также права, свободы и обязанности граждан, порядок их реализации; • сведения о чрезвычайных ситуациях, опасных природных явлениях и процессах, экологическая, гидрометеорологиче­ ская , гидрогеологическая, демографическая, санитарно- эпидемиологическая и другая информация, необходимая для обеспечения безопасного существования населенных пунктов, граждан и населения в целом, а также производст­ венных объектов; • описание структуры органа исполнительной власти, его функций, направлений и форм деятельности, а также его адрес; • порядок рассмотрения и разрешения заявлений, в том чис­ ле юридических лиц, рассмотренных в установленном по­ рядке; • сведения об исполнении бюджета и использовании других государственных ресурсов, о состоянии экономики и по­ требностей населения; • документы, накапливаемые в открытых фондах библиотек и архивов, информационных системах организаций, необ­ ходимые для реализации прав, свобод и обязанностей гра­ ждан.
Таким образом, к основным объектам служебной тайны можно отнести такие виды информации, как: • служебная информация о деятельности федеральных госу­ дарственных органов, доступ к которой ограничен феде­ ральным законом в целях защиты государственных интере­ сов: военная тайна; тайна следствия (данные предваритель­ ного расследования Либо следствия); судебная тайна (тайна совещания судей, содержание дискуссий и результатов го­ лосования закрытого совещания Конституционного Суда Российской Федерации, материалы закрытого судебного заседания, тайна совещания присяжных заседателей или в силу служебной необходимости, порядок выработки и при­ нятия решения, организация внутренней работы и т. д.); • охраноспособная конфиденциальная информация, ставшая известной в силу исполнения служебных обязанностей должностным лицам государственных органов и органов местного самоуправления: коммерческая тайна, банковская тайна, профессиональная тайна, а также конфиденциаль­ ная информация о частной жизни лица. Особенность правоотношений в этой области состоит в том, что если во втором случае государственные органы и их должно­ стные лица обязаны обеспечить (гарантировать) сохранность «чужой» тайны, ставшей известной им по службе, в объеме све­ дений, переданных ее владельцем, то в первом случае, они само­ стоятельно в соответствии с законом определяют объем своей служебной тайны и режим ее защиты. Охрана персональных данных. В Европе для охраны и защиты права на неприкосновенность частной жизни в условиях автома­ тизированной обработки личных данных о гражданах более 25 лет назад был введен особый институт правовой охраны лич­ ности — институт защиты персональных данных. Более чем в 20 европейских государствах приняты национальные законы о персональных данных, в ряде стран введены независимые упол­ номоченные по защите персональных данных, во всех странах Европейского Союза с 1998 г. создана единая унифицированная система защиты персональных данных, в том числе в секторе те­ лекоммуникаций. Федеральный закон «Об информации, информатизации и за­ щите информации» [7] вводит понятие «персональные данные» (ст. 2); относит персональные данные к конфиденциальной ин­ формации и устанавливает, что перечни персональных данных
должны быть закреплены федеральным законом (ст. 11); требует, чтобы деятельность негосударственных организаций и частных лиц по обработке и предоставлению персональных данных, равно как и по проектированию, производству средств защиты инфор­ мации и обработки персональных данных обязательно л ицензи­ ровались в порядке, установленном Правительством Российской Федерации (ст. И , 19); декларирует, что персональные данные должны защищаться, а режим защиты в отношении персональ­ ных данных устанавливается федеральным законом (ст. 21). Объектом правоотношений здесь выступает право на персо­ нальные данные — информация (зафиксированная на любом материальном носителе) о конкретном человеке, которая ото­ ждествлена или может быть отождествлена с ним. К персональным данным могут быть отнесены сведения, ис­ пользование которых без согласия субъекта персональных дан­ ных может нанести вред его чести, достоинству, деловой репута­ ции, доброму имени, иным нематериальным благам и имущест­ венным интересам: • биографические и опознавательные данные (в том числе об обстоятельствах рождения, усыновления, развода); • ли чные характеристики (в том числе о личных привычках и наклонностях); • сведения о семейном положении (в том числе о семейных отношениях); • сведения об имущественном, финансовом положении (кро­ ме случаев, прямо установленных в законе); • о состоянии здоровья. Субъектами права здесь выступают: • субъекты персональных данных — лица, к которым о тно­ сятся соответствующие данные, и их наследники; • держатели персональных данных — органы государствен­ ной власти и органы местного самоуправления, юридиче­ ские и физические лица, осуществляющие на законных ос­ нованиях сбор, хранение, передачу, уточнение, блокирова­ ние, обезличивание, уничтожение персональных данных (баз персональных данных). Персональные данные и работа с ними должны соответство­ вать следующим требованиям: • персональные данные должны быть получены и обработа­ ны законным образом на основании действующего законо­ дательства;
• персональные данные включаются в базы персональных данных на основании свободного согласия субъекта, выра­ женного в письменной форме, за исключением случаев, прямо установленных в законе; • персональные данные должны накапливаться для точно определенных и законных целей, не использоваться в про­ тиворечии с этими целями и не быть избыточными по от­ ношению к ним. Не допускается объединение баз персо­ нальных данных, собранных держателями в разных целях, для автоматизированной обработки информации; • персональные данные, предоставляемые держателем, долж­ ны быть точными и в случае необходимости обновляться; • персональные данные должны храниться не дольше, чем этого требует цель, для которой они накапливаю тся, и под­ лежать уничтожению по достижении этой цели или по м и ­ новании надобности; • персональные данные охраняются в режиме конфиденци­ альной информации, исключающем их случайное или не­ санкционированное разрушение или случайную их утрату, а равно несанкционированный доступ к данным, их изме­ нение, блокирование или передачу; • для лиц, занимающих высшие государственные должности, и кандидатов на эти должности может быть установлен спе­ циальный правовой режим для их персональных данных, обеспечивающий открытость только общественно значи­ мых данных. Охрана интеллектуальной собственности. К числу основны х объектов интеллектуальной собственности отнесены: • произведения науки, литературы или искусства; • результаты исполнительской деятельности артистов, ре­ жиссеров, дирижеров; • сложные результаты творчества; • звукозаписи и записи изображения; • передача радио- и телевизионных сигналов; • изобретения; • полезные модели; • промышленные образцы; • профессиональные секреты (ноу хау); • селекционные достижения; • фирменные наименования и коммерческие обозначения правообладателя;
• товарные знаки и знаки обслуживания; • наименования мест происхождения товаров; • другие результаты интеллектуальной деятельности и сред­ ства индивидуализации, на которые в соответствии с зако ­ ном могут признаваться или закрепляться исключительные права. Правовые основы защиты информации В целях охраны и защиты прав и свобод в информа­ ционной сфере Конституция РФ устанавливает гарантии, обязанности, механизмы защиты и ответственности. Основные конституционные гарантии включают: • признание прав и свобод человека и гражданина неотчуж­ даемыми (ст. 17), равными (ст. 19), непосредственно дейст­ вующими (ст. 18) согласно общепризнанным принципам и нормам международного права и защищаемыми государст­ вом (ст. 45); • законы подлежат официальному опубликованию. Неопуб­ ликованные законы не применяются. Любые нормативные правовые акты, затрагивающие права, свободы и обязанно­ сти человека и гражданина, не могут применяться, если они не опубликованы официально для всеобщего сведения (ч. 3 ст. 15); • права и свободы «определяют смысл, содержание и приме­ нение законов, деятельность законодательной и испо лни­ тельной власти, местного самоуправления и обеспечивают­ ся правосудием» (ст. 18); • органы государственной власти и органы местного само ­ управления, их должностные лица обязаны обеспечивать каждому возможность ознакомления с документами и материалами, непосредственно затрагивающими его пра­ ва и свободы, если иное не предусмотрено законом (ч. 2 ст. 24); • механизмы защиты наряду с государственной защитой пре­ дусматривают право каждого на самозащиту «всеми спосо­ бами, не запрещенными законом» (часть 2 ст. 45), судеб­ ную защиту (ч. 1 и 2 ст. 46), международно-правовую за­ щиту (ч. 3 ст. 46);
• сокрытие должностными лицами фактов и обстоятельств, создающих угрозу для жизни и здоровья людей, влечет за собой ответственность в соответствии с федеральным зако ­ ном (ч. 3 ст. 41). Защита прав собственности на информацию. И нф ор м ац ия (несмотря на ряд существенных особенностей) должна рассмат­ риваться законом как объект права собственности. В первой час­ ти Гражданского кодекса РФ (ст. 128), принятого Государствен­ ной Думой (21.10 .94 г.), впервые в России информация опреде­ лена в качестве объекта права (рис. 1.2 и 1.3). Федеральным законом «Об информации, информатизации и защите информации» [7] определено, что информационные ре­ сурсы, т. е. отдельные документы или массивы документов, в Информация как объект права собственности Информация — не материальный объект (это знание — отражение действительности в сознании человека) Информация неразрывно связана с материальным носителем (мозг человека, книга, дискета и т. д .) Информация как объект права собственности за счет носителя копируема (тиражируема) Информация как объект права собственности легко перемещается к другому субъекту права собственности (без заметного нарушения права) Перемещение материального объекта к другому субъекту влечет за собой очевидную утрату этого объекта первоначальным субъектом права собственности (нарушение права собственности) Материальный объект права собственности некопируем (две одинаковые вещи материально состоят из разных молекул). Информация при копировании не изменяется (те же знания, та же семантика) Информация, как правило, отчуждаема от собственника (хранится и обрабатывается в сфере доступа большого числа субъектов, не являющихся субъектами права собственности на эту информацию) Рис. 1.2. Информация как объект права собственности
Рис. 1.3. Право владения, пользования и распоряжения информацией том числе и в информационных системах, являясь объектами от­ ношений физических, юридических лиц и государства, подлежат обязательному учету и защите как материальное имущество соб­ ственника. Источники права на доступ к информации Наряду с нормами Конституции РФ источниками права о доступе к информации являются: • законы (Основы законодательства РФ о культуре, Основы законодательства РФ об Архивном фонде и архивах; феде­ ральные законы «Об информации, информатизации и за­ щите информации», «О порядке опубликования и вступле­ ния в силу федеральных конституционных законов, феде­
ральных законов, актов палат Федерального Собрания», «О библиотечном деле», «Об участии в международном и н ­ формационном обмене» и др.); • подзаконные нормативные акты (указы Президента РФ, постановления Правительства); • международные правовые акты, международные договора и соглашения; • судебная практика. Федеральный закон [7] для реализации права на доступ к и н ­ формации провозглашает следующие дополнительные государст­ венные гарантии. 1. Органы государственной власти и органы местного само­ управления создают доступные для каждого информационные ресурсы по вопросам деятельности этих органов и подведомст­ венных им организаций, а также в пределах своей компетенции осуществляют массовое информационное обеспечение пользова­ телей по вопросам прав, свобод и обязанностей граждан, их безо­ пасности и другим вопросам, представляющим общественный интерес (п. 1 ст. 13). При этом, для формирования таких ресурсов закон предусматривает, что граждане, органы государственной власти, органы местного самоуправления и общественные объе­ динения обязаны представлять документированную информа­ цию органам и организациям, ответственным за формирование и использование государственных информационных ресурсов. Пе­ речни представляемой в обязательном порядке документирован­ ной информации и перечни органов и организаций, ответствен­ ных за сбор и обработку федеральных информационных ресур­ сов, должно утверждать Правительство РФ (п. 1 ст. 8). Оно же должно установить перечень информационных услуг (бесплат­ ных или с частичной оплатой для пользователя) с компенсацией затрат из средств государственного бюджета (п. 4 ст. 13). 2. Граждане, органы государственной власти, органы местно­ го самоуправления, организации и общественные объединения обладают равными правами на доступ к государственным ин ­ формационным ресурсам и не обязаны обосновывать перед вла­ дельцем этих ресурсов необходимость получения запрашиваемой ими информации. Исключение составляет информация с огра­ ниченным доступом (п. 1 ст. 12). При этом декларируется, что доступ физических и юридических лиц к государственным и н­ формационным ресурсам является основой осуществления об­ щественного контроля за деятельностью органов государствен­
ной власти, органов местного самоуправления, общественных, политических и иных организаций, а также за состоянием эко­ номики, экологии и других сфер общественной жизни. 3. Органы государственной власти и организации, ответст­ венные за формирование и использование информационных ре­ сурсов, обеспечивают условия для оперативного и полного пре­ доставления пользователю документированной информации в соответствии с обязанностями, установленными уставами (поло­ жениями) этих органов и организаций (п. 4 ст. 12). При этом пе­ речни информации и информационных услуг, сведения о поряд­ ке и условиях доступа к информационным ресурсам должны предоставляться пользователям бесплатно (п. 3 ст. 12). 4. Граждане и организации имеют право на доступ к доку­ ментированной информации о них, на уточнение этой информа­ ции в целях обеспечения ее полноты и достоверности, имеют право знать, кто и в каких целях использует или использовал эту информацию. Ограничение доступа граждан и организаций к информации о них допустимо лишь на основаниях, предусмот­ ренных федеральными законами (п. 1 ст. 14). Владелец докумен­ тированной информации о гражданах обязан предоставить и н­ формацию бесплатно по требованию тех лиц, которых она каса­ ется. Ограничения возможны лиш ь в случаях, предусмотренных законодательством РФ (п. 2 ст. 14). 5. Информация, полученная на законных основаниях из го­ сударственных информационных ресурсов гражданами и органи­ зациями, может быть использована ими для создания производ­ ной информации в целях ее коммерческого распространения с обязательной ссылкой на источник информации (п. 2 ст. 12). 6. Отказ в доступе к открытой информации или предостав­ ление пользователям заведомо недостоверной информации мо­ гут быть обжалованы в судебном порядке. Неисполнение или ненадлежащее исполнение обязательств по договору поставки, купли-продажи, по другим формам обмена информационными ресурсами между организациями рассматриваются арбитраж­ ным судом. Во всех случаях лица, которым отказано в доступе к информации, и лица, получившие недостоверную информа­ цию, имеют право на возмещение понесенного ими ущерба (п. 1 ст. 24). 7. Руководители, другие служащие органов государственной власти, организаций, виновные в незаконном ограничении дос­ тупа к информации и нарушении режима защиты информации,
несут ответственность в соответствии с уголовным, гражданским законодательством и законодательством об административных правонарушениях (п. 3 ст. 24). Уровни и виды доступа Уровни доступа к информации с точки зрения законодательст­ ва. Вся информация с точки зрения права делится на несколько основных сегментов. Информация без ограничения права доступа. К такой информации, например, относится: • информация общего пользования, предоставляемая поль­ зователям бесплатно; • информация о состоянии окружающей природной среды, ее загрязнении — сведения (данные), полученные в резуль­ тате мониторинга окружающей природной среды, ее за ­ грязнения (Федеральный закон от 2 мая 1997 г. No 76 -ФЗ «Об уничтожении химического оружия»); • информация в области работ по хранению, перевозке, уничтожению химического оружия — сведения о состоянии здоровья граждан и объектов окружающей среды в районах размещения объектов хранения химического оружия и объ­ ектов по уничтожению химического оружия, м ероприятиях по обеспечению химической, санитарно-гигиенической, экологической и пожарной безопасности при проведении работ по хранению, перевозке и уничтожению химического оружия, а также о мерах по предотвращению возникнове­ ния чрезвычайных ситуаций и ликвидации их последствий при выполнении указанных работ, предоставляемые по за­ просам граждан и юридических лиц, в том числе общест­ венных объединений (Федеральный закон от 2 мая 1997 г. No 76-ФЗ «Об уничтожении химического оружия», ст. 1.2). Информация, содержащая сведения об обстоятельствах и фактах, представляющих угрозу жизни, здоровью граждан, не подлежит засекречиванию, не может быть отнесена к тайне. Информация с ограниченным доступом — госу­ дарственная тайна, служебная тайна, коммерческая тайна, бан ­ ковская тайна, профессиональная тайна и персональные дан ­ ные, как институт охраны права неприкосновенности частной жизни.
Информация, распространение которой нано­ сит вред интересам общества, законным интересам и правам граждан (порнография; информация, разжигающая националь­ ную, расовую и другую рознь; пропаганда и призывы к войне, ложная реклама, реклама со скрытыми вставками и т. п. — так называемая «вредная информация». Объекты интеллектуальной собственности (то, что не может быть отнесено к информации с ограниченным доступом, за исключением ноу-хау, которые охраняются в режи­ ме коммерческой тайны, но охраняются особым порядком через институты интеллектуальной собственности — авторское право, патентное право, средства индивидуализации и т. п.). Иная общедоступная информация, среди ко тор ой ученые выделяют более двадцати видов открытой общедоступ­ ной информации. Виды доступа к информации также важно четко разграничить в зависимости от вида информации и вида субъекта, реализую­ щего свое право на доступ к информации. Исходя из этого, раз­ личаются следующие виды доступа: • обязательное доведение; • свободный доступ; • предоставление информации по запросу юридических лиц; • предоставление информации по запросу физических лиц. Обязательное доведение. Например, доступ к инфор­ мации через обязательное ее доведение (на примере законодательной деятельности) должен быть обеспечен после принятия закона и подписания его Президентом РФ, поскольку законы должны быть опубликованы и вступают в силу только в случае их обязательного опубликования. Наряду с этим, обязательному доведению подлежит инфор­ мация об обстоятельствах и фактах по угрозе общественной безопасности, здоровью и жизни граждан, о реквизитах органи­ заций, предоставляющих информацию , о реестрах официальных документов, которые также подлежат обязательному доведению. Свободный доступ — это ситуация, когда, например, на сервере соответствующего субъекта органа власти в электрон­ ном виде выставляется информация о законопроекте. Правомо­ чия на свободный доступ к информации в данном случае могут реализоваться через обязанность государства создать условия, при которых лицо, заинтересованное в получении информации, могло получить к ней доступ по своему желанию. В перечень та­
ких условий могут входить — накопление информации и под­ держание ее в актуальном состоянии, систематизация информа­ ции и т. п. В то же время условия свободного доступа, включая адрес нахождения информации, должны быть широко известны, и здесь применимо уже правомочие обязательного доведения. Предоставление информации по запросам. Р аз­ личаются четыре основных вида отношений, которые могут воз­ никать между субъектами по степени ограничения доступа: • л иц (как физических, так и юридических) по отношению к государству; • государства по отношению к лицам (как физическим, так и юридическим); • физических лиц по отношению к организациям (юридиче­ ским лицам); • юридических лиц по отношению к физическим лицам. Например, при запросе л и ц в органы государствен­ ной власти и органы местного самоуправления ограничение права на доступ к информации связано только с государственной тайной, служебной тайной и персональными данными, потому что коммерческой тайны, банковской тайны, профессиональной тайны в органах государственной власти и органах местного са­ моуправления, по определению, быть не может. Что касается государственных предприятий, которые, каза­ лось бы, представляют государство, но в данной ситуации явля­ ются коммерческими структурами, хотя и с государственным видом собственности, то в их рамках может иметь место ком­ мерческая тайна. При запросах государства по отношению к физи­ ческим и юридическим лицам (что регламентируется нормами законов «О государственной службе», «О воинской обя­ занности и военной службе», «Об обороне», «О милиции» и т. п.) в качестве основания для ограничения права доступа к информа­ ции могут выступать персональные данные, коммерческая тайна, банковская тайна и профессиональная тайна. При реализации права физических лиц на доступ к информации у юридических лиц в качестве осн о ва­ ния для ограничения права доступа к информации могут высту­ пать профессиональная тайна, коммерческая тайна, банковская тайна. При запросе юридических лиц к физическим лицам осно­ ванием для ограничения права могут выступать персональные данные.
При реализации права на доступ к информации важно обес­ печить, чтобы получаемая информация была достоверной, пол­ ной и ее подлинность при дальнейшем использовании не вызы­ вала ни у кого сомнения. В связи с возрастающим объемом хра­ нения и использования информации, в том числе ограниченного доступа, в электронном виде все чаще применяется понятие «электронного документа». В то же время проблема сохранения электронных документов от уничтожения, копирования, моди­ фикации, подделки требует для своего разрешения специфиче­ ских средств и методов защиты (формирование корпоративных сетей, техническая защита сетей, криптографическая защита и т. д.). Управление доступом к информации. К ограничениям и запре­ там следует отнести перечни, приведенные ниже: Перечень оснований для ограничения информа­ ционных прав: • защита основ конституционного строя; • защита нравственности, здоровья, прав, законных интере­ сов других лиц; • обеспечение обороны страны и безопасности государства; • обеспечение общественного спокойствия в целях предот­ вращения беспорядков и борьбы с преступностью; • предотвращение разглашения конфиденциальной инфор­ мации; • обеспечение авторитета и беспристрастности правосудия; • условия чрезвычайного положения, установленные по за­ кону (на определенный период). Перечень случаев прямого ограничения инфор­ мационных прав: • использование прав в целях насильственного изменения конституционного строя; • пропаганда социального, расового, национального, религи­ озного, языкового превосходства, ненависти, насилия и войны; • нарушение права на неприкосновенность частной жизни (на личную, семейную тайну), неприкосновенность жили­ ща, права на уважение и защиту чести, достоинства и репу­ тации, тайны переписки, телефонных переговоров, теле­ графных и иных сообщений; • нарушение права на государственную, служебную, профес­ сиональную, коммерческую и банковскую тайну;
• право на отказ от свидетельствования против себя самого, своего супруга и близких родственников. Перечень видов информации с ограниченным доступом: • государственная тайна; • служебная тайна; • коммерческая тайна; • банковская тайна; • профессиональная тайна; • персональные данные. Перечень сведений, доступ к которым не м о ­ жет быть ограничен. Для реализации права на информа­ цию в Конституции РФ заложены основания, по которым дос­ туп к отдельным видам информации не подлежит какому-либо ограничению, например, в ст. 42 закреплено право на достовер­ ную информацию о состоянии окружающей среды, которое не может быть ограничено. В случае возникновения угрозы жизни и здоровью людей должностные лица обязаны информировать население о ней под страхом привлечения к ответственности (ч. 3 ст. 41). В ряде законов, устанавливающих ограничения доступа к и н ­ формации, также вводится перечень сведений, доступ к которым не может быть ограничен. Так, в статье 7 Закона РФ «О государ­ ственной тайне» перечислены сведения, не подлежащие засекре­ чиванию. В п. 3 ст. 10 Федерального закона «Об информации, информатизации и защите информации» приведен перечень до­ кументов, доступ к которым запрещено ограничивать. В закон «О коммерческой тайне» планируется также включить перечень сведений, которые нельзя отнести к коммерческой тайне. В Фе­ деральном законе «О благотворительной деятельности и благо­ творительных организациях» (п. 7 ст. 19), в свою очередь, опреде­ лен перечень сведений, которые не могут составлять коммерче­ скую тайну. К механизмам доступа к открытой информации можно от­ нести: • структурирование открытой информации по уровням дос­ тупа — подлежащей обязательному опубликованию в сред­ ствах массовой информации, предоставлению по запросу каждого гражданина, обязательному предоставлению по за­ просу отдельных категорий граждан;
• структурирование органов государственной власти и мест­ ного самоуправления, чьи должностные лица обязаны пре­ доставлять информацию (пример — государственная систе­ ма научно-технической информации, положение о которой утверждено постановлением Правительства РФ от 24 июля 1997 г. No 950); • установление обязанности должностных л иц на основании документов предоставлять по запросам граждан информа­ цию, доступ к которой не ограничен законом; • публикацию в общедоступных изданиях документирован­ ной информации, подлежащей обязательному распростра­ нению, всех перечней по установлению ограничений и за­ претов в информационной сфере, перечня органов государ­ ственной власти и местного самоуправления (с указанием их функций и адресов); • создание общедоступных баз данных в органах государст­ венной власти и местного самоуправления, в том числе на общедоступных серверах с указанием в средствах массо­ вой информации их адресов и порядка получения инфор­ мации; • порядок предоставления информации, предусматриваю­ щий сроки, объем и форму предоставления информации в зависимости от правового статуса организации, в адрес ко­ торой направлен запрос; • установление источников финансирования и покрытия рас­ ходов, связанных с предоставлением информации, в соот­ ветствии с нормой Гражданского кодекса РФ (п. 2 ст. 779), когда предоставление информации отнесено к обязательст­ вам о возмездном оказании услуг. Важное значение для реализации информационны х прав гра­ ждан на доступ к информации имеет Послание Президента РФ Федеральному Собранию РФ от 17 февраля 1998 г., где в целях обеспечения информационной открытости государственной вла­ сти гражданскому обществу определены следующие задачи: • радикальное обновление функций, методов, критериев дея­ тельности существующих информационных служб органов исполнительной власти; • сужение области ведомственных тайн; • уточнение с помощью общественных организаций гаран­ тий предоставления общественно значимой официальной информации;
• обучение государственных служащих практической работе в условиях информационной открытости; • установление каналов двусторонней связи государственных органов с общественными организациями, занимающими­ ся аналогичными проблемами (экологическими, социаль­ ными и др.). Ответственность за нарушение законодательства в информационной сфере За непредоставление информации гражданам, палатам Феде­ рального Собрания РФ и Счетной палате РФ (ст. 140 и 287), а также за сокрытие информации об обстоятельствах, создающих опасность для жизни или здоровья людей (ст. 237), в Уголовном кодексе РФ предусмотрена ответственность. Ответственность в действующем законодательстве оговорена в случае неправомерного засекречивания, нарушения требова­ ний по составу предоставляемых сведений, неопубликования сведений, нарушения права граждан на бесплатное получение информации, сокрытие (непредоставление) сведений об обстоя­ тельствах, создающих опасность для жизни или здоровья людей, несвоевременное предоставление сведений, сокрытие информа­ ции, сообщение ложных (недостоверных) сведений, ограничение права на предоставление информации, искажение сведений, на­ рушение свободного международного информационного обмена. Защита права на доступ к информации может осуществляться: • в форме, находящейся за пределами юрисдикции (самоза­ щита своих прав и законных интересов); • в юрисдикционной форме (в административном или в су­ дебном порядке). В административном порядке защита прав осуществляется через подачу жалобы лицом, чьи права нарушены, на должност­ ное лицо (орган) в вышестоящую инстанцию. В судебном порядке защиту прав осуществляет лицо, которое может выбрать любой способ защиты нарушенных прав — через подачу иска (жалобы) для рассмотрения в гражданском, админи­ стративном или уголовном судопроизводстве. При рассмотрении иска в гражданском судопроизводстве потерпевший вправе использовать основные способы защиты
гражданских прав, предусмотренных в ст. 12 Гражданского ко­ декса РФ, в том числе требовать: • признания права; • прекращения действий, нарушающих право или создаю­ щих угрозу его нарушения; • признания недействительным акта государственного орга­ на или органа местного самоуправления; • восстановления права; • возмещения убытков; • компенсации морального ущерба. Случаи возможной административной ответственности при нарушении права на доступ к объективной информации доста­ точно многочисленны. Так, в Кодексе РСФСР об административных правонаруше­ ниях предусматривается административная ответственность за следующие нарушения: • распространение ложных сведений о кандидате (ст. 403); • нарушение права граждан на ознакомление со списком из­ бирателей (ст. 405); • изготовление или распространение анонимных агитацион­ ных материалов (ст. 409); • умышленное уничтожение, повреждение агитационных пе­ чатных материалов (ст. 4010); • непредставление или неопубликование отчетов о расходо­ вании средств на подготовку и проведение выборов (рефе­ рендума) (ст. 4011); • непредоставление либо неопубликование сведений об ито­ гах голосования или о результатах выборов (ст. 4013); • невыполнение обязанностей по регистрации в судовых документах операций с вредными веществами и смесями (ст. 58); • изготовление или эксплуатация технических средств, не соответствующих государственным стандартам или нормам на допускаемые уровни радиопомех (ст. 1393); • непредставление сведений федеральному антимонопольно­ му органу (ст. 1571); • непредставление информации для составления списков присяжных заседателей (ст. 1657); • невыполнение законных требований прокурора (в том чис­ ле на предоставление информации) (ст. 1651);
• нарушение порядка представления контрольных и обяза­ тельных экземпляров (ст. 1713); • непредставление, несообщение информации о военнообя­ занных, призывниках (ст. 1902, 1904, 1905, 1906); • нарушение порядка и сроков представления сведений о не­ совершеннолетних, нуждающихся в передаче на усыновле­ ние, под опеку и др. (1931). В проекте Кодекса РФ об административных правонаруше­ ниях предлагается дополнить этот перечень новыми статьями (за счет обобщения части статей в действующем Кодексе), преду­ сматривающими административную ответственность за: • нарушение порядка и сроков представления отчетной и иной обязательно представляемой информации, предостав­ ление неверной информации; • отказ в предоставлении информации; • злоупотребление свободой печати и массовой информации; • воспрепятствование распространению продукции средств массовой информации; • воспрепятствование приему радио- и телепрограмм; • нарушение правил распространения обязательных сообще­ ний. Уголовная ответственность в этой сфере предусмотре­ на в Уголовном кодексе РФ в следующих статьях: — ст. 140 — отказ в предоставлении гражданину инфор­ мации; — ст. 237 — сокрытие информации об обстоятельствах, со ­ здающих опасность для жизни или здоровья людей; — ст. 287 — отказ в предоставлении информации Федераль- ному Собранию РФ или Счетной палате РФ. Контрольные вопросы 1. Что такое национальные интересы? Какие другие виды интересов вам из­ вестны? 2. В чем могут заключаться национальные интересы России? 3. В чем заключается национальная безопасность, ее определения? 4. Что такое уровни обеспечения национальной безопасности? 5. В чем состоят основные угрозы безопасности России? 6. Какие имеются основные направления обеспечения безопасности и какова их взаимосвязь с информационной безопасностью?
7. Что такое информационная безопасность, каковы ее основные аспекты? 8. В чем заключаются жизненно важные интересы в информационной сфере и угрозы жизненно важным интересам в информационной сфере? 9. Укажите основные законы, относящиеся к организации и функционированию системы информационной безопасности и защиты информации. 10. Укажите основные причины, создающие возможность применения информа­ ционного оружия против РФ. 11. Что такое информационная война и информационное превосходство? 12. Что такое информационное оружие, каковы его разновидности? 13. Каковы принципы, основные задачи и функции обеспечения информацион­ ной безопасности? 14. В чем заключаются функции государственной системы по обеспечению ин­ формационной безопасности? 15. Каковы основные отечественные и зарубежные стандарты в области инфор­ мационной безопасности? 16. Какая система называется безопасной и какая надежной? 17. Каковы основные предметные направления ЗИ? 18. Что такое государственная тайна? 19. Что такое коммерческая тайна? 20. Что такое служебная тайна? 21. Что такое профессиональная тайна? 22. Что такое персональные данные? 23. Что такое источники права на доступ к информации? 24. Каковы уровни доступа к информации с точки зрения законодательства? 25. Что такое информация ограниченного распространения? 26. Каковы виды доступа к информации? 27. В чем может заключаться ответственность за нарушение законодательства в информационной сфере?
Глава 2 УГРОЗЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ СИСТЕМ ОБРАБОТКИ ИНФОРМАЦИИ И МЕТОДЫ БОРЬБЫ С НИМИ В автоматизированных системах обработки информации (СОИ), в состав которых может входить защищаемый ПК (часто сам ПК может рассматриваться как СОИ индивидуального поль­ зователя) могут возникать различного рода угрозы информаци­ онной безопасности. Под такой угрозой в СОИ понимают возможность возникно­ вения на каком-либо этапе жизнедеятельности системы такого явления или события, следствием которого могут быть нежела­ тельные воздействия на информацию (см. также рис. 1.1): • нарушение (или опасность нарушения) физической целост­ ности; • несанкционированная модификация (или угроза такой мо­ дификации); • несанкционированное получение (или угроза такого полу­ чения); • несанкционированное размножение информации. 2.1 . Преднамеренные угрозы безопасности СОИ и направления защиты Угрозы безопасности СОИ Рассмотрим кратко преднамеренные угрозы безопасности СОИ. Реализация угрозы будет называться атакой. Классифи­ кацию угроз безопасности можно проводить по различным при­ знакам (рис. 2.1).
У г р о з ы б е з о п а с н о с т и Р и с . 2 . 1 . К л а с с ы у г р о з б е з о п а с н о с т и С О И
Цели реализации угрозы: • нарушение конфиденциальности информации (информа­ ция в СОИ имеет большую ценность для ее владельца). Ее несанкционированное использование другими лицами на­ носит значительный ущерб интересам владельца; • нарушение целостности информации (полная или частич­ ная дезинформация — ценная информация может быть ут­ рачена или обесценена путем ее несанкционированного удаления или модификации). Ущерб может быть намного больше, чем при нарушении конфиденциальности; • частичное или полное нарушение работоспособности СОИ (нарушение доступности, так как диапазон услуг, предос­ тавляемых современными СОИ, весьма широк, отказ в об­ служивании может существенно повлиять на работу поль­ зователя). Принципы воздействия на СОИ: • атака с использованием стандартных каналов дос­ тупа субъекта системы (пользователя, процесса) к объекту (файлу данных, каналу связи и т. д.). Под доступом пон и­ мается воздействие субъекта (выполнение некоторой опе­ рации) на объект, приводящее к возникновению информа­ ционного потока от объекта к субъекту. При этом происхо­ дит взаимодействие субъекта и объекта и, следовательно, изменяется состояние объекта. Воздействие, основанное на этом принципе, проще, более информативнее и от него легче защититься; • атака с использованием скрытых каналов. Под скры­ тым каналом понимается путь передачи информации, по­ зволяющий двум взаимодействующим процессам обмени­ ваться информацией таким образом, который нарушает системную политику безопасности. При этом используют­ ся лишь побочные эффекты от взаимодействия двух субъ­ ектов, что не оказывает влияние на состояние системы. Здесь воздействие организовывать относительно трудно, принцип отличается меньшей информативностью и слож­ ностью обнаружения и устранения. Эти каналы бывают двух типов: — скрытые каналы с памятью (позволяющие про­ извести чтение или запись информации другого процесса непосредственно или с помощью промежуточных объек­ тов для хранения информации — временная память);
— скрытые временные каналы (один пр оцесс мо ­ жет получать информацию о действиях другого процесса, используя интервалы между какими-либо событиями — например, интервал времени между началом и концом процесса ввода-вывода дает информацию о размере вво­ димой или выводимой информации). Характер воздействия на СОИ: • активное воздействие (всегда связано с выполнением пользователем каких-либо действий, выходящих за рамки его обязанностей и нарушающих существующую политику безопасности — доступ к определенным наборам данных, программам, вскрытие пароля и т. д.) . В результате изме­ няется состояние системы (осуществляется с использова­ нием доступа и/ил и с использованием доступа и скрытых каналов); • пассивное воздействие (осуществляется путем наблюдения каких-либо побочных эффектов и их анализа — например, прослушивание линии связи между двумя узлами сети). При этом нарушается только конфиденциальность инфор­ мации (так как при нем никаких действий с объектами и субъектами не производится), а состояние системы не из­ меняется. Причины появления используемой ошибки защиты. Реализация какой-либо угрозы становится возможной, если в системе име­ ется ошибка или брешь в защите. Ошибка может быть обуслов­ лена одной из следующих причин: • неадекватность политики безопасности реальной СОИ (разработанная для данной системы политика безопасно­ сти настолько не отражает реальные аспекты обработки информации, что становится возможным использование этого несоответствия для выполнения несанкционирован­ ных действий). Модель никогда не может точно соответст­ вовать реальной системе, но в одних случаях это не может приводить к нарушениям, а в других — может. Такие дей­ ствия даже нельзя назвать несанкционированными, по­ скольку защита от них не предусмотрена политикой безо­ пасности и система защиты в принципе неспособна их предотвратить (необходимо разработать новую политику безопасности); • ошибки административного управления, под которыми по­ нимается некорректная реализация или поддержка приня-
той политики безопасности в данной системе (например, неправильное определение прав доступа к определенным наборам данных); • ошибки в алгоритмах программ, в связях между ними и т. д., которые возникают на этапе проектирования программных продуктов и благодаря которым их можно использовать совсем не так, как описано в документа­ ции (например, ошибка в программе аутентификации пользователя системой дает возможность с помощью оп­ ределенных действий пользователю войти в систему без пароля); • ошибки реализации программ (ошибки кодирования), свя­ зей между ними и т. д., которые возникают на этапе реали­ зации или отладки. Они могут служить источником недо­ кументированных свойств (например, люки, которые обна­ ружить труднее всего). Способы активного воздействия на объект атаки: • непосредственное воздействие на объект атаки, в том числе с использованием привилегий (например, непосредствен­ ный доступ к набору данных, программе, службе, каналу связи и т. д.), воспользовавшись какой-либо ошибкой (нуж­ но применить контроль доступа); • воздействие на систему разрешений, в том числе с захватом привилегий (здесь несанкционированные действия выпол­ няются относительно прав пользователей, а сам доступ к объекту потом осуществляется законным образом — на­ пример, захват привилегий); • опосредованное воздействие через других пользователей, в том числе: — «маскарад», когда пользователь присваивает себе ка­ ким -либо образом полномочия другого, выдавая себя за него; — «использование вслепую» (один пользователь заставляет другого выполнить необходимые действия, которые для системы защиты не выглядят несанкционированным и — для этой угрозы может использоваться вирус, который выполняет необходимые действия и сообщает тому, кто его внедрил о результате). Для предотвращения подобных действий требуется постоянный контроль за работой СОИ в целом и со стороны пользователей за своими набо­ рами данных.
Способы воздействия на СОИ: • в интерактивном (on-line) режиме (например, атака на систему с помощью интерпретатора команд). Атака оказы­ вается более длительной по времени и, может быть обна­ ружена, но воздействие является более гибким; • в пакетном (off-line) режиме (например, с помощью виру­ сов). Атака является кратковременной, трудно диагности­ руемой и более опасной, но требует большой предвари­ тельной подготовки, так как необходимо предусмотреть все возможные последствия вмешательства. Объекты атаки: • СОИ в целом (для этого используются «маскарад», перехват или подделка пароля, взлом или доступ к СОИ через сеть); • объекты СОИ (программы в оперативной памяти или на внешних носителях, сами устройства системы, каналы пе­ редачи данных и т. д., с целью получения доступа к содер­ жимому носителей информации или нарушения их функ­ циональности); • субъекты СОИ — процессы и подпроцессы пользователей (цели: приостановка; изменение привилегий или характе­ ристик; использование злоумышленником привилегий или характеристик и т. д.); • каналы передачи данных — передаваемые по каналу связи пакеты данных и сами каналы (цели: нарушение ко нф и­ денциальности, подмена или модификация сообщений, на­ рушение целостности информации, изменение топологии и характеристик сети, нарушение доступности сети и т. д.). Состояние объекта атаки: • хранение (диск или другой вид носителя информации на­ ходится в пассивном состоянии) и воздействие осуществ­ ляется с использованием доступа; • передача по линиям связи между узлами сети или внутри узла; • обработка (объектом атаки является процесс пользователя). Используемые средства атаки: • использование стандартного программного обеспечения (ПО); • использование специально разработанных программ (по ­ этому в защищенных системах рекомендуется не допускать добавление программ в СОИ без разрешения администра­ тора безопасности системы).
Каналы несанкционированного получения информации в СОИ (КНПИ) Под КНПИ понимаются такие дестабилизирующие факто ­ ры, следствием проявления которых может быть получение (или опасность получения) защищаемой информации лицами или процессами, не имеющими на это законных полномочий. Перечни основных типов каналов несанкционированного доступа к информации выглядят следующим образом. Каналы, проявляющиеся безотносительно к обработке и н ф о р ­ мации и без доступа злоумышленника к элементам ЭВТ: • хищение носителей информации на заводах, где произво­ дится ремонт ЭВТ; • подслушивание разговоров лиц, имеющих отношение к СОИ; • провоцирование на разговоры лиц, имеющих отношение к СОИ; • использование злоумышленником визуальных средств; • использование злоумышленником оптических средств; • использование злоумышленником акустических средств. Каналы, проявляющиеся в процессе обработки информации без доступа злоумышленника к элементам СОИ (в основном — по­ бочные электромагнитные излучения и наводки, ПЭМ И Н): • электромагнитные излучения устройств отображения и н ­ формации; • электромагнитные излучения процессоров; • электромагнитные излучения внешних запоминающих уст­ ройств; • электромагнитные излучения аппаратуры связи; • электромагнитные излучения линий связи; • электромагнитные излучения вспомогательной аппаратуры; • паразитные наводки в коммуникациях водоснабжения; • паразитные наводки в системах канализации; • паразитные наводки в сетях теплоснабжения; • паразитные наводки в системах вентиляции; • паразитные наводки в шинах заземления; • паразитные наводки в цепях радиофикации; • паразитные наводки в цепях телефонизации и диспетчер­ ской связи; • паразитные наводки в сетях питания по цепи 50 Гц;
• подключение генераторов помех; • подключение регистрирующей аппаратуры; • осмотр отходов производства, попадающих за пределы кон­ тролируемой зоны. Каналы, проявляющиеся безотносительно к обработке инфор­ мации с доступом злоумышленника к элементам СОИ, но без изменения последних: • копирование бланков с исходными данными; • копирование магнитных носителей; • копирование с устройств отображения; • копирование выходных документов; • копирование других документов; • хищение производственных отходов. Каналы, проявляющиеся в процессе обработки информации с доступом злоумышленника к элементам СОИ, но без изменения последних: • запоминание информации на бланках с исходными дан­ ными; • запоминание информации с устройств наглядного отобра­ жения; • запоминание информации на выходных документах; • запоминание служебных данных; • копирование (фотографирование) информации в процессе обработки; • изготовление дубликатов массивов и выходных доку­ ментов; • копирование распечатки массивов; • использование программных ловушек; • маскировка под зарегистрированного пользователя; ис­ пользование недостатков систем программирования; • использование недостатков операционных систем; • использование зараженности программного обеспечения вирусом. Каналы, проявляющиеся безотносительно к обработке инфор­ мации с доступом злоумышленника к элементам СОИ с изменени­ ем последних: • подмена/хищение бланков; • подмена/хищение магнитных носителей; • подмена/хищение выходных документов;
• подмена/хищение аппаратуры; • подмена элементов программ; • подмена элементов баз данных; • х ищение других документов; • внедрение в программы блоков типа «троянский конь», «бомба» и т. п.; • чтение остаточной информации в ЗУ после выполнения санкционированных запросов. Каналы, проявляющиеся в процессе обработки информации с доступом злоумышленника к объектам СО И с их изменением: • незаконное подключение к аппаратуре; • незаконное подключение к линиям связи; • снятие информации на шинах питания устройств отобра­ жения; • снятие информации на шинах питания процессоров; • снятие информации на шинах питания аппаратуры связи; • снятие информации на шинах питания линий связи; • снятие информации на шинах питания печатающих уст­ ройств; • снятие информации на шинах питания внешних запоми­ нающих устройств; • снятие информации на шинах питания вспомогательной аппаратуры. Основные направления борьбы с угрозами безопасности СОИ Для оценки степени защищенности СОИ используются стандарты, разработанные для компьютерных систем (или авто­ матизированных систем — АС) вообще. Отметим две наиболее часто применяемые в РФ системы стандартов такого рода. «Оранжевая книга». Наиболее известным стандартом безо­ пасности компьютерных систем является упоминавшийся выше документ под названием «Критерии безопасности доверен­ ных/надежных компьютерных систем» («Оранжевая книга»). Со­ гласно «Оранжевой книге» все защищенные компьютерные сис­ темы делятся на семь классов (А1 — гарантированная защита, В1, В2, ВЗ — полное управление доступом, С 1, С2 — избира­ тельное управление доступом, D — минимальная безопасность).
Согласно «Оранжевой книге» политика безопасности должна включать в себя по крайней мере следующие элементы: • произвольное управление доступом; • безопасность повторного использования объектов; • метки безопасности; • принудительное управление доступом; • идентификация и аутентификация; • безопасность повторного использования объектов. Руководящие документы Гостехкомиссии. В 1992 г. Гостехко­ миссия при Президенте Российской Федерации опубликовала пять руководящих документов, посвященных вопросам защиты компьютерных систем. В документе «Средства вычислительной техники. Защита от несанкционированного доступа к информа­ ции. Показатели защищенности от несанкционированного дос­ тупа к информации» установлено семь классов защищенности средств вычислительной техники. Самые низкие требования предъявляются к классу 7, самые высокие — к классу 1. Требова­ ния этих классов в основном соответствуют аналогичным требо­ ваниям «Оранжевой книги». Идейной основой набора Руководящих документов является «Концепция защиты СВТ и АС от НСД к информации», которая излагает систему взглядов, основных принципов, которые закла­ дываются в основу проблемы защиты информации от несанк­ ционированного доступа (НСД), являющейся частью общей проблемы безопасности информации. В Концепции различаются понятия средств вычисли­ тельной техники (СВТ) и автоматизированной системы (АС). Различие двух направлений порождено тем, что СВТ разрабатываются и поставляются на рынок лиш ь как элементы, из которых в дальнейшем строятся функционально ориентированные АС, и поэтому, не решая прикладных задач, СВТ не содержат пользовательской информации. В Концепции формулируются следующие основные принципы защиты от НСД к информации: • защита СВТ обеспечивается комплексом программно-тех­ нических средств; • защита АС обеспечивается комплексом программно-тех­ нических средств и поддерживающих их организационных мер; • защита АС должна обеспечиваться на всех технологических этапах обработки информации и во всех режимах функ­
ционирования, в том числе при проведении ремонтных и регламентных работ; • программно-технические средства защиты не должны су­ щественно ухудшать основные функциональные характери­ стики АС (надежность, быстродействие, возможность из­ менения конфигурации АС). Нарушители классифицируются по уровню возможностей, предоставляемых им штатными средствами АС и СВТ. Выделя­ ется четыре уровня этих возможностей, причем в рамках «сво­ его» уровня считается, что нарушитель является специалистом высшей квалификации, знает все о АС и, в частности, о системе и средствах ее защиты. Классификация является иерархической, т. е. каждый следующий уровень включает в себя функциональ­ ные возможности предыдущего: • первый — самый низкий уровень возможностей ведения диалога в АС — запуск задач (программ) из фиксированно­ го набора, реализующих заранее предусмотренные функ­ ции по обработке информации; • второй уровень определяется возможностью создания и за­ пуска собственных программ с новыми функциями по об­ работке информации; • третий определяется возможностью управления функцио­ нированием АС, т. е. воздействием на базовое программное обеспечение системы и на состав и конфигурацию ее обо­ рудования; • четвертый уровень определяется всем объемом возможно­ стей лиц, осуществляющих проектирование, реализацию и ремонт технических средств АС, вплоть до включения в со­ став СВТ собственных технических средств с новыми функ­ циями по обработке информации. В качестве главного средства защиты от НСД к информации в Концепции рассматривается система разграничения доступа (СРД) субъектов к объектам доступа. Основными функциями СРД являются: • реализация правил разграничения доступа (ПРД) субъектов и их процессов к данным и устройствам создания твердых копий; • изоляция программ процесса, выполняемого в интересах субъекта, от других субъектов; • управление потоками данных с целью предотвращения за­ писи данных на носители несоответствующего грифа;
• реализация правил обмена данными между субъектами для АС и СВТ, построенных по сетевым принципам. Кроме того, Концепция предусматривает наличие обеспе­ чивающих средств для СРД, которые выполняют следующие функции: • идентификацию и опознание (аутентификацию) субъектов и поддержание привязки субъекта к процессу, выполняе­ мому для субъекта; • регистрацию действий субъекта и его процесса; • предоставление возможностей исключения и включения новых субъектов и объектов доступа, а также изменение полномочий субъектов; • реакцию на попытки НСД, например, сигнализацию , бло­ кировку, восстановление после НСД; • тестирование; • очистку оперативной памяти и рабочих областей на маг­ нитных носителях после завершения работы пользователя с защищаемыми данными; • учет выходных печатных и графических форм и твердых копий в АС; • контроль целостности программной и информационной части как СРД, так и обеспечивающих ее средств. Сервисы безопасности. Кроме перечисленных понятий, свя­ занных с политикой безопасности, при рассмотрении защиты информации в распределенных системах и сетях часто использу­ ется представление о сервисах безопасности, обычно включающих такие, как: • идентификация/аутентификация; • разграничение доступа; • шифрование; • протоколирование/аудит; • контроль целостности и защищенности; • обнаружение отказов и оперативное восстановление; • экранирование и туннелирование. Отметим, что перечисленные направления обеспечения ин­ формационной безопасности и их группы фигурируют в различ­ ных источниках под наименованиями «политики безопасности», «механизмы безопасности», «сервисы безопасности» и т. д., хотя речь часто идет об одних и тех же вещах, типа «криптографиче­ ского закрытия».
Ниже будут рассмотрены конкретные примеры и разновид­ ности угроз безопасности и направления борьбы с ними, незави­ симо от того, являются они элементами «политики», «механиз­ ма» или «сервиса» безопасности. 2.2 . Программно-технические угрозы информационной безопасности ПК jp H k К основным разновидностям вредоносного воздействия ж і д Р относятся воздействие на информацию (уничтожение, ® искажение, м одификация) и воздействие на систему (вы­ вод из строя, ложное инициирование действия, модификация содержания выполняемых функций, создание помех в работе). Англоязычное наименование этих феноменов — malware (бук­ вально — «нехорошие изделия») или badware (от инициативы Stopbadware.org) — говорит само за себя. Stopbadware.org опреде­ ляет приложение как «badware» (обозначается картинкой, приве­ денной в начале данного абзаца), если оно: • действует обманным путем или приводит к необратимым последствиям; • приводит к потенциально нежелательным результатам без того, чтобы: — вначале информировать пользователя об этом понятно и доходчиво; — затем получить его согласие. Защита от злонамеренных (вредоносных) программных средств (ЗПС) для ПК имеет особое значение по ряду причин, а именно: • актуальность для всех без исключения пользователей ПК независимо от того, конфиденциальная или открытая ин­ формация ими обрабатывается; • заражение ЗПС представляет угрозу повышенной опасно­ сти для ПК, чему особенно способствует высокий дина­ мизм обмена информацией как по каналам связи (в сетях ЭВМ), так и посредством гибких дисков; • защита ПК от ЗПС требует особого профессионализма, по­ скольку многие из них носят специфический индивидуаль­ ный характер, а их нейтрализация и устранение сопряжены с программными манипуляциями нередко весьма сложного и даже изощренного характера.
Классификация программных закладок и их общие характеристики К сожалению, всеобъемлющая и научно обоснованная клас­ сификация закладок пока не разработана, однако исходя из це­ лей защиты от вредоносного воздействия закладок, их целесооб­ разно классифицировать по следующей совокупности критериев: • характеру вредоносного воздействия на ПК; • способу реализации; • способу проникновения в ПК; • способности к саморазмножению. Основные значения первого критерия могут быть представле­ ны в следующем виде: • уничтожение или искажение программ и/ил и массивов данных; • формирование каналов несанкционированного получения информации; • вывод ПК из числа действующих, т. е. приведение его в та­ кое состояние, при котором он не может осуществлять свои основные функции; • вредоносное инициирование выполнения предусмотрен­ ных в ПК функций (например, ложная подача команды на остановку производства в автоматизированных системах управления технологическими процессами); • создание препятствий в выполнении функций ПК (напри­ мер, блокировка отображения информации на экране дис­ плея, выдачи на печать и др.) . Возможные значения второго критерия (способ реализации) могут быть представлены следующим перечнем: • аппаратный; • программный; • организационный. Первые два способа реализации, вообще говоря, являются основными, однако в общем случае можно предположить воз­ можность создания также организационных закладок. Напри­ мер, в инструкции об уничтожении информации, находящейся в ЭВМ, в злоумышленных целях можно предусмотреть преждевре­ менное ее уничтожение или, наоборот, сохранение той инфор­ мации, которую надлежало бы уничтожить. В инструкции по ис­ пользованию криптографических средств злоумышленно можно
внести такие положения, выполнение которых может дать кр и п­ тоаналитику дополнительную информацию, облегчающую кр и п ­ тоанализ шифротекста. Нетрудно предположить возможность создания ряда других организационных закладок. По способу проникновения в ПК (третий критерий класси­ фикации) закладки могут быть разделены на следующие группы: • злоумышленно создаваемые в процессе производства ап па­ ратуры ЭВТ и компонентов ее программного обеспечения; • неосознанно вносимые персоналом или пользователями ПК в процессе ее функционирования; • злоумышленно вносимые в процессе функционирования ПК; • злоумышленно создаваемые в процессе ремонта аппарату­ ры или обновления ПК. Наконец, по способности к размножению (четвертый крите­ рий классификации) закладки естественным образом делятся на две разновидности: • саморазмножающиеся; • несаморазмножающиеся. В табл. 2.1 приводится альтернативная классификация про­ граммных средств, опирающаяся на различные уровни нежела­ тельных последствий их функционирования и информированно­ сти пользователей об этих последствиях. Таблица 2.1. Матрица классов программных средств Осознание вий пользе Высокое ;Среднее ,Низкое Обозначения в таблице: — легальные ПС с низкими негативными последствиями и высокой информиро­ ванностью пользователя j — шпионские программы со средней информированностью пользователя или 1 средними негативными последствиями — вредоносные программы с низкой информированностью пользователя или не­ приемлемыми последствиями Известные в настоящее время закладки осуществляются аппаратным или программным путем. іедст - ілями Негативные последствия работы программных средств Незначительные Средние Высо кие Легальные ПС Нежелательные ПС |||рИММауj [«Полупрозрачные» ПС «Непрошенные» ПС МЬмрша»* 1
Аппаратные закладки могут быть осуществлены в процессе изготовления ПК, ремонта или проведения профилактических работ. Реальная угроза таких закладок создается массовым и практически неконтролируемым распространением ПК. Особая опасность аппаратных закладок заключается в том, что они мо­ гут длительное время не проявлять своих вредоносных воздейст­ вий, а затем начать их осуществление или по истечении опреде­ ленного времени, или при наступлении некоторого состояния ПК (например, при заполнении данными жесткого магнитного диска до заданного уровня), или по специальной, подаваемой дистанционно команде. Заблаговременное обнаружение аппа­ ратных закладок возможно только в условиях проверок с ис­ пользованием специальных методов и средств. Программные закладки с точки зрения массового пользовате­ ля представляются особо опасными в силу сравнительной (отно­ сительно аппаратных) простоты их осуществления, высокой дина­ мичности их распространения и повышенной трудности защиты от них. Так, если в итоге специальных проверок аппаратные за­ кладки не были обнаружены или они были ликвидированы (ней­ трализована возможность их действия), то с высокой степенью достоверности можно утверждать об их отсутствии в соответст­ вующем ПК. Программные же закладки могут появиться в любое время, чему о собенно способствуют следующие обстоятельства: • массовый обмен информацией на сменных носителях (НГМД, CD/DVD); • ш ирокое распространение копий программ, приобретен­ ных незаконным путем; • возможности дистанционного воздействия на ПК, подклю­ ченные к сети; • широкий и непрерывно растущий диапазон разновидно­ стей закладок, что усложняет процессы их обнаружения и нейтрализации. В силу изложенных причин защиту от программных закла­ док рассмотрим несколько детальней, выделив при этом следую­ щие вопросы: • классификация закладок и их характеристики; • принципиальные подходы и общая схема защиты от за­ кладок; • методы и средства защиты; • рекомендации пользователям ПК по защите от програм­ мных закладок.
Средства вторжения в частную жизнь Это программы (privacy-invasive software), игнорирующие право пользователя на частную жизнь (или конфиденциальность) и часто преследующие негативные или коммерческие цели. В та­ кой автоматизированной среде, как Internet, существует целый ряд угроз конфиденциальности, которые варьируются от систе­ матической записи повседневных событий (например, какие Internet-сайты были посещены пользователем или какие товары приобретены в Internet-магазинах) до массового маркетинга на основе незаконно полученной персональной информации, а так­ же распространения информации о смертоносных технологиях, которые могут использоваться, например при терактах. Сегодня в различных аспектах использования Internet могут возникать следующие ситуации нарушения конфиденциаль­ ности: • программы-шпионы (spyware) — собирают и передают пер­ сональную информацию о пользователе, тайно загружаясь и выполняясь на его рабочей станции; • программные закладки навязчивой рекламы (adware) — не­ санкционированно отображают рекламу и другое коммер­ ческое содержание на ПК пользователей, зачастую основы ­ ваясь на персональных данных пользователя, выкраденных программами-шпионами; • системные мониторы (system monitors) — записывают и от­ слеживают различные действия, происходящие в компью­ терной системе; • перехватчики клавиатуры (keyloggers) — протоколируют ра­ боту пользователя на клавиатуре; • саморазмножающиеся вредоносные программы (self-repli­ cating malware), например, вирусы и черви — загружаются и дезорганизуют работу систем и сетей; • программы сбора данных (data-harvesting software), предна­ значенные для сбора почтовых адресов, стали обычным де­ лом в Internet, в результате чего спам-сообщения по элек­ тронной почте с нежелательным коммерческим содержани­ ем заполнили сети и компьютеры. Может быть дано следующее определение ПС, нарушающих конфиденциальность: • эти ПС игнорируют право пользователя на частную жизнь (т. е. нежелательны и не дают пользователю возможность
установить, с какой целью и с какими последствиями дан­ ные персональной идентичности собираются, хранятся или обрабатываются); • они распространяются (дистрибьютор часто анонимен, но обычно располагается в Internet-инфраструктуре) с опреде­ ленными целями, зачастую коммерческого характера (т. е. как некий инструмент извлечения доходов независимо от типа и качества), которые негативно сказываются на поль­ зователях. Программы-шпионы. Известен ряд определений этих типов ПС, например: любое программное обеспечение, которое использует соединение пользователя с Internet в фоновом режиме (или «backchannel») без его ведома и разрешения (2000 г., Стив Гибсон). В Антишпионской коалиции (Anti-Spyware Coalition, ASC), которая состоит из заинтересованных общественных групп, тор­ говых ассоциаций и разработчиков антиш пионских программ, пришли к выводу, что термин «шпионские программы» следует использовать на различных уровнях абстракции: • в узком смысле шпионские программы — средства слеже­ ния (tracking software), помещенные на ПК пользователя без надлежащего его уведомления, согласия, или контроля; • в более широком смысле — это программы, которые раз­ мещаются на П К без согласия соответствующего пользова­ теля и/или функционируют таким образом, чтобы мешать пользователю контролировать: — существенные изменения, которые влияют на эффектив­ ность, неприкосновенность частной жизни или системы безопасности; — использование системных ресурсов (в том числе инфор­ мацию о том, какие программы установлены на компью­ тере); — сбор, использование и распространение персональных данных или другой важной информации; • в наиболее широком смысле ASC предлагает использовать определение «программы-шпионы и другие потенциально нежелательные технологии» для любого программного обеспечения, которое может быть запущено на компьюте­ рах пользователей без их информированного согласия. Наиболее часто к этой категории относят программы, кото­ рые отправляют личные данные злоумышленнику без ведома и
согласия их владельца. Они используют функции слежения для отправки статистической информации (например, список посе­ щаемых Web-сайтов, адреса электронной почты в адресных кни­ гах или набираемый на клавиатуре текст). Авторы шпионского программного обеспечения утверждают, что эти технологии направлены на изучение потребностей и инте­ ресов пользователей и позволяют лучше управлять рекламой. Проблема заключается в том, что нет четкой границы между по­ лезными и злонамеренными приложениями, и никто не гаранти­ рует, что собираемая информация не будет использована во вред. Данные, полученные шпионскими приложениями, могут содер­ жать пароли пользователя, P IN -коды, номера счетов и т. д. Ш пи­ онское программное обеспечение зачастую поставляется в ком­ плекте со свободно распространяемыми программами. Это по­ зволяет авторам возместить расходы на разработку программ или проводить стимуляцию продаж ПО. Зачастую пользователи ин­ формируются о присутствии шпионского программного обеспе­ чения во время установки основной программы. При этом в плат­ ной версии программы этого программного обеспечения нет. Примерами хорошо известного программного обеспечения, которое поставляется в комплекте со шпионским, являются кли­ енты пиринговых (P2P) сетей. Spyfalcon или Spy Sheriff (и многие другие) принадлежат особой подкатегории шпионского ПО. Об этих программах заявляется, что они предназначены для борьбы со шпионским ПО, но на самом деле они сами являются таковым. Если на компьютере обнаружен файл, принадлежащий ш пи­ онскому ПО, рекомендуется удалить его, так как он с большой вероятностью содержит злонамеренный код. Компьютерные наблюдения. Этот тер мин (co mp uter surveil­ lance) имеет двоякое толкование: во-первых, сюда относятся средства отслеживания (слежения, «трекинга», от англ. tracking) компьютерной активности, во-вторых — это средства «зомбиро- вания» компьютера, превращения его в устройство наблюдения за пользователем. Компьютеры представляют собой идеальные инструменты для организации подобного наблюдения, поскольку они могут выполнить какие-то действия без ведома и согласия их владель­ цев. Большинство компьютеров подключены к сетям и могут ис­ пользоваться (после разрушения средств безопасности), чтобы получить доступ к любой конфиденциальной информации, ко­ торая может храниться на компьютере.
Известны, например, средства регистрации трафика данных между компьютером и сетью. В некоторых сетях данные отправ­ ляются только на ту машину, которой они предназначены (unicast), в то время как в других (например, Ethernet) передача транслируется на все связанные компьютеры (broadcast), но об­ рабатываются данные только целевым компьютером. В послед­ нем случае можно перехватывать трафик, просто используя дру­ гой компьютер в той же сети, без необходимости какого-либо программного обеспечения или оборудования на «поднадзор­ ной» машине. Известны также и устройства физического (аппаратного) на­ блюдения («жучки»). Относительно простым «жучком» является перехватчик клавиатуры, способный запоминать и передавать клавиатурные последовательности. Более сложные (и более легко обнаруживаемые) устройства, имеющие доступ к окружающей информации, могут также, в принципе, быть установлены внутри компьютера (или рядом). Их очевидным недостатком является необходимость физическо­ го присутствия злоумышленника при их установке в том месте, где находится компьютер, а этот факт легко подпадает под мно ­ жество законодательных определений преступных действий (от­ метим, однако, что законодательство США, например, дает ра­ ботодателям довольно широкие полномочия по использованию компьютеров для слежения за поведением работников). Самый простой способ поместить программы слежения на компьютер заключается в том, чтобы проникнуть в помещение, где находится компьютер, и установить их с компакт-диска, дис­ кеты или флэш-накопителя. Этот метод имеет недостатки, при­ сущие аппаратным «жучкам», поскольку требует физического доступа к компьютеру. Более сложный метод предполагает, чтобы пакет программ­ ного обеспечения слежения был установлен в качестве компью­ терного вируса или «троянского коня». Эта тактика имеет то преимущество, что сразу несколько компьютеров будут «обору­ дованы для наблюдения». Тем не менее, если вирус будет рас­ пространяться, то он станет мишенью антивирусных программ, которые могут удалить ПО наблюдения с зараженных компью­ теров. Известно, что можно отслеживать операции компьютера на расстоянии, используя только оборудование, находящееся в от­ крытой продаже, путем анализа излучения ЭЛТ-монитора. И з­
вестно, кроме того, что высокочастотный шум, излучаемый про­ цессором, включает в себя информацию о выполняющихся ко ­ мандах. Более того, исследования фирмы IBM показали также, что для большинства компьютерных клавиатур каждая нажимае­ мая клавиша издает свой специфический звук/шум, и эти разли­ чия можно индивидуально идентифицировать при определенных условиях, и поэтому записать и идентифицировать последова­ тельности клавиатурных кодов без необходимости анализа рабо­ ты компьютерных программ. Еще одним каналом отслеживания использования компьютера (работа с клавиатурой, отображение изображений и т. д.) являются видеокамеры, которые становятся достаточно компактными, чтобы быть легко скрытыми для обес­ печения тайного наблюдения. Беспроводная связь между компьютерами или между ком по ­ нентами компьютера (например, клавиатуры, мыши, принтеры, модемы и т. д.) также создает проблемы безопасности. Некото­ рые беспроводные протоколы являются в принципе ошибочны­ ми с точки зрения безопасности (например, WAP, Bluetooth), поэтому при разработке новых беспроводных стандартов (обес­ печивающих большую дальность и скорость передачи) требова­ ния к безопасности возрастают. Радикальным, но чрезмерно дорогим средством защиты от дистанционного наблюдения на основе излучения мониторов или процессоров является экранирование помещения («клетка Фарадея»), исключающее проникновение электромагнитных волн за пределы экрана. Более простым методом является при­ менение специальных программных средств (например, в прави­ тельственных учреждениях США с этой целью используется продукт Tempest), работа которых изменяет естественный харак­ тер излучения компьютера. Мониторинговый программный продукт (tracking software — следящая программа) предназначен для обеспечения наблюдаемости вычислительных систем, а также позволяет ф ик ­ сировать деятельность пользователей и процессов, использова­ ние пассивных объектов, а также однозначно устанавливать идентификаторы причастных к определенным событиям пользо­ вателей и процессов. Разновидности: • Employee Monitoring Software — мониторинго­ вые программные продукты для контроля сотрудников предприятий и организаций;
• Parental Control Software — мониторинговые про­ граммные продукты для родительского контроля несовер­ шеннолетних детей; • Access Control Software — мониторинговые про­ граммные продукты контроля доступа; • Personnel Security Programs — программные про­ дукты защиты от персонала. Очевидно, это продукты двойного назначения, поскольку только метод применения мониторинговых про­ граммных продуктов позволяет увидеть грань между обеспечени­ ем безопасности и нарушением безопасности, так как о н и могут использоваться: • санкционированно — для предотвращения нарушения по­ литики безопасности и/или обеспечения ответственности за определенные действия. Это применение мониторинго­ вых программных продуктов происходит с ведома владель­ ца (администратора безопасности) автоматизированной системы или с ведома владельца конкретного персонально­ го компьютера; • несанкционированно — установка мониторинговых про­ граммных продуктов происходит без ведома владельца (администратора безопасности) автоматизированной сис­ темы или без ведома владельца конкретного персонально­ го компьютера. Несанкционированно применяемые мони­ торинговые программные продукты квалифицируются как шпионские программные продукты. Программа отслеживания, установленная на компьютере, может анализировать содержимое жесткого диска, собирать о п­ ределенные данные, запоминать пароли и даже передавать эту информацию своему «шефу» через Internet. Наиболее распро­ страненными, безусловно, являются коммерческие шпионские программы, предназначенные для сбора маркетинговой инфор­ мации. Однако такие программы не ограничиваются только сбо­ ром данных, они также могут производить более опасные дейст­ вия, а именно удаление или изменение данных. Например, такие приложения могут быть загружены с Web-уЗла, из почтового или мгновенного сообщения. Затем они собирают конфиденциальную информацию о поведении пользо­ вателя. HTTP cookies (индексы навигации) — небольш ие текстовые файлы, протоколирующие состояния HTTP-обмена и
активность браузера (поскольку протокол HTTP не предусматри­ вает запоминания состояний сессии) также могут использовать­ ся для отслеживания действий пользователя. Поэтому «анти- шпионские программы» (например, AdAware, см. ниже) обычно воспринимают их как закладки и либо удаляют, либо рекоменду­ ют пользователю удалить их. Компьютерные вирусы Вирус — это специально написанная, небольшая по размерам программа (т. е. некоторая совокупность выполняемого кода), которая может «приписывать» себя к другим программам («зара­ жать» их), создавать свои копии и внедрять их в файлы, систем ­ ные области компьютера и т. д. Компьютерные вирусы могут раз­ личаться по активности и степени опасности. Некоторые из ви ­ русов особо опасны, так как могут уничтожать файлы на компьютере. С другой стороны, некоторые из вирусов не приво­ дят к серьезным повреждениям. Они просто досаждают пользо­ вателю своей деятельностью, которая призвана демонстрировать навыки их разработчиков. По-видимому, самым ранним примером могут служить пер­ вые прототипы будущих вирусов — программы-кролики (rabbits). Не причиняя разрушений, они тем не менее были сконструированы так, что, многократно копируя себя, захваты­ вали большую часть ресурсов системы, отнимая процессорное время у других задач. История их создания доподлинно неиз­ вестна. Возможно, они явились следствием программной ошиб­ ки, которая приводила к зацикливанию и наделяла программу репродуктивными свойствами. Первоначально кролики встреча­ лись только на локальных машинах, но с появлением сетей бы­ стро «научились» распространяться по последним. Затем, в конце 60-х гг. была обнаружена саморазмножающая- ся по сети APRAnet программа, известная сегодня как Creeper (Вьюнок), которая проявляла себя текстовым сообщением: «i'm the creeper catch me.if you can» (« я вьюнок. поймай меня, если сможешь»), и экономно относилась к ресурсам пораженной машины, не причиняя ей никакого вреда, разве что, слегка беспокоя пользо­ вателя. Каким бы безвредным Вьюнок ни казался, он впервые
показал, что проникновение на чужой компьютер возможно без ведома и против желания его владельцев. С появлением Вьюнка родились и первые системы защиты. Теперь компьютеры стали ценностью, которую следовало охра­ нять не только от воров с отмычками и трейлерами (а на чем еще можно было увезти компьютеры того времени?), но и от разруши­ тельных или злоумышленных команд, проникающих по сети или через магнитные носители. Первым шагом в борьбе против Вьюн­ ка стал Жнец (Reaper), репродуцирующийся наподобие Вьюнка, но уничтожающий все встретившиеся ему копии последнего. Так как вирус самостоятельно обеспечивает свое размноже­ ние и распространение, пользователь в случае обнаружения ви­ руса должен проверить всю систему, уничтожая копии вируса. Если удалось уничтожить все копии вируса, то можно сказать, что вылечена вся система; в противном случае уцелевшие копии снова размножатся и все неприятности повторятся сначала. Сво­ им названием компьютерные вирусы обязаны определенному сходству с биологическими вирусами: • по способности к саморазмножению; • высокой скорости распространения; • избирательности поражаемых систем (каждый вирус пора­ жает только определенные системы или однородные груп­ пы систем); • способности «заражать» еще незараженные системы; • трудности борьбы с вирусами и т. д. В последнее время к этим особенностям, характерным для вирусов компьютерных и биологических, можно добавить еще и постоянно увеличивающуюся быстроту появления модификаций и новых поколений вирусов. Только если в случае вирусов биологических эту скорость можно объяснить могуществом и изобретательностью природы, то вирусы компьютерные скоростью возникновения новых штам ­ мов обязаны исключительно идеям людей определенного склада ума. Программа, внутри которой находится вирус, называется «за­ раженной». Когда такая программа начинает работу, то сначала управление получает вирус. Вирус находит и «заражает» другие программы, а также выполняет какие-нибудь вредные действия (например, портит файлы или таблицу размещения файлов на диске, «засоряет» оперативную память и т. д.). Для маскировки вируса действия по заражению других программ и нанесению
вреда могут выполняться не всегда, а, скажем, при выполнении определенных условий. Классификация вирусов. Один из известных «вирусологов» страны Е. Касперский предлагает условно классифицировать в и­ русы по следующим признакам: • по среде обитания вируса; • по способу заражения среды обитания; • по деструктивным возможностям; • по особенностям алгоритма вируса. Более подробная классификация внутри этих групп пред­ ставлена в табл. 2.2. Таблица 2.2. Классы вирусов Признак Тип вируса Сетевые Распространяются по компьютерной сети Файловые Внедряются в выполняемые файлы ос — ------ I Загрузочные Внедряются в загрузочный сектор диска (Boot-ceKTop) или в сек- I J тор, содержащий системный загрузчик винчестера (Master Boot ° Record) а -------------------------------------------------------------- — о- Комбинированные Например, файлово-загрузочные вирусы, заражающие как фай- і лы, так и загрузочные секторы дисков. Такие вирусы, как прави­ ло, имеют довольно сложный алгоритм работы и часто приме­ няют оригинальные методы проникновения в систему При инфицировании компьютера оставляет в оперативной памя­ ти свою резидентную часть, которая затем перехватывает обра­ щение операционной системы к объектам заражения и внедря­ ется в них. Резидентные вирусы находятся в памяти и являются активными вплоть до выключения или перезагрузки компьютера Не заражают память компьютера и являются активными ограни- | ченное время. Некоторые вирусы оставляют в оперативной па­ мяти небольшие резидентные программы, которые не распро­ страняют вирус. Такие вирусы считаются нерезидентными jj Не влияющие на работу компьютера (кроме уменьшения свобод- \ ной памяти на диске в результате своего распространения) Влияние ограничивается уменьшением свободной памяти на диске и графическими, звуковыми и пр. эффектами Могут привести к серьезным сбоям в работе I Могут привести к потере программ, уничтожить данные, стереть1 необходимую для работы компьютера информацию, записанную в системных областях памяти Резидентные Нерезидентные Безвредные Неопасные Ео ----- Ш2 Опасные оg ___ азg 1=1 Очень опасные Пояснения
Окончание табл. 2 .2 I Признак I Тип вируса Пояснени я Компаньон-виру- Вирусы, не изменяющие файлы. Алгоритм работы этих вирусов jсы (companion) состоит в том, что они создают для ехе-файлов файлы-спутни­ ки, имеющие то же самое имя, но другое расширение «Черви» (worm) Распространяются в компьютерной сети и, так же, как и ком- !| Iпаньон-вирусы, не изменяют файлы или секторы на дисках. Они ! проникают в память компьютера из компьютерной сети, вычис­ ляют сетевые адреса других компьютеров и рассылают по этим адресам свои копии «Паразитические» Вирусы, которые при распространении своих копий обязательно ! изменяют содержимое дисковых секторов или файлов. В эту группу относятся все вирусы, которые не являются «червями» или «компаньонами» I «Студенческие» Примитивные вирусы, часто нерезидентные и содержащие боль­ шое число ош ибок «Стелс»-вирусы (вирусы-невидим- ки, stealth) Представляют собой весьма совершенные программы, которые перехватывают обращения ОС к пораженным файлам или секто­ рам дисков и «подставляют» вместо себя незараженные участки информации. Кроме этого, такие вирусы при обращении к фай­ лам используют достаточно оригинальные алгоритмы, позво­ ляющие «обманывать» резидентные антивирусные мониторы іПолиморфиче- !ские вирусы Самошифрующиеся или вирусы-призраки (polymorphic) — труд- нообнаруживаемые вирусы, не имеющие сигнатур, т. е. не со­ держащие ни одного постоянного участка кода. В большинстве случаев два образца одного и того же полиморфик-вируса не будут иметь ни одного совпадения. Это достигается шифровани­ ем основного тела вируса и модификациями программы-рас­ шифровщика Макровирусы Используют возможности макроязыков, встроенных в системы обработки данных (текстовые редакторы, электронные таблицы и т. д .) . Наиболее распространены макровирусы, заражающие текстовые документы редактора Microsoft Word Основными путями проникновения вирусов в компьютер яв­ ляются съемные диски (гибкие и лазерные), а также компьютер­ ные сети. Заражение жесткого диска вирусами может произойти при загрузке программы с дискеты, содержащей вирус. Такое за­ ражение может быть и случайным, например, если дискету не вынули из дисковода а: и перезагрузили компьютер, при этом дискета может быть и не системной. Заразить дискету гораздо проще. На нее вирус может попасть, даже если дискету просто
вставить в дисковод зараженного компьютера и, например, про­ читать ее оглавление. Важно заметить, что вирусы постепенно становятся редко­ стью по сравнению с троянским и программами или ш пио н­ ским ПО, так как они коммерчески малоэффективны для авторов злонамеренных программ. Таким образом, термин «вирус» зачас­ тую неверно используется для других типов заражений. В настоя­ щее время он постепенно выходит из употребления, и на смену ему приходит более точный термин «злонамеренное ПО» (ЗПС). Если компьютер заражен вирусом, необходимо восстановить за­ раженные файлы в их исходное состояние, т. е. очистить их с по ­ мощью антивирусной программы. Примеры вирусов: OneHalf, Tenga и Yankee Doodle. Рассмотрим более подробно некоторые из этих типов виру­ сов. Загрузочные вирусы. Известные на сегодня загрузочные виру­ сы заражают загрузочный (boot) сектор гибкого диска и boot-сектор или Master Boot Record (MBR) НЖМД. Принцип действия загрузочных вирусов основан на алгоритмах запуска операционной системы при включении или перезагрузке компь­ ютера — после необходимых тестов установленного оборудова­ ния (памяти, дисков и т. д.) программа системной загрузки счи­ тывает первый физический сектор загрузочного диска (а:, с: или CD-ROM в зависимости от установок BIOS) и передает на него управление. При заражении дисков загрузочные вирусы «подставляют» свой код вместо какой-либо программы, получающей управление при загрузке системы. Принцип заражения, таким образом, та­ ков — вирус «заставляет» систему при перезапуске отдать управ­ ление не оригинальному коду загрузчика, а коду вируса. Заражение дискет производится единственным известным способом — вирус записывает свой код вместо оригинального кода boot-сектора дискеты. НЖМД может заражаться тремя спо­ собами — вирус записывается либо вместо кода MBR, либо вме­ сто кода boot-сектора загрузочного диска (обычно диска с:), либо модифицирует адрес активного boot-сектора в таблице разделов диска (Disk Partition Table), расположенной в MBR НЖМД. При инфицировании диска вирус в большинстве случаев пе­ реносит оригинальный boot-сектор (или MBR) в другую область диска (например, в первый свободный сектор). Если длина ви­ руса больше длины сектора, то в заражаемый сектор помещается
первая часть вируса, остальные части размещаются в других сек­ торах (например, в первых свободных). Файловые вирусы. По способу заражения файлов эти вирусы образуют следующие классы: • перезаписывающие (overwriting); • паразитические (parasitic); • в ирусы-компаньоны (companion); • вирусы-ссылки (link); • вирусы, заражающие объектные модули (obj); • вирусы, заражающие библиотеки компиляторов (lib); • вирусы, заражающие исходные тексты программ. Перезаписывающие. Данный метод заражения является наиболее простым, поскольку вирус записывает свой код вместо кода заражаемого файла, уничтожая его содержимое. Естествен­ но, что после этого файл не восстанавливается. Такие вирусы очень быстро обнаруживают себя, поскольку могут возникнуть серьезные нарушения в работе операционной системы и прило­ жений. Паразитические. К этой группе относятся все файловые вирусы, которые при распространении своих копий обязательно изменяют содержимое заражаемых файлов, оставляя сами файлы при этом полностью или частично работоспособными. Основ­ ными типами таких вирусов являются вирусы, размещающиеся в начало (prepending), в конец (appending) и в середину файла (inserting). В свою очередь, внедрение вирусов в середину фай­ лов происходит различными методами — путем переноса части файла в его конец или копирования вирусного кода в область заведомо неиспользуемых данных файла (саѵку-вирусы). Внедрение вируса в начало файла. И звестны два способа внедрения паразитического файлового вируса в начало файла. Первый заключается в том, что вирус переписывает нача­ ло заражаемого файла в его конец, а сам помещается на освобо­ дившееся место. При заражении файла вторым способом вирус дописывает заражаемый файл к своему телу. Таким образом, при запуске зараженного файла управление получает код вируса. При этом вирусы, чтобы сохранить работоспособность програм­ мы, либо лечат зараженный файл, повторно запускают его, ждут окончания его работы и снова размещаются в его начало (иногда для этого используется временный файл, в котором сохраняется обезвреженный файл), либо восстанавливают код программы в
памяти компьютера и настраивают необходимые адреса в ее теле (т. е. выполняют функции ОС). Внедрение вируса в конец файла. Наиболее распро­ страненным способом внедрения вируса в файл является дописы ­ вание вируса в его конец. При этом вирус изменяет начало файла таким образом, что первыми выполняемыми командами програм­ мы, содержащейся в файле, являются команды вируса. Для того чтобы получить управление при старте файла, вирус корректирует стартовый адрес программы (адрес точки входа). Для этого вирус производит необходимые изменения в заголовке файла. Внедрение вируса в середину файла. Существует несколько путей внедрения вируса в середину файла. В наибо­ лее простом случае вирус перемещает участок файла в его ко­ нец или «раздвигает» файл и записывает свой код в освободив­ шееся пространство. Некоторые вирусы при этом сжимают пе­ реносимый блок файла так, что длина файла при заражении не изменяется. Вторым является метод «cavity», при котором вирус записывается в заведомо неиспользуемые области файла. Вирус может быть скопирован в незадействованные области заголовка ехе-файла, в промежутки между секциями ехе-файлов или в область текстовых сообщений популярных компиляторов. Су ­ ществуют вирусы, заражающие только те файлы, которые со­ держат блоки, заполненные каким-либо постоянным кодом, при этом вирус записывает свой код вместо такого блока. Кро­ ме того, копирование вируса в середину файла может произой­ ти в результате ошибки вируса, и в этом случае файл может быть необратимо испорчен. Вирусы без точки входа. Отдельно следует отметить довольно незначительную группу вирусов, не имеющих «точки входа» (ЕРО-вирусы — Entry Point Obscuring viruses). К ним от­ носятся вирусы, не изменяющие адрес точки старта в заголовке ехе-файло в. Такие вирусы записывают команду перехода на свой код в какое-либо место файла и получают управление не при запуске зараженного файла, а при вызове процедуры, содер­ жащей код передачи управления на тело вируса. Причем выпол­ няться эта процедура может крайне редко (например, при выво­ де сообщения о какой-либо специфической ошибке). В резуль­ тате вирус может долгое время находиться внутри файла и проявить себя только при некоторых ограниченных условиях. Перед тем как записать в середину файла команду перехода на свой код, вирусу необходимо выбрать «правильный» адрес в
файле — иначе зараженный файл может оказаться испорчен­ ным. Известны несколько способов, с помощью которых вирусы определяют такие адреса внутри файлов, например, поиск в файле последовательности стандартного кода заголовков проце­ дур языков программирования (C/Pascal), дизассемблирование кода файла или замена адресов импортируемых функций. Компаньоны. К этой группе относятся вирусы, не изме­ няющие заражаемых файлов и алгоритм их работы состоит в том, что для заражаемого файла создается файл-двойник, при­ чем при запуске зараженного файла управление получает имен­ но этот двойник, т. е. вирус. При заражении вирус переимено­ вывает файл, запоминают его (для последующего запуска фай- ла-хозяина) и записывают свой код на диск под именем заражаемого файла. Например, файл notepad.exe переимено­ вывается в notepad.exd, а вирус записывается под именем notepad.exe. При запуске управление получает код вируса, ко­ торый затем запускает оригинальный notepad. Возможно существование и других типов вирусов-компаньо- нов, использующих иные оригинальные идеи или особенности других операционных систем. Например, p ath -компаньоны, ко­ торые размешают свои копии в корневом каталоге Windows, ис­ пользуя тот факт, что этот каталог является первым в списке p a th , и файлы для запуска Windows в первую очередь будет ис­ кать именно здесь. Данным способом самозапуска пользуются также многие компьютерные черви и троянские программы. Прочие способы заражения. Существуют вирусы, которые не связывают свое присутствие с каким -либо выпол­ няемым файлом. При размножении они копируют свой код в какие-либо каталоги дисков в расчете на то, что эти новые ко­ пии будут когда-либо запущены пользователем. Иногда эти ви­ русы дают своим копиям «специальные» имена, чтобы подтолк­ нуть пользователя на их запуск — например, install.exe или winstart.bat. Некоторые вирусы записывают свои копии в архивные фай­ лы (arj, zip, гаг), а другие записывают команду запуска зара­ женного файла в bat-файлы. Link-вирусы также не изменяют физического содержимого файлов, однако при запуске зараженного файла принуждают ОС выполнить вирусный код. Этой цели они достигают модифика­ цией необходимых полей файловой системы.
Автономные (вирусы-программы). Со временем вирусы, вне­ дряющие свой код в тело других программ, сдали свои позиции, во многом по той причине, что размеры вирусов выросли, а ук ­ рыть код размером в сотни килобайт довольно сложно. В итоге «исполняемые» вирусы перестали маскироваться и превратились в независимые программы, не нуждающиеся в «хозяине-пере- носчике». Сразу же перед авторами вирусов возникла пробле­ ма — как заставить пользователей загрузить этот вирус и запус­ тить у себя на машине? Программные вирусы, написанные для операционной систе­ мы Windows, обычно маскируются под разные утилиты, напр и­ мер, под ключи к условно-бесплатных программам, мультиме­ дийные презентации, обновления для операционной системы или даже антивирусные программы. Большинство вирусов поль­ зователи запускают на своем компьютере самостоятельно. Вирус способен атаковать компьютер даже в том случае, если его «тело» физически находится в другом месте. Например, один из самых «модных» вирусов 2003 г. — Blaster — был способен атаковать все компьютеры в локальной сети с одной-единствен- ной машины (рис. 2.2). Сканируя локальную сеть, программа обнаруживала бреши в защите каждого компьютера и самостоя­ тельно внедряла туда вредоносный код. О Система завершает работу. Сохраните данные и выйаите из системы. Вое несохраненные изменения будут потеряны. Отключение системы вызвано NT AUTHORITY\SYSTEM Врем я д о отклю •юния: 00:QO:А 2 ;- Сюобщение — ------------------------- ■ Необходимо перез агрузигь Windows, поскольку произошла непредваденная остановка службы Удаленный вызов процедур (RPC) Рис. 2 .2. Сообщение вируса Blaster Для борьбы с подобными вирусами одной антивирусной программы недостаточно и главным условием безопасности я в ­ ляется обязательная и регулярная загрузка обновлений к Win­ dows (файлов-»заплаток», предназначенных для закрытия уже обнаруженных брешей в системе зашиты ОС).
Полиморфные вирусы — вирусы, модифицирующие свой код в зараженных программах таким образом, что два экземпляра од­ ного и того же вируса могут не совпадать ни в одном бите. П о ­ лиморфизм (греч. коХѵ — много + греч. luopcprj — форма, внеш ­ ний вид) — техника, предназначенная для затруднения поиска компьютерного вируса путем сканирования кода. Такие вирусы не только шифруют свой код, используя различные пути ш ифро­ вания, но и содержат код генерации шифровщ ика и расш ифров­ щика, что отличает их от обычных шифровальных вирусов, кото­ рые также могут шифровать участки своего кода, но имеют при этом постоянный код шифровщика и расшифровщика. Цель такого шифрования заключается в невозможности про­ анализировать его код с помощью обычного дизассемблирова­ ния. Этот код зашифрован и представляет собой бессмысленный набор команд. Расшифровка производится самим вирусом уже непосредственно во время выполнения. При этом возможны ва­ рианты: он может расшифровать себя всего сразу, а может вы­ полнить такую расшифровку «по ходу дела», может вновь ш иф ­ ровать уже отработавшие участки. Все это делается ради затруд­ нения анализа кода вируса. После появления полиморфизма антивирусные продукты, в свою очередь, также освоили новые приемы — эвристику и эмуляторы кода. Стелс-вирусы. В ходе проверки компью тера антивирусные программы считывают данные — файлы и системные области с жестких дисков и дискет, пользуясь средствами операционной системы и базовой системы ввода-вывода BIOS. Ряд вирусов после запуска оставляют в оперативной памяти компьютера специальные модули, перехватывающие обращение программ к дисковой подсистеме компьютера. Если такой модуль обнару­ живает, что программа пытается прочитать зараженный файл или системную область диска, он на ходу подменяет читаемые данные. Стелс-вирусы обманывают антивирусные программы и в ре­ зультате остаются незамеченными. Тем не менее существует про­ стой способ отключить механизм маскировки стелс-вирусов. Достаточно загрузить компьютер с незараженной системной дис­ кеты и сразу, не запуская других программ с диска компьютера (которые также могут оказаться зараженными), проверить ко м­ пьютер антивирусной программой. При загрузке с системной дискеты вирус не может получить управление и установить в оперативной памяти резидентный
модуль, реализующий стелс-механизм. Антивирусная программа сможет прочитать информацию , действительно записанную на диске, и легко обнаружит вирус. Макровирусы. В отличие от классических вирусов, эти пара­ зитируют не на исполняемых файлах, а на документах, подготов­ ленных в популярных программах из комплекта Microsoft Office. В текстовый редактор Microsoft Word и табличный редактор Microsoft Excel встроен собственный язык программирования — Visual Basic for Applications (VBA), предназначенный для созда­ ний специальных дополнений к редакторам — макросов. Эти макросы сохраняются в теле документов Microsoft Office и легко могут быть заменены вирусами. После открытия зараженного файла вирус активируется и заражает все документы Microsoft Office на НЖМД. Одна из самых мощных атак макровирусов была зарегистри­ рована в марте 1999 г., когда вирус Melissa, созданный програм­ мистом Д. Смитом, за несколько часов распространился по всему миру. И хотя этот вирус был сравнительно безопасным (Melissa ограничивался тем, что заражал все существующие документы и рассылал свои копии лицам, внесенным в адресную книгу Microsoft Outlook), его появление заставило Microsoft срочно ос­ настить программы Microsoft Office защитой от запуска макросов. При открытии любого документа, содержащего встроенные мак­ росы, Word и Excel запрашивают подтверждение пользователя. Скрипт-вирусы. Макровирусы являются одной из разновид­ ностей большого семейства вредоносных программ — скрипт-ви - русов. Их выделение связано с тем фактором, что именно макро­ вирусы положили начало всему этому семейству, к тому же виру­ сы, ориентированные на программы Microsoft Office, получили наибольшее распространение. Следует отметить также, что скрипт-вирусы являю тся подгруппой файловых вирусов и напи­ саны на различных скрипт-языках (VBS, JS, ВАТ, РНР и т. д.). Общая черта скрипт-вирусов — это привязка к одному из «встроенных» языков программирования. Каждый вирус привя­ зан к конкретным изъянам в защите одной из программ Windows и представляет собой не самостоятельную программу, а набор инструкций, которые заставляют в общем-то безобидный «дви­ жок» программы совершать не свойственные ему разрушитель­ ные действия. Большая часть скрипт-вирусов распространяется через элек­ тронную почту (такие вирусы чаще называют Internet-червями).
Пожалуй, ярчайшими представителями этого семейства являют­ ся вирусы LoveLetter и AnnaKournikova, атаки которых при­ шлись на сезон 2001—2002 гг. Оба этих вируса использовали один и тот же прием, основанный не столько на слабости защи­ ты операционной системы, сколько на неопытности пользовате­ лей. Хитрость создателей вируса проста — файл, который пока­ зался нам картинкой, имел двойное расширение, например, AnnaKournikova.jpg .vbs. Второе расширение является истинным типом файла, в то время как первое — часть его имени, а поскольку расширение vbs Windows хорошо знакомо, она прячет его от глаз пользова­ телей, оставляя на экране лиш ь имя AnnaKournikova. jpg. Следует отметить, что в качестве вложения в письмо относи­ тельно безопасны только файлы типов txt, jpg, gif, tif,bmp, mp3, wma. К безусловно опасных типам файлов относятся: asx, bas, bat, cmd, com, cpl, crt, exe, inf, ins, js, msc, msi, pif, reg, vbs. Кроме вирусов, к вредоносным программам принято отно­ сить также инструментальные средства, способствующие созда­ нию вирусов и укрытию их от средств антивирусной защиты. PolyEngine — полиморфные генераторы. Полиморфные гене­ раторы не являются вирусами в прямом смысле этого слова, по ­ скольку в их алгоритм не закладываются функции размножения, т. е. открытия, закрытия и записи в файлы, чтения и записи сек­ торов и т. д. Главной функцией подобного рода программ явля­ ется шифрование тела вируса и генерация соответствующего расшифровщика. Обычно полиморфные генераторы распространяются их ав­ торами без ограничений в виде файла-архива. Основным фай­ лом в архиве любого генератора является объектный модуль, со ­ держащий этот генератор. Во всех встречавшихся генераторах этот модуль содержит внешнюю (external) функцию — вызов программы генератора. Constructor — конструкторы вирусов и троянских программ, или VirTools — это утилиты, предназначенные для изготовления новых компьютерных вирусов и «троянцев» и/и ли их изучения в хакерских целях. Известны конструкторы вирусов для DOS, Windows и макровирусов. Они позволяют генерировать исход­ ные тексты вирусов, объектные модули и/ил и непосредственно зараженные файлы.
Некоторые конструкторы снабжены стандартным оконным интерфейсом, где с помощью системы меню можно выбрать тип вируса, поражаемые объекты, наличие или отсутствие самошиф- ровки, противодействие отладчику, внутренние текстовые стро­ ки, выбрать эффекты, сопровождающие работу вируса и т. п. Прочие конструкторы не имеют интерфейса и считывают и н ­ формацию о типе вируса из конфигурационного файла. FileCryptor, PolyCryptor — скрытие от антивирусных про­ грамм, хакерские утилиты, использующиеся для шифрования других вредоносных программ с целью скрытия их содержимого от антивирусной проверки. VirTool — утилиты, предназначенные для облегчения напи­ сания компьютерных вирусов и для их изучения в хакерских целях. Компьютерные черви Компьютерный червь (computer worm) — саморазмножаю- щаяся программа, использующая сеть для отправки своих копий на другие узлы (компьютерные терминалы сети), причем он мо ­ жет делать это без какого-либо вмешательства пользователей. В отличие от вируса червь не нуждается в присоединении к ка- кой-либо другой программе. Черви почти всегда причиняют вред сети хотя бы тем, что увеличивают трафик, тогда как виру­ сы обычно повреждают или изменяют файлы на компьюте­ ре-мишени. Первоначально многие черви были созданы только для рас­ пространения по сети и не пытались воздействовать на системы, через которые они проходят. Однако в дальнейшем ситуация из­ менилась. Наиболее типичным является случай, когда червь проделывает «черный ход» (backdoor или бэкдор) с целью «зом­ бировать» зараженный компьютер, поставив его под контроль автора червя. Черви Sobig и Mydoom являются такими примера­ ми. Созданный «черный ход» может быть использован другими вредоносными программами, в том числе червями. Примеры включают Doomjuice, который распространяется, используя чер­ ный ход, открытый червем Mydoom. Большинство экспертов по безопасности считает всех червей вредоносными программами независимо от их действительного поведения и/или намерений их авторов.
Основным признаком, по которому типы червей различаются между собой, является способ распространения червя — каким способом он передает свою копию на удаленные компьютеры. Другими признаками различия являются способы запуска копии червя на заражаемом компьютере, методы внедрения в систему, а также полиморфизм, «стелс» и прочие характеристики, присущие и другим типам вредоносного программного обеспечения (виру­ сам и троянским программам). Рассмотрим некоторые их разно­ видности. Email-Worm — почтовые черви. К данной категории червей относятся те из них, которые для своего распространения ис­ пользуют электронную почту. При этом червь отсылает либо свою копию в виде вложения в электронное письмо, либо ссыл­ ку на свой файл, расположенный на каком-либо сетевом ресурсе (например, URL на зараженный файл, расположенный на взло­ манном или хакерском Web-сайте). В первом случае код червя запускается при открытии (запуске) зараженного вложения, во втором — при открытии ссылки на зараженный файл. В обоих случаях эффект одинаков — активизируется код червя. Для отправки зараженных сообщений почтовые черви ис­ пользуют различные способы, например: • прямое подключение к SMTP-серверу, используя встроен­ ную в код червя почтовую библиотеку; • использование сервисов MS Outlook; • использование функций Windows MAPI. Различные методы используются почтовыми червями для поиска почтовых адресов, на которые будут рассылаться зара­ женные письма. Почтовые черви: • рассылают свой код по всем адресам, обнаруженным в ад­ ресной книге MS Outlook; • считывает адреса из адресной базы WAB; • сканируют «подходящие» файлы на диске и выделяют в них строки, являющиеся адресами электронной почты; • отсылают код во всем адресам, обнаруженным в письмах в почтовом ящ ике (при этом некоторые почтовые черви «от­ вечают» на обнаруженные в ящике письма). Многие черви используют сразу несколько из перечислен­ ных методов. Встречаются также и другие способы поиска адре­ сов электронной почты. IM-Worm — черви, использующие Internet-пейджеры. И з­ вестные компьютерные черви данного типа используют единст­
венный способ распространения — рассылку на обнаруженные контакты (из списка контактов) сообщений, содержащих URL на файлы, расположенные на каком-либо \ѴеЬ-сервере. Данный прием практически полностью повторяет аналогичный способ рассылки, использующийся почтовыми червями. IRC-Worm — черви в IRC -каналах. У данного типа червей, как и у почтовых червей, существуют два способа распростране­ ния по IRC-каналам, повторяющие способы, описанные выше. Первый заключается в отсылке URL-ссылки на копию червя. Второй способ — отсылка зараженного файла какому-либо поль­ зователю сети. При этом атакуемый пользователь должен под­ твердить прием файла, затем сохранить его на диск и открыть (запустить на выполнение). Net-Worm — прочие сетевые черви. Существуют прочие спо ­ собы заражения удаленных компьютеров, например: • копирование червя на сетевые ресурсы; • проникновение червя на компьютер через уязвимости в операционных системах и приложениях; • проникновение в сетевые ресурсы публичного использо­ вания; • паразитирование на других вредоносных программах. Первый способ заключается в том, что червь ищет удален­ ные компьютеры и копирует себя в каталоги, открытые на чте­ ние и запись (если такие обнаружены). При этом черви данного типа или перебирают доступные сетевые каталоги, используя функции операционной системы, и/или случайным образом ищут компьютеры в глобальной сети, подключаются к ним и пытаются открыть их диски на полный доступ. Для проникновения вторым способом черви ищут в сети компьютеры, на которых используется программное обеспече­ ние, содержащее критические уязвимости. Для заражения уяз­ вимых компьютеров червь посылает специально оформленный сетевой пакет или запрос (эксплойт уязвимости), в результате чего код (или часть кода) червя проникает на компью­ тер-жертву. Если сетевой пакет содержит только часть кода червя, он затем скачивает основной файл и запускает его на исполнение. Отдельную категорию составляют черви, использующие для своего распространения Web- и FT P-серверы. Заражение проис­ ходит в два этапа. Сначала червь проникает в компьютер-сервер и необходимым образом модифицирует служебные файлы серве­
ра (например, статические Web-страницы). Затем червь «ждет» посетителей, которые запрашивают информацию с зараженного сервера (например, открывают зараженную Web-страницу), и та­ ким образом проникает на другие компьютеры в сети. Существуют сетевые черви, паразитирующие на других чер­ вях и/или троянских программах удаленного администрирова­ ния («черный ход» — бэкдор). Данные черви используют тот факт, что многие бэкдоры позволяют по определенной команде скачивать указанный файл и запускать его на локальном диске. То же возможно с некоторыми червями, содержащими бэк- дор-процедуры. Для заражения удаленных компьютеров данные черви ищут другие компьютеры в сети и посылают на них ко­ манду скачивания и запуска своей копии. Если атакуемый ком­ пьютер оказывается уже зараженным «подходящей» троянской программой, червь проникает в него и активизирует свою ко­ пию. Следует отметить, что многие компьютерные черви пр име­ няю т более одного способа распространения своих копий по се­ тям, использующие два и более методов атаки удаленных компь­ ютеров. P2P -Worm — черви для файлообменных сетей. Механизм ра­ боты большинства подобных червей достаточно прост — для внедрения в Р2Р-сеть червю достаточно скопировать себя в ка­ талог обмена файлами, который обычно расположен на локаль­ ной машине. Всю остальную работу по распространению Р2Р-червя сеть берет на себя — при поиске файлов в сети она сообщит удаленным пользователям о данном файле и предоста­ вит весь необходимый сервис для скачивания файла с заражен­ ного компьютера. Существуют более сложные Р2Р-черви, которые имитируют сетевой протокол конкретной файлообменной системы и на по­ исковые запросы отвечают положительно; при этом червь пред­ лагает для скачивания свою копию. Защита от опасных компьютерных червей. Черви распростра­ няются, используя бреши в операционных системах. Пользова­ телям следует опасаться открытия не ожидаемых или подозри­ тельных почтовых сообщений, не запускать присоединенные файлы или программы или посещать Web-сайты, которые связа­ ны с такими письмами. Однако всегда существует вероятность того, что поддавшись на какие-либо трюки (как в случае с чер­ вем IloveYou), пользователь все же может запустить вредонос­ ный код.
Троянские программы «Троянские кони» (Trojan horse) или просто «троянцы» (Trojans) представляют собой программы, реализующие помимо функций, описанных в документации, и некоторые другие функ­ ции, связанные с нарушением безопасности и деструктивными действиями (обычно это — уничтожение информации, перехват и передача информации, целенаправленная модификация кода программы, интересующей нарушителя). Отмечены случаи соз­ дания таких программ с целью облегчения распространения ви­ русов. Обычно они маскируются под игровые или развлекатель­ ные программы и наносят вред под красивые картинки или му­ зыку. Рассмотрим классы «троянцев». Backdoor — троянские программы этого класса являются ути­ литами удаленного администрирования компьютеров в сети. По своей функциональности они во многом напоминают различные системы администрирования, разрабатываемые и распространяе­ мые фирмами-производителями программных продуктов. Един­ ственная особенность этих программ, заставляющая классифи­ цировать их как вредные троянские программы, — отсутствие предупреждения об инсталляции и запуске. При запуске «троя­ нец» устанавливает себя в системе и затем следит за ней, при этом пользователю не выдается никаких сообщений о действиях «троянца» в системе. Более того, ссылка на «троянца» может от­ сутствовать в списке активных приложений. В результате «поль­ зователь» этой троянской программы может и не знать о ее при­ сутствии в системе, в то время как его компьютер открыт для удаленного управления. Утилиты скрытого управления позволяют делать с компью­ тером все, что в них заложил автор, — принимать или отправ­ лять файлы, запускать и уничтожать их, выводить сообщения, стирать информацию, перезагружать компьютер и т. д. В резуль­ тате эти троянцы могут быть использованы для обнаружения и передачи конфиденциальной информации, запуска вирусов, уничтожения данных и т. п. — пораженные компьютеры оказы­ ваются открытыми для злоумышленных действий хакеров. Таким образом, троянские программы данного типа являют­ ся одним из самых опасных видов вредоносного программного обеспечения, поскольку в них заложена возможность самых раз­ нообразных злоумышленных действий, присущих другим видам троянских программ.
Отдельно следует отметить группу бэкдоров, способных рас­ пространяться по сети и внедряться в другие компьютеры, как это делают компьютерные черви. Отличает таких «троянцев» от червей тот факт, что они распространяются по сети не самопро­ извольно (как черви), а только по специальной команде «хозяи­ на», управляющего данной копией троянской программы. Trojan-PSW (Password Stealing Ware) — воровство паролей. Данное семейство объединяет «троянские» программы, «во­ рующие» различную информацию с зараженного компьютера, обычно — системные пароли. При запуске Р8\Ѵ-«троянцы» ищут системные файлы, хранящие различную конфиденциаль­ ную информацию (обычно номера телефонов и пароли доступа к Internet) и отсылают ее по указанному в коде «троянца» элек­ тронному адресу или адресам. Существуют Р5\Ѵ-«троянцы», которые сообщают и другую информацию о зараженном ком­ пьютере, например, информацию о системе (размер памяти и дискового пространства, версия операционной системы), тип используемого почтового клиента, IP -адрес и т. п. Некоторые «троянцы» данного типа «воруют» регистрационную информа­ цию к различному программному обеспечению, коды доступа к сетевым играм и пр. Trojan-Clicker — Internet-кликсры. Семейство «троянских» программ, основная функция которых — организация несанк­ ционированных обращений к Internet-pecypcaM (обычно к Web- страницам). Достигается это либо посылкой соответствующих команд браузеру, либо заменой системных файлов, в которых указаны «стандартные» адреса Internet-pecypcoB (например, файл hosts в MS Windows). У злоумышленника могут быть следующие цели для подоб­ ных действий: • увеличение посещаемости каких-либо сайтов с целью уве­ личения показов рекламы; • организация DoS-атаки (Denial of Service) на какой-либо сервер; • привлечение потенциальных жертв для заражения вируса­ ми или «троянскими» программами. Trojan-Downloader — транспортировка других вредоносных программ. «Троянские» программы этого класса предназначены для загрузки и установки на компьютер-жертву новых версий вредоносных программ, установки «троянцев» или рекламных систем. Загруженные из Internet программы затем либо запуска­
ются на выполнение, либо регистрируются «троянцем» на авто­ загрузку в соответствии с возможностями операционной систе­ мы. Данные действия при этом происходят без ведома пользова­ теля. Информация об именах и расположении загружаемых программ содержится в коде и данных «троянца» или скачивает­ ся троянцем с «управляющего» Internet-pecypca (обычно с Web- страницы). Trojan-Dropper — инсталляторы прочих вредоносных про­ грамм. «Троянские» программы этого класса написаны в целях скрытной инсталляции других программ и практически всегда используются для «подсовывания» на компьютер-жертву вирусов или других «троянских» программ. Данные «троянцы» обычно без каких-либо сообщений (либо с ложными сообщениями об ошибке в архиве или неверной версии операционной системы) сбрасывают на диск в какой-либо каталог (в корневой диска с :, во временный каталог, в каталоги Windows) другие файлы и за­ пускают их на выполнение. Обычно структура таких программ следующая: Основной код+ Файл 1+ Файл 2+. Основной код выделяет из своего файла остальные ком по­ ненты (Файл 1, Файл 2, ...), записывает их на диск и запускает на выполнение. Обычно один (или более) компонентов являются «троянскими» программами, а как минимум один компонент яв­ ляется «обманкой» — программой-шуткой, игрой, картинкой или чем-то подобным. «Обманка» должна отвлечь внимание пользо­ вателя и/или продемонстрировать то, что запускаемый файл дей­ ствительно делает что-то «полезное», в то время как «троянский» ком понент инсталлируется в систему. В результате использования программ данного класса хакеры достигают две цели: • скрытная инсталляция «троянских» программ и/или ви­ русов; • защита от антивирусных программ, поскольку не все из них в состоянии проверить все компоненты внутри файлов этого типа. Trojan-Spy — ш пионские программы. Данные «троянцы» осу­ ществляют электронный шпионаж за пользователем зараженно­ го компьютера — вводимая с клавиатуры информация, снимки
экрана, список активных приложений и действия пользователя с ними сохраняются в какой-либо файл на диске и периодически отправляются злоумышленнику. «Троянские» программы этого типа часто используются для кражи информации пользователей различных систем онлайновых платежей и банковских систем. АгсВотЬ — «бомбы» в архивах. Представляют собой архивы, специально оформленные таким образом, чтобы вызывать не­ штатное поведение архиваторов при попытке разархивировать данные — зависание или существенное замедление работы ком­ пьютера или заполнение диска большим количеством «пустых» данных. Особенно опасны «архивные бомбы» для файловых и почтовых серверов, если на сервере используется какая-либо сис­ тема автоматической обработки входящей информации — «ар­ хивная бомба» может полностью заблокировать работу сервера. Встречаются три типа подобных «бомб»: некорректный заго­ ловок архива, повторяющиеся данные и одинаковые файлы в ар­ хиве. Некорректный заголовок архива или испорченные данные в архиве могут привести к сбою в работе конкретного архиватора или алгоритма разархивирования при разборе содержимого ар­ хива. Значительных размеров файл, содержащий повторяющиеся данные, позволяет заархивировать такой файл в архив неболь­ шого размера (например, 5 Гбайт данных упаковываются в 200 Кбайт гаг- или в 480 Кбайт zip-архива). Огромное количество одинаковых файлов в архиве также практически не сказывается на размере архива при использова­ нии специальных методов (например, существуют приемы упа­ ковки 10ІО° одинаковых файлов в 30 Кбайт г а г - или 230 Кбайт z ip -архива). Trojan-Notifier — оповещение об успешной атаке. «Троянцы» данного типа предназначены для сообщения своему «хозяину» о зараженном компьютере. При этом на адрес «хозяина» отправля­ ется информация о компьютере, например, IP -адрес компьюте­ ра, номер открытого порта, адрес электронной почты и т. п. От­ сылка осуществляется различными способами: электронным письмом, специально оформленным обращением к Web-страни­ це «хозяина», ICQ-сообщением. Данные «троянские» программы используются в многокомпонентных «троянских» наборах для извещения своего «хозяина» об успешной инсталляции «троян­ ских» компонент в атакованную систему.
Прочие вредоносные программы К прочим вредоносным относятся разнообразные программы, которые могут не представлять угрозы непосредственно компью­ теру, на котором исполняются, а разработаны для организации атак на удаленные серверы, взлома других компьютеров и т. п. HackTools — взломщики удаленных компьютеров. Хакерские утилиты данного класса предназначены для проникновения в уда­ ленные компьютеры с целью дальнейшего управления ими (ис­ пользуя методы троянских «программ» типа «backdoor») или для внедрения во взломанную систему других вредоносных программ. Flooder — «замусоривание» сети. Данные хакерские утилиты используются для «забивания мусором» (бесполезными сообще­ ниями) каналов Internet — IRC -каналов, компьютерных пей­ джинговых сетей, электронной почты и т. д. Nuker — фатальные сетевые атаки. Утилиты, отправляющие специально оформленные запросы на атакуемые компьютеры в сети, в результате чего атакуемая система прекращает работу. Используют уязвимости в программном обеспечении и операци­ онных системах, в результате чего сетевой запрос специального вида вызывает критическую ошибку в атакуемом приложении. Руткиты (Rootkit) — утилиты, используемые для сокрытия вредоносной активности. Они маскируют вредоносные програм­ мы, чтобы избежать их обнаружения антивирусными програм­ мами. Руткиты модифицируют операционную систему на ком ­ пьютере и заменяют основные ее функции, чтобы скрыть свое собственное присутствие и действия, которые предпринимает злоумышленник на зараженном компьютере. Руткит, как правило, может маскировать также присутствие в системе любых описанных в его конфигурации каталогов и файлов на диске, ключей в реестре. По этой причине естествен­ ным образом появились «навесные» руткитные библиотеки. Многие rootkit устанавливают в систему свои драйверы и службы (они, естественно, также являются «невидимыми»). Руткиты могут «подкидывать» не только злоумышленники. Небезызвестен случай, когда корпорация Sony встраивала подо­ бие руткита в свои лицензионные аудиодиски. Руткитами по сути является большинство программных средств защиты от ко­ пирования (и средств обхода этих защит — например, эмуляторы CD- и DVD-приводов). От «нелегальных» они отличаются толь­ ко тем, что ставятся с ведома пользователя.
Другие виды угроз DoS, DDoS — сетевые атаки. Программы данного типа реа­ лизуют атаки на удаленные серверы, посылая на них многочис­ ленные запросы, что приводит к отказу в обслуживании (DoS, Denial of Service — отказ от обслуживания), если ресурсы атакуе­ мого сервера недостаточны для обработки всех поступающих за­ просов. Обмен данными между пользователями пораженного компьютера затруднен или невозможен в приемлемом режиме. В большинстве случаев объектами этой атаки становятся Web- серверы, а целью является вывод их из строя и, как следствие, их недоступность на некоторое время. DoS-программы реализуют атаку с одного компьютера с ведо­ ма пользователя. DDoS-программы (Distributed DoS) реализуют распределенные атаки с разных компьютеров, причем без ведома пользователя зараженного компьютера. Для этого DDoS-npo- грамма засылается любым способом на компьютер «жертв-по- средников» и после запуска в зависимости от текущей даты или по команде от «хозяина» начинает DoS-атаку на указанный сер­ вер в сети. Некоторые компьютерные черви содержат в себе DoS-npoue- дуры, атакующие сайты, которые по каким-либо причинам «не­ взлюбил» автор червя. Так, червь Codered 20 августа 2001 г. орга­ низовал успешную атаку на официальный сайт президента США, а червь Mydoom.a 1 февраля 2004 г. «выключил» сайт SCO (Santa Cruz Operation), производителя дистрибутивов UNIX. Программы-рекламы (Adware). Реклама в Internet является бурно развивающейся областью бизнеса. Почтовая реклама ис­ пользует сообщения электронной почты в качестве средства связи с потребителем. Преимуществами такого подходя являю т­ ся низкие затраты и высокий уровень избирательности и эф­ фективности. Кроме того, сообщения доставляются практиче­ ски мгновенно. Многие компании используют электронную почту в качестве эффективного маркетингового инструмента для общения со своими текущими и потенциальными клиен­ тами. Эти маркетинговые средства законны, так как пользователи обычно заинтересованы в получении коммерческой информа­ ции о некоторых продуктах. Однако существуют компании, ко­ торые занимаются массовыми рассылками нежелательных ком ­ мерческих писем. В таких случаях реклама по электронной поч­
те пересекает допустимую границу, и эти сообщения становятся нежелательными. Adware — программный код, без ведома пользователя вклю­ ченный в программное обеспечение с целью демонстрации рек­ ламных объявлений. Как правило, программы-рекламы встрое­ ны в программное обеспечение, распространяющееся бесплатно. Реклама располагается в рабочем интерфейсе. Зачастую данные программы также собирают и переправляют своему разработчи­ ку персональную информацию о пользователе, изменяют раз­ личные параметры браузера (стартовые и поисковые страницы, уровни безопасности и т. д.), а также создают неконтролируе­ мый пользователем трафик. Все это может привести как к нару­ шению политики безопасности, так и к прямым финансовым потерям. Потенциально опасные приложения (Riskware). К по тенци ал ь­ но опасным относятся приложения, которые не имеют вредо­ носных функций, но могут являться частью среды разработки вредоносного программного обеспечения или использоваться злоумышленниками в качестве вспомогательных компонентов вредоносных программ. К категории таких программ относятся программы, имеющие бреши и ошибки, а также некоторые ути­ литы удаленного администрирования, программы автоматиче­ ского переключения раскладки клавиатуры, всевозможные ути­ литы для остановки процессов или скрытия их работы. Подобные приложения, не обязательно являясь злонамерен­ ными, могут тем или иным образом снижать производитель­ ность системы. Такие приложения обычно требуют согласия пользователя при установке. После их установки поведение сис­ темы изменяется (по сравнению с тем, как она вела себя до уста­ новки этих программ). Наиболее заметными изменениями явля­ ются следующие: • открываются новые окна, которых не было ранее; • активируются и выполняются скрытые процессы; • повышается уровень используемых системных ресурсов; • появляются изменения в результатах поиска; • приложения подключаются к удаленным серверам. Еще одним видом вредоносных программ, являющимся по ­ граничным для таких программ, как Adware, Spyware и Riskware, являются программы, встраивающиеся в установленный на ком ­ пьютере браузер и перенаправляющие трафик (при запросе од­ ного адреса Web-сайта открывается совсем другой).
Программы-шутки (Jokes). Данные программы изменяют или прерывают работу компьютера способом, который их создатель счел смешным или, наоборот, пугающим. Они часто предупреж­ дают пользователя о несуществующей опасности, например, вы ­ водят сообщения о форматировании диска (хотя никакого фор­ матирования на самом деле не происходит), обнаруживают виру­ сы в незараженных файлах и т. д. Мистификации. М истификацией называется сообщение, рас­ пространяющееся среди пользователей Internet. Обычно оно от­ правляется по электронной почте и иногда с помощью средств коммуникации, таких как ICQ или Skype. Сообщение часто со ­ держит в себе шутку или городскую легенду. Вирусные мистификации стимулируют страх, неуверенность и мнительность у получателей, побуждая их верить в то, что «не­ победимый» вирус удаляет их файлы и крадет пароли, а также производит другие крайне нежелательные действия против их воли. Иногда мистификации вызывают эмоциональное замеша­ тельство. Обычно м истификация содержит просьбу передать со­ общение, содержащее мистификацию , всем знакомым. Это уве­ личивает жизненный цикл мистификации. Существуют мисти­ фикации, которые передаются через мобильные телефоны, просьбы о помощи, просьбы помочь деньгами и т. д. В общем случае почти невозможно понять мотивацию создателя такой мистификации. В принципе, если сообщение содержит просьбу отправить текст дальше, это сообщение с огромной вероятностью является мистификацией. Существует большое количество Web-сайтов, которые специализируются на мистификациях. Они помогают определить, является ли сообщение мистификацией. Перед от­ правкой такого сообщения далее попробуйте найти в Internet ин­ формацию о нем. Фишинг. Термин «фишинг» обозначает преступную деятель­ ность, использующую методы социальной инженерии (манипу­ лирования пользователем, направленное на получение ко нф и­ денциальных данных). Целью фишинга является доступ к таким данным, как номера банковских счетов, P IN -коды и т. п. Попытка получения информации обычно замаскирована в виде сообщения от доверенного лица или бизнес-структуры, н а­ пример финансовой или страховой компании. Сообщение вы­ глядит вполне благонадежным и содержит графику и текст, ко ­
торый может быть получен от оригинального источника. Это де­ лает его особенно впечатляющим. Предлагается предоставить по некоторым причинам (проверка данных, финансовые операции) какую-либо личную информацию, например номера банковских счетов, имя пользователя, пароль и т. д. Если данные предостав­ ляются, они крадутся и используются в преступных целях. Следует обратить внимание на то, что банки, страховые ко м­ пании и другие заслуживающие уважения организации никогда не запрашивают имена пользователей и пароли с помощью не­ ожиданных сообщений электронной почты. Факторы уязвимости систем для вредоносных программ Атакуемой «системой» могут быть различные объекты — от­ дельное приложение, ОС в целом, отдельный компьютер или сеть. Могут быть выделены следующие факторы уязвимости: • гомогенность (однородность) систем; • дефекты в системах; • неподтвержденный запуск; • сверхпривилегированные пользователи; • сверхпривилегированный программный код. Гомогенность (монокультурность) — наприм ер, когда все компьютеры в сети используют одну и ту же ОС или одни и те же наборы приложений. В частности, ОС MS Windows занимает такую большую долю рынка, что, ориентируясь на нее, зло­ умышленник может подорвать большое количество систем. По­ этому одним из очевидных заслонов к беспрепятственному рас­ пространения ЗПС является изменение платформы — переход на альтернативные средства (ОС Linux или хотя бы браузеры Opera или FireFox). Дефекты — многие системы содержат ошибки, которыми могут воспользоваться вредоносные программы. Типичным при­ мером является буферная недостаточность, когда небольшой объем буфера в ОП приводит к необходимости многократного перезаписывания данных, чем и может воспользоваться ЗПС, чтобы заставить систему выполнить свой код. Запуск без подтверждения — код с дискеты, CD -ROM или USB-устройства может быть запущен без подтверждения пользо­ вателем. Первоначально ПК всегда загружались с дискет и до не­
давнего времени НГМД был первичным загрузочным устройст­ вом по умолчанию, поэтому зараженная дискета, оставленная в НГМД, имеет все шансы быть запущенной, и то же самое можно сказать о CD, поскольку BIOS довольно редко запрашивает под­ тверждение пользователем загрузки со сменных носителей. Сверхпривилегии пользователей. В некоторых системах обыч­ ные пользователи имеют привилегии администратора в том смыс­ ле, что они могут изменять внутреннюю структуру этой системы. Это, конечно, определяется конфигурацией, однако в системах MS Windows конфигурация по умолчанию отличается тем, что здесь пользователь имеет сверхпривилегии. Это связано с пр иня­ тым в Microsoft решением о приоритете совместимости с более старыми системами над безопасностью новых систем, поскольку типичные приложения были разработаны ранее в расчете на рав­ ные права всех пользователей. Эта точка зрения была пересмотре­ на при разработке MS Windows Vista, и в результате многие суще­ ствующие приложения, которые требуют более высоких привиле­ гией, могут иметь проблемы совместимости с Vista. Механизм User Account Control, предусмотренный в этой ОС, пытается ис­ править ситуацию, создавая виртуальную среду для запуска при ­ вилегированных кодов, присущих старым приложениям. Сверхпривилегированный код. Вредоносная программа, запу­ щенная как привилегированный код, может воспользоваться этим для подрыва системы. Почти все сегодняшние популярные ОС, а также многие приложения разрешают программам слиш ­ ком много привилегий, в том смысле что, когда пользователь за­ пускает код, система приписывает ему все права этого пользова­ теля. Это делает пользователей уязвимыми к вредоносным про­ граммам в виде вложений в электронную почту, которые могут быть или не быть скрытыми. Учитывая такое положение дел, пользователям рекомендует­ ся открывать только почтовые вложения из источников, кото­ рым они доверяют, и избегать кода, полученного от ненадежных источников. Кроме того, общим источником опасности для опе­ рационных систем является то, что драйверы внешних устройств обычно требуют повышенных привилегий, причем они постав­ ляются все возрастающим количеством производителей аппарат­ ного обеспечения, некоторые из которых могут оказаться нена­ дежными. Инъекция SQL {англ. — SQL injection) — один из распростра­ ненных способов взлома сайтов и программ, работающих с база­
ми данных, основанный на внедрении в запрос произвольного SQL-кода. Инъекция SQL, в зависимости от типа используемой СУБД и условий инъекции, может дать возможность атакующе­ му выполнить произвольный запрос к базе данных (например, прочитать содержимое любых таблиц, удалить, изменить или до­ бавить данные), получить возможность чтения и/ил и записи ло ­ кальных файлов и выполнения произвольных команд на атакуе­ мом сервере. Атака типа инъекции SQL может быть возможна из-за некорректной обработки входящих данных, используемых в SQL-запросах. Эксплойт {англ. exploit — использовать) — фрагмент про­ граммного кода, который, используя возможности, предостав­ ляемые ошибкой, отказом или уязвимостью, ведет к повыше­ нию привилегий или отказу в обслуживании компьютерной сис­ темы. Существует несколько методов классификации уязвимостей. Наиболее общий — это то, каким образом эксплойт контактиру­ ет с уязвимым программным обеспечением. «Удаленный экс ­ плойт» работает через сеть и использует уязвимость в защите без какого-либо предварительного доступа к уязвимой системе. «Ло­ кальный эксплойт» требует предварительный доступ к уязвимой системе и обычно повышает привилегии для лица, запускающе­ го эксплойт над уровнем, который был предоставлен системным администратором. Эксплойт «подставного сервера» подвергает риску машину конечного пользователя в том случае, когда к нему был совершен доступ с помощью уязвимого клиентского приложения. Эксплойт против клиентского приложения может также требовать некоторого взаимодействия с пользователем уязвимого приложения и может быть использован в связке с ме­ тодами социального инжиниринга, т. е. несанкционированного доступа к информации без использования технических средств. Эксплойты могут также быть классифицированы по типу уяз­ вимости, которую они атакуют (переполнение буфера, SQL-инъ ­ екция и пр.). Другая классификация — по действию, предпринятому про­ тив уязвимой системы: несанкционированный доступ к данным (копирование, удаление или модификация), выполнение кода, отказ в обслуживании. Эксплойты могут быть разработаны для непосредственного обеспечения высокопривилегированного доступа к компьютер­ ной системе. Однако возможно использование нескольких экс­
плойтов — первого для получения удаленного доступа с невы­ соким уровнем и повторно, для локального повышения приви­ легий до тех пор, пока не будет получен высокий уровень доступа. Проникновение шпионских программ Прикрепление программы-шпиона к полезному приложению, которое загружает пользователь. Она устанавливается вместе с этим приложением, и ее действия остаются скрытыми. Ш п ио н­ ская программа может быть отдельным исполняемым файлом или входить в состав динамических библиотек DLL, к которым обра­ щается основное приложение. Активируясь, программа-шпион самостоятельно настраивается таким образом, чтобы затем рабо­ тать без ведома пользователя. Любопытно, что в лицензионном соглашении конечного пользователя часто и не скрывается наличие программ-шпио­ нов. Это соглашение обычно бывает длинным и утомительным для чтения, преднамеренно составляется так, чтобы в нем трудно было разобраться. Сообщается, например, что лицензи­ онное соглашение по подозрительному продукту Сіагіа на 43 % длиннее, чем конституция США. Такой документ может вклю ­ чать в себя неявное упоминание о программах-шпионах или ссылаться на другое соглашение, которое содержит описание таких программ. Некоторые компании, использующие подоб­ ные средства, вообще не утруждаются упомянуть об этом в своих соглашениях. Предложение программой-шпионом услуг разного рода, на­ пример сохранения и восстановления паролей, учетных запи­ сей, адресов и номеров телефонов. Она может пообещать рас­ ширить возможности почтовых программ оформления сообще­ ний или предложить новую форму панели инструментов. А вдобавок шпионская утилита установит дополнительное про­ граммное обеспечение, которое с полной свободой сможет ра­ ботать в вашей системе. Как и при первом способе, пользова­ тель получает доступ к приложению, которое способно пред­ принимать действия, остающиеся за пределами его понимания. В ряде случаев, но далеко не всегда, это отражается в лицензи­ онном соглашении, которое пользователь принимает при ин­ сталляции.
Выполнение Java или ActiveX. Использование Web-приложе­ ний на базе Java или ActiveX — также распространенный способ транспортировки вредоносных программ. После активации ап ­ плет Java или код ActiveX может загрузить и вызвать програм- му-шпион. Предыдущие способы позволяют достичь того же ре­ зультата, но в данном случае все действия совершаются полно ­ стью без ведома пользователя. Предустановка. При продаже компьютера продавцом на нем устанавливается некоторый набор программ. Например, в систе­ мах Windows можно обнаружить многочисленные файлы cookies, установленные как часть Internet Explorer, которые могут ис­ пользоваться программами слежения. Поэтому рекомендуется «вычистить» новую машину программами обнаружения/устране­ ния закладок. 2.3 . Средства борьбы с угрозами. Управление доступом В качестве средств управления доступом к ресурсам СОИ следует выделить идентификацию и аутентификацию при входе в систему и разграничение доступа при нахо­ ждении внутри системы. Идентификация и аутентификация Идентификация позволяет субъекту (пользователю или про­ цессу, действующему от имени определенного пользователя) на­ звать себя (сообщить свое имя). Посредством аутентификации вторая сторона убеждается, что субъект действительно тот, за кого он себя выдает. В качестве синонима слова «аутентифика­ ция» иногда используют сочетание «проверка подлинности». Субъект может подтвердить свою подлинность, если предъя­ вит по крайней мере одну из следующих идентификацион­ ных сущностей: • то, что он знает (пароль, личный идентификационный но­ мер, криптографический ключ и т. п.); • то, чем он владеет (личную карточку или иное устройство аналогичного назначения); • то, что есть атрибут его самого, т. е. биометрические харак­ теристики (голос, отпечатки пальцев и т. п.).
К сожалению, надежная идентификация и аутентификация затруднена по ряду принципиальных причин: • компьютерная система основывается на информации в том виде, как она была получена; строго говоря, источник ин ­ формации остается неизвестным. Например, злоумышлен­ ник мог воспроизвести ранее перехваченные данные. Сле­ довательно, необходимо принять меры для безопасного ввода и передачи идентификационной и аутентификацион­ ной информации; в сетевой среде это сопряжено с особы­ ми трудностями; • почти все аутентификационные сущности можно узнать, украсть или подделать; • противоречие между надежностью аутентификации, с од­ ной стороны, и удобствами пользователя и системного ад­ министратора, — с другой. Так, из соображений безопасно­ сти необходимо с определенной частотой просить пользова­ теля повторно вводить аутентификационную информацию (ведь на его место мог сесть другой человек), а это не толь­ ко хлопотно, но и повышает вероятность подглядывания за вводом; • чем надежнее средство защиты, тем оно дороже, и особен­ но дороги средства измерения биометрических характери­ стик. Пароли являются наиболее распространенным средством ау­ тентификации. Система сравнивает введенный и ранее заданный для данного пользователя пароль; в случае совпадения подлин­ ность пользователя считается доказанной. Существующие па­ рольные методы проверки подлинности пользователей при входе в ВС можно разделить на две группы: • методы проверки подлинности на основе простого пароля; • методы проверки подлинности на основе динамически из­ меняющегося пароля. Пароль подтверждения подлинности пользователя при ис­ пользовании простого пароля не изменяется от сеанса к сеансу в течение установленного администратором службы безопасности времени его существования (действительности). При использовании динамически изменяющегося пароля па­ роль пользователя для каждого нового сеанса работы или нового периода действия одного пароля изменяется по правилам, зави­ сящим от используемого метода.
Процедура опознавания с использованием простого пароля может быть представлена в виде следующей последовательности действий (рис. 2.3): • пользователь посылает запрос на доступ к компьютерной системе и вводит свой идентификатор; • система запрашивает пароль; • пользователь вводит пароль; • система сравнивает полученный пароль с паролем пользо­ вателя, хранящимся в базе эталонных данных системы за- Рис. 2.3. Блок-схема общего алгоритма идентификации и установления подлинности пользователя
щиты, и разрешает доступ, если пароли совпадают; в про­ тивном случае пользователь к ресурсам компьютерной сис­ темы не допускается. Поскольку пользователь может допустить ошибку при вводе пароля, то системой должно быть предусмотрено допустимое ко ­ личество повторений для ввода пароля. Главное достоинство парольной аутентификации — простота и привычность. Пароли давно встроены в операционные системы и иные сервисы. При правильном использовании пароли могут обеспечить приемлемый для многих организаций уровень безо­ пасности. Тем не менее по совокупности характеристик их следу­ ет признать самым слабым средством проверки подлинности. Надежность паролей основывается на способности помнить их и хранить в тайне. Чтобы пароль был запоминающимся, его зачастую делают простым (имя подруги, название спортивной команды и т. п.). Однако простой пароль нетрудно угадать, осо ­ бенно если знать пристрастия данного пользователя. Известна классическая история про советского разведчика Рихарда Зорге, объект внимания которого через каждое слово говорил «карам- ба». Оказалось, что этим же словом служил ключ к сверхсекрет­ ному сейфу. Иногда пароли с самого начала не являются тайной, так как имеют стандартные значения, указанные в документации, и да­ леко не всегда после установки системы производится их смена. Правда, это можно считать аспектом простоты использования программного продукта. Пароли нередко сообщают коллегам, чтобы те смогли вы­ полнить какие-либо нестандартные действия (например, подме­ нить на некоторое время владельца пароля). Теоретически в по­ добных случаях более правильно задействовать средства управле­ ния доступом, но на практике так никто не поступает; а тайна, которую знают двое, это уже не тайна. Пароль можно угадать методом грубой силы, используя, быт,ь может, словарь. Если файл паролей зашифрован, но досту­ пен на чтение, его можно перекачать к себе на компьютер и по­ пытаться подобрать пароль, запрограммировав полный перебор (алгоритм шифрования предполагается известным). Пароли уязвимы по отношению к электронному перехвату. Это наиболее принципиальный недостаток, который нельзя компенсировать улучшением администрирования или обучением пользователей. Практически единственный выход — использова­
ние криптографии для шифрования паролей перед передачей по линиям связи или для того, чтобы вообще их не передавать, как это делается в сервере аутентификации Kerberos. Можно выделить следующие основные способы повышения стойкости системы защиты на этапе аутентификации: • наложение технических ограничений (пароль должен быть не слишком коротким, он должен содержать буквы, циф­ ры, знаки пунктуации и т. п.); • повышение степени нетривиальноеTM пароля; • увеличение времени задержки между разрешенными попытками повторного ввода неправильно введенного пароля; • ограничение числа неудачных попыток входа в систему (это затруднит применение метода грубой силы); • повышение ограничений на минимальное и максимальное время действия пароля. • использование программных генераторов паролей (такая программа, основываясь на несложных правилах, может порождать только благозвучные и, следовательно, запоми­ нающиеся пароли). • обучение пользователей правилам парольной защиты; • ограничение доступа к файлу паролей. Перечисленные меры целесообразно применять всегда, даже если наряду с паролями используются другие методы аутентифи­ кации, основанные, например, на применении токенов. Токен — это предмет (устройство), владение которым под­ тверждает подлинность пользователя. Различают токены с памя­ тью (пассивные, которые только хранят, но не обрабатывают ин­ формацию) и интеллектуальные токены (активные). Самой распространенной разновидностью токенов с памя­ тью являются карточки с магнитной полосой. Для использова­ ния подобных токенов необходимо устройство чтения, снабжен­ ное также клавиатурой и процессором. Обычно пользователь на­ бирает на этой клавиатуре свой личный идентификационный номер, после чего процессор проверяет его совпадение с тем, что записано на карточке, а также подлинность самой карточки. Таким образом, здесь фактически применяется комбинация двух способов защиты, что существенно затрудняет действия зло­ умышленника — недостаточно только украсть или подделать карточку, нужно узнать еще и личный номер «жертвы». Иногда (обычно для физического контроля доступа) карточки применя­
ют сами по себе, без запроса личного идентификационного но­ мера. Существенно то, что здесь аутентификационная информа­ ция обрабатывается самим устройством чтения, без передачи в компьютер, что исключает возможность электронного перехвата. Наряду с несомненными достоинствами, токены с памятью обладают и определенными недостатками. Они существенно до­ роже паролей, их необходимо изготовлять, раздавать пользовате­ лям, обслуживать случаи потери; они нуждаются в специальных устройствах чтения; пользоваться ими не очень удобно, особен­ но если организация установила у себя интегрированную систе­ му безопасности. Пользователей приходится убеждать, что повы­ ш енные меры безопасности действительно необходимы. Интеллектуальные токены характеризуются наличием собст­ венной вычислительной мощности. Они подразделяются на и н ­ теллектуальные карты и прочие токены. Карты нуждаются в и н ­ терфейсном устройстве, прочие токены обычно обладают руч­ ным интерфейсом (дисплеем и клавиатурой) и по внешнему виду напоминают калькуляторы. Чтобы токен начал работать, пользователь должен ввести свой личный идентификационный номер. По принципу действия интеллектуальные токены можно раз­ делить на следующие категории: • статический обмен паролями: пользователь обыч­ ным образом доказывает токену свою подлинность, затем токен проверяется компьютерной системой; • динамическая генерация паролей: то кен г ене­ рирует пароли, периодически (например, раз в минуту) из­ меняя их. Компьютерная система должна иметь синхрони­ зированный генератор паролей. Информация от токена по­ ступает по электронному интерфейсу или набирается пользователем на клавиатуре терминала; • запросно-ответные системы: например, ком пью­ тер выдает случайное число, которое преобразуется крип­ тографическим механизмом, встроенным в токен, а затем результат возвращается в компьютер для проверки. Здесь также возможно использование электронного или ручного интерфейса. В последнем случае пользователь читает за­ прос с экрана терминала, набирает его на клавиатуре токе­ на (возможно, в это время вводится и личный номер), на дисплее токена видит ответ и переносит его на клавиатуру терминала.
Главным достоинством интеллектуальных токенов является возможность их применения при аутентификации по открытой сети. Генерируемые или выдаваемые в ответ пароли постоянно меняются, и злоумышленник не получит преимуществ, даже если перехватит текущий пароль. С практической точки зрения интел­ лектуальные токены реализуют механизм одноразовых паролей. Еще одним достоинством является потенциальная много­ функциональность интеллектуальных токенов. Их можно приме­ нять не только для целей безопасности, но и, например, для ф и ­ нансовых операций. Основным недостатком интеллектуальных токенов является их высокая стоимость. (Правда, это хотя бы отчасти можно трак­ товать и как достоинство, поскольку тем самым затрудняется подделка.) Если у токена нет электронного интерфейса, пользо­ вателю при аутентификации приходится совершать много мани­ пуляций, что для владельцев дорогих устройств должно быть особенно обидно. Администрирование интеллектуальных токе­ нов по сравнению с магнитными картами усложнено за счет не­ обходимости управления криптографическими ключами. Для поддержания необходимого уровня парольной защиты в организации обычно устанавливаются некоторые правила при­ менения паролей, которые могут определяться инструкциями примерно следующего содержания: «Личные пароли должны генерироваться и распределяться централизованно либо выбираться пользователями автоматизи­ рованной системы самостоятельно с учетом следующих требо­ ваний: • длина пароля должна быть не менее установленной (обыч­ но 6—8 символов); • в числе символов пароля обязательно должны присутство­ вать буквы в верхнем и нижнем регистрах, цифры и специ­ альные символы (@, #, $, &, *, % и т. п.); • пароль не должен включать в себя легко вычисляемые со­ четания символов (имена, фамилии, номера телефонов и т. д .), а также общепринятые сокращения (ЭВМ, ЛВС, USER и т. п.); • при смене пароля новое значение должно отличаться от предыдущего не менее чем в заданном числе (например, в 6 позициях); • ли чн ый пароль пользователь не имеет права сообщать ни ­ кому.
Владельцы паролей должны быть ознакомлены под роспись с перечисленными выше требованиями и предупреждены об от­ ветственности за использование паролей, не соответствующих данным требованиям, а также за разглашение парольной инфор­ мации» . Разграничение доступа к элементам защищаемой информации Разграничение доступа заключается в том, чтобы каждому зарегистрированному пользователю предоставить возможности беспрепятственного доступа к информации в пределах его пол­ номочий, и исключить возможности превышения своих полно­ мочий. В этих целях разработаны и реализованы на практике методы и средства разграничения доступа к устройствам ЭВМ, к программам обработки информации, к полям (областям ЗУ) и к массивам (базам) данных. Само разграничение может осуще­ ствляться как минимум следующими способами: • произвольное управление доступом; • принудительное (мандатное) управление доступом. Произвольное управление доступом (также д искр ецио н но е управление доступом, англ. Discretionary access control — DAC) — это ограничение доступа к объектам, основанное на учете л ично ­ сти субъекта или группы, в которую субъект входит. Произволь­ ность управления состоит в том, что некоторое лицо может по своему усмотрению давать другим субъектам или отбирать у них права доступа к объекту. Возможны по меньшей мере два подхо­ да к построению дискреционного управления доступом: • каждый объект системы имеет привязанного к нему субъ­ екта, называемого владельцем. Именно владелец устанав­ ливает права доступа к объекту; • система имеет одного выделенного субъекта — суперполь­ зователя, который имеет право устанавливать права владе­ ния для всех остальных субъектов системы. С формальной точки зрения текущее состояние прав доступа при произвольном управлении описывается матрицей, в строках которой перечислены субъекты, а в столбцах — объекты. В клет­ ках, расположенных на пересечении строк и столбцов, записы ­ ваются способы доступа, допустимые для субъекта по отноше­ нию к объекту — например, чтение, запись, выполнение, воз­ можность передачи прав другим субъектам и т. п.
Пример такой матрицы полномочий приведен в табл. 2.3. Элементы матрицы содержат информацию об уровне полномочий соответствующего пользователя относительно соот­ ветствующего элемента. Например, при размерах элементов мат­ рицы в два бита их содержание может быть следующим: 00 — доступ запрещен, 01 — разрешено только чтение, 10 — разреше­ на только запись, 11 — разрешены и чтение и запись. Таблица 2.3. Пример матрицы полномочий Субъекты досту па Каталог d: Пользователь ym07 10 Пользователь у к іб 10 Пользователь ZN21 00 Ресурсы Каталог а: \book 01 10 10 Каталоге!: \tcs 10 00 01 Пользователь hy12 ю оо оо Очевидно, прямолинейное представление подобной матри­ цы невозможно (поскольку она очень велика), да и не нужно (поскольку она разрежена, то есть большинство клеток в ней пусты). В реальных системах более компактное представление матрицы доступа основывается или на структурировании сово­ купности субъектов (владелец/группа/прочие в ОС UNIX), или на механизме списков управления доступом, то есть на пред­ ставлении матрицы по столбцам, когда для каждого объекта пе­ речисляются субъекты вместе с их правами доступа. За счет ис­ пользования метасимволов можно компактно описывать группы субъектов, удерживая тем самым размеры списков управления доступом в разумных рамках. Большинство операционных систем и систем управления ба­ зами данных реализуют именно произвольное управление досту­ пом. Главное его достоинство — гибкость, главные недостатки — рассредоточенность управления и сложность централизованного контроля, а также оторванность прав доступа от данных, что по­ зволяет копировать секретную информацию в общедоступные файлы. Принудительное управление доступом. Для реализации прину­ дительного управления доступом с субъектами и объектами ас­ социируются метки безопасности. Метка субъекта описы ­
вает его благонадежность, метка объекта — степень закрытости содержащейся в нем информации. Метки безопасности. Согласно «Оранжевой книге», метки безопасности состоят из двух частей — уровня секретно­ сти и списка категорий. Уровни секретности, поддерживаемые системой, образуют упорядоченное множество, которое может выглядеть, например, так: • совершенно секретно; • секретно; • конфиденциально; • несекретно. Впрочем, для разных систем набор уровней секретности мо­ жет различаться. Категории образуют неупорядоченный набор. Их назначе­ ние — описать предметную область, к которой относятся данные. В военном окружении каждая категория может соответствовать, например, определенному виду вооружений. Механизм катего­ рий позволяет разделить информацию «по отсекам», что способ­ ствует лучшей защищенности — субъект не может получить дос­ туп к «чужим» категориям, даже если его уровень благонадежно­ сти — «совершенно секретно», специалист по танкам не должен интересоваться тактико-техническими данными самолетов. Главная проблема, которую необходимо решать в связи с метками, это обеспечение их целостности. Во-первых, не долж­ но быть непомеченных субъектов и объектов, иначе в меточной безопасности появятся легко используемые бреши. Во-вторых, при любых операциях с данными метки должны оставаться пра­ вильными. В особенности это относится к экспорту и импорту данных. Например, печатный документ должен открываться за­ головком, содержащим текстовое и/или графическое представ­ ление метки безопасности. Аналогично, при передаче файла по каналу связи должна передаваться и ассоциированная с ним метка, причем в таком виде, чтобы удаленная система могла ее правильно трактовать, несмотря на возможные различия в уров­ нях секретности и наборе категорий. Одним из средств обеспечения целостности меток безопасно­ сти является разделение устройств на многоуровневые и одно­ уровневые. На многоуровневых устройствах может храниться и н­ формация разного уровня секретности (точнее, лежащая в опре­ деленном диапазоне уровней). Одноуровневое устройство можно рассматривать как вырожденный случай многоуровневого, когда
допустимый диапазон состоит из одного уровня. Зная уровень устройства, система может решить, допустимо ли записывать на него информацию с определенной меткой. Например, попытка напечатать совершенно секретную информацию на принтере об­ щего пользования с уровнем «несекретно» потерпит неудачу. Метки безопасности, ассоциируемые с субъектами, более подвижны, чем метки объектов. Субъект может в течение сеанса работы с системой изменять свою метку, естественно, не выходя за предопределенные для него рамки. Иными словами, он может сознательно занижать свой уровень благонадежности, чтобы уменьшить вероятность непреднамеренной ошибки. Вообще, принцип минимизации привилегий — весьма разумное средство защиты. Правила использования меток безопасности. Субъект может читать информацию из объекта, если уровень секретности субъекта не ниже, чем у объекта, а все категории, перечисленные в метке безопасности объекта, присутствуют в метке субъекта. В таком случае говорят, что метка субъекта до­ минирует над меткой объекта. Смысл сформулированного пра­ вила понятен — читать можно только то, что положено. Субъект может записывать информацию в объект, если мет­ ка безопасности объекта доминирует над меткой субъекта. В ча­ стности, «конфиденциальный» субъект может писать в секрет­ ные файлы, но не может — в несекретные (разумеется, должны также выполняться ограничения на набор категорий). Ни при каких операциях уровень секретности информации не должен понижаться, хотя обратный процесс вполне возможен. Посто­ ронний человек может случайно узнать секретные сведения и сообщить их куда следует, однако лицо, допущенное к работе с секретными документами, не имеет права раскрывать их содер­ жание посторонним лицам. Описанный способ управления доступом называется прину­ дительным, поскольку он не зависит от воли субъектов (даже системных администраторов). После того как зафиксированы метки безопасности субъектов и объектов, оказываются зафик­ сированными и права доступа. В терминах принудительного управления нельзя выразить предложение «разрешить доступ к объекту X еще и для пользователя Y». Конечно, можно изменить метку безопасности пользователя Y, но тогда он скорее всего, получит доступ ко многим дополнительным объектам, а не толь­ кокX.
Принудительное управление доступом реализовано во м но­ гих вариантах операционных систем и СУБД, отличающихся по­ вышенными мерами безопасности. Независимо от практического использования, принципы принудительного управления являют­ ся удобным методологическим базисом для начальной классифи­ кации информации и распределения прав доступа. Удобнее мыс­ лить в терминах уровней секретности и категорий, чем заполнять неструктурированную матрицу доступа. Впрочем, в реальной жизни произвольное и принудительное управление доступом со­ четается в рамках одной системы, что позволяет использовать сильные стороны обоих подходов. Проблемы разграничения доступа. В настоящ ее время следует признать не полностью соответствующим действительности по­ ложение о том, что разграничение доступа направлено на защиту от злоумышленников. Современные СОИ характеризуются чрез­ вычайной сложностью и их внутренние ош ибки представляют не меньшую опасность. Динамичность современной программной среды в сочетании со сложностью отдельных компонентов существенно сужает об­ ласть применимости самой употребительной — дискреционной модели управления доступом. При определении уровня доступа важно не только (и не столько) то, кто обратился к объекту, но и то, каково содержание действия. Без привлечения семантики нельзя выявить троянские программы, противостоять которым произвольное управление доступом не в состоянии. Активно развиваем ое ролевое управление досту­ пом решает не столько проблемы безопасности, сколько улуч­ шает управляемость систем (что, конечно, очень важно). Суть его в том, что между пользователями и их привилегиями поме­ щаются промежуточные сущности — роли. Для каждого пользо­ вателя одновременно могут быть активными несколько ролей, каждая из которых дает ему определенные права. Сложность СОИ характеризуется прежде всего числом имеющихся в ней связей. Поскольку ролей много меньше, чем пользователей и привилегий, их (ролей) использование способ­ ствует понижению сложности и, следовательно, улучшению управляемости. Кроме того, на основании ролевой модели мож­ но реализовать такие важные принципы, как разделение обязан­ ностей (невозможность в одиночку скомпрометировать критиче­ ски важный процесс — как при наличии кассира и продавца в магазине). Между ролями могут быть определены статические
или динамические отношения несовместимости (невозможность одному субъекту по очереди или одновременно активизировать обе роли), что и обеспечивает требуемую защиту. 2.4 . Криптографическое закрытие Криптографические методы защиты основаны на возможно­ сти осуществления некоторой операции преобразования и нфор­ мации, которая может выполняться одним или несколькими пользователями СОИ, обладающими некоторым секретом, без знания которого (с вероятностью, близкой к единице, за разум­ ное время) невозможно осуществить эту операцию. Классификация методов криптографического закрытия Рассмотрим классификацию методов криптографического закрытия (табл. 2.4) [10, 11]. Под шифрованием понимается такой вид криптографическо­ го закрытия, при котором преобразованию подвергается каждый символ защищаемого сообщения. Все известные способы шиф ­ рования можно разбить на пять групп: подстановка (замена), перестановка, аналитическое преобразование, гаммирование и комбинированное шифрование. Каждый из этих способов мо­ жет иметь несколько разновидностей. Под кодированием понимается такой вид криптографическо­ го закрытия, когда некоторые элементы защищаемых данных (это не обязательно отдельные символы) заменяются заранее вы­ бранными кодами (цифровыми, буквенными, буквенно-цифро­ выми сочетаниями и т. п.). Этот метод имеет две разновидности: смысловое и символьное кодирование. При смысловом кодиро­ вании кодируемые элементы имеют вполне определенный смысл (слова, предложения, группы предложений). При символьном кодировании кодируется каждый символ защищаемого сообще­ ния. Символьное кодирование по существу совпадает с ш ифро­ ванием заменой. Перестановки — несложный метод криптографического пре­ образования. Используется как правило в сочетании с другими методами.
Таблица 2.4. Методы криптографического закрытия Шифрование Замена (подстановка) 1Простая (одноалфавитная) Многоалфавитная одноконтурная обыкновенная 1Многоалфавитная одноконтурная монофоническая Многоалфавитная многоконтурная Перестановка Простая 1Усложненная по таблице Усложненная по маршрутам Аналитическое преобразование ;С использованием алгебры матриц ' По особым зависимостям !Гаммирование С конечной короткой гаммой ' С конечной длинной гаммой іС бесконечной гаммой IЗамена и перестановка !Замена и гаммирование I----------- ---------- --------------- [Перестановкаи гаммирование IГаммирование и гаммирование Кодирование \По специальным таблицам (словарям) |По кодовому алфавиту Другие виды Смысловое Механическое Многоалфавитная подстановка — наиболее простой вид пре­ образований, заключающийся в замене символов исходного тек­ ста на другие (того же алфавита) по более или менее сложному правилу. Для обеспечения высокой криптостойкости требуется использование больших ключей. Комбинированные методы !і j Смысловое I Символьное Рассечение-разнесение Сжатие-расширение
Гаммирование — этот метод заключается в наложении на ис­ ходный текст некоторой псевдослучайной последовательности, генерируемой на основе ключа. Блочные шифры представляют собой последовательность (с возможным повторением и чередованием) основных методов преобразования, применяемую к блоку (части) шифруемого тек­ ста. Блочные шифры на практике встречаются чаще, чем «чис­ тые» преобразования того или иного класса в силу их более вы ­ сокой криптостойкости. Российский и американский стандарты шифрования основаны именно на этом классе шифров. Комбинированные методы шифрования. Вообще говоря, ко м ­ бинировать можно любые методы шифрования и в любом коли­ честве, однако на практике наибольшее распространение полу­ чили следующие комбинации: 1) подстановка + гаммирование; 2) перестановка + гаммирование; 3) гаммирование + гаммирова­ ние; 4) подстановка + перестановка. Типичным примером ком­ бинированного шифра является национальный стандарт США криптографического закрытия данных (DES). К отдельным видам криптографического закрытия относятся методы рассечения-разнесения и сжатия данных. Рассечение-раз- несение заключается в том, что массив защищаемых данных де­ лится (рассекается) на такие элементы, каждый из которых в отдельности не позволяет раскрыть содержание защищаемой информации. Выделенные таким образом элементы данных раз­ носятся по разным зонам ЗУ или располагаются на различных носителях. Обратная процедура называется сборкой данных. Совершенно очевидно, что алгоритм разнесения и сборки дан­ ных должен тщательно охраняться. Сжатие данных представляет собой замену часто встречаю­ щихся одинаковых строк данных или последовательностей оди­ наковых символов некоторыми заранее выбранными символами. Кратко рассмотрим основные методы криптографического закрытия информации. Шифрование заменой (подстановка). В этом, наибо лее пр о ­ стом, методе символы шифруемого текста заменяются другими символами, взятыми из одного (одно- или моноалфавитная под­ становка) или нескольких (много- или полиалфавитная подстанов­ ка) алфавитов. Самой простой разновидностью является прямая (простая) замена, когда буквы шифруемого сообщения заменяются други­
ми буквами того же самого или некоторого другого алфавита. Таблица замены может иметь следующий вид (табл. 2.5). Таблица 2.5. Таблица простой замены Исходные символы шифруемого текста АВсDЕFGНIJКLМNОРQRSтиVWXYZ Заменяемые символы SрXLRZIмАYЕDWТВGVNJ0сFнQик Используя эту таблицу, зашифруем текст: In this book the reader will find a comprehensive survey... Получим следующее зашифрованное сообщение: At omiy pbbe omr nrsirn fadd zail s xbwgnrmrtjafr jcnfru... Однако такой шифр имеет низкую стойкость, так как за­ шифрованный текст имеет те же статистические характеристики, что и исходный. Например, текст на английском языке содержит символы со следующими частотами появления (в порядке убы­ вания):Е—0,13, Т —0,105;А—0,081, О —0,079 ит.д.Вза­ шифрованном тексте наибольшие частоты появления в порядке убывания имеют буквы R — 0,12; О — 0,09, A w N по 0,07. Естественно предположить, что символом R зашифрована буква Е, символом О — букв Г и т. д. Это действительно соот­ ветствует таблице замены. Дальнейшая расшифровка не состав­ ляет труда. Эти методы дешифровки хорошо известны из клас­ сической литературы (см., например, Артур Конан Дойль «Пля­ шущие человечки», или Алан Эдгар По «Золотой жук»). Если бы объем заш ифрованного текста был намного больше, чем в рассмотренном примере, то частоты появления букв в за­ ш ифрованном тексте были бы еще ближе к частотам появления букв в английском алфавите и расшифровка была бы еще про­ ще. Поэтому простую замену используют редко и лиш ь в тех случаях, когда шифруемый текст короток. Для повышения стойкости шифра используют полиалфавит- ные подстановки, в которых для замены символов исходного тек­ ста используются символы нескольких алфавитов. Частным случаем рассмотренной полиалфавитной замены яв­ ляется так называемая монофоническая замена. Особенность это­
го метода состоит в том, что количество и состав алфавитов вы ­ бираются таким образом, чтобы частоты появления всех сим во­ лов в заш ифрованном тексте были одинаковыми. При таком положении затрудняется криптоанализ зашифрованного текста с помощью его статистической обработки. Выравнивание частот появления символов достигается за счет того, что для часто встречающихся символов исходного текста предусматривается использование большего числа заменяющих элементов, чем для редко встречающихся. Пример монофонического шифра для английского алфавита показан в табл. 2.6. Шифрование осуще­ ствляется так же, как и при простой замене (т. е. по шифрующе­ му алфавиту No 1) с той лишь разницей, что после шифрования каждого знака соответствующий ему столбец алфавитов цикли­ чески сдвигается вверх на одну позицию. Таким образом, столб­ цы алфавита как бы образуют независимые друг от друга кольца, поворачиваемые вверх на один знак каждый раз после ш ифрова­ ния соответствующего знака. В качества примера зашифруем монофоническим шифром тот же текст, который шифровался простой заменой: In this book the reader will find a comprehensive survey... Шифрованный текст имеет вид: A (-,) VNG/LjpGZ+F.= hg... Если подсчитать частоты появления символов, то легко ви­ деть, что даже на таком коротком образце текста они в значи­ тельной мере выровнены. Шифрование методом перестановки заключается в том, что символы шифруемого текста переставляются по определенным Таблица 2.6. Монофонический шифр для английского алфавита Алфавит открытого текста АВСDЕFGНIJКLМN0рQRSTиVwXYZ А л ф а в и т ш и ф р о т е к с т а fNQ GтЭ,АеL-R(сXгZV--ws huКt * NQ +[□Р)еLОRУ/XI=$jwshuКt кNQ ]WDгяе LиR(#XIаd wshuКt fNQ 1тD,АеLА.RУпXIZVСws huКt * NQ G1DР)еLОR(СXI=$ -- ws huКt RNQ +WDгяеLиRу/'XIаdjws huКt fNQ ]тD,А е LА.R(#XIZV ws huКt * NQ 1гDр)еLОRУпXI=$сwshuКt кNQ GWDгЯеLиR(сXI а d--wshuКt fNQ +тD АеLОRY/XIZViwshuКt * NQ ][Dр)еLАR(#XI=$ w shuКt кNQі1WDгЯеLиRУпXIаdсwshuКt
правилам внутри шифруемого блока символов. Рассмотрим не­ которые наиболее часто встречающиеся разновидности этого ме­ тода, которые могут быть использованы в автоматизированных системах. Самая простая перестановка — написать исходный текст за­ дом наперед и одновременно разбить шифрограмму на пятерки букв. Например, из фразы ПУСТЬ БУДЕТ ТАК, КАК МЫ ХОТЕЛИ, получится такой шифротекст: ИЛЕТО ХЫМКА ККАТТ ЕДУБЬ ТСУП. В последней группе (пятерке) не хватает одной буквы. Значит, прежде чем шифровать исходное выражение, следует его допол­ нить незначащей буквой (например, О) до числа, кратного пяти: ПУСТЬ-БУДЕТ-ТАККА -КМЫХО-ТЕЛИО. Тогда шифрограмма, несмотря на столь незначительное из­ менение, будет выглядеть по-другому: ОИЛЕТ ОХЫМК АККАТ ТЕДУБ ЬТСУП Кажется, ничего сложного, но при расшифровке проявятся серьезные неудобства. Текст может быть размещен в прямоугольной решетке (см. рис. 2.4, о), однако для обмена информацией требуются предва­ рительные договоренности между адресатом и отправителем по­ сланий, поскольку сама решетка может быть различной дли­ ны-высоты, записывать в нее можно по строкам, по столбцам, по спирали, по диагоналям, а для шифрования можно брать тоже различные направления. п /Сл .Б X ; жЖЖ/А к ѵжЖЖX м X'жжЖж м'ЖЖуж м'Л'К'И' Ж ИрМт ГОУс йоУг рЕрд Рис. 2.4. Зашифровка перестановкой с использование прямоугольной решетки (іа)\ решетка Кардано (б); зашифрованный фрагмент (в)
Для примера возьмем решетку 6 x 6 (причем количество строк может увеличиваться или уменьшаться в зависимости от длины исходного сообщения) и заполним ее по строкам. Если шифровать по диагоналям (стрелкам) сверху вниз с левого верх­ него угла, то в итоге получится такая шифрограмма: П УУ СДК ТЕКХ ЬТАОА БТКТБП АМЕВР ЫЛГС ИДТ ЕУ Ф Для окончательного оформление шифротекст может быть разбит на группы по 6 символов ПУУСДК ТЕКХЬТ АОАБТП ТБМАМЕ ВРЫЛГС ИДТЕУФ Интересным примером является решетка Кардано — метод перестановки (рис. 2.4, б ), базирующийся на решетчатой маске, устроенной таким образом, что при каждом повороте на 90° отверстия открывают участки чистой бумаги, а за 4 поворота «лист» (в данном случае 4x4) заполняется полностью. Читате­ лям предлагается самостоятельно расшифровать фрагмент текста на рис. 2.4, в. Из рассмотренных примеров очевидно, что все процедуры ш ифрования и расшифровки по методу перестановок являются в достаточной степени формальными и могут быть реализованы алгоритмически. Шифрование методом гаммирования состоит в том, что сим ­ волы шифруемого текста последовательно суммируются с си м ­ волами некоторой служебной последовательности, которая на­ зывается гаммой. Иногда такой метод представляют как наложе­ ние гаммы на исходный текст, поэтому он получил название «гаммирование». Пример гаммирования приведен на рис. 2.5 — символы ис­ ходного текста и гаммы представляются в виде двоичного кода, Символы шифруемого текста б у д ь 010010 10 00 00 110010 100000 Знаки гаммы: десятичные 7 18 2 двоичные 000111 000001 001000 000010 Символы зашифрованного текста оююі 100001 тою ЮООЮ Рис. 2 .5 . Пример шифрования гаммированием
затем соответствующие разряды складываются по модулю 2. Вместо сложения по модулю 2 при гаммировании можно ис­ пользовать и другие логические операции. Стойкость ш ифрования методом гаммирования определяется главным образом свойствами гаммы — длительностью периода и равномерностью статистических характеристик. Последнее свой­ ство обеспечивает отсутствие закономерностей в появлении раз­ личных символов в пределах периода. Обычно разделяют две разновидности гаммирования — с ко ­ нечной и бесконечной гаммами. При хороших статистических свойствах гаммы стойкость шифрования определяется только длиной периода гаммы. При этом, если длина периода гаммы превышает длину шифруемого текста, то такой шифр теоретиче­ ски является абсолютно стойким, т. е. его нельзя вскрыть с по ­ мощью статистической обработки зашифрованного текста. Это, однако, не означает, что дешифрование такого текста вообще невозможно: при наличии некоторой дополнительной информа­ ции исходный текст может быть частично или полностью вос­ становлен даже при использовании бесконечной гаммы. В качестве гаммы может быть использована любая последо­ вательность случайных символов, например, последовательность цифр числа 7г, числа е (основание натурального логарифма) и т. п. При шифровании с помощью ЭВМ последовательность гаммы может формироваться с помощью датчика псевдослучай­ ных чисел (ПСЧ) — известно несколько алгоритмов работы та­ ких датчиков, которые обеспечивают удовлетворительные харак­ теристики гаммы. Шифрование с помощью аналитических преобразований. Д о ста­ точно надежное закрытие информации может быть обеспечено при использовании для ш ифрования некоторых аналитических преобразований. Для этого можно использовать методы алгебры матриц, например, умножение матрицы на вектор по правилу: С =Ах В; С, = Y^aiJbJ. j=1 Если матрицу А = (а0) использовать в качестве ключа, а вме­ сто компонента вектора В = (bj) подставить символы текста, то компоненты вектора С = (с,) будут представлять собой символы зашифрованного текста.
Приведем пример, взяв в качестве ключа квадратную матри­ цу третьего порядка '1483Л А=852 321 Заменим буквы алфавита цифрами, соответствующими их порядковомуномерувалфавите:А— О,Б — 1,в — 2,ит.д.То­ гда отрывку текста в ата ла будет соответствовать последователь­ ность 2, 0, 19, 0, 12, 0. По принятому алгоритму шифрования выполним необходимые действия с тройками символов: С=АхВ= Л48 31 (2) о о U \ 852X0=54 U20WК2Ъ) П48 31{ f96l 852X12=60 U2ь1°, W С=АхВ= При этом заш ифрованный текст примет вид: 85, 54, 25, 96, 60, 24. Дешифрование осуществляется с использованием того же правила умножения матрицы на вектор, только в качестве ключа берется матрица, обратная той, с помощью которой осуществля­ ется заш ифровка, а в качестве вектора-сомножителя — соответ­ ствующие фрагменты символов закрытого текста; тогда значе­ ниями вектора-результата будут цифровые эквиваленты знаков открытого текста. Матрицей, обратной данной А, называется матрица А"1, по­ лучающая из присоединенной матрицы делением всех ее эле­ ментов на определитель данной матрицы. В свою очередь при­ соединенной называется матрица, составленная из алгебраических дополнений Ау к элементам данной матрицы, которые вычисля­ ются по формуле: Аѵ =(-1)'+Ч где Ау — определитель матрицы, получаемой вычеркиванием /-й строки и у-го столбца исходной матрицы А.
Определителем матрицы называется алгебраическая сумма п\ членов (для определителя п-ѵо порядка), составленная следую­ щим образом: членами служат всевозможные произведения п элементов матрицы, взятых по одному в каждой строке и в каж­ дом столбце, причем член суммы берется со знаком «+», если его индексы составляют четную подстановку, и со знаком «-» — в противоположном случае. Для матрицы третьего порядка, на­ пример, определитель вычисляется следующим образом: А-^11^22^33 + аПа2ЪаЪ\ + а\3а2\а32 ~ а \1^23^32 “ ^12^21^33 ~ ^13^22^31- Тогда процесс раскрытия выглядит так: Г1 -2 1> Г85^ (ь 85--2 54+125^ m А'1XС = -2 5-4X54 = -2•85+554-425 - 0 и -4 6; 125, и 85--4 -54+6•25 , W 1-21> f96l 196--2 •60+124> f<n А'1XС = -2 5-4X60=-2 96+5•60-4-24 =12 -46JW 1 96--4 -6 0+6•24 , loJ Таким образом, получена последовательность знаков рас­ крытого текста 2, 0, 19, 0, 12, 0, что соответствует исходному тексту. Этот метод шифрования является формальным, что по­ зволяет легко реализовать его программными средствами. Кодирование. Одним из средств криптографического закрытия информации, также имеющим длительную историю практическо­ го использования, является кодирование, под которым понимает­ ся замена элементов закрываемых данных некоторыми цифровы ­ ми, буквенными или комбинированными сочетаниями — кодами. Нетрудно заметить, что между кодированием информации и ее шифрованием подстановкой существует значительная аналогия. Однако между этими методами можно найти и различия. При шифровании подстановкой заменяемыми единицами информации являются символы алфавита, и, следовательно, шифрованию могут подвергаться любые данные, для фиксирова­ ния которых используется данный алфавит. При кодировании замене подвергаются смысловые элементы информации, поэто­ му для каждого специального сообщения в общем случае необ­ ходимо использовать свою систему кодирования. Правда, в по­
следнее время разработаны специальные коды, имеющие целью сократить объем информации при записи ее в ЗУ. Специфика этих кодов заключается в том, что для записи часто встречаю­ щихся символов используются короткие двоичные коды, а для записи редко встречающихся — длинные. Примером такого кода для английского языка может слу­ жить код Хаффмана, показанный в табл. 2.7. Таблица 2 .7. Коды Хаффмана Символы Кодовые последовательности А 1 1 1 1 О 1 1 1 0 N 1 1 0 D 1 1 0 1 1 і Р 1 1 0 1 0 1 1 1 V 1 1 0 1 0 0 1 і К 1 1 0 1 0 0 0 1 1 1 Q 1 1 0 1 0 0 0 1 0 1 Z 1 1 0 1 0 0 0 1 0 0 X 1 1 0 1 0 0 0 0 1 J 1 1 0 1 0 0 0 0 0 R 1 0 1 1 I 1 0 1 0 Е 1 0 0 S 0 1 1 0 W 0 1 1 1 0 1 в 0 1 1 1 0 0 н 0 1 0 1 F 0 1 0 0 1 с 0 1 0 0 0 м 0 0 0 1 1 и 0 0 0 1 0 G 0 0 0 0 1 Y 0 0 0 0 0 1 1
Такое кодирование имеет криптографическую стойкость на уровне шифрования простой заменой. При смысловом кодировании основной кодируемой едини­ цей является смысловой элемент текста. Для кодирования со­ ставляется специальная таблица кодов, содержащая перечень ко­ дируемых элементов и соответствующих им кодов. Введем, н а­ пример, следующую кодовую таблицу: Автоматизированные системы управления 001 Автоматизация управления 002 Осуществляет 415 Позволяет 632 Тогда предложение Автоматизированные системы управ­ ления позволяют осуществлять автоматизацию управле­ ния . после кодирования будет иметь вид: 001632 415 002... Криптографические системы Рассмотренные понятия в настоящее время объединяются в укрупненную концепцию криптографических систем (криптосистем). Сущность процессов в криптосистемах заключается в сле­ дующем. Сообщение (текст, аудио- или видеоизображение) пре­ образуется (шифруется) с помощью известного математического алгоритма и некоторого «ключа» так, что восстановление (де­ шифрирование) и прочтение первоначального текста (восста­ новление аудио- или видеоизображения) становятся возможны­ ми, если известны алгоритм и «ключ». Последний же обязатель­ но должен быть известен только источнику и получателю сообщения. Используются, как правило, два типа криптосистем: • симметричные (одноключевые) системы, основанные на использовании закрытых, секретных ключей; • асимметричные системы, в которых используются один от­ крытый и один закрытый ключ. Эти алгоритмы называют­ ся также асимметричными. Одноключевая (классическая) криптография использует только одну единицу секретной информации — ключ, знание которого позволяет отправителю зашифровать информацию , а получате­
лю — расшифровать ее (рис. 2.6). Именно эти операции шифро­ вания/расшифрования с большой вероятностью невыполнимы без знания секретного ключа. Поскольку обе стороны, владею­ щие ключом, могут как шифровать, так и расшифровывать ин ­ формацию, такие алгоритмы преобразования называют симмет­ ричными или алгоритмами с секретным (закрытым) ключом. «Секретный» ключ Рис. 2.6. Симметричная криптосистема При ее использовании возникает сложная задача обеспече­ ния надежного закрытого канала для обмена ключами. Асимметричная система. В криптографии с открытым клю­ чом имеется два ключа, по крайней мере один из которых нель­ зя вычислить из другого. Один ключ используется отправителем для шифрования информации, закрытие которой необходимо обеспечить. Другой ключ используется получателем для расшиф­ ровки полученной информации. Бывают приложения, в которых один ключ должен быть несекретным, а другой — секретным. Алгоритмы преобразования с открытым и секретным ключами называют асимметричными, поскольку роли сторон, владеющих разными ключами из пары, различны (рис. 2.7). Адресат-источник А, посылая адресату-получателю Б сооб­ щение, шифрует его, используя известный открытый ключ або­ нента Б. Зашифрованный текст в принципе не может быть расшифрован тем же открытым ключом. Дешифрование сооб­ щения возможно только с использованием закрытого ключа, который известен только адресату Б. Адресат Б, получив от адре­ сата А сообщение, расшифровывает его с помощью своего за­ крытого ключа.
Открытый ключ Закрытый ключ абонента Б абонента Б Рис. 2.7 . Асимметричная криптосистема Таким образом в организованной информационной конфи­ денциальной сети каждый абонент должен знать и хранить втай­ не свой уникальный закрытый ключ и список открытых ключей тех абонентов, с которыми он должен поддерживать информаци­ онную связь. Применение криптографических методов и средств Криптографические системы, реализованные в виде про­ грамм, встраиваются в программное обеспечение существующих рабочих станций и серверов и тем самым позволяют организо­ вать защиту конфиденциальной информации как при ее хране­ нии (в зашифрованном виде) и обработке в информационных системах, так и при передаче по каналам связи телекоммуника­ ционных сетей. С помощью рассмотренных криптографических методов ре­ шаются такие основные задачи, как: • предотвращение возможности несанкционированного оз­ накомления с информацией при ее хранении в компьютере или на отчуждаемых носителях, а также при передаче по каналам связи; • обнаружение искажений или ош ибок, возникающих при передаче информации по каналам связи телекоммуникаци­ онных сетей; • подтверждение подлинности электронного документа, до­ казательство авторства документа и факта его получения от соответствующего источника информации;
Защита от доступа. Первая задача решается шифрованием информации (данных). Зашифрованное сообщение становится недоступным для лиц, не допущенных к соответствующей ин­ формации, т. е. не знающих ключа, с помощью которого можно расшифровать сообщение. Перехват зашифрованных данных в этом случае бесполезен. Защита от искажений. Для защиты данных от случайных или преднамеренных искажений в канале связи используется контрольная последовательность — имитовставка. Она выраба­ тывается путем криптографического преобразования ш ифруемо­ го сообщения и ключа шифрования и представляет собой после­ довательность данных фиксированной длины. Имитовставка пе­ редается по каналу связи вместе с зашифрованным сообщением. Поступившее зашифрованное сообщение расшифровывается, вырабатывается контрольная имитовставка, которая сравнивает­ ся с имитовставкой, полученной из канала связи. В случае не­ совпадения имитовставок все расшифрованные данные считают­ ся искаженными и бракуются. Электронная цифровая подпись. Проблема установления ис­ тинности документа и личности подписавшего этот документ лица приобретает особое значение во многих системах, связан­ ных с юридической ответственностью за принимаемые решения, таких, как системы государственного и военного управления, финансовые и банковские системы, системы, связанные с рас­ пределением материальных ценностей, и другие. Эта проблема решается с помощью так называемой электронной подписи (ЭЦП), которая дает возможность заменить традиционные пе­ чать и подпись и, не меняя самого документа, позволяет прове­ рить подлинность и авторство полученной информации. Для вы­ работки электронной подписи также используются методы асим­ метричных криптографических преобразований. Каждый пользователь, обладающий правом подписи, само­ стоятельно формирует личные закрытый и открытый ключи подписи. Закрытый ключ подписи используется для выработки электронной цифровой подписи и должен сохраняться пользова­ телем втайне, что гарантирует невозможность подделки доку­ мента и цифровой подписи от его имени злоумышленником. Открытый ключ используется для проверки подлинности до­ кумента, а также для предупреждения отказа подписавшего его от своей подписи. Знание открытого ключа не дает возможности определить секретный ключ. Открытые ключи подписи всех
пользователей сети конфиденциальной связи объединяются в справочники открытых ключей. Таким образом, каждому поль­ зователю конфиденциальной сети, обладающему правом подпи­ си, необходимо иметь закрытый ключ подписи и справочник от­ крытых ключей. Электронная цифровая подпись вырабатывается с помощью так называемой функции хэширования на основе элек­ тронного документа, требующего заверения, и секретного ключа. Процесс выработки и использования электронной подписи за­ ключается в следующем. На вход однонаправленной хэш-функ­ ции поступает исходный документ произвольной длины. Хэш- функция преобразует его в хэш-значение фиксированной длины (например, 256 бит). Это значение однозначно зависит от содер­ жания документа, но не позволяет восстановить сам документ. Затем полученное хэш-значение математически преобразуется в цифровую подпись электронного документа и передается вме­ сте с документом. Хэш -функция обладает рядом уникальных свойств. Она чувствительна ко всевозможным изменениям в тек­ сте, что позволяет их обнаружить; для данной хэш-функции практически нельзя подобрать два исходных разных сообщения, которые могут иметь одно и то же хэш -значение или одну и ту же цифровую подпись, т. е. подделать ее. Для проверки электронной подписи необходимо знать от­ крытый ключ пользователя, поставившего подпись. При про­ верке снова вычисляется хэш-значение документа и проверя­ ются некоторые соотношения, связывающие хэш-значение до­ кумента, подпись под этим документом и открытый ключ подписавшего пользователя. Документ считается подлинным, а подпись правильной, если эти соотношения выполняются. В противном случае подпись под документом считается недей­ ствительной. Использование электронной подписи связано с вопросом подлинности открытых ключей. Для разрешения споров между отправителем и получателем информации, связанных с возмож­ ностью искажения пересылаемого документа или открытого ключа проверки подписи, достоверная копия этого ключа мо­ жет выдаваться третьей стороне (арбитру) и применяться им при возникновении конфликта между отправителем и получа­ телем. Для контроля целостности и подлинности справочников открытых ключей используется процедура выработки имито- вставки.
Криптографические стандарты DES и ГОСТ 28147—89 . Р а с­ смотрим кратко ш ироко известные алгоритмы блочного ш ифро­ вания, принятые в качестве государственных стандартов ш ифро­ вания данных в США и России. В 1973 г. Национальное бюро стандартов США начало разра­ ботку программы по созданию стандарта шифрования данных на ЭВМ. Был объявлен конкурс среди фирм-разработчиков США, который выиграла фирма IBM, представившая в 1974 г. алго­ ритм шифрования, известный под названием DES (Data Encryp­ tion Standart). В этом алгоритме входные 64-битовые векторы, называемые блоками открытого текста, преобразуются в выходные 64-бито­ вые векторы, называемые блоками шифротекста, с помощью двоичного 56-битового ключа К. Число различных ключей DES-алгоритма равно 256 >7 1016 Алгоритм реализуется в течение 16 аналогичных циклов ш ифрования, где на /'-м цикле используется цикловый ключ ЛГ„ представляющий собой алгоритмически вырабатываемую выбор­ ку 48 битов из 56 битов ключа Kh / = 1,2, ..., 16. Из-за небольшого размера ключа было принято решение ис­ пользовать DES-алгоритм для закрытия коммерческой (несек­ ретной) информации. Практическая реализация перебора всех ключей в данных условиях экономически нецелесообразна, так как затраты на реализацию перебора не соответствуют ценности информации, закрываемой шифром. DES-алгоритм явился первым примером широкого производ­ ства и внедрения технических средств в области защиты инфор­ мации. Национальное Бюро Стандартов США проводит провер­ ку аппаратных реализаций DES-алгоритма, предложенных фир- мами-разработчиками на специальном тестирующем стенде. Только после положительных результатов проверки производи­ тель получает от Национального Бюро Стандартов сертификат на право реализации своего продукта. К настоящему времени атте­ стовано несколько десятков изделий, выполненных на различной элементной базе. Основные области применения DES-алгоритма: • хранение данных в ЭВМ (шифрование файлов, паролей); • аутентификация сообщений (имея сообщение и контроль­ ную группу, несложно убедиться в подлинности сообщения); • электронная система платежей (при операциях с широкой клиентурой и между банками);
• электронный обмен коммерческой информацией (обмен данными между покупателем, продавцом и банкиром за­ щищен от изменений и перехвата). В 1989 г. в СССР был разработан блочный шифр для ис­ пользования в качестве государственного стандарта ш ифрова­ ния данных. Разработка была принята и зарегистрирована как ГОСТ 28147—89. И хотя масштабы применения этого алгорит­ ма шифрования до сих пор уточняются, начало его внедрению, в частности, в банковской системе, уже положено. Алгоритм, судя по публикациям, несколько медлителен, но обладает весь­ ма высокой стойкостью. Блок-схема алгоритма ГОСТ отличается от блок-схемы DES- алгоритма лиш ь отсутствием начальной перестановки и числом циклов шифрования (32 в ГОСТе против 16 в DES-алгоритме). В шифре ГОСТ используется 256-битовый ключ, и объем ключевого пространства составляет 2Ь6 Ни на одной из суще­ ствующих в настоящее время или предполагаемых к реализации в недалеком будущем ЭВМ общего применения нельзя подоб­ рать ключ за время, меньшее многих сотен лет. Российский стандарт проектировался с большим запасом, по стойкости он на много порядков превосходит американский стандарт DES с его реальным размером ключа в 56 бит и объемом ключевого пространства всего 236 В свете прогресса современных вы чис­ лительных средств этого явно недостаточно и в этой связи DES может представлять, скорее, исследовательский или научный, чем практический интерес. Алгоритм расшифровки отличается от алгоритма заш ифров­ ки тем, что последовательность ключевых векторов используется в обратном порядке. Расшифровка данных возможна только при наличии син­ хропосылки, которая в скрытом виде хранится в памяти ЭВМ или передается по каналам связи вместе с заш ифрованными данными. Важной составной частью шифросистемы является ключевая система шифра. Под ней обычно понимается описание всех ви­ дов ключей (долговременные, суточные, сеансовые и др.), ис­ пользуемых шифром, и алгоритмы их использования (протоколы ш ифрованной связи). В электронных шифраторах в качестве ключей могут исполь­ зоваться начальные состояния элементов памяти в схемах, реали­ зующих алгоритм шифрования, функциональные элементы алго­
ритма шифрования. Ключ может состоять из нескольких ключе­ вых составляющих различных типов: долговременных, сеансовых ит.д. Одной из основных характеристик ключа является его раз­ мер, определяющий число всевозможных ключевых установок шифра. Если размер ключа недостаточно велик, то шифр может быть вскрыт простым перебором всех вариантов ключей. Если размер ключа чрезмерно велик, то это приводит к удорожанию изготовления ключей, усложнению процедуры установки ключа, понижению надежности работы шифрующего устройства и т. д. Таким образом, выбранный криптографом размер ключа — это всегда некий компромисс. Заметим, что DES-алгоритм подвергался критике именно в связи с небольшим размером ключа, из-за чего многие крипто­ логи пришли к мнению, что необходимым «запасом прочности» DES-алгоритм не обладает. Другой важной характеристикой ключа является его случай­ ность. Наличие закономерностей в ключе приводит к неявному уменьшению его размера и, следовательно, к понижению крип­ тографической стойкости шифра. Такого рода ослабление кр ип ­ тографических свойств шифра происходит, например, когда ключевое слово устанавливается по ассоциации с какими-либо именами, датами, терминами. Всякая логика в выборе ключа на ­ носит ущерб криптографическим свойствам шифра. Таким обра­ зом, требование случайности ключей выступает как одно из ос­ новных при их изготовлении. Для изготовления ключей могут использоваться физические датчики и псевдослучайные генераторы со сложным законом об­ разования ключа. Использование хорошего физического датчика более привлекательно с точки зрения обеспечения случайности ключей, но является, как правило, более дорогим и менее про­ изводительным способом. Псевдослучайные генераторы более дешевы и производительны, но привносят некоторые зависимо­ сти, если не в отдельные ключи, то в совокупности ключей, что также нежелательно. Важной частью практической работы с ключами является обеспечение секретности ключа. К основным мерам по защите ключей относятся следующие: • ограничение круга лиц, допущенных к работе с ключами; • регламентация рассылки, хранения и уничтожения ключей; • регламентация порядка смены ключей;
• применение технических мер защиты ключевой информа­ ции от несанкционированного доступа. RSA — криптографическая система открытого ключа, обес­ печивает такие механизмы защиты как шифрование и цифровая подпись (аутентификация — установление подлинности). Крип­ тосистема RSA разработана в 1977 г. и названа по инициалам ее разработчиков R. Rivest, A. Shamir и L. Adleman. Вообще же, все предлагаемые сегодня криптосистемы с от­ крытым ключом опираются на один из следующих типов необ­ ратимых математических преобразований: • разложение больших чисел на простые множители; • вычисление логарифма в конечном поле; • вычисление корней алгебраических уравнений. Алгоритм RSA базируется на первом из этих принципов и работает следующим образом: берутся два достаточно больших простых числа р и q, затем вычисляется их произведение п = р х q (называемое модулем). Затем выбирается число е, которое удовлетворяет условию 1 <е<(р-1)х(0 - 1)ине имеет общих делителей, кроме 1 (вза­ имно простое) с числом (р - 1) х (q - 1). Затем вычисляется чис­ ло d таким образом, что (ed- 1) делится на (р- 1)х(q- 1). Та­ ким образом, здесь: е — открытый (public) показатель; d — частный (private) показатель; (п; е) — открытый (public) ключ; (п; d) — частный (private) ключ. Делители (факторы) р и q можно либо уничтожить, либо со­ хранить вместе с частным (private) ключом. Если бы существовали эффективные методы разложения на сомножители (факторинга), то, разложив п на сомножители (факторы) р и q, можно было бы получить частный (private) ключ d. Таким образом, надежность криптосистемы RSA осно­ вана на практически неразрешимой задаче разложения п на со­ множители (т. е. на невозможности факторинга я), так как в на­ стоящее время эффективного способа поиска сомножителей не существует. Криптосистема RSA используется в самых различных про­ дуктах, на различных платформах и во многих отраслях. В на­ стоящее время криптосистема RSA встраивается во многие ком­ мерческие продукты, число которых постоянно увеличивается.
Также ее используют операционные системы Microsoft, Apple, Sun и Novell. В аппаратном исполнении RSA алгоритм приме­ няется в защищенных телефонах, на сетевых платах Ethernet, на смарт-картах, широко используется в криптографическом обо­ рудовании. Кроме того, алгоритм входит в состав всех основных протоколов для защищенных коммуникаций Internet, в том чис­ ле S/MIME, SSL и S/WAN, а также используется во многих уч­ реждениях, например, в правительственных службах, в боль­ шинстве корпораций, в государственных лабораториях и уни­ верситетах. Криптосистема RSA — часть многих стандартов. Стандарт ISO 9796 описывает RSA как совместимый криптографический алгоритм, соотвествующий стандарту безопасности ITU -T Х.509. Кроме этого криптосистема RSA является частью стандартов SWIFT, ANSI Х9.31 rDSA и проекта стандарта Х9.44 для амери­ канских банков. Австралийский стандарт управления ключами AS2805.6 .5.3 также включает систему RSA. Алгоритм RSA используется в Internet, в частности он входит в такие протоколы, как S/MIME, IPSEC (Internet Protocol Security) и TLS (которым предполагается заменить SSL), а также в стандарт PKCS, применяемый в важных приложениях. 2.5 . Протоколирование, аудит и прочие направления обеспечения безопасности Средства протоколирования (регистрации событий) и аудита (анализа протоколов регистрации) всегда были важными направ­ лениями обеспечения безопасности. Протоколирование подразумевает сбор и накопление информации о событиях, происходящих в СОИ. Протоколирова­ ние помогает следить за пользователями и реконструировать прошедшие события. Слежка важна в первую очередь как профи­ лактическое средство. Можно надеяться, что многие воздержатся от нарушений безопасности, зная, что их действия фиксируются. Реконструкция событий позволяет проанализировать случаи на­ рушений, понять, почему они стали возможны, оценить размеры ущерба и принять меры по недопущению подобных нарушений в будущем.
Аудит — это анализ накопленной информации, проводи­ мый оперативно (в реальном времени) или периодически (на­ пример, раз в день). Реализация протоколирования и аудита преследует следую­ щие главные цели: • обеспечение подотчетности пользователей и администра­ торов; • обеспечение возможности реконструкции последователь­ ности событий; • обнаружение попыток нарушения информационной безо­ пасности; • предоставление информации для выявления и анализа про­ блем. Регистрация и оперативное оповещение о событиях безопасности Механизмы регистрации предназначены для получения и на­ копления (с целью последующего анализа) информации о со ­ стоянии ресурсов системы и о действиях субъектов, признанных администрацией СОИ потенциально опасными для системы. Анализ собранной средствами регистрации информации позво­ ляет выявить факты совершения нарушений, характер воздейст­ вий на систему, определить, как далеко зашло нарушение, под­ сказать метод его расследования и способы поиска нарушителя и исправления ситуации. Дополнительно, средства регистрации позволяют получать исчерпывающую статистику по использованию тех или иных ре­ сурсов, межсетевому трафику, использованию сервисов, попыт­ кам несанкционированного доступа и т. п. Кроме записи сведений об определенных событиях в специ­ альные журналы для последующего анализа средства регистра­ ции событий могут обеспечивать и оперативное оповещение ад­ министраторов безопасности (при наличии соответствующих возможностей по передаче сообщений) о состоянии ресурсов, попытках НСД и других действиях пользователей, которые могут повлечь за собой нарушение политики безопасности и привести к возникновению кризисных ситуаций. Еще одна особенность протоколирования и аудита — зависи­ мость от других средств безопасности. Идентификация и аутен­
тификация служат отправной точкой подотчетности пользовате­ лей, логическое управление доступом защищает конфиденциаль­ ность и целостность регистрационной информации. Для защиты привлекаются и криптографические методы. При регистрации событий безопасности в систем ном журнале обычно записывается по крайней мере следующая информация: • дата и время события; • идентификатор субъекта (пользователя, программы) — инициатора действия; • действие (если регистрируется запрос на доступ, то отмеча­ ется объект и тип доступа); • результат действия (успех или неудача); • источник запроса (например, имя терминала); • имена затронутых объектов (например, открываемых или удаляемых файлов); • описание изменений, внесенных в базы данных защиты (например, новая метка безопасности объекта); • метки безопасности субъектов и объектов события. Диспетчер доступа, контролируя множество событий безо­ пасности, происходящих в системе, тесно взаимодействует с подсистемами регистрации событий и оперативного оповещения об их наступлении. Он обеспечивает обнаружение и регистра­ цию до нескольких сотен типов событий. Примером таких собы­ тий могут служить: • вход пользователя в систему; • вход пользователя в сеть; • неудачная попытка входа в систему или сеть (неправиль­ ный ввод имени или пароля); • подключение к файловому серверу; • запуск программы; • завершение программы; • оставление программы резидентно в памяти; • попытка открытия файла, недоступного для чтения; • попытка открытия на запись файла, недоступного для записи; • попытка удаления файла, недоступного для модификации; • попытка изменения атрибутов файла, недоступного для модификации; • попытка запуска программы, недоступной для запуска; • попытка получения доступа к недоступному каталогу;
• попытка чтения/записи информации с диска, недоступного пользователю; • попытка запуска программы с диска, недоступного пользо­ вателю; • вывод на устройства печати документов с грифом (при полномочном управлении доступом); • выход из системы; • обращение к удаленной системе; • нарушение целостности программ и данных системы за­ щиты; • смена привилегий или иных атрибутов безопасности (режи­ ма доступа, уровня благонадежности пользователя и т. п.). Можно назвать и другие события — например, смену набора регистрируемых действий. Полный перечень событий, потенци­ ально подлежащих регистрации, зависит от избранной политики безопасности и от специфики системы. Если фиксировать все события, объем регистрационной ин­ формации, скорее всего, будет расти слишком быстро, а ее эф­ фективный анализ станет невозможным. «Оранжевая книга» [8] предусматривает наличие средств выборочного протоколирова­ ния как в отношении пользователей (внимательно следить толь­ ко за подозрительными), так и в отношении событий. В хорошо спроектированных системах защиты все механиз­ мы контроля используют единый механизм регистрации. Одна­ ко, в системах, где используются разнородные средства защиты разных производителей, в каждом из них используются свои ме­ ханизмы и ведутся свои журналы регистрации, что создает до­ полнительные сложности в администрировании системы защи­ ты. Механизмы регистрации очень тесно связаны с другими за­ щитными механизмами. Сигналы о происходящих событиях и детальную информацию о них механизмы регистрации получают от механизмов контроля (подсистем разграничения доступа, контроля целостности ресурсов и др.). В наиболее развитых системах защиты подсистема оповеще­ ния сопряжена с механизмами оперативного автоматического реагирования на определенные события. Могут поддерживаться следующие основные способы реагирования на обнаруженные факты НСД (возможно, с участием администратора безопас­ ности): • подача сигнала тревоги; • извещение администратора безопасности;
• извещение владельца информации о НСД к его данным; • снятие программы (задания) с дальнейшего выполнения; • отключение (блокирование работы) терминала или ко мпь ­ ютера, с которого были осуществлены попытки НСД к ин ­ формации; • исключение нарушителя из списка зарегистрированных пользователей и т. п. Мониторинговые программы. Выше уже говорилось о том, что такое программное обеспечение имеет двойное назначение, и будучи санкционированно примененным, образует часть систе­ мы протоколирования, позволяя владельцу (администратору безопасности) автоматизированной системы: • определить (локализовать) все случаи попыток несанкцио­ нированного доступа к конфиденциальной информации с точным указанием времени и сетевого рабочего места, с которого такая попытка осуществлялась; • локализовать все случаи искажения (уничтожения) инфор­ мации; • определить факты несанкционированной установки про­ граммного обеспечения; • проконтролировать возможность использования персо­ нальных компьютеров в нерабочее время и выявить цель такого использования; • определить все случаи несанкционированного использова­ ния модемов в локальной сети путем анализа фактов запус­ ка несанкционированно установленных специализирован­ ных приложений; • определить все случаи набора на клавиатуре критичных слов и словосочетаний, подготовки каких-либо критичных документов, передача которых третьим лицам приведет к материальному ущербу; • определить факты нецелевого использования персональ­ ных компьютеров: — получить достоверную информацию, на основании кото­ рой будет разрабатываться политика информационной безопасности предприятия; — контролировать доступ к серверам и персональным компьютерам; — проводить информационный аудит; — проводить исследование компьютерных инцидентов;
— проводить научные исследования, связанные с определе­ нием точности, оперативности и адекватности реагиро­ вания персонала на внешние воздействия; — определить загрузку компьютерных рабочих мест; — определить загрузку персонала предприятия; — восстановить критическую информацию после сбоев компьютерных систем; — обеспечить наблюдаемость вычислительной системы. Именно это свойство, в зависимости от качества его реа­ лизации, позволяет в той или иной мере контролировать соблюдение сотрудниками предприятия установленных правил безопасной работы на компьютерах и политики безопасности. Кроме того, в пользовательских условиях санкционирован­ ное применение мониторинговых программных продуктов, на­ пример, позволяет родителям: • контролировать контакты несовершеннолетних детей в сети Internet; • противодействовать негативному воздействию на несовер­ шеннолетних детей специализированных сайтов, которые показывают детскую порнографию или другие незаконные сексуальные действия (извращения), пропагандируют на­ силие, пропагандируют дискриминацию по признаку расы, пола, религиозных убеждений, национальности, инвалид­ ности, сексуальной ориентации, возрасту, пропагандируют противозаконные действия, нарушают права интеллекту­ альной собственности, нарушают законы страны размеще­ ния сайта или любые иные законы. Система обнаружения вторжений (СОВ, англ. — Intrusion Detection System, IDS) —средство, относящееся к классу мони­ торинговых программ и предназначенное для выявления фактов неавторизованного доступа в компьютерную систему или сеть. Системы обнаружения вторжений обеспечивают дополнитель­ ный уровень защиты компьютерных систем. Обычно архитекту­ ра СОВ включает: • сенсорную подсистему, предназначенную для сбора собы­ тий, связанных с безопасностью защищаемой системы; • подсистему анализа, предназначенную для выявления атак и подозрительных действий; • хранилище, обеспечивающее накопление первичных собы­ тий и результатов анализа;
• консоль управления, позволяющая конфигурировать СОВ, наблюдать за состоянием защищаемой системы и СОВ, п ро­ сматривать выявленные подсистемой анализа инциденты. Различают хостовые, сетевые и гибридные (смешанные) СОВ в зависимости от того, какие сенсоры используются для получе­ ния первичной информации. Различают также пассивные и а к­ тивные СОВ в зависимости от способности СОВ предпринимать действия в ответ на выявленные инциденты безопасности. Возвращаясь к целям протоколирования и аудита, отметим, что обеспечение подотчетности важно в первую очередь как средство сдерживания. Если пользователи и администраторы знают, что все их действия фиксируются, они, возможно, воз­ держатся от незаконных операций. Очевидно, если есть осно ва­ ния подозревать какого-либо пользователя в нечестности, мож­ но регистрировать его действия особенно детально, вплоть до каждого нажатия клавиши. При этом обеспечивается не только возможность расследования случаев нарушения режима безопас­ ности, но и откат некорректных изменений (если в протоколе присутствуют данные до и после модификации). Тем самым за­ щищается целостность информации. Реконструкция последовательности событий позволяет вы­ явить слабости в защите сервисов, найти виновника вторжения, оценить масштабы причиненного ущерба и вернуться к нор­ мальной работе. Выявление и анализ проблем могут помочь улучшить такой параметр безопасности, как доступность. Обнаружив узкие мес­ та, можно попытаться переконфигурировать или перенастроить систему, снова измерить производительность и т. д. Протоколирование и аудит можно превратить в бессмыслен­ ную формальность, а можно — в эффективный инструмент под­ держания режима информационной безопасности. Активный аудит Активный аудит дополняет такие традиционные защитные механизмы, как идентификация/аутентификация и разграниче­ ние доступа, и направлен на выявление подозрительной (зло­ умышленной и/или аномальной) активности с целью оператив­ ного принятия ответных мер. Назначение активного аудита — обнаруживать и реагировать. Обнаружению подлежит подозри­
тельная активность компонентов СОИ — от пользователей (внутренних и внешних) до программных систем и аппаратных устройств. Подозрительную активность можно подразделить на злоумышленную и аномальную (нетипичную). Выявление злоумышленной активности. Под злоумышленной активностью подразумеваются как атаки (очевидно, противоре­ чащие любой политике безопасности), так и действия, нарушаю­ щие политику безопасности конкретной организации путем зло­ употребления имеющимися полномочиями. Это разделение про­ исходит по той причине, что настройка на выявление атак может быть выполнена поставщиком системы активного аудита (атаки носят универсальный характер), в то время как политика безо­ пасности у каждой организации своя и настраиваться на нее за­ казчикам придется самим. Для выявления злоумышленной активности пытались и пы ­ таются использовать несколько универсальных технологий: экс­ пертные системы, нейронные сети, сопоставление с образцом и т. п. Одной из первых и до сих пор самой употребительной остается технология обнаружения сигнатур злоумышленных действий. Идея состоит в том, чтобы каким-либо образом задать характеристики злоумышленного поведения (это и называется сигнатурами), а затем отслеживать поток событий в поисках со­ ответствия с предопределенными образцами. Выявление аномальной активности. Для выявления аномаль­ ной активности было предложено довольно много методов: нейронные сети, экспертные системы, статистический подход. В свою очередь, статистический подход можно подразделить на кластерный и факторный анализ, а также дискрим инантный (классификационный) анализ. Выявление аномальной активности статистическими метода­ ми основывается на сравнении краткосрочного поведения с дол­ госрочным. Для этого измеряются значения некоторых парамет­ ров работы субъектов (пользователей, приложений, аппаратуры). Параметры могут отличаться по своей природе; можно выделить следующие группы: • категориальные (измененные файлы, выполненные коман­ ды, номер порта и т. п.); • числовые (процессорное время, объем памяти, количество просмотренных файлов, число переданных байт и т. п.); • величины интенсивности (число событий в единицу вре­ мени);
• распределение событий (таких как доступ к файлам, вывод на печать и т. п.). Алгоритмы анализа могут работать с разнородными значе­ ниями, а могут преобразовать все параметры к одному типу (на ­ пример, разбив область значения на конечное число подобластей и рассматривая все параметры как категориальные). Выбор изме­ ряемых характеристик работы — очень важный момент. С одной стороны, недостаточное число фиксируемых параметров может привести к неполноте описания поведения субъекта и к большо­ му числу пропуска атак; с другой стороны, слиш ком большое число отслеживаемых характеристик потребует слишком боль­ шого объема памяти и замедлит работу алгоритма анализа. Измерения параметров накапливаются и преобразуются в про ­ фили — о писания работы субъектов. Суть преобразования множе­ ства результатов измерения в профили — сжатие информации. У статистического подхода также есть проблемы: • относительно высокая вероятность ложных тревог (нети- пичность поведения не всегда означает злой умысел); • плохая работа в случаях, когда действия пользователей не имеют определенного шаблона, или когда с самого начала пользователи совершают злоумышленные действия (зло­ умышленные действия типичны), или, наконец, когда поль­ зователь постепенно изменяет шаблон своего поведения в сторону злоумышленных действий. Реагирование на подозрительные действия. После того как о б ­ наружена сигнатура злоумышленного действия или нетипичная активность, необходимо выбрать достойный ответ. Для активного аудита одинаково опасны как пропуск атак (это значит, что не обеспечивается должной защиты), так и большое количество лож­ ных тревог (это значит, что активный аудит быстро отключат). Предпочтительны более спокойные, но также достаточно эффективные меры, такие как блокирование злоумышленного сетевого трафика средствами межсетевого экранирования или принудительное завершение сеанса работы пользователя. Конеч­ но, и здесь остается опасность наказать невиновного, так что политика безопасности каждой организации должна определять, что важнее — не пропустить нарушение или не обидеть лояль но­ го пользователя. С точки зрения быстрого реагирования, традиционные меры, связанные с информированием администратора, не особенно эффективны. Они хороши в долгосрочном плане, для глобально­
го анализа защищенности командой профессионалов. Здесь ак­ тивный аудит смыкается с пассивным, обеспечивая сжатие реги­ страционной информации и представление ее в виде, удобном для человека. Разумная реакция на подозрительные действия может вклю­ чать увеличение степени детализации протоколов и активизацию средств контроля целостности. В принципе, это пассивные меры, но они помогут понять причины и ход развития наруше­ ния, так что человеку будет проще выбрать «меру пресечения». Вероятно, в перспективе нормой станет взаимодействие с системами, через которые поступает подозрительный сетевой трафик. Это поможет пресечению злоумышленной активности и прослеживанию нарушителя. Требования к системам активного аудита. На пер вом месте находится требование полноты, включающее в себя следую­ щие аспекты: • полнота отслеживания информационных потоков в СОИ. Это означает, что система активного аудита должна содер­ жать сетевые и системные сенсоры, анализировать инфор­ мацию на всех уровнях — от сетевого до прикладного; • полнота спектра выявляемых атак и злоупотреблений пол­ номочиями. Данное требование означает не только то, что у системы должен быть достаточно мощный язык описания подозрительной активности (как атак, так и злоупотребле­ ний полномочиями). Этот язык должен быть прост, чтобы заказчики могли производить настройку системы в соответ­ ствии со своей политикой безопасности. Поставщ ик систе­ мы активного аудита должен в кратчайшие сроки (порядка суток) передавать заказчику сигнатуры новых атак. Система должна уметь выявлять аномальную активность, чтобы справляться с заранее неизвестными способами нарушений; • достаточная производительность. Система активного ауди­ та должна справляться с пиковыми нагрузками защищае­ мых сервисов. Если известно, что система активного аудита обладает недостаточной производительностью, она может стать объектом атаки на доступность (DoS), на фоне кото­ рой могут осуществляться другие виды нападения. Помимо полноты, системы активного аудита должны удовле­ творять следующим требованиям: • м ин имум ложных тревог. В абсолютном выражении допус­ тимо не более одной ложной тревоги в час (лучше, если их
будет на порядок меньше). При интенсивных потоках дан ­ ных подобное требование оказывается весьма жестким; • умение объяснять причину тревоги. Выполнение этого тре­ бования, во-первых, помогает отличить обоснованную тре­ вогу от ложной, во-вторых, помогает определить первопри­ чину инцидента, что важно для оценки его последствий и недопущения повторных нарушений. Даже если реагирова­ ние на нарушение производится в автоматическом режиме, должна оставаться возможность последующего разбора си­ туации специалистами; • интеграция с системой управления и другими сервисами безопасности. Во-первых, сами средства активного аудита должны управляться (устанавливаться, конфигурировать­ ся, контролироваться) наравне с другими инфраструктур­ ными сервисами. Во-вторых, активный аудит может (и должен) поставлять данные в общую базу данных управ­ ления. Прочие направления обеспечения безопасности Контроль защищенности по сути представляет собой попытку «взлома» СОИ, осуществляемого силами самой организации или уполномоченными лицами. Идея данного сервиса в том, чтобы обнаружить слабости в защите раньше злоумышленников. В пер­ вую очередь, имеются в виду не архитектурные (их ликвидиро­ вать сложно), а «оперативные» бреши, появившиеся в результате ошибок администрирования или из-за невнимания к обновле­ нию версий программного обеспечения. Средства контроля защищенности позволяют накапливать и многократно использовать знания об известных атаках. Очевид­ на их схожесть с антивирусными средствами; формально послед­ ние можно считать их подмножеством. Очевиден и реактивный, запаздывающий характер подобного контроля (он не защищает от новых атак). Впрочем, следует помнить, что оборона должна быть эшелонированной, так что в качестве одного из рубежей контроль защищенности вполне адекватен. Отметим также, что подавляющее большинство атак носит рутинный характер; они возможны только потому, что известные слабости годами оста­ ются неустраненными.
Существуют как коммерческие, так и свободно распростра­ няемые продукты для контроля защищенности. Впрочем, в дан ­ ном случае важно не просто один раз получить и установить их, но и постоянно обновлять базу данных слабостей. Это может оказаться не проще, чем следить за информацией о новых атаках и рекомендуемых способах противодействия. Контроль целостности. В современных системах контроль целостности должен распространяться не только на отдельные порции данных, аппаратные или программные компоненты. Он обязан охватывать распределенные конфигурации, защищать от несанкционированной модификации потоки данных. В настоящее время существует достаточно много методов для контроля целостности и с системной, и с сетевой направленно­ стью (обычно контроль выполняется прозрачным для приложе­ ний методом как часть общей протокольной активности). Безопасность повторного использования объектов. Б езо п ас­ ность повторного использования объектов — важное на прак­ тике дополнение средств управления доступом, предохраняю­ щее от случайного или преднамеренного извлечения секретной информации из «мусора». Безопасность повторного использо­ вания должна гарантироваться для областей оперативной памя­ ти (в частности, для буферов с образами экрана, расшифрован­ ными паролями и т. п.), для дисковых блоков и магнитных но­ сителей в целом. Важно обратить внимание на следующий момент. По­ скольку информация о субъектах также представляет собой объект, необходимо позаботиться о безопасности «повторного использования субъектов». Когда пользователь покидает орга­ низацию, следует не только лишить его возможности входа в систему, но и запретить доступ ко всем объектам. В против­ ном случае, новый сотрудник может получить ранее использо­ вавшийся идентификатор, а с ним и все права своего предше­ ственника. Современные интеллектуальные периферийные устройства усложняют обеспечение безопасности повторного использова­ ния объектов. Действительно, принтер может буферизовать не­ сколько страниц документа, которые останутся в памяти даже после окончания печати. Необходимо предпринять специальные меры, чтобы «вытолкнуть» их оттуда. Впрочем, иногда организации защищаются от повторного использования слишком ревностно — путем уничтожения маг­
нитных носителей. На практике заведомо достаточно троекрат­ ной записи случайных последовательностей бит. Экранирование. Экранирование как сервис безопасности вы­ полняет следующие функции: • разграничение межсетевого доступа путем фильтрации пе­ редаваемых данных; • преобразование передаваемых данных. Современные межсетевые экраны фильтруют данные на ос­ нове заранее заданной базы правил, что позволяет, по сравнению с традиционными операционными системами, реализовывать го­ раздо более гибкую политику безопасности. При комплексной фильтрации, охватывающей сетевой, транспортный и приклад­ ной уровни, в правилах могут фигурировать сетевые адреса, ко ­ личество переданных данных, операции прикладного уровня, па­ раметры окружения (например, время) и т. п. Преобразование передаваемых данных может затрагивать как служебные поля пакетов, так и прикладные данные. В первом случае обычно имеется в виду трансляция адресов, помогающая скрыть топологию защищаемой системы. Это — уникальное свойство сервиса экранирования, позволяющее скрывать существование некоторых объектов доступа. Преоб­ разование данных может состоять, например, в их шифро­ вании. В процессе фильтрации (точнее, параллельно с ней) может выполняться дополнительный контроль (например, антивирус­ ный). Возможны и дополнительные преобразования, например, исправление заголовков или иной служебной информации, став­ шей некорректной после наступления 2000 года. Применение межсетевого экранирования поставщиками In­ ternet-услуг в соответствии с рекомендациями позволило бы су­ щественно снизить шансы злоумышленников и облегчить их прослеживание. Данная мера еще раз показывает, как важно рассматривать каждую информационную систему как часть гло­ бальной инфраструктуры и принимать на себя долю ответствен­ ности за общую информационную безопасность. Туннелирование. Его суть состо ит в том, чтобы «упаковать» передаваемую порцию данных вместе со служебными полями в новый «конверт». Данный сервис может применяться для не ­ скольких целей: • осуществления перехода между сетями с разными протоко­ лами (например, IPv4 и IPv6);
• обеспечения конфиденциальности и целостности всей пе­ редаваемой порции, включая служебные поля. Туннелирование может применяться как на сетевом, так и прикладном уровнях. Например, стандартизовано туннелирова­ ние для IP и двойное конвертование для почты Х.400. Комбинация туннелирования и шифрования (с необходимой криптографической инфраструктурой) на выделенных шлюзах позволяет реализовать такое важное в современных условиях за­ щитное средство, как виртуальные частные сети. Такие сети, наложенные обычно поверх Internet, существенно дешевле и го­ раздо безопаснее, чем действительно собственные сети органи­ зации, построенные на выделенных каналах. Коммуникации на всем их протяжении физически защитить невозможно, поэтому лучше изначально исходить из предположения об уязвимости и соответственно обеспечивать защиту. Современные протоколы, направленные на поддержку классов обслуживания, помогут га­ рантировать для виртуальных частных сетей заданную пропуск­ ную способность, величину задержек и т. п., ликвидируя тем са­ мым единственное на сегодняшний день реальное преимущест­ во сетей собственных. Обнаружение отказов и оперативное восстановление о тно си т­ ся к числу сервисов, обеспечивающих высокую доступность (го­ товность). Его работа опирается на элементы архитектурной безопасности, а именно на существование избыточности в аппа­ ратно-программной конфигурации. В настоящее время спектр программных и аппаратных средств данного класса можно считать сформировавшимся. На программ­ ном уровне соответствующие функции берет на себя программное обеспечение промежуточного слоя. Среди аппаратно-программ­ ных продуктов стандартом стали кластерные конфигурации. Вос­ становление производится оперативно (десятки секунд, в крайнем случае, минуты) прозрачным для приложений образом. Важно отметить, что обнаружение отказов и оперативное восстановление может играть по отношению к другим средствам безопасности инфраструктурную роль, обеспечивая высокую го­ товность последних. Это особенно важно для межсетевых э кра­ нов, средств поддержки виртуальных частных сетей, серверов ау­ тентификации, нормальное функционирование которых крити­ чески важно для корпоративной информационной системы в целом. Такие комбинированные продукты получают все более широкое распространение.
Резервное копирование информации. Резервное копирование {англ. backup) — процесс создания копии данных на носителе (жестком диске, дискете и т. д.), предназначенный для восста­ новления данных в оригинальном месте их расположения в слу­ чае их повреждения или разрушения. Резервное копирование необходимо для возможности быст­ рого и недорогого восстановления информации (документов, программ, настроек и т. д.) в случае утери рабочей копии и н­ формации по какой-либо причине. Требования к системе резервного копирования: • надежность хранения информации. Обеспечивается дубли­ рованием информации и заменой утерянной копии другой в случае уничтожения одной из копий; • простота в эксплуатации — автоматизация (по возможно­ сти минимизировать участие человека, как пользователя, так и администратора); • быстрое внедрение (легкая установка и настройка программ, создание скриптов, краткое обучение пользователей). Виды резервного копирования: • полное резервирование (Full Backup) - - обычно за­ трагивает всю систему и все файлы. Еженедельное, ежемесяч­ ное и ежеквартальное резервирование подразумевает полное резервирование. Первое еженедельное резервирование долж­ но быть полным резервированием, обычно выполняемым по выходным дням, в течение которого копируются все защи­ щаемые файлы. Последующие резервирования, выполняе­ мые, например, ежедневно, до следующего полного резерви­ рования, могут быть добавочными или дифферен­ циальными, главным образом для того, чтобы сохранить время и место на носителе. Полное резервирование обычно рекомендуется проводить, по крайней мере, еженедельно; • дифференциальное резервирование (Differential Backup) — каждый файл, который был изменен с момента последнего полного резервирования, копируется каждый раз заново. Д ифференциальное резервирование ускоряет процесс восстановления. Все, что необходимо, это послед­ няя полная и последняя дифференциальная резервная ко­ пия. Популярность дифференциального резервирования растет, так как все копии файлов делаются в определенные моменты времени, что, например, очень важно при зараже­ нии вирусами;
• добавочное резервирование (Incremental Backup). При добавочном («инкрементальном») резервировании про­ исходит копирование только тех файлов, которые были из­ менены с тех пор, как в последний раз выполнялось полное или добавочное резервное копирование. Последующее до­ бавочное резервирование добавляет только файлы, которые были изменены с момента предыдущего добавочного резер­ вирования. В среднем, добавочное резервирование занимает меньше времени, так как копируется меньшее количество файлов. Однако процесс восстановления данных занимает больше времени, так как должны быть восстановлены дан­ ные последнего полного резервирования, плюс данные всех последующих добавочных резервирований. При этом, в от­ личие от дифференциального резервирования, изменив­ ш иеся или новые файлы не замещают старые, а добавляют­ ся на носитель независимо; • пофайловое резервирование — запрашивается каждый индивидуальный файл и записывается на носитель. Всегда следует использовать предлагаемую опцию верифи­ кации. При верификации все копируемые с диска данные перечитываются с источника и проверяются или побайтно сравниваются с данными на носителе. Так как фрагменти­ рованные файлы на диске из-за большего количества вы­ полняемых операций поиска замедляют процесс резерви­ рования, то производительность можно обычно увеличить, производя регулярную дефрагментацию диска; • отображающее дублирование — делается сво еоб ­ разный «мгновенный снимок» диска и копируется на но ­ ситель сектор за сектором. Процесс почти непрерывный, позволяющий резервирующему устройству работать с мак­ симальной производительностью. Отображающее дублиро­ вание обеспечивает быстрое восстановление всей системы. Многие системы отображающего дублирования также по­ зволяют восстанавливать отдельные файлы. Схемы ротации. Для резервного копирования очень важным вопросом является выбор подходящей схемы ротации носителей (например, магнитных лент). Наиболее часто используют сле­ дующие схемы: • одноразовое копирование (custom) является са­ мой простой схемой, поскольку оно вообще не предусмат­ ривает ротации носителей. Все операции проводятся вруч-
ную. Перед копированием администратор задает время на­ чала резервирования, перечисляет файловые системы или каталоги, которые нужно копировать. Эту информацию можно сохранить в базе, чтобы ее можно было использо­ вать снова. При одноразовом копировании чаще всего при­ меняется полное копирование; • схема «дед—отец —сы н» (Grandfather—Father—Son, GFS) имеет иерархическую структуру и предполагает ис­ пользование комплекта из трех наборов носителей. Раз в неделю делается полная копия дисков компьютера, еже­ дневно же проводится инкрементальное (или дифферен­ циальное) копирование. Дополнительно раз в месяц про­ изводится еще одно полное копирование. Набор для ежедневного инкрементального копирования называется «сыном», для еженедельного — «отцом» и для ежемесяч­ ного — «дедом»; • схема -«ханойская башня» (Tower Of Hanoi) получи­ ла свое название от древней восточной игры, в которой не­ обходимо переместить стопку дисков с одного колыш ка на другой, и маленький диск может быть помещен только на диск большего размера. В данной схеме многочисленные комплекты носителей сменяются в последовательности до­ бавочного и полного резервирования. Здесь для увеличения безопасности используется больше комплектов носителей, чем в GFS. Призвана устранить некоторые из перечислен­ ных недостатков, но, правда, она имеет свои собственные. Схема построена на применении нескольких наборов но­ сителей, их количество не регламентируется, хотя обычно ограничивается пятью-шестью. Каждый набор предназна­ чен для недельного копирования, как в схеме простой ро­ тации, но без изъятия п<* іных копий; • схема «10 наборов», как следует из названия, рассчи­ тана на использование 10 наборов носителей. Период из 40 недель делится на десять циклов. В течение цикла за ка­ ждым набором закреплен один день недели. По прошест­ вии четырехнедельного цикла осуществляется сдвиг номера набора. Иными словами, если в первом цикле за понедель­ ник отвечал набор No 1, а за вторник — No 2, то во втором цикле за понедельник отвечает набор No 2, а за вторник — No 3. Такая схема позволяет равномерно распределить на­ грузку и, как следствие, износ между всеми носителями.
Перечислим основные типы носителей резервной копии: • лента стримера — запись резервных данных на магнитную ленту; • DVD или CD — запись резервных данных на компакт- диски; • H D D — запись резервных данных на НЖМД (жесткий диск компьютера); • LAN — запись резервных данных на другую машину внут­ ри локальной сети; • FTP — запись резервных данных на ҒТР-сервер; • USB — запись резервных данных на USB-совместимое уст­ ройство (флэш -карта или внеш ний жесткий диск); • ZIP, JAZ, МО — резервное копирование на дискеты ZIP, JAZ, МО. Антивирусная защита. Методы обнаружения вирусов. А нти ви ­ русное программное обеспечение обычно использует две группы отличных друг от друга методов для выполнения своих задач: • реактивные — методы, основанные на поиске вредо­ носных объектов с помощью постоянно обновляемых баз приложения (сигнатур вирусов/атак). Для реализации дан­ ного метода необходимо хотя бы одно заражение, чтобы до­ бавить сигнатуру в базы и распространить обновление баз; • проактивные — методы, в отличие от реактивной защ и­ ты, строящиеся не на анализе кода объекта, а на анализе его поведения в системе. Такие методы нацелены на обнаруже­ ние новых угроз, информации о которых еще нет в базах. Обнаружение, основанное на сигнатурах / сло­ варях — антивирусная программа, сканируя проверяемый файл, обращается к антивирусным базам, которые составлены производителем программы-антивируса. В случае соответствия какого-либо участка кода просматриваемой программы извест­ ному коду (сигнатуре) вируса в базах программа антивирус мо­ жет по запросу выполнить одно из следующих действий: • удалить инфицированный файл; • заблокировать доступ к инфицированному файлу; • отправить файл в карантин (т. е. сделать его недоступным для выполнения с целью недопущения дальнейшего рас­ пространения вируса); • попытаться восстановить файл, удалив сам вирус из тела файла;
• в случае невозможности лечения/удаления выполнить эту процедуру при перезагрузке. Хотя антивирусные программы, созданные на основе си гна­ тур могут достаточно эффективно препятствовать вспышкам за ­ ражения компьютеров, авторы вирусов стараются держаться в пе­ реди таких программ-антивирусов, создавая «олигоморфиче- ские», «полиморфические» и самые новые, «метаморфические» вирусы, в которых некоторые части шифруются или искажаются так, чтобы невозможно было обнаружить совпадение с определе­ нием в словаре вирусов. Обнаружение аномалий поведения (другие на зв а­ ния: проактивная защита, поведенческий блокиратор, Host Intrusion Prevention System — HIPS). Антивирусы, использующие метод обнаружения подозрительного поведения программ, не пытаются идентифицировать известные вирусы, вместо этого они прослеживают поведение всех программ. Опасная активность определяется по совокупности действий программы. Например, при обнаружении таких действий, как самокопирование некоторой программы на сетевые ресурсы, в каталог автозапуска, системный реестр, а также последующая рассылка копий, можно с большой долей вероятности предполо­ жить, что это программа — червь. К опасным действиям также относятся: • изменения файловой системы; • встраивание модулей в другие процессы; • скрытие процессов в системе; • изменение определенных ключей системного реестра MS Windows. В настоящее время подобные превентивные методы обнару­ жения вредоносного кода, в том или ином виде широко приме­ няются в качестве модуля антивирусной программы, а не от­ дельного продукта. В отличие от метода поиска соответствия определению виру­ са в антивирусных базах, метод обнаружения подозрительного поведения дает защиту от новых вирусов, которых еще нет в а н ­ тивирусных базах. Однако программы или модули, построенные на этом методе, выдают также большое количество предупрежде­ ний (в некоторых режимах работы), что делает пользователя мало восприимчивым ко всем предупреждениям. Классифика ции антивирусных программ. Сущ е­ ствует несколько классификаций антивирусных программ. В со­
ответствии с одной из них известные к настоящему времени ан­ тивирусные программы по функциональным признакам делятся на четыре класса: • А — предупреждение заражения; • Б — выявление последствий заражения; • В — минимизация причиненного ущерба; • Г — общего характера. Программы класса А делятся на пять групп следующего на­ значения: А1 — фильтры, следящие за операциями других исполняе­ мых программ и реагирующие на подозрительные действия; А2 — резидентные детекторы и фаги, следящие за появлени­ ем в оперативной памяти конкретных вирусов и подающие при их появлении специальные сигналы оператору; АЗ — иммунизаторы, изменяющие файлы и области оператив­ ной памяти таким образом, что вирус их после этого не заражает; А4 — разграничители доступа, ограничивающие распростра­ нение вирусов путем разграничения доступа к ресурсам ЭВМ, программам и массивам данных со стороны других программ и пользователей; А5 — преобразователи параметров операционной среды, реа­ лизующие изменение соглашений, принятых в операционной системе (форматы записей, команды, расположение системной информации и др.), недоступные разработчикам вирусов и тем самым препятствующие заражению ЭВМ. Программы класса Б делятся на шесть групп следующего функционального назначения: Б 1 — нерезидентные детекторы и фаги, осуществляющие просмотр запоминающих устройств, определяющие заражен­ ность файлов и дисков и организующие их лечение; Б2 — программы проверки подозрительных характеристик, осуществляющие просмотр запоминающих устройств и выяв­ ление таких характеристик, которые могут говорить о наличии вируса в системе. К таким характеристикам относятся недо­ пустимые значения отдельных полей в заголовке файла, по­ дозрительные переходы, странные изменения в программах ит.п.; БЗ — программы, осуществляющие просмотр файлов и но­ сителей, определение различных их характеристик (контрольные суммы, криптографические суммы, длины, даты и времена соз­
дания и др.) и сравнение этих величин с эталонами в целях о п­ ределения возможного заражения; Б4 — программы, осуществляющие слежение и регистрацию в системном журнале операций, осуществляемых на ЭВМ. При заражении анализ журнала помогает выявить источник зараже­ ния, характер поведения вируса; Б5 — программы-ловуш ки («дрозофилы», уловители), специ­ ально выделяемые для заражения, которые, заражаясь, сигнали­ зируют о наличии вируса; Б6 — программы автономной защиты файла, защищающие файлы от вирусов путем дописывания своей копии к защищае­ мым модулям. Программы класса В (минимизирующие ущерб, причинен­ ный заражением) делятся на следующие три группы: В1 — программы полного копирования, предназначенные для создания резервных копий программного обеспечения; В2 — программы частичного копирования, предназначенные для копирования и восстановления наиболее уязвимых частей диска (Boot-сектор, FAT, корневое оглавление); ВЗ — программы, прерывающие вычислительный процесс, т. е. осуществляющие принудительное прерывание вычислитель­ ного процесса в целях локализации распространения вируса. Программы класса Г (общего назначения) предназначены не для прямой борьбы с вирусами, а для оказания помощи в этой борьбе. Эти программы делятся на пять групп следующего на­ значения: Г1 — программы просмотра диска, позволяющие отображать значения каждого сектора, копировать одну физическую область в другую. Применяются для определения целостности отдельных частей диска, наличия вируса в файлах и внесения небольших изменений; Г2 — программы, позволяющие искать на диске контекст определенного содержания. С их помощью можно найти участки кодов вирусов и пораженные ими секторы; ГЗ — программы, позволяющие восстанавливать отдельные части диска; Г4 — программы, реализующие просмотр состояния опе­ ративной памяти, состав и характеристики находящихся там модулей; Г5 — программы, позволяющие упорядочить информацию на диске на физическом уровне по заранее заданному закону.
Существуют и другие подходы к этой классификации. Разли­ чают, например, следующие виды антивирусных программ: • сканеры (устаревший вариант «полифаги») Определяют на­ личие вируса по БД, хранящей сигнатуры (или их ко н­ трольные суммы) вирусов. Их эффективность определяется актуальностью вирусной базы и наличием эвристического анализатора; • ревизоры — запоминают состояние файловой системы, что делает в дальнейшем возможным анализ изменений; • сторожа (мониторы) — отслеживают потенциально опас­ ные операции, выдавая пользователю соответствующий за­ прос на разрешение/запрещение операции; • вакцины — изменяют прививаемый файл таким образом, чтобы вирус, против которого делается прививка, уже счи­ тал файл зараженным. В современных условиях, когда ко­ личество возможных вирусов измеряется десятками тысяч, этот подход затруднителен. Некоторые из данных типов программ будут рассмотрены далее (гл. 4). Контрольные вопросы 1. В чем состоит предмет и объекты защиты информации в автоматизированных системах обработки информации (СОИ)? 2. Что представляют собой элементы и объекты защиты в СОИ? 3. Дайте определение и перечислите основные дестабилизирующие факторы СОИ? 4. Перечислите каналы несанкционированного получения информации вСОИ. 5. Назовите преднамеренные угрозы безопасности СОИ. 6. В чем состоят функции непосредственной защиты информации? 7. Каковы методы подтверждения подлинности пользователей и разграничения их доступа к компьютерным ресурсам? Цели и методы контроля доступа к ап­ паратуре. 8. Какие разновидности методов использования паролей вам известны? 9. Перечислите методы идентификации и установления подлинности субъектов и различных объектов? 10. Каковы методы своевременного обнаружения несанкционированных дейст­ вий пользователей?
11. Перечислите способы определения модификаций информации. 12. Назовите методы регистрации действий пользователей. 13. Что понимается под идентификацией и установлением подлинности субъекта (объекта)? 14. В чем заключается суть идентификации и установления подлинности техни­ ческих средств? 15. Перечислите разновидности вредоносного программного обеспечения. 16. Какие разновидности вирусов вам известны? 17. Какие виды компьютерных червей вам известны? 18. Перечислите виды атак в Internet. 19. Объясните суть преобразований — перестановка и замена. 20. Приведите пример табличной перестановки с использованием ключевого слова. 21. Что такое ключ? 22. Что из себя представляет криптосистема? 23. Какие основные типы криптосистем вы знаете? 24. Что из себя представляет симметричная криптографическая система? 25. Объясните суть алгоритма DES иукажите на его особенности. 26. Дайте описание алгоритма криптографического преобразования данных (ГОСТ28147— 90) и его отличительных особенностей. 27. Для каких целей применяются случайные последовательности и простые чис­ ла в криптографии? 28. Чем отличается криптографическая система с открытым ключом? 29. В чем заключается суть электронной цифровой подписи? 30. Как проверяется целостность сообщения? 31. В чем отличие аудита от активного аудита? 32. Какие методы резервирования данных вам известны? 33. Назовите основные типы антивирусных программ. Задания для дешифровки текстов, зашифрованных методами перестановки 1. Изречение немецкого философа Фридриха Ницше: ОЬТСО НЙАЧУ ЛСВТЯ РЕВЕН ИЛЕТИ ДЕБОП 2. Изречение немецкого ученого-гуманиста Эразма Роттердамского: ЙЫТЫР КСТНА ЛАТЕН ТЕАДЗ ОСИИЦ АТУПЕ Р0000
3. Изречение чешского писателя Карела Чапека: ЕЛЙГС АМОЛТ ЕМИЬР УНСЕО ЕАПОМ М000П МОЖОЕ ОЕКШО ШРАОЬ АЙОСЙ ДОДНДР ОЕЕУО 4. Изречение польского писателя-фантаста Станислава Лема: ТОУМА МЕЖЕЧ ЫАООО ОММГЗ ЕСНМЕ ДЕООО ЧЫАОД НЛОТМ УМООО ТДЕРО ЕОЧОМ МОООО 5. Изречение датского ученого-физика Нильса Бора: ТПРРО УСЕБД ООДИН ОБЖВЛ ООЕЕУ ИОЧОЕ НАДТО ЩНЬЕУ ОТДБУ 6. Изречение французского философа Жана-Поля Сартра: ИНККО ОТСОЧ ЯЧПОТ ЕАРЕЯ ОЛНЕА АЕМТК ОНСТШ 7. Изречение американского писателя Джона Стейнбека: АРЕНО ЫЕТМО ЕЖОИБ ЕДДЖЙ ЯПТВС ОДОКМ ПСИОЖ ОЙЛГО ОИЕНТ
Глава 3 ЗАЩИТА ИНФОРМАЦИИ В ОПЕРАЦИОННЫХ СИСТЕМАХ И ПРИЛОЖЕНИЯХ Программные средства (программное обеспечение, ПО) включают по крайней мере две компоненты — системное ПО и прикладное ПО. В настоящей главе будут рассмотрены встроен­ ные средства обеспечения информационной безопасности в операционных системах (ОС) и некоторых наиболее по ­ пулярных прикладных программах, в основном на при ­ мерах продуктов Microsoft — MS Windows 2000/ХР, MS Word, Access, Excel. Приложения, предназначенные специально для борьбы с уг­ розами безопасности ПК, будут рассмотрены в гл. 4. Отметим, что в то время как ОС (точнее, файловая сис­ тема — ФС) управляет данными, оперируя такими объектами, как том (диск), раздел (партиция), кластер/сектор, файл, типич­ ные приложения (текстовые редакторы, табличные процессоры и СУБД) «распоряжаются» на более тонких уровнях — «лист», «ячейка» (Excel), « таблица БД», « строка» , «столбец» (Access). Соответственно, разграничение доступа, шифрование, аудит событий и другие действия, связанные с информационной безо­ пасностью, осуществляются по-разному — ОС может запретить обращение к файлу, в то время как СУБД заблокирует «запись» (строку таблицы БД) или «данное» (элемент записи). 3.1 . Обеспечение информационной безопасности в ОС В операционных системах MS Windows 2000/ХР направления информационной безопасности осуществляются в основном в следующих направлениях: • разграничение доступа к ресурсам; • ш ифрование; • наблюдение за событиями (аудит); • защита от вирусов, спама и других угроз.
Разграничение доступа Данное направление защиты информации является неотъем­ лемой функцией операционных систем с момента их возникно­ вения, и Windows ХР, как и большинство других ОС, использует два механизма такого разграничения: управление правами поль­ зователей/процессов; управление атрибутами ресурсов ЭВМ. Управление правами пользователей может осущ ествляться из оснастки Локальные пользователи и группы (рис. 3.1), которая является важным средством безопасности, поскольку позволяет ограничить возможные действия пользователей и групп путем на­ значения им прав и разрешений. Право дает возможность пользователю выполнять на компьютере определенные действия, а разрешение представляет собой правило, связанное с объектом (файлом, папкой, принтером и т. д.), которое определяет, каким пользователям и какого типа доступ к объекту разрешен. Права пользователей определяют его возможности на ло ­ кальном уровне. Хотя права пользователей и могут применяться к учетным записям отдельных пользователей, удобнее админист­ рировать права пользователей на основе групп. Это обеспечивает автоматическое наследование прав, назначенных группе, пользо­ вателем, входящим в систему с учетной записью члена этой ?Администрирование Файл Правка Вид Избранное Сервис Справка Поиск Папки jVi';] В Переход Ш Консоль Д< ЛіІ Ш Управление компьютером Щ Консоль Действие Вид Окно Справка Ф» |S:ID 0 і ѳѳ® ш Служебные програг уѵ Ш Просмотр событ Администраторы j Общие папки j g Локальные nom I -.'t Пользоеате Группы Ш Журналы и опоі > § Гости д Операторы архива 5 Операторы настройки... 4neHbN «Опытные пользователи Опытте <. ^Пользователи J Группы шш Іроизводи... Просмотр событий Уп^эепеиие Рис. 3 .1 . Экран Администрирование (У); окна Управление компьютером (2) И Локальные пользователи (3)
группы. Назначая права группам, а не отдельным пользователям, можно упростить администрирование учетных записей пользова­ телей. Если всем пользователям группы требуются одинаковые права, можно один раз назначить набор прав группе, вместо того, чтобы назначать один и тот же набор прав каждому поль­ зователю в отдельности. Права, назначенные группе, применяются ко всем членам группы до тех пор, пока они в ней состоят. Права пользователей, являющихся членами нескольких групп, суммируются; это озна­ чает, что пользователь имеет более одного набора прав. Права, назначенные группе, могут конфликтовать с правами другой группы, только если речь идет об определенных правах на вход в систему. Тем не менее обычно права, назначенные группе, не конфликтуют с правами другой группы. Чтобы лишить пользо­ вателя прав, администратору достаточно удалить его из группы. При этом пользователь лишается прав, назначенных группе. Существует два типа прав пользователей: привилегии и права на вход в систему. Примером привилегии может служить право на выключение системы. Примером права на вход в систему может служить право на удаленное подключение. Оба типа разрешений назначаются администраторами отдель­ ным пользователям или группам пользователей как часть на­ строек безопасности компьютера. Привилегии. Чтобы упростить администрирование учетных за­ писей пользователей, следует назначать привилегии учетным за­ писям групп, а не отдельных пользователей. При назначении привилегий учетной записи группы пользователям, включаемым в эту группу, эти привилегии назначаются автоматически. В табл. 3.1 перечислены и описаны некоторые из привиле­ гий, которыми могут быть наделены пользователи. Ряд из этих привилегий имеют более высокий приоритет, чем разрешения объекта. Например, пользователь домена может являться членом группы Операторы архива, которая имеет пра­ во выполнения задач архивирования на всех серверах домена. Однако для этого требуется наличие разрешения на чтение всех файлов на этих серверах, в том числе и тех файлов, для которых владельцы установили разрешения, явно запрещающие доступ других пользователей, включая и членов группы Операторы ар­ хива. В данном случае право пользователя выполнять архивиро­ вание получает приоритет над всеми разрешениями для файлов и каталогов.
Таблица 3.1. Некоторые привилегии пользователей Привилеги я Описание Работа в режиме операционной Эта привилегия разрешает процессу проходить проверку системы подлинности как любому пользователю и таким образом получать доступ к тем же ресурсам, что и любой пользова­ тель Архивирование файлов и ката- Данная привилегия позволяет пользователю избежать дей- логов ствия разрешений файлов и каталогов для архивирования системы. Эта привилегия выбирается только при попытке приложения получить доступ через API архивации NTFS Обход перекрестной проверки Эта привилегия позволяет пользователю проходить через папки, к которым иначе у него нет доступа, на пути к объек­ ту в файловой системе NTFS или в реестре. Эта привилегия не разрешает пользователю выводить список содержимое папки, а только проходить через него Изменение системного времени Пользователь получает возможность устанавливать время на системных часах компьютера Отладка программ Пользователь получает возможность запускать программу отладки для любого процесса. Эта привилегия обеспечивает большие возможности доступа к важным и необходимым компонентам операционной системы Принудительное удаленное за­ вершение работы Создание журналов безопасно­ сти Пользователь получает возможность завершать работу ком ­ пьютера из удаленного расположения в сети Позволяет выполнять процесс создания записей журнала безопасности. Журнал безопасности используется для от­ слеживания несанкционированного доступа в систему Увеличение приоритета диспет­ черизации Процесс с доступом для записи свойств к другому процессу получает возмож ность повысить приоритет выполнения другого процесса. Пользователь, обладающий данной при­ вилегией, может изменять приоритет диспетчеризации про­ цесса СПОМОЩЬЮ интерфейса Диспетчера задач Загрузка и выгрузка драйверов устройств Пользователь получает возмож ность устанавливать и уда­ лять драйверы самонастраиваемых устройств. Эта привиле­ гия не влияет на возможность установки драйверов для уст­ ройств, не являющихся самонастраиваемыми. Драйверы для таких устройств могут быть установлены только адми­ нистраторами Управление аудитом и журна­ лом безопасности Пользователь получает возможность указывать параметры аудита доступа к объекту для отдельных ресурсов, таких как файлы, объекты Active Directory и разделы реестра
Окончание табл. 3 .1 Привилеги я Описание Пользователь получает возможность работать со средства­ ми наблюдения за производительностью для отображения быстродействия системных процессов Пользователь получает возможность восстанавливать заар­ хивированные файлы и каталоги, несмотря на их разреше­ ния, а также назначать любого допустимого участника безо­ пасности владельцем объекта Пользователь получает возможность завершать работу опе­ рационной системы на локальном компьютере Пользователь получает возможность становиться владель­ цем любых объектов безопасности системы, включая объек­ ты Active Directory, файлы и папки NTFS, принтеры, разделы реестра, службы, процессы и потоки Существуют три фундаментальных уровня защиты, предос­ тавляемых пользователям. Они предоставляются конечным пользователям через членство в группах Администраторы, Опытные пользователи или Пользователи. В узле Группы (рис. 3.1, 3) отображаются все встроенные группы и группы, созданные пользователем. Встроенные группы создаются автоматически при установке Windows 2000 или Win­ dows ХР. Принадлежность к группе предоставляет пользователю права и возможности для выполнения различных задач на ком ­ пьютере. Узел Пользователи отображает две встроенные учетные за­ писи пользователей — Администратор и Гость, а также все соз­ данные учетные записи пользователей. Встроенные учетные за­ писи пользователей создаются автоматически при установке Windows 2000/ХР. Учетная запись Администратор используется при первой ус­ тановке рабочей станции или рядового сервера. Эта учетная за­ пись позволяет выполнять необходимые действия до того, как пользователь создаст свою собственную учетную запись. Она вхо­ дит в группу Администраторы на рабочей станции или сервере. Учетную запись Администратор нельзя удалить, отключить или вывести из локальной группы Администраторы, благодаря чему исключается возможность случайной потери доступа к компьютеру после уничтожения всех учетных записей админист­ Профилирование загруженно­ сти системы Восстановление файлов и ката­ логов Завершение работы системы Овладение файлами или иными объектами
раторов. Это свойство отличает учетную запись Администратор от остальных членов локальной группы Администраторы. Администраторы. Членство в группе Администраторы по умолчанию предоставляет самый ш ирокий набор разрешений и возможность изменять собственные разрешения. Рекомендует­ ся использовать административный доступ только для выполне­ ния следующих действий: • установки операционной системы и ее компонентов (на­ пример, драйверов устройств, системных служб и т. д.); • установки пакетов обновления; • обновления операционной системы; • восстановления операционной системы; • настройки важнейших параметров операционной системы (политики паролей, управления доступом, политики ауди­ та, настройки драйверов в режиме ядра и т. д.); • вступления во владение файлами, ставшими недоступными; • управления журналами безопасности и аудита; • архивирования и восстановления системы. На практике учетные записи администраторов часто должны использоваться для установки и запуска программ, написанных для предыдущих версий Windows. Опытные пользователи. Чл ены группы Опытные пользователи могут создавать учетные записи пользователей, но изменять и удалять могут только те из них, которые создали сами. Кроме того, они могут создавать локальные группы и уда­ лять пользователей из созданных ими локальных групп, а также ИЗ групп Опытные пользователи, Пользователи и Гости. Члены группы Опытные пользователи имеют больше разре­ шений, чем члены группы Пользователи, и меньше, чем члены группы Администраторы. Опытные пользователи могут выпол­ нять любые задачи с операционной системой, кроме задач, заре­ зервированных для группы Администраторы. Опытные пользователи могут: • выполнять приложения, сертифицированные для Win­ dows 2000 и Windows ХР, а также устаревшие приложения; • устанавливать программы, не изменяющие файлы опера­ ционной системы и системные службы; • настраивать ресурсы на уровне системы, включая принте­ ры, дату и время, параметры электропитания и другие ре­ сурсы панели управления;
• создавать и управлять локальными учетными записями пользователей и групп; • останавливать и запускать системные службы, не запущен­ ные по умолчанию. Члены этой группы не могут изменять группы Администра­ торы и Операторы архива, являться владельцами файлов, вы ­ полнять архивирование и восстановление каталогов, загружать и выгружать драйверы устройств или управлять журналами безо­ пасности и аудита. Опытные пользователи не могут добавлять себя в группу Ад­ министраторы. Они не имеют доступа к данным других пользо­ вателей на томе NTFS, если соответствующие разрешения этих пользователей не получены. Для выполнения устаревших программ в Windows 2000/ХР часто необходимо изменить доступ к некоторым параметрам системы. Разрешения по умолчанию, позволяющие опытным пользователям выполнять устаревшие программы, также позво­ ляют им получать дополнительные привилегии в системе (даже полный административный контроль). Поскольку опытные пользователи могут устанавливать и из­ менять программы, работа под учетной записью группы Опытные пользователи при подключении к Internet может сделать систе­ му уязвимой для троянских коней и других программ, угрожаю­ щих безопасности. Пользователи. Члены группы могут в ыполнять наиболее распространенные задачи, например запуск приложений, исполь­ зование локальных и сетевых принтеров, завершение работы и блокировку рабочих станций. Группа Пользователи является наиболее безопасной, поскольку разрешения, предоставленные этой группе по умолчанию, не позволяют пользователям изменять параметры реестра на уровне системы, файлы операционной сис­ темы, или программы или данные других пользователей. Пользо­ ватели могут выключать рабочие станции, но не серверы, могут создавать локальные группы, но управлять могут только теми, ко­ торые они создали. Пользователи не могут организовывать общий доступ к каталогам или создавать локальные принтеры. Пользователи не могут запускать большинство программ для версий, более ранних, чем Windows 2000. Операторы архива. Члены группы могут архивировать и восстанавливать файлы на компьютере независимо от всех разрешений, которыми защищены эти файлы. Они могут также
входить в систему и завершать работу компьютера, но не могут изменять параметры безопасности. Для архивирования и восстановления файлов данных и сис­ темных файлов требуются разрешения на чтение и запись. Раз­ решения по умолчанию для операторов архива, позволяющие им архивировать и восстанавливать файлы, делают для них возмож­ ным использование разрешений группы для других целей, на­ пример для чтения файлов других пользователей и установки программ с троянскими вирусами. Гости. Группа позволяет случайным или разовым пользо­ вателям войти в систему со встроенной учетной записью гостя рабочей станции и получить ограниченные возможности. Члены группы Гости могут только завершить работу системы на рабо­ чей станции. Учетная запись Гость используется теми, кто не имеет ре­ альной учетной записи на компьютере. Если учетная запись пользователя отключена (но не удалена), он также может вос­ пользоваться учетной записью Гость. Учетная запись гостя не требует пароля. По умолчанию она отключена, но ее можно включить. Дополнительные права, как любые разрешения, мо­ гут быть присвоены группе Гости членом группы Админист­ раторы. Репликатор. Группа поддерживает функции репликации каталога. Только член этой группы может иметь учетную запись пользователя домена, которая используется для входа в систему службы репликации контроллера домена. Не добавляйте в эту группу учетные записи реальных пользователей. Специальные группы. В Windows 2000/ХР автоматиче­ ски создаются несколько дополнительных групп: • Интерактивные. В этой группе находятся пользователи, в данный момент работающие в системе. Во время обновле­ ния Windows 2000/ХР участники группы Интерактивные также добавляются в группу Опытные пользователи, та­ ким образом устаревшие приложения будут работать так же, как и до обновления; • Сеть. В этой группе находятся все пользователи, в данный момент имеющие доступ на компьютер по сети; • Пользователь сервера терминалов. При установке сер­ вера терминалов в режиме сервера приложений в эту груп­ пу помещаются пользователи, в данный момент работаю­ щие в системе с помощью сервера терминалов. Все про­
граммы, которые могут выполняться участниками группы Пользователи в Windows NT/2000/XP, могут выполняться участниками группы Пользователь сервера терминалов. Разрешения, назначаемые по умолчанию этой группе, по­ зволяют пользователям сервера терминалов выполнять ус­ таревшие программы. Для выполнения устаревших программ в Windows 2000/ХР необходимо разрешение на изменение некоторых параметров системы. Разрешения по умолчанию, позволяющие пользовате­ лям сервера терминалов выполнять устаревшие программы, так­ же позволяют им получать дополнительные привилегии в систе­ ме, даже полный административный контроль. Локальные учетные записи, созданные на локальном компь­ ютере, создаются без паролей и по умолчанию добавляются в группу Администраторы. Используя диспетчер настройки безо­ пасности, МОЖНО управлять членством В группе Администрато­ ры (или в любой другой группе) с помощью политики Группы с ограниченным доступом. При установке сервера терминалов в режим удаленного управления пользователи, работающие на компьютере с помо­ щью сервера терминалов, не будут членами этой группы. Создание/удаление учетной записи пользователя. Д ля выпол­ нения этой процедуры необходимо войти в систему с учетной записью Администратор или члена группы Администраторы. Если компьютер подключен к сети, то параметры сетевой поли­ тики могут запретить выполнение данной процедуры. Далее, следует открыть оснастку Управление компьютером (Пуск\Панель управленияхАдминистрирование\Управление компьютером, см. рис. 3 .1). Чтобы создать новую учетную запись пользователя, в дереве консоли (рис. 3.1, 3) следует выбрать Пользователи\Дейст­ вие \Новый пользователь, затем ввести соответствующ ие све­ дения в диалоговое окно и установить или снять флажки: • Потребовать смену пароля при следующем входе в систему; • Запретить смену пароля пользователем; • Срок действия пароля не ограничен; • Отключить учетную запись. Затем нажать кно п ки Создать\3акрыть. Имя пользователя не должно совпадать с другим именем пользователя или группы на данном компьютере. Оно не может
состоять только из точек (.) и пробелов, а может содержать до 20 символов в верхнем или нижнем регистре, за исключением следующих: /\[] I= + <>. В поля Пароль и Подтверждение может быть введен пароль, содержащий до 127 символов. Однако если компьютер с Windows 2000/ХР используется в сети, к которой подключены компьютеры, работающие под управлением Windows 95/98, не­ обходимо предусмотреть использование паролей длиной не бо­ лее 14 символов. Чтобы удалить учетную запись пользователя, в дереве консо ­ ли следует выбрать узел Пользователи, щелкнуть правой кно п ­ кой мыши по учетной записи пользователя, которую требуется удалить, и выбрать команду Удалить. Удаленную учетную за­ пись пользователя восстановить невозможно. Ограничение доступа к ПК. Другими способами защиты ком ­ пьютера являются его блокировка на время отсутствия пользова­ теля на рабочем месте и настройка экранной заставки, защ и­ щенной паролем. Нажав комбинацию клавиш <ctrl+Alt+Del>, а затем кнопку Блокировка, можно предотвратить доступ поль­ зователей, не прошедших проверку, на компьютер. Разблокиро­ вать его сможет только владелец и члены группы администрато­ ров компьютера. (Для разблокирования компьютера нужно на­ жать <ctrl+Alt+Del>, ввести пароль, а затем нажать кнопку ок.) Можно также настроить заставку таким образом, чтобы она открывалась и автоматически блокировала компьютер после того, как он простаивал в течение определенного времени. Чтобы защитить файлы с помощью пароля экранной застав­ ки, необходимо выбрать Пуск\Панель управления\Экран (рис. 3.2, /), а на вкладке Заставка — нужную экранную застав­ ку и установить флажок Защита паролем (рис. 3.2, 2). Если установить флажок Защита паролем, то при активиза­ ции экранной заставки компьютер будет блокироваться. Чтобы разблокировать компьютер и продолжить работу, необходимо будет ввести пароль, который совпадает с паролем пользователя, вошедшего в систему на данном компьютере. Если при входе в систему пароль не использовался, пароль заставки установить нельзя. Система аутентификации пользователей. Ни один по л ь зо ва­ тель не может начать работу с операционной системой, не заре-
f Панель управления I Файл Правка Вид Избранное Сервис Справка Свойства; Экран Темы Рабочий стол Заставка Оформление Параметры ЗэСТаЬ:: Презентация "Мои рисунки" Параметры | I Просмотр Интервал: Г] Защита паролем Энергосбережение Для изменения параметров питания монитора нажмите кнопку "Питание" Питание... Отмена Применить ѵ о Переход ■^Сканеры и камеры 4^» Специальные возможности Телефон и модем ^Установка иудаление программ Щ Установка оборудования Щ Учетные записи пользователей Центр обеспечения безопасности Шрифты Рис. 3.2. Зашита паролем входа в компьютер гистрировавшись в системе. Аутентификация (проверка подлин­ ности) позволяет пользователю регистрироваться в домене на любом рабочем месте с помощью парольного входа или смарт-карты. Kerberos ѵ5 — протокол проверки подлинности в сети, реали­ зующий механизм взаимной аутентификации клиента и сервера. Изначально обмен информацией происходит в незащищенном режиме, учитывая что клиент и сервер находятся в открытой сети, где пакеты могут быть перехвачены и модифицированы. Kerberos ѵ5 обладает высокоэффективным механизмом проверки подлинности, предназначенным для работы в чрезвычайно слож­ ных сетевых средах. Основная идея протокола состоит в том, что вместо пароля клиент и сервер обмениваются криптографиче­ скими ключами, предоставляемыми службой управления ключа­ ми (Key Distribution Center — KDC). Аутентификация с использованием смарт-карт. Встроенная в Windows XP/Server 2003 функция аутентификации с использованием смарт-карт позволяет строить сети с высоким
уровнем защиты. Вход в сеть с помощью смарт-карты обеспечи­ вает строгую проверку подлинности, поскольку в этом случае ис­ пользуется идентификация на основе криптографии и проверка принадлежности смарт-карты при входе пользователя в домен. Например, злоумышленник, знающий пароль пользователя, может быть воспринят как этот пользователь, просто воспользо­ вавшись его паролем. Многие пользователи выбирают легко за­ поминающиеся пароли, которые в силу этого являются ненадеж­ ными. Для входа в систему пользователю не надо нажимать клави­ ши <ctrl+Alt+Del> и вводить пароль, достаточно просто вста­ вить смарт-карту в читающее устройство. В случае использова­ ния смарт-карт злоумышленнику, чтобы выдать себя за како­ го-либо пользователя, придется заполучить смарт-карту этого пользователя и узнать его личный PIN-код (который может со­ держать как цифры, так и буквы). Очевидно, эта комбинация яв­ ляется гораздо более надежной. PIN -код, в отличие от пароля, не передается по сети, поэтому он не может быть перехвачен злоумышленником, что повышает безопасность сети. Дополнительное преимущество состоит в том, что после вве­ дения неправильного PIN-кода несколько раз подряд смарт-кар­ та блокируется. Атаки на смарт-карты не остаются неопределен­ ными, так как если злоумышленник завладеет смарт-картой, то настоящий владелец заметит ее отсутствие. Смарт-карта избавляет пользователя от необходимости запо­ минать сложные пароли или применять простые пароли, что снижает безопасность системы. Стандарты смарт-карт. Windows XP/Server 2003 ра­ ботают со стандартными смарт-картами и устройствами для чте­ ния смарт-карт, поддерживающими спецификацию PC/SC (Personal Computer/Smart Card), определенную рабочей группой PC/SC Workgroup, а также технологию Plug-and-Play. Конструк­ тивно и по электрическим характеристикам смарт-карта должна соответствовать стандартам ISO 7816-1, 7816-2, 7816-3. Устрой­ ство чтения смарт-карт подключается к стандартным разъемам, таким как RS-232, PS/2 , PCMCIA, USB. В операционной системе Windows Server 2003 возможна так­ же аутентификация пользователей по его биометрическим пара­ метрам. Политика ограничений на исполнение программ. П оли тика о г­ раничений на исполнение программ дает возможность создать
централизованно список допустимых приложений с целью за­ блокировать выполнение на рабочих станциях неизвестных про­ грамм или вредоносного кода (рис. 3.3, /). Эта функция, постро- ' Локальные параметры безопасности Консоль Действие Вид Справка ^ ЬПараметрБт-6еао£іасности ГЭ Политикиучет^іУ? Локальные политики I CJ Политики открытого ключа SТип объекта............................. [•_1Уровни безопасности І _ І Дополнительные правила 183⁄4 Принудительным Локальные параметры безопасности Консоль Действие Вид Справка © ѲШ& т Тип объекта ^ Файловая система EFS Политика ОТКРЫТОГО КГНСЧ* ?г Локальные параметры безопасности Консогь Действие Вид Справка ¢= Ѳ©$ jiiz Ф Политика аудита — QS Назначение прав пользователя !^Тіар5иетры£езопасности Г і Политики открытого КЛКЙЭ--------- ___ } Файловая система EFS Г4'! Пол итжи ограниченного использования п 1*ія Описание §3 Клиент (Ответ толь... Установить связь (небезол Ш Сервер (Запрос б;з... Всегда требовать испоіьзс Ш Сервер безопасност... Всегда требовать использс Локальные параметры безопасности Консоль Действие Вид Справка 0В[S р Параметры безопасности ; ОЭ I юлитики учетных записеи D У Ф Политика паролей и Политика блокировки учетной з< ■Э Локальные политики ІМ Политика аудита Локальные параметры безопасности Консоль Действие Вид Справка 4я £)13⁄4 Политиса ЛЙ Аудит входа в систему : 53⁄4 Аудит доступа к объектам І -53⁄4Аудит доступа к службе катал.. : 53⁄4 Аудит изменения политики р Параметры безопасности Политика Параиеі * 1 3 Политики учетных записей [ЗДмакс. срок действия пароля 42 дней * Политика паролей ^Мнн.дп^апароля Сс * f j Политика блок^овки учетной загаси срок действия J 3 Локальные политики W Пароль должен отвечать требо... Отключг. -J 9 Политика аудита ££ .■■ *u ииТребоеать неповторяемоеTM па.. . Схранѵг Д Назначение прав пользователя $tf|v ~ л > <' >< ~ > Рис. 3.3. Экраны КОНСОЛИ Локальные параметры безопасности: 1— создание политик ограниченного использования программ; 2— определение политики безопасности EFS; 3 — настройка политики безопасности IP; 4 — оп­ ределение политик аудита; 5 — политика паролей
енная на основе политики для идентификации программного обеспечения, определяет нежелательное или враждебное про­ граммное обеспечение, запрещает его исполнение на компьюте­ рах. Политика ограничений на исполнение программ работает только в домене, а значит, не может использоваться в одноран­ говых сетях на базе Windows ХР и на компьютерах с ОС Win­ dows ХР Home Edition. Существует два варианта установки правил ограничения: • на все программное обеспечение устанавливается запрет исполнения, а затем создается список разрешенных к вы­ полнению программ; • разрешается запуск любых программ и создается список запрещенных к исполнению программ. Доступ к програм­ мам определяется правами пользователя. При создании файла создается уникальный цифровой «отпе­ чаток пальцев» файла (хэш), который хранится вместе с файлом. Хэш не меняется при перемещении или переименовании файла. Однако при внесении изменений в файл хэш тоже меняется. Как правило, код программы не меняется и хэш точно иденти­ фицирует файл. Можно создавать правило для хэша, чтобы идентифицировать разрешаемую или запрещаемую для исполне­ ния программу. Кроме того, можно идентифицировать программы по полно­ му пути, указав папку, программы из которой запускаться не бу­ дут (или будут, в зависимости от того, какое именно правило не­ обходимо создать). Правило для хэша имеет приоритет над правилом для пути. Из двух похожих правил для пути приоритет имеет правило с большим ограничением. Можно вести журнал примечаний политик ограничений на исполнение программ. Разрешение на доступ присваивается пользователям, группам пользователей или компьютерам для получения доступа к фай­ лам, объектам Active Directory или реестру. Чтобы установить или изменить права доступа к файлу, надо в Проводнике выбрать Свойства файла (папки) и на вкладке Общий доступ и безопасность установить необхо­ димые права доступа (рис. 3 .4). При создании файла создатель получает статус собственника ресурса и обладает правами ад­ министратора данного файла. Права собственника могут быть переданы.
Свойства: Мои документы Общие : Доступ \ л Свойства: Мои документы Общие Доступ нт,ін общин доступ и безопасное Чтобы разрешить доступ другим локальным пользовэтелямк;этой папке, переместите ее в папку Общие докчмекгьі Чтобы запретить общий доступ к этой папке и е« подпапкам, установите этот флажок. Дополнительные атрибуты Устоі ПЮИТС I іужі іыс поромстрь» для этой попке При изменении этих параметров будет задан вопрос, следует лизатрагивать вложенные папки ифайлы. Атрибуты индексирования и архивации Q Папка готова для архивирования 0 Разрешить индексирование папки для быстрого поиска Атрибуты сжатия и шифрования О Сжимать содержимое д ля экономии места на диске 0 Шифровать содержимое для защ иты данных Отмена Рис. 3 .4 . Управление разрешениями на доступ Разные объекты могут обладать различными типами разре­ шения доступа. Права доступа могут наследоваться в иерархиче­ ских структурах. Встроенные средства шифрования Шифрующая (шифрованная) файловая система (Encrypting File System — EFS) предназначена для защиты файлов, храня­ щихся на жестких дисках формата NTFS. Ш ифрование файлов происходит на физическом уровне, и пользователь работает с шифрованными файлами и папками так же, как и с незашифро­ ванными. При этом неавторизованные пользователи не смогут открыть зашифрованные файлы и папки, даже получив физиче­ ский доступ к компьютеру (см. рис. 3.3, 2).
Применение шифрующей файловой системы особенно удоб­ но при работе нескольких пользователей на одном компьютере или для мобильных пользователей, которые сталкиваются с по­ выш енным риском кражи и потери компьютера. Даже если зло­ умышленник извлечет жесткий диск и подключит его к другому компьютеру, он не сможет овладеть конфиденциальной инфор­ мацией. Шифрующая файловая система не используется при переда­ че файлов по сети, а отвечает только за безопасное хранение данных. Файл сначала расшифровывается, а затем в обычном виде передается по сети и за безопасную передачу данных по сети отвечают другие службы (например, безопасный протокол IPSec). Основные возможности EFS. Файловая система EFS обеспе­ чивает ядро технологии шифрования файлов, используемой для хранения ш ифрованных файлов на томах файловой системы NTFS. После того как файл или папка зашифрованы, с ними ра­ ботают так же, как и с другими файлами или папками. Шифрование является прозрачным для пользователя, за ­ ш ифровавшего файл. Это означает, что перед использованием файл не нужно расшифровывать. Можно, как обычно, открыть файл и изменить его. Использование EFS сходно с использованием разрешений для файлов и папок. Оба метода используются для ограничения доступа к данным. Но злоумышленник, получивший несанкцио­ нированный физический доступ к зашифрованным файлам и папкам, не сможет их прочитать. При его попытке открыть или скопировать зашифрованный файл или папку появиться сооб­ щение, что доступа нет. Разрешения для файлов и папок не за­ щищают от несанкционированных физических атак. Шифрование и расшифровывание файлов выполняется уста­ новкой свойств шифрования для папок и файлов, как устанав­ ливаются и другие атрибуты, например Только чтение, Сжатый или Скрытый. Если шифруется папка, все файлы и подпапки, созданные в зашифрованной папке, также автоматически шиф­ руются. Файлы и папки могут также быть заш ифрованы или расшифрованы с помощью команды cipher. При работе с зашифрованными файлами и папками следует учитывать следующие сведения и рекомендации: • могут быть зашифрованы только файлы и папки, находя­ щиеся на томах NTFS;
• сжатые файлы и папки не могут быть зашифрованы. Если шифрование выполняется для сжатого файла или папки, файл или папка преобразуются к состоянию без сжатия; • зашифрованные файлы могут стать расшифрованными, если файл копируется или перемещается на том, не являю ­ щийся томом NTFS. • при перемещении незашифрованных файлов в зашифро­ ванную папку они автоматически шифруются в новой пап­ ке. Однако обратная операция не приведет к автоматиче­ ской расшифровке файлов. Файлы необходимо явно рас­ шифровать; • не могут быть заш ифрованы файлы с атрибутом Систем­ ный и файлы в структуре папок системного корневого ката­ лога; • шифрование папки или файла не защищает их от удаления. Любой пользователь, имеющий права на удаление, может удалить заш ифрованные папки или файлы. По этой причи­ не рекомендуется использование EFS в комбинации с раз­ решениями системы NTFS; • могут быть заш ифрованы или расшифрованы файлы и папки на удаленном компьютере, для которого разрешено удаленное шифрование. Однако если зашифрованный файл открывается по сети, передаваемые при этом по сети данные не будут зашифрованы. Другие протоколы, напри­ мер SSL/TLS или IPSec, должны использоваться для ш иф­ рования данных, передаваемых по сети. Протокол WebDAV позволяет локально зашифровать файл и передать его в за­ ш ифрованном виде; • восстановление данных в EFS — закрытая операция, при которой расшифровываются сами данные, но не ключ пользователя, с помощью которого эти данные были за­ шифрованы; • средства резервного копирования Microsoft поддерживают систему ш ифрования EFS и позволяют копировать и вос­ станавливать заш ифрованные файлы без их расшифровки. Система EFS гарантирует, что все создаваемые копии будут зашифрованы. Поддержка протокола IPSec. Протокол IP (Internet Protocol) не имеет механизма безопасности, поэтому пакеты, передавае­ мые по сети, могут быть легко перехвачены и фальсифицирова­ ны. Протокол IPSec был разработан с целью обеспечить безопас­
ность пересылаемых по сети данных и выполняет две основные задачи (см. рис. 3.3, 3): • защиту ІР-пакетов; • защиту от сетевых атак. IPSec — это набор служб защиты и протоколов безопасно­ сти, основанных на средствах криптографии; этот протокол представляет одно из наиболее перспективных направлений развития средств защиты сетей. Для его внедрения не требует­ ся вносить какие-либо изменения в приложения или протоко­ лы, поэтому IPSec легко развертывается в уже существующих сетях. Для защиты IP-пакетов в IPSec служат криптографические механизмы. Они защищают пакеты путем шифрования, исполь­ зуя алгоритм и ключ. Секретный ключ создается на каждом ком ­ пьютере локально и никогда не передается по сети. На основе этого ключа, используя специальный алгоритм, компьютеры создают общий ключ, который станет частью политики IPSec. С помощью общего ключа информация шифруется отправите­ лем и дешифруется получателем. Тип шифрования определяется так называемым сопоставле­ нием безопасности IPSec. Сопоставление безопасности — это набор атрибутов, состоящий из адреса назначения, протокола безопасности и уникального идентификатора, называемого и н ­ дексом параметров безопасности. Поддерживаются следующие алгоритмы шифрования: • DES (Data Encryption Standard), использующий 56-разряд- ный ключ; • 3DES (Triple DES), использующий два 56-разрядных ключа и предназначенный для среды с высоким уровнем безопас­ ности. Помимо зашиты на физическом уровне, IPSec обеспечивает безопасность на основе правил политики. Контроль доступа в IPSec обеспечивается за счет фильтров и указанных для них дей­ ствий. Действия фильтров определяются требованиями к безо­ пасности и могут выполнять три основные функции: • политику сквозного трафика (защита выключена). Данная настройка применима, когда удаленный компьютер не поддерживает IPSec или для сети, не нуждающейся в за­ щите; • политику блокировки (запрет соединения), например, если необходимо заблокировать опасный компьютер;
• политику согласования защиты (защита включена частич­ но). Позволяет соединяться с компьютером, но используя ряд ограничений. В правилах могут использоваться различные методы аутенти­ фикации, например: • протокол безопасности Kerberos ѵ5; • сертификаты открытого ключа; • общий ключ. Некоторые дополнительные возможности протокола IPSec реа­ лизованы в операционной среде Windows Server 2003. Среди них: • фильтрация сетевого трафика в процессе загрузки операци­ онной системы, вплоть до полной блокировки трафика до тех пор, пока не начнет действовать политика IPSec; • использование 2048-битовых ключей для протокола ІКЕ (Internet Key Exchange); • приложение IP SM (ip Security Monitor) позволяющее конфигурировать политику IPSec; • утилита командной строки Netsh, позволяющая управлять параметрами и правилами протокола IPSec. Система аудит а С помощью консоли Локальные параметры безопасности администратор может осуществлять контроль системных собы­ тий. Аудит позволяет вести контроль таких событий, как неудач­ ные попытки входа в систему и выхода из нее, обнаружение на­ рушителей системы безопасности, доступ к объектам, управле­ ние группами пользователей и учетными записями групп (см. рис. 3.3, 4). Операционная система регистрирует в специальном журнале потенциально опасные события. С помощью средства просмотра событий можно просматривать журнал безопасности (рис. 3.5). Политика аудита позволяет определять, для каких событий дол­ жен проводиться аудит. Windows позволяет регистрировать в журнале аудита события следующих категорий: • вход-выход пользователя из системы; • доступ пользователей к объектам; • использование субъектами доступа опасных привилегий; • изменения в списке пользователей;
Просмотр событий Консоль Действие Вид Справка ©Iв nf0&d?в : ПросмоТр~боб^ітий ( локальных) Ч| Безопасность Система Просмотр событий Консоль Действие Вид Справка «- ©Дgg*0шШI Дата йомле... 24 .05 .2 Время 19:38:52 Iffj Просмотр событий ( локальных) N1 Приложение И ! Безопасность у|] Internet Explorer Тип Дата Время чрУведомле... 16 .08 .2008 13 21:57 Ошибка 16.08 .2008 11 46:29 ф Ошибка 16.08 .2008 И 42:15 О Ошибка 16.08 .2008 11 42:14 чуУведомле... 16.08 .2008 И 39:01 г^рУведом ле... 16 .08 .2008 11 38:51 фуведомле... 16.08.2008 11 38:50 ч$)Уведомле... 16 .08 .2008 и 38:46 _ _ 1е.по ъппа 11 'Зй-аА сточник СОМ+ Источник Service Control Manager disk ntfs ntfs Service Control Manager' Service Control Manager Service Control Manager Service Control Manager Qdrvu-o Cr»r>Hrrvl M an ano r (11 (11 (11 От От От От От- Рис. 3.5 . Журнал событий: 1— события в приложениях; 2 —системные события • изменения в политике безопасности; • системные события; • запуск и завершение процессов. Для каждого класса событий могут регистрироваться: • успешные события; • неуспешные (при выполнении операции произошла ошиб­ ка, в том числе отказ в доступе); • как те, так и другие. В Windows считаются опасными следующие привилегии пользователей: • получать оповещения от файловой системы; • добавлять записи в журнал аудита; • создавать маркеры доступа; • назначать маркеры доступа процессам; • создавать резервные копии информации, хранящейся на жестких дисках; • восстанавливать информацию на жестких дисках с резерв­ ных копий; • отлаживать программы.
Локальная политика безопасности Оснастка Локальная политика безопасности применяется для прямого изменения политик учетных записей и локальных политик, политик открытого ключа, а также политик безопасно­ сти IP локального компьютера (см. рис. 3.3). Политики учетных записей. Все политики безопасности явля­ ются политиками безопасности для компьютера. Политики учет­ ных записей определяются на компьютерах и определяют взаи­ модействие учетных записей с компьютером и доменом. Суще­ ствуют три политики учетных записей: • Политика паролей. Используется для учетных записей до­ менов и локальных компьютеров. Определяет параметры паролей, такие как соответствие обязательным условиям и срок действия; • Политика блокировки учетной записи. Используется для учетных записей доменов и локальных компьютеров. Определяет условия и период времени блокировки учетной записи; • Политика Kerberos. Используется для учетных записей пользователей домена. Определяет параметры Kerberos, та­ кие как срок жизни билета и соответствие обязательным условиям. Политики Kerberos не входят в состав политики локального компьютера. Для учетных записей доменов допускается использование только одной политики учетных записей. Политика учетных за­ писей должна быть определена в политике домена по умолча­ нию и реализовываться контроллерами домена, образующими этот домен. Контроллер домена всегда получает политику учет­ ных записей от объекта групповой политики «Политика по умолчанию для домена», даже если имеется другая политика учетных записей, примененная к организационному подразделе­ нию, которое содержит контроллер домена. Присоединенные к домену рабочие станции и серверы (та­ кие как компьютеры-участники) по умолчанию также получают эту же политику учетных записей для локальный учетных запи­ сей. Однако локальные политики учетных записей могут отли­ чаться от политики учетных записей домена, например когда политика учетных записей определяется непосредственно для локальных учетных записей.
Локальные политики. Эта группа политик применяется на компьютерах. В ее состав входят три представленные далее по­ литики: • Политики аудита. Определяет, какие события безопас­ ности заносятся в журнал безопасности данного компью­ тера. Также определяет, заносить ли в журнал безопасно­ сти успешные попытки, неудачные попытки или и те, и другие; • Назначение прав пользователя. О пределяет, какие пользователи и группы обладают правами на вход в систе­ му и выполнение различных задач; • Параметры безопасности. Включение или отключение параметров безопасности, таких как цифровая подпись данных, имена учетных записей администратора и гостя, доступ к дисководам гибких и компакт-дисков, установка драйверов и приглашения на вход в систему. Поскольку возможно применение к компьютеру несколько политик, может возникнуть конфликт между параметрами без­ опасности. Приоритет имеют политики следующих объектов в указанном порядке: подразделение, домен, локальный компь­ ютер. Другие направления повышения безопасности систем Обеспечение надежного бесперебойного доступа к данным и приложениям. Операционные системы Windows XP/Server 2003 включают следующие компоненты, обеспечивающие высокий уровень надежности работы системы и приложений, а также доступности данных: • служба теневого копирования; • увеличение устойчивости к атакам и выводу системы из строя; • система своевременного обновления; • средства анализа безопасности системы. Служба теневого копирования — механизм, входя­ щий в состав файловых служб, который создает «мгновенные снимки» состояния томов, обеспечивая архивацию файлов. Д ан­ ная технология позволяет пользователю быстро восстанавливать удаленные файлы или старые версии файлов.
Служба теневого копирования реализуется только на томах NTFS-формата. Она позволяет создавать копии томов по распи­ санию. При очередном создании копии служба теневого копиро­ вания записывает на диск не полную копию, а только измене­ ния, произошедшие после предыдущего копирования, тем са­ мым экономя место на диске. Увеличение устойчивости к атакам и выводу системы из строя. В 2002 г. корпорацией Microsoft была проведена интенсивная проверка кода Windows и других прило­ жений компании на предмет безопасности. Качество программ­ ного кода возросло за счет устранения стандартных ош ибок, приводящих систему к уязвимости. Эти меры позволили суще­ ственно повысить безопасность системы Windows Server 2003. Система своевременного обновления. Для о беспе ­ чения безопасности сетевой инфраструктуры и отдельных рабо­ чих мест необходимо устанавливать обновления раньше, чем по я­ вятся программы, использующие бреши в защите. Система свое­ временного обновления программного обеспечения обеспечивает быструю установку обновлений и исправлений для обнаружен­ ных уязвимостей. Система состоит из двух основных служб: • windows Update — самостоятельная клиентская система установки обновлений, которая использует Web-сайт Windows Update для ручной загрузки пакетов обновлений и оперативных исправлений; • Software Update Services (SUS) — средство для авто­ матических обновлений (Automatic Updates), позволяющее использовать сервер Windows Update в локальной сети. SUS предоставляет следующие возможности: — точно задавать, какие обновления доступны пользова­ телям; — максимально и централизованно использовать обновле­ ния на клиентских машинах; — сводить к минимуму использование сети Internet для установки обновлений на компьютеры пользователей. Средства анализа безопасности системы. Важ­ нейшим элементом обеспечения безопасной работы системы яв­ ляется наличие самых свежих обновлений. Microsoft Baseline Security Analyzer (MBSA) позволяет домаш нему и корпоративно­ му пользователю или администратору сканировать один или бо­ лее компьютеров с операционной системой Windows на предмет обнаружения основных уязвимостей. MBSA обеспечивает подоб­
ную проверку, обращаясь к постоянно пополняемой Microsoft базе данных в формате XML, содержащей информацию об об­ новлениях. Защита от вирусов, спама и внешних атак. В сфере информа­ ционной безопасности наиболее актуальны проблемы спама, ог­ раничения доступа к нежелательным сетевым ресурсам и защита от вирусов. Эффективная система информационной безопасно­ сти должна базироваться только на комплексном решении, что обеспечивает совместное использование Windows Server 2003, Windows Х Р Professional, Office 2003 и ISA Server 2000. Объединение этих систем в единую инфраструктуру обеспе­ чивает следующие защитные функции: • межсетевой экран ISA Server 2000; • усиленные политики безопасности рабочих станций; • брандмауэр; • управление доступом в Internet из корпоративной сети; • безопасность Web-cepeepa. Межсетевой экран ISA Server 2000. ISA Server 2000 обеспечивает безопасные высокоскоростные соединения с Internet, защищая сетевую инфраструктуру от несанкциониро­ ванного доступа, попыток взлома, атак злоумышленников и пре­ дотвращает несанкционированное использование Internet со­ трудниками. ISA Server 2000 — это межсетевой экран (Firewall), работающий на трех уровнях: сетевом, транспортном и уровне приложений. Он обеспечивает следующие возможности: • контроль состояния соединений; • обнаружение вторжений; • усиление защиты системы; • интеллектуальные фильтры приложений; • увеличивает пропускную способность Internet-соединений благодаря кэш ированию часто посещаемых Web-сайтов; • эффективное масштабирование. Администраторы могут легко задавать правила использова­ ния Internet, применяя фильтрацию адресов URL, антивирусную проверку, балансировку нагрузки на Internet-соединение, созда­ вать фильтры для перехвата, анализа и изменения данных, соз­ давать детализированные отчеты проходящего трафика. Усиленные политики безопасности рабочих станций. В состав операционной системы Windows ХР вклю­ чены специальные шаблоны групповых политик безопасности. В этих шаблонах представлены настройки для низкого, среднего
и высокого уровней безопасности. Политики ограниченного ис­ пользования программ позволяют администратору предотвра­ тить исполнение нежелательных приложений, в том числе виру­ сов, «троянцев» и приложений, после установки которых возни­ кают конфликты в работе системы. Брандмауэр Windows ХР. Межсетевой экран (бранд­ мауэр) Internet Connection Firewall (ICF) обеспечивает защиту настольных и переносных компьютеров при подключении к Internet, особенно при постоянном подключении. Особенностью ICF является возможность применения групповой политики, учитывающей местонахождение компьютера. Хотя брандмауэр является автономным, его можно использовать при общем под­ ключении Internet с целью защиты локальной сети. Он блокиру­ ет все несанкционированные подключения, поступающие через Internet-соединение. Для этой цели в брандмауэре ICF примене­ на NAT-таблица потоков с проверкой входящего трафика на со ­ ответствие записям в этой таблице. Управление доступом в Internet из корпора­ тивной сети. Обозреватель Internet Explorer является средст­ вом доступа в Internet. Он поддерживает следующие зоны и уровни безопасности, что предоставляет пользователям возмож­ ность управлять загрузкой информации и элементов управления из каждой зоны: • зона местной интрасети. В эту зону входят все сете­ вые подключения, установленные с использованием пути, не содержащем точку (например http: /Microsoft). По умолчанию для этой зоны установлен уровень безопасности «ниже среднего»; • зона надежных узлов. В эту зону входят Web-узлы, занесенные пользователем в список надежных узлов, н а­ пример расположенные в интрасети организации или под­ держиваемые солидными компаниями. Для этой зоны уста­ новлен низкий уровень безопасности; • зона ограниченных узлов. К этой зоне относятся узлы, не принадлежащие к числу надежных. Ни один узел не включен в эту зону по умолчанию, для этой зоны уста­ новлен высокий уровень безопасности; • зона Internet. В эту зону входят все узлы, не включен­ ные в остальные зоны. Описанные выше средства безопасности помогают защитить пользователей от многих видов атак. Объекты групповой поли­
тики и пользовательские параметры, применяемые в Internet Explorer, позволяют администраторам сети настроить безопас­ ность каждой зоны. Высокая безопасность Web-cepeepa. П о л н о фун к­ циональный Web-cepeep нового поколения Internet Information Services (IIS) 6.0 является частью операционной системы Win­ dows Server 2003 и обладает достаточной надежностью, эффек­ тивностью и управляемостью. Средства IIS, в том числе IIS LockDown, эффективно защищают сервер от атак. По умолча­ нию IIS 6.0 выполняется с минимальными привилегиями, что снижает риск его использования в качестве инструмента для ве­ роятных несанкционированных действий. Internet Information Services способен осуществлять изоля­ цию пользователей ҒТР-сайтов путем выделения им отдельных каталогов, без возможности перехода на более высокий уровень структуры каталогов. Это позволяет избежать несанкциониро­ ванного доступа к файлам и документам других пользователей ҒТР-серверов. Контроль удаленного доступа. Управление контро­ лем удаленного доступа осуществляется через групповую поли­ тику удаленного доступа. Рекомендуется ограничить удаленный доступ определенных групп пользователей к общим сетевым ре­ сурсам, например, отключить доступ для анонимных пользовате­ лей (anonymous), гостевой доступ (guest) и доступ для всех (everyone). Использование Web-папок. Использование Web-папо к для просмотра и переноса на Web-сервер файлов, папок и другой информации дает возможность более безопасной работы на ко м­ пьютере. При использовании Web-папок перенос информации осуще­ ствляется путем сетевого подключения к удаленному Web-cepBe- ру, но с помощью протокола Secure Sockets Layer (SSL), обеспе­ чивающего защиту информации во время передачи. Чтобы ис­ пользовать SSL для Web-папок, убедитесь, что Web-cepeep также поддерживает SSL* Web-папки также поддерживают проверку подлинности Windows (метод, позволяющий проверить удостоверение пользо­ * Если Web-cepeep поддерживает протокол SSL, URL-адрес этого сервера начинается с https:// вместо http://
вателя), что помогает защитить пароль при входе на Web-cepeep (также поддерживающий проверку подлинности Windows). При передаче файлов с помощью Web-папо к рекомендуется включить брандмауэр Windows. Защита файлов Windows. В версиях Windows, предшествую­ щих Windows 2000, установка дополнительного программного обеспечения операционной системы может привести к переза­ писи общих системных файлов, таких как библиотеки динам и­ ческой компоновки (.dll) и исполняемые файлы (.ехе). Это вызывало непредсказуемые изменения системной производи­ тельности, нестабильную работу программ и сбои операционной системы. Защита файлов в Windows 2000 и Windows ХР предотвращает замещение защищенных системных файлов, таких как файлы sys, dll, осх, ttf, fon и ехе. Защита файлов Windows выпол­ няется в фоновом режиме и защищает все файлы, установлен­ ные программой установки Windows. Защита файлов Windows определяет попытки других про­ грамм заменить или переместить защищенные системные фай­ лы. Защита файлов Windows проверяет цифровую подпись фай­ ла, чтобы определить правильность версии нового файла корпо­ рации Майкрософт. Если версия файла является неправильной, защита файлов Windows заменяет файл либо из архива, храняще­ гося в папке Dllcache, либо с компакт-диска Windows. Если со ­ ответствующий файл найти не удается, предлагается ввести его местоположение. Также в журнал событий заносится запись о попытке замены файла. По умолчанию защита файлов Windows всегда включена и разрешает замену существующих файлов файлами Windows с цифровой подписью. В настоящее время подписанные файлы распространяются следующими способами: • в пакетах обновления Windows; • в пакетах исправлений; • в составе обновлений операционной системы; • в обновлениях, полученных с помощью средства Windows Update; • устанавливаются диспетчером устройств и установщиком классов Windows. Использование программы проверки подписи файла. Иногда при установке на компьютере новых программ системные файлы и файлы драйверов устройств заменяются несовместимыми вер­
сиями или версиями, не имеющими цифровой подписи, что приводит к нестабильной работе системы. Системные файлы и файлы драйверов устройств, поставляемые с Windows ХР, имеют цифровую подпись корпорации Майкрософт, наличие которой указывает, что это оригинальные неизмененные системные фай­ лы либо что они были одобрены корпорацией Майкрософт для использования в Windows. С помощью программы проверки подписи файла можно находить на компьютере неподписанные файлы и получать следующие сведения о них: имя файла; место­ положение файла; дату изменения файла; тип файла; номер вер­ сии файла (рис. 3.6). Чтобы запустить программу проверки подписи файла, сле­ дует выбрать Пуск\Выполнить, ввести sigverif и нажать кнопку ок. 3.2 . Обеспечение безопасности в приложениях MS Word и Excel Защита информации встроенными методами прикладных программ (на примере некоторых компонент MS Office) осуще­ ствляется в следующих направлениях: • разграничение доступа к данным; • криптографическое закрытие; • борьба с вирусами (макровирусами). Сцелью обеспечения целостности системных Файлов они п од п и са в цифровой подписью. Это обеспечивает возможность немедленного обнаружения изменений. Для изменения параметров проверки нажмите кнопку "Дополнительно” Для начала поиска системных Файлов, не содержащих цифровой подписи, нажмите кнопку "Начать" [ Начать ] j Закрыть j [ Дополнительно [ Рис. 3.6. Окно Проверка подписи файла
Разграничение доступа Предусматривается разграничение доступа на двух уровнях: • уровень файла в целом (книги Excel или документа Word); • уровень его компонент (листа и пр.). Защита файла от просмотра и редактирования. Д ля защ иты файла в целом может быть использована защита паролем. Круг пользователей, имеющих возможность открывать файл и ис­ пользовать содержащиеся в нем данные, можно ограничить, ус­ тановив пароль на просмотр файла или сохранение внесенных изменений. Можно установить два отдельных пароля, один из которых необходимо будет вводить для открытия и просмотра файла, а другой — для внесения изменений в файл и их сохране­ ния. Свойства паролей MS Office: • пароль может включать в себя буквы, цифры и специаль­ ные символы; • длина пароля не может быть более 255 символов; • при указании пароля учитывают точное написание слова и различают строчные и прописные буквы; • пароль не будет отображен в окне диалога. Вместо каждого символа пароля в окне диалога будет отображен символ подстановки (звездочка); • при задании пароля всегда появляется второе окно диало­ га, в котором пароль следует повторить. Пароль восприни­ мается системой только, если в обоих окнах он введен оди­ наково. С этой целью можно выполнить следующие действия: • перейти по меню Сервис\Параметры\Безопасность (рис. 3.7); • выполнить одно или оба следующих действия: — если требуется, чтобы пользователи вводили пароль для возможности просмотра, ввести пароль в поле Пароль для открытия и нажать кнопку ок; — если требуется, чтобы пользователи вводили пароль для возможности сохранения изменений, ввести пароль в поле Пароль разрешения записи и нажать кнопку ОК; • по запросу ввести пароль еще раз для подтверждения и на­ жать кнопку Сохранить. Снять установленную с помощью пароля защиту в дальней­ шем можно только в случае, если пароль известен. Необходимо открыть файл (рис. 3.8), выбрать команду ФайлХСохранить как.
М.х, Пользователь Совместимость Расположение Исправления Вид І! Общие і| Правка ■; Печать ІІ Сохранение Безопасность Правописание "'.... :: ... ,Л Пэ&зметры шифрозсния для данного документа пароль для открытия файла: Параметры совместного испопьгования для данного документа пароль разрешения записи: Подтчерждение пароля Введите гир&я^^ещераз: Впирмпкіс! Эвбыімй ію р и т bu lliалией. Следует также помнить, что при ввод* учитывается рег истр букв. j 0гкж< Введите пароль для открытия файла D:\. ..\ _ЕХСЕЩЗащи та книг и пистов_парол.сІос показьвать скрытую paJ |•• ••! Microsoft Off ice Word Указан неверный пароль. Не удается открыть документ. (0:\...\3 ещ ита к ю т и листов_парол.сіос) Показать справку » J Рис. 3.7. Установка и использование пароля для доступа к файлу: 1— окно ввода пароля; 2 — повторный ввод пароля; 3 — запрос пароля при по­ пытке открытия файла; 4— сообщение при неверном указании пароля Сохранение документа Папка: 0S€1У-Qi;Ш' bhI :Мои последние: документы Мой компьютер |ig)RGGUJTU_DISK_0809 p)raspis !^)raspis_popov ;>||raspis_popov_r * \ Общие параметры... О Всегда создавать резервную &огмо Совместный доступ кфайлу Пароль для открытия: Пароль для изменения: IДоролЕ Тип шифровани &£ерите т т шифрования: Слабое шифрование (XQR) RC4, Microsoft Base Crypto^aphic Provider v l .0 jRC4, Microsoft Base DSS and Dffie-Heflman Cryptographic Provider IRC4, Microsoft DH SChamd Cryptographic Provider |RC4, Microsoft Enhanced Cryptographic Provider vl.O jRC4, Microsoft Enhanced DSS and Diffie-Hefrnan Cryptographic Provider !:RC4, Microsoft Enhanced RSA and AES Cryft ographic Prcrvidei (Prototype) Выберите стойкость ключа: OK Отмена I Рис. 3.8. Определение/снятие паролей при сохранении файла (книга Excel)
В появившемся окне диалога Сохранение документа нажать кнопку Сервис и в развернувшемся меню выбрать команду Об­ щие параметры. В открывшемся окне диалога Параметры со­ хранения удалить пароль и сохранить файл под тем же именем. В режиме сохранения (меню ФайлХСохранить как) так же, как и в меню Сервис\Параметры\Безопасность, может быть определен пароль для файла. Кроме того, в обоих режимах при нажатии кнопки Дополнительно может быть вызвано меню ус­ тановки шифрования содержания файла. Защита книг и листов Excel. В MS Excel предусмотрено не­ сколько уровней защиты, позволяющих управлять доступом к данным MS Excel и их изменением. Функциональные возможности MS Excel для скрытия дан ­ ных и защиты листов и книг паролями не предназначены для за­ щиты данных или важных сведений в Excel. Они используются для более понятного представления сведений, скрывая сведения или формулы, которые могут сбить с толку некоторых пользова­ телей. Эти средства служат также для предотвращения случайно­ го изменения данных пользователями. Скрытые или защищен­ ные паролем данные в книгах Excel не шифруются. При нали­ чии времени пользователи могут получить и изменить все сведения книги, к которым они имеют доступ. Чтобы предотвра­ тить изменение данных и обеспечить безопасность важных све­ дений, ограничьте доступ ко всем файлам Excel, содержащим подобные сведения, сохранив их в расположениях, доступных только пользователям, прошедшим проверку. Защита на уровне книги. Можно применить защиту к элементам книги и защитить файл книги от просмотра и внесе­ ния изменений. Если книга является общей, можно запретить ее монопольное использование и предотвратить удаление журнала изменений. Защита элементов книги. Можно запретить добавление и удаление листов или отображение скрытых листов. Кроме того, можно запретить изменение размеров или положения окна, на­ строенного для отображения книги. Действие такой защиты рас­ пространяется на всю книгу. Защита общей книги. Общую книгу можно защитить, запре­ тив ее монопольное использование или удаление журнала изме­ нений книги. Если требуется назначить пароль для удаления данного типа защиты, необходимо применить защиту перед ус­ тановлением совместного доступа к книге. Применение защиты
автоматически включает режим совместного доступа к книге. При снятии защиты отключается режим совместного доступа к книге и удаляется сохраненный журнал изменений. Другим вариантом является защита совместного доступа к книге и журнала изменений без использования пароля. Дан­ ный тип защиты можно применить, если к книге уже открыт совместный доступ. В этом случае снятие защиты не приведет к отмене совместного доступа или удалению журнала изме­ нений. Защита на уровне листа. Можно защитить элементы листа, например ячейки с формулами, запретив доступ к ним всем пользователям, или предоставить доступ отдельным поль­ зователям к определенным диапазонам. Защита элементов от всех пользователей. Можно запретить вставку, удаление и форматирование строк и столбцов, измене­ ние содержимого заблокированных ячеек или перемещение кур­ сора на заблокированные или разблокированные ячейки. По умолчанию все ячейки листа заблокированы. Перед тем как защитить лист, можно двумя способами разблокировать ячейки, в которые пользователям требуется вводить данные. Чтобы разблокировать ячейки для всех пользователей, следует использовать вкладку Защита диалогового окна Формат ячеек. Чтобы разблокировать ячейки для определенных пользователей, следует использовать диалоговое окно Разрешить изменение диапазонов. Любые заданные в этом диалоговом окне диапазо­ ны, для которых не установлен пароль, также разблокированы для всех пользователей. Ячейки, оставленные заблокированны­ ми, станут защищенными только после защиты листа. Другими свойствами и элементами листа, доступ к которым можно ограничить всем пользователям, являются гиперссылки, сортировка, автофильтрация, графические объекты и сценарии. Действие такой защиты распространяется на всех пользователей и целые листы, а не на отдельных пользователей или диапазоны данных. На листах диаграмм можно защитить содержимое диаграммы от внесения изменений, кроме того, можно защитить любые гра­ фические объекты на листе, например поля, от изменения или удаления. Защищенный лист диаграммы обновляется всякий раз при изменении исходных данных диаграммы. Предоставление доступа к защищенным диапазонам определен­ ным пользователям. При использовании операционной системы
MS Windows 2000 можно разрешить определенным пользовате­ лям редактировать определенные ячейки или диапазоны. Эти пользователи смогут редактировать ячейки, даже если они забло­ кированы. Ограничения доступа вступают в силу только после защиты листа. Пользователи, определенные в диалоговом окне Разрешения для, могут редактировать диапазон, не вводя пароль. Другие пользователи будут получать запрос на ввод пароля и после его ввода смогут редактировать диапазон. Если ячейка принадлежит нескольким диапазонам, ее смогут редактировать пользователи, имеющие полномочия на редактирование всех диапазонов. Если пользователь пытается одновременно редактировать несколько ячеек, обладая полномочиями на редактирование лишь некото­ рых из них, ему будет предложено выделить и отредактировать ячейки по очереди. Рассмотрим элементы, которые можно защитить в книгах и листах. Защита листа. При защите листа или листа диаграммы от­ дельные элементы листа можно защитить или снять с них защи­ ту в диалоговом окне Защита листа (меню СервисХЗащита — рис. 3.9, /), установив или сняв флажки для всех элементов (рис. 3.9, 2). Рассмотрим основные элементы: • Защитить лист и содержимое заблокированных яче­ ек — если данный флажок установлен, пользователям за­ прещается: — вносить изменения в ячейки, не разблокированные перед установкой защиты листа, пока определенному пользова­ телю не будет предоставлен доступ для ввода информа­ ции в ячейки в диалоговом окне Разрешить изменение диапазонов; — просматривать скрытые перед защитой листа строки и столбцы; — просматривать скрытые перед защитой листа формулы; • Выделение заблокированных ячеек. Если данный фла­ жок снят, пользователю запрещено перемещать указатель на ячейку, для которой на вкладке Защита диалогового окна Формат ячеек установлен флажок Заблокировано; • Выделение незаблокированных ячеек. Если флажок снят, пользователю запрещено перемещать указатель на ячейку, для которой на вкладке Защита диалогового окна Формат ячеек снят флажок Заблокировано. Если пользо-
Ш Microsoft Excel - raspis_popov Правка Ш Формат .. ...... j Информационные технологии 19 \___ управления __ ___ Информационные технологии управления В лаб CgpBttc j йанные ^ сно Справка ■ ѵ і ; Орфография... F7 Справочные материапы... Afc+щелчок ■фл Проверка наличия ошибок... Общая рабочая область... ; Доступ к книге... Информационные тс управлени? Информационные тс управление { 3 Защитить лист и ^одержимое защищаемых: ячеек Пароль для отключения защиты листа; м іІиХЛистІ\Лист Готово Разреу*пъ всем пользователям этого листа: выделение заблокировать^ ячеек выделение незаблокированных ячеек форматирование ячеек форматирование столбцов строк J удалекме строк Рис. 3.9. Организация защиты листа (книги) Excel: 1— меню Сервис\3ашита\3ащитить лист; 2 — диалоговое окно Защита лис­ та; 3 — диалоговое окно Защита книги вателю позволено выделять разблокированные ячейки, он может переместиться между разблокированными ячейками на защищенном листе, нажав клавишу <ТаЬ>; • Форматирование ячеек. Если флажок снят, пользовате­ лю запрещено изменять все параметры в диалоговых ок­ нах Формат ячеек или Условное форматирование. Если условные форматы были применены перед защи­ той листа, форматирование будет продолжено при вводе пользователем значения, удовлетворяющего другому ус­ ловию; • Форматирование столбцов/строк. Если данный флажок снят, пользователю запрещено использовать все команды в подменю Столбец/Строка из меню Формат, включая из­ менение ширины столбца/строки или скрытие столб­ цов/строк; • Вставка столбцов/строк. Если данный флажок снят, пользователю запрещено вставлять столбцы/строки;
• Вставка гиперссылок. Если флажок снят, пользователю запрещено вставлять новые гиперссылки даже в разблоки­ рованные ячейки; • Удаление столбцов/строк. Если данный флажок снят, пользователю запрещено удалять столбцы/строки. Следует помнить, что если установлена защита от удаления столб­ цов/строк, а защита от вставки столбцов/строк не установ­ лена, пользователь может вставлять столбцы/строки, но не может их удалять. Защита отдельных диапазонов ячеек. П ер ед уста­ новкой защиты рабочего листа можно снять защиту (блокировку) нужных ячеек или диапазонов ячеек, и с этой целью необходимо: • выделить ячейку или диапазон ячеек, которые не должны быть защищены; • выбрать команду Формат\Ячейки, в появившемся окне диалога перейти на вкладку Защита и удалить флажок па­ раметра Защищаемая ячейка. Эти ячейки в дальнейшем могут быть изменены и после установки защиты листа; • установить защиту листа (см. рис. 3.9, 2). Для перехода к следующей (предыдущей) незащищенной ячейке в рабочем листе следует использовать клавишу <ТаЬ> (сочетание клавиш <Shift+Tab>). С помощью этого способа можно добиться создания формы для ввода данных в рабочем листе. Для этого защитите от изме­ нений ячейки с заголовками и снимите блокировку ячеек, в ко ­ торые должны быть введены данные. Сокрытие формул. С этой целью следует выполнить действия: • выделить ячейку или ячейки с формулами, которые следует скрыть; • выбрать команду ФорматХЯчейки, в появившемся окне диалога перейти на вкладку Защита (рис. 3.10) и устано­ вить флажок параметра Скрыть формулы; • задать защиту листа при установленном флажке параметра Защитить лист и содержимое защищаемых ячеек (см. рис. 3.9, 2). Формулы в дальнейшем не будут отображаться в строке фор­ мул при помещении указателя на защищенную ячейку, содержа­ щую формулу. Защита книги. При защите книги можно защитить структуру книги или окна книги либо снять с них защиту в диалоговом
Щ Microsoft Excel raspis_popov_ г B ffii ІЩ Jifc Ъ « вязке ШШ* I Cg»* Данные Окт Справка вх| ИJ-JJ « IjA n iC y , |s2f* Ячейки... Ctrh-l Чйт%'Ш<Я wЛ7Я 1“ A24 ▼* £ Инфор Сірока ►1 Формат я чеек Г?МiJ—1 ... JА I 22! Информационные технологии управления Число Выравнивание Шрифт Граница Вид Защита 2 . .... .1 23 Информационные технологии управления Р] Защищаемая ячейка 2 24 Информационные технологии управления 1 Вскрыть формулы: 2 125; ■"as] pH Защита ячеек или скрытие формул действуют только после защиты листа. Для защиты листа выберите команду "Защита" в меню "Сервис^ затем выполните команду “Защитить лист". При этом можно установить пароль. ........т ІН . ►и:\ Листі\ Лист2/ЛистЗ/ >і 1 Готово I1 1OK 11Отменаj] ,. -------- — 1 - ... .... . 1 Рис. 3.10. Установка защиты ячеек и скрытия формул окне Защита книги (меню СервисЛЗащита), установив или сняв флажки для всех элементов (см. рис. 3.9, 3): • Структура. Если данный флажок установлен, пользовате­ лям запрещается: — просматривать скрытые листы; — перемещать, удалять, скрывать или изменять имена листов; — вставлять новые листы или листы с диаграммами. Допус­ кается добавление внедренных диаграмм с помощью ма­ стера диаграмм; — перемещать или копировать листы в другую книгу; — отображать для ячейки в области данных в отчетах свод­ ной таблицы исходные данные, а также отображать стра­ ницы полей страниц на отдельных листах; — для сценариев создавать итоговый отчет по сценариям; — использовать инструменты анализа надстройки Пакет анализа для помещения результатов на новый лист; — записывать новые макросы — если в макросе содержатся инструкции, которые не могут быть выполнены в защи­ щенной книге, выдается соответствующее сообщение, и выполнение макроса останавливается; • Окна. Если флажок установлен, пользователям запреща­ ется: — изменять размеры и положение окон открытой книги; — перемещать, изменять размеры и закрывать окна. Разре­ шается, однако, скрывать и отображать окна.
Сокрытие рабочей книги и/или рабочего листа. Со кры тие р а ­ бочей книги уменьшает количество открытых на уровне рабочей области окон. Тем самым сокрытие окна рабочей книги целесо­ образно только в том случае, если открыто несколько рабочих книг. Следует выполнить следующие действия (рис. 3.11): • активизировать рабочую книгу, которую необходимо скрыть; • вы полнить команду ОкнсЛСкрыть. Окно рабочей книги ис­ чезнет с экрана. ШтУ 1 1 Скрыть 1 1 Закрепить области й і Книга1 1 В а фадш 1 Ячейки... Ctrl+1 Строка ► Столбец ► 1 Диет ► Переименовать Автофоемат... Скры ть Условное форматирование... 1 Отобразить... ^ Стиль... 1 Подложка... І Цвет ярлычка... б Рис. 3.11 . Меню скрытия рабочей Excel (а) и рабочего листа (б) Скрытая рабочая книга продолжает оставаться открытой, хотя пользователь не может теперь работать с ней. Однако со­ держимое этой книги можно использовать, например, с помо­ щью внешних ссылок. Если перед сокрытием рабочей книги в нее были внесены и не сохранены изменения, то при завершении работы с Excel программа выведет на экран соответствующий запрос. При по ­ ложительном ответе изменения в скрытой рабочей книге будут сохранены. В этом случае скрытая рабочая книга при следующем откры­ тии также будет скрытой.
Чтобы отменить сокрытие рабочей книги и вывести ее на эк ­ ран, необходимо выбрать команду ОкноХОтобразить, а в от­ крывшемся на экране окне диалога — нужную рабочую книгу. Для сокрытия рабочего листа: • активизировать нужный рабочий лист либо выделить не­ сколько рабочих листов; • выполнение команды Формат\Лист\Скрыть приведет к со­ крытию рабочего листа. Вернуть рабочий лист на экран можно, выполнив команду ФорматХЛистХОтобразить и выбрав в списке скрытых листов нужный. Защита от макровирусов Макровирусы оформляются как макрокоманды (макросы или VBA-модули) и могут передаваться с одного компьютера на дру­ гой в составе документов, шаблонов или надстроек. Активизируется такой вирус, как правило, в момент откры­ тия документа или запуска макроса. Чтобы поставить заслон на пути проникновения макровирусов на компьютер, в MS Office предусмотрены встроенные средства контроля документов и воз­ можность подключения внешних антивирусных программ (от сторонних поставщиков). Чтобы снизить риск заражения файлов MS Office макровиру­ сами, следует установить высокий или средний уровень безопасности и использовать цифровые подписи. Эти средства контроля проверяют только загружаемый документ и не выполняют проверки всех документов, хранящихся на компью­ тере. Эту задачу решают специальные антивирусные программы (такие, как DrWeb, ESET, Norton Antivirus и др.). Уровни безопасности. MS Office предусматривает следующие уровни безопасности, помогающие снизить риск заражения мак­ ровирусами: • Очень высокая — разрешается запуск только макросов, установленных в надежных расположениях. Все остальные подписанные и неподписанные макросы отключаются. Для полного отключения всех макросов можно задать уровень безопасности Очень высокая и отключить макросы, уста­ новленные в надежных расположениях. Чтобы отключить
макросы, установленные в надежных расположениях, сле­ дует в меню Сервис\Макрос\Безопасность (рис. 3.12) пе­ рейти на вкладку Надежные издатели и СНЯТЬ флажок До­ верять всем установленным надстройкам и шаблонам. При этом также будут отключены все надстройки СОМ , DLL-файлы смарт-тегов и макросы; • Высокая — разрешается выполнение только макросов, имеющих цифровую подпись и полученных из надежных источников. Доверять следует только ответственным источ­ никам, выполняющим перед подписанием макросов их проверку антивирусным сканером. Выполнение неподпи­ санных макросов автоматически запрещается, и файл о т­ крывается без каких-либо предупреждений; • Средняя — при обнаружении макроса из источника, не входящего в список надежных, выводится предупреждение. При открытии файла пользователь может разрешить или запретить выполнение макросов. Если файл может содер­ жать вирус, выполнение макросов следует отключить; • Низкая — этот уровень безопасности следует выбирать только при полной уверенности в безопасности всех от- О безопасности макросов - Microsoft Word Оравка | м д Вставка Формат jJdjАп**>’[« Cgpsnc 1 Ҳаблта Окно Отравка * Язык ►|eWRoman ^§§:ИI Безопасность Уровень безопасности Кому выдан =а *Рис Стр Visual Basic Alt+Fll р сценариев Alt+Shift+F 11 Срок Понятное имя 0 Доверять всем установленным надстройкам и шаблонам L1Доверять доступ к Visual Basic Project макросо ОЖНОСТ] вите-в ы ѵіустан іте-спис ѵ )е*должіѵ Рис. 3 .12 . Управление защитой макросов в MS Word
крываемых файлов и надстроек, поскольку он отключает защиту от макровирусов и автоматически разрешает вы­ полнение макросов п.ри открытии файлов. По умолчанию задан высокий уровень безопасности. Когда задан средний или высокий уровень безопасности, пользователь может управлять списком надежных источников макросов. При открытии файлов или загрузке надстроек, содержащих макросы, разработанные любым из надежных источников, выполнение этих макросов автоматически разрешается. Уровень зашиты от макровирусов устанавливается в меню Сервис\Макрос\Безопасность на вкладке Уровень безопас­ ности (рис. 3.13). При любом уровне безопасности, если на ком ­ пьютере установлено антивирусное программное обеспечение, совместимое с MS Office 2003, перед открытием книги, содержа­ щей макросы, выполняется их проверка на наличие известных вирусов. Microsoft Excel - raspis_popov 'я**** ш і 7??.$ -"it-.,,. л,:Ф^йі Anal Суг L .... А * ......... . $ ............. 1 I _ А . Л В Информационные технологии 1 лаб 19 управления 20I Информационные технологии лэб управления Информационные технологии лаб 21І управления Информационные технологии лаб 22I управления jИнформационные технологии ... -.^17...., 23' Безопасность ЕІШ y£s Орфография... Справочное материалы... ■ф*: Проверка наличия ошибок.., і Общая рабочая область... s Доступ к книге... й Защита :3⁄4 Совместная работа « Зависимости формул 2сен ч/и 20окт бсен ч/н _23окт Макрос и\ ІПиа &ювень безопасности Надежные издатели ; О Очень высокая. Разрешается запуск только макросов, установленных в надежных расположениях. Все осталы-ые подписанные и неподписанные макросы отключаются. 0 Высокая. Разрешается запуск только подписанных макросов из надежных источников. Неподписанные макросы отключаются автоматически. О Средняя. Решение о запуске потенциально опасных макросов принимается пользователем. О Низкая (не рекомендуется). Защита от потенциально опасных макросов отсутствует. Используйте этот режим только при наличии антивирусных программ и после гроверки на безопасность всех открьваемых документов. ■Л 4дек 2окт ч/н 16окт ЧТ Рис. 3.13 . Определение уровня защиты от макровирусов в MS Excel Макросы... Alt+F8 ЩЩ Начать запись... ! Безопасность... Щ Редактор Visual Basic Ak+Fll Редактор сценариев Aft+Shift+Fll В MS Office 2003 и более поздних версиях выполняется про­ верка всех файлов XML, связанных с файлами XSL для потен-
циально опасных сценариев. Если задана Высокая степень безо­ пасности, выполнение этого сценария отменяется. Если для макросов задана Средняя степень безопасности, пользователю выдается запрос о необходимости запуска сценария в файлах XSL. Если задана Низкая степень безопасности, сценарий в ы­ полняется. Цифровая подпись. В MS Office 2003 используется технология Microsoft Authenticode, дающая возможность ставить цифровую подпись на файлы или проекты макросов. Цифровая подпись на макросе подтверждает, что макрос получен от подписавшего его разработчика и не был изменен. При открытии файла или загрузке надстройки, содержащей макрос с цифровой подписью, цифровая подпись появляется на компьютере как сертификат. В сертификате указан источник мак­ роса, а также дополнительные сведения об идентификации и це­ лостности этого источника. Цифровая подпись может и не гаран­ тировать безопасность макроса, поэтому сам пользователь дол­ жен принять решение о доверии макросу с цифровой подписью. Например, можно доверять макросу, подписанному знакомым человеком или хорошо известной организацией. При отсутствии уверенности в надежности источника файла или надстройки, со ­ держащей макрос с цифровой подписью, перед включением мак­ росов следует внимательно изучить источник, а лучше отключить выполнение макросов в целях безопасности. Если макросам из определенного источника всегда можно доверять, при открытии файла или загрузке надстройки можно добавить их разработчика в список надежных источников. Разработчики могут добавлять к макросам цифровые подпи­ си в редакторе Visual Basic. При открытии файла, содержащего подписанные макросы, выводится запрос о том, следует ли счи­ тать надежными все макросы, получаемые из данного источни­ ка. В случае утвердительного ответа владелец сертификата до­ бавляется в список надежных источников. Перед принятием та­ кого решения следует изучить цифровой сертификат, в частности просмотреть поля Кому выдан и Кем выдан, чтобы определить, является ли источник сертификата надежным, а за ­ тем по значению поля Действителен с определить, является ли сертификат текущим. Сертификат может также содержать такие сведения, как адрес электронной почты или Web-узла пользова­ теля, получающего этот сертификат.
После добавления частного лица (или организации) в список надежных источников Microsoft Office разрешает выполнение макросов, подписанных этим надежным источником, без вывода предупреждения системы безопасности. Однако записи из спи­ ска надежных источников можно удалять. Сертификат, использованный для создания этой подписи, подтверждает, что этот макрос или документ действительно по ­ лучен от подписавшего его лица, а подпись подтверждает, что он не был изменен. Выбор уровня безопасности макросов влияет на возможность запуска макросов в зависимости от наличия в них цифровой подписи разработчика, входящего в список доверен­ ных источников. После установки цифрового сертификата появляется воз­ можность подписывать файлы и проекты макросов. Подписывание макросов. Макросы следует подписывать только после соответствующего тестирования при готовности проекта к распространению, поскольку при любом изменении кода в подписанном проекте макроса его цифровая подпись удаляется. Однако если на компьютере установлен действую­ щий цифровой сертификат, проект макроса будет автоматиче­ ски переподписываться при сохранении. Чтобы предотвратить случайное изменение данного макроса и порчу подписи други­ ми пользователями, необходимо заблокировать проект макроса перед тем, как его подписать. Цифровая подпись гарантирует только безопасность этого проекта. Она не гарантирует ваше авторство для данного проекта. Поэтому блокирование макро­ са не запрещает другому пользователю замену вашей цифровой подписи собственной. Администраторы предприятий должны переподписывать шаблоны и надстройки, чтобы полностью контролировать их использование на компьютерах пользова­ телей. При создании надстройки, добавляющей код программы в проект макроса, эта надстройка должна определять наличие в проекте цифровой подписи и оповещать пользователя об из­ менении подписанного проекта перед выполнением этого изме­ нения. Цифровой сертификат может быть получен в коммерческой службе сертификации, например VeriSign, Inc., у администрато­ ра внутренней безопасности или у специалиста другой службы информационных технологий. Цифровую подпись также можно поставить самому, запустив утилиту selfcert.exe.
Поскольку самостоятельно созданный цифровой сертификат не был выпущен формальной службой сертификации, макропро­ екты, подписанные с помощью такого сертификата, рассматри­ ваются как проекты с автоматическим добавлением подписи. Политика организации по использованию возможностей цифро­ вых подписей на данном предприятии может привести к запре­ щению использования такого сертификата или невозможности запуска другими пользователями макросов с автоматически до­ бавленной подписью из соображений безопасности. Для получения цифрового сертификата в коммерческой службе сертификации необходимо подать заявку в эту службу. В зависимости от статуса разработчика программного обеспече­ ния может быть выдан сертификат Класса 2 или Класса 3: • Класс 2 разработан для индивидуальных разработчиков программного обеспечения. Он обеспечивает гарантии подлинности индивидуального издателя; • Класс 3 разработан для компаний и других организаций, которые издают программное обеспечение. Он обеспечива­ ет гарантии подлинности организации-издателя. Цифровой сертификат Класса 3 предназначен для представления уровня гарантии, обеспечиваемого каналами розничной продажи программного обеспечения. Цифровой сертификат сопровождается инструкциями по его установке на компьютере, используемом для подписи приложе­ ний MS Office. В некоторых организациях или компаниях может иметься администратор безопасности или отдел, выполняющий функции службы сертификации и использующий средства Microsoft Cer­ tificate Server, который может функционировать как отдельная служба сертификации или быть частью иерархии службы серти­ фикации. В зависимости от способа использования цифровой подписи внутри организации можно подписывать проекты мак­ росов цифровым сертификатом внутренней службы сертифика­ ции или подписывать проект у администратора утвержденным сертификатом. Сведения о политике организации можно полу­ чить у сетевого администратора или в отделе информационных технологий. Цифровые сертификаты, созданные с помощью программы self ce rt.ехе, рассматриваются как не прошедшие проверку. Microsoft Office 2003 позволяет добавлять владельца незаверен­ ного сертификата в список доверенных источников только при
использовании этого сертификата на том же компьютере, на ко­ тором он был изначально создан. Это означает, что пользователь может запустить программу selfcert.exe, создать сертификат на своем компьютере, подписать свои личные макросы и сделать этот сертификат доверенным на своем компьютере. Однако при попытке совместного доступа к файлу другой пользователь не сможет запускать эти макросы, если на его компьютере установ­ лен высокий уровень безопасности. Добавление/удаление разработчика макросов в сп и со к надеж­ ных источников. Для добавления необходимо выполнить сле­ дующие действия: • установить средний или .высокий уровень безопасности макросов; • открыть файл или загрузить надстройку, содержащую мак­ росы, заверенные разработчиком, которого требуется доба­ вить в список; • в диалоговом окне Предупреждение системы безопасно­ сти установить флажок Всегда доверять макросам от этого издателя. (Если этот флажок не отображается, зна­ чит макросы не имеют цифровой подписи. Без цифровой подписи добавить разработчика макросов в список надеж­ ных источников невозможно.) Для удаления: • перейти по меню Сервис\Параметры\ Безопасность\; • в группе Безопасность макросов нажать кнопку Защита от макросов, открыть вкладку Надежные источники; • выделить источник, который требуется удалить из списка и нажать кнопку Удалить. 3.3 . Защита информации в БД на примере MS Access Существуют различные методы защиты информации в базе данных MS Access: • разграничение доступа посредством создания учет­ ных записей пользователей и групп и присвоения им раз­ личных прав доступа к БД и ее объектам. На рис. 3.14 приводится пример окна БД, в котором могут быть отображены такие основные ее объекты, как табли­ цы, запросы, формы и отчеты;
m Microsoft Access tfttt* Вид Всгдек» C & m Qkho £г«мта aaat? . 1Ш Аэропорт - таблица |fe График вылетов самолетов : база данных (формат Acces ,. j £ I S ] ^Открыть *£і<онгфук- Объекты _ЗСоздать X * . ■£У :->д**іе табгміы вре»»*^коктруктора ^ Со5дагие табгміе^июиошыо настера Соід**іе тз£*іы путей вводада>**>іх iJ Аэропорт 1 Аэропорт 1 Город 1 I "ПИИ * Москва - ♦Доиодедові Москва ♦Моо.эа ♦Пулково ♦ШереметьеЕ Санкт-ПетецйуІ Москва / ІЗагмсь: (Tjj 1 ГСОШІ 7 Рис. 3.14. Окно базы данных MS Access и его элементы: 1 — собственно окно БД; 2 — таблицы БД График вылетов самолетов; 3 — форма ввода данных; 4 —отчет (вылеты из а/п «Шереметьево») • использование пароля — после его установки при каждом открытии базы данных будет появляться диалого­ вое окно, в которое требуется ввести пароль. Только те пользователи, которые введут правильный пароль, смогут открыть базу данных. После открытия базы данных все объекты становятся доступными для пользователя (пока не определены другие типы защиты). Для базы данных, кото­ рая совместно используется небольшой группой пользова­ телей или на автономном компьютере, обычно оказывается достаточно установки пароля. MS Access хранит пароль базы данных в незаш ифрованном виде. Если это нарушает безопасность защищаемой паро­ лем базы данных, то для защиты базы данных не следует использовать пароль. Вместо этого определите защиту на уровне пользователей, которая помогает управлять досту­ пом к важной информации в базе данных; • отображение и скрытие объектов в окн е базы данных. Этот способ защиты является наименее надежным, поскольку относительно просто можно отобразить любые скрытые объекты; • кодирование базы данных. При кодировании базы данных ее файл сжимается и становится недоступным для чтения с помощью служебных программ или текстовых ре-
дакторов. Кодирование незащищенной базы данных неэф­ фективно, поскольку каждый сможет открыть такую базу данных и получить полный доступ ко всем ее объектам. Кодирование обычно применяется при электронной пере­ даче базы данных или сохранении ее на дискету, кассету или компакт-диск. Декодирование базы данных является операцией, обратной кодированию. Чтобы осуществить кодирование БД MS Access, необходи­ мо быть либо ее владельцем, либо, если база данных ис­ пользует средства защиты, членом группы Admins в файле рабочей группы, который содержит учетные записи, ис­ пользуемые для защиты базы данных. Кроме того, базу данных надо открыть в монопольном режиме, для этого необходимо иметь разрешения Открытие/Запуск И Моно­ польный доступ; •использование защиты на уровне пользова­ теля — наиболее гибкий и распространенный способ реа­ лизации средств защиты базы данных, который позволяет установить различные уровни доступа к важным данным и объектам в базе данных. Хотя установка защиты на уровне пользователей для боль­ шинства баз данных является сложной задачей, мастер за­ щиты позволит быстро и легко защитить базу данных; • защита страниц доступа к данным. Страницей доступа к данным является файл HTML содержащий ссыл­ ки на данные в файле MS Access. Однако страницы доступа к данным фактически сохраняются не в файле MS Access, а в виде файла HTML в локальной файловой системе, в пап­ ке на общем сетевом ресурсе или на HTTP-сервере. Из-за этого не обеспечивается контроль за безопасностью файлов страниц доступа к данным. Чтобы защитить страницу дос­ тупа к данным, необходимо применить средства защиты для ссылки и файла HTML с помощью средств защиты файловой системы компьютера, на котором эти файлы хра­ нятся. Для защиты данных, доступ к которым осуществля­ ется со страницы, необходимо либо применить средства за­ щиты базы данных, к которой подключена страница, либо задать настройки безопасности MS Internet Explorer для предотвращения несанкционированного доступа. Рассмотрим далее подробнее основные направления этих ме­ тодов защиты.
Управление разделением доступа. Рабочие группы, пользователи, разрешения на доступ Одним из инструментов разделения доступа являются файлы рабочих группы, учетные записи групп пользовате­ ле й и учетные записи пользователей. Группам и пользова­ телям предоставляются разрешения, определяющие возмож­ ность их доступа к каждому объекту базы данных. Например, члены группы Users могут иметь разрешения на просмотр, ввод или изменение данных в таблице Клиенты, но им не будет разрешено изменять структуру этой таблицы. Они также могут быть допущены к просмотру данных в таблице, со ­ держащей сведения о заказах, и не иметь доступа к таблице Платежная ведомость. Члены группы Admins имеют разреш е­ ния на доступ ко всем объектам базы данных. Имеется возмож­ ность установить более разветвленную структуру управления, создавая собственные учетные записи групп, предоставляя этим группам соответствующие разрешения и добавляя пользователей в группы. Если для системы защиты достаточно группы администра­ торов и группы пользователей, то нет необходимости создавать другие группы. Можно воспользоваться стандартными группа­ ми Admins и Users. В этом случае необходимо присвоить соот­ ветствующие разрешения на доступ стандартной группе Users и добавить дополнительных администраторов в стандартную группу Admins. Каждый новый пользователь автоматически до­ бавляется в группу Users. Типовые разрешения на доступ для группы Users могут включать Чтение данных И Обновление данных ДЛЯ таблиц И запросов И Открытие /запуск ДЛЯ форм И отчетов. В случае необходимости более разветвленной структуры управления для различных групп пользователей, имеется воз­ можность создания новых групп, присвоения группам различ­ ных наборов разрешений на доступ и добавления новых пользо­ вателей в соответствующие группы. Д ля упрощения управления разрешениями на доступ рекомендуется присваивать разрешения только группам (а не отдельным пользователям), а затем добав­ лять пользователей в соответствующие группы. Например, можно организовать защиту базы данных Заказы с помощью создания учетных записей Управляющие для руково-
детва фирмы, представители для торговых представителей и Персонал для административного персонала. После этого следу­ ет присвоить наибольшее количество разрешений группе Управ­ ляющие, промежуточное количество группе представители и минимальное группе Персонал. При создании учетной записи для нового сотрудника эта запись будет добавляться в одну из групп, и сотрудник автоматически получит разрешения, принад­ лежащие этой группе. Файл рабочей группы. Рабочая группа MS Access — это группа пользователей, которые совместно используют данные в много­ пользовательской среде. Если определена защита на уровне пользователей, члены рабочей группы регистрируются с помо­ щью учетных записей пользователей и учетных записей групп, которые сохраняются в файле рабочей группы. Пароли пользо­ вателей также запоминаются в файле рабочей группы. Этим учетным записям системы защиты могут быть предоставлены разрешения на доступ к базе данных и ее таблицам, запросам, формам, отчетам и макросам. Когда пользователь в первый раз запускает MS Access после установки MS Office, Access автоматически создает файл рабочей группы MS Access, который идентифицируется по указанными пользователем имени и названию организации. Относительное расположение файла рабочей группы записывается в параметры реестра. Для управления доступом к базе данных необходимо создать новый файл рабочей группы (рис. 3.15). Для этого необходимо выбрать рубрики меню Сервис\3ащ и - та\Администратор рабочих групп. Затем В диалоговом окне Администратор рабочих групп (рис. 3.15) нажать кнопку Создать и в открывшемся окне Све­ дения о владельце рабочей группы ввести имя, название ор­ ганизации и любое сочетание букв и цифр длиной до 20 знаков в качестве кода рабочей группы (w i d ). Затем следует задать имя нового файла рабочей группы. По умолчанию файл рабочей группы сохраняется в папке языка. Чтобы сохранить его в другой папке, необходимо указать новый путь, или нажав кнопку Обзор выбрать новый путь. Новый файл рабочей группы будет использоваться при сле­ дующем запуске MS Access. Любые создаваемые учетные записи пользователей и учетные записи групп, а также их пароли сохра­ няются в новом файле рабочей группы.
Сведения о владельце рабочей группы Для определения нового файла рабочей группы задайте имя, название организации и код. Воспользуйтесь приведенными ниже сведениями или введите другое имя и название организации. Чтобы обеспечить однозначное определение рабочей группы, введите код, содержащий до 2 0 цифр и букв, различая строчные и прописные. Имя: ророѵн Организация: іріеха Код группы: |workgroup_# _l OK Отмена ;\popovS\Application iystem.mdw эльзуемым при запуске, і^югруппу, создавая >йгруппой, изменяя ОК Рис. 3 .15. Создание нового файла рабочей группы: 1 — диалоговое окно Администратор рабочих групп; 2 — диалоговое ОКНО Сведения о владельце рабочей группы Файл рабочей группы MS Access содержит встроенные учет­ ные записи (табл. 3.2). Таблица 3.2. Функции встроенных учетных записей Учет ная запись Функция ) Admin Стандартная учетная запись пользователя. Данные записи являются одинаковыми для всех экземпляров MS Access и других приложе­ ний, использующих ядро базы данных MS Jet, таких как MS Visual j Basic для приложений (VBA) и MS Excel ji Admins Учетная запись группы администраторов. Данная запись является уникальной в каждом файле рабочей группы. По умолчанию поль­ зователь Admin является ЧЛвНОМ группы Admins. В каждый MO- j мент в группу Admins должен входить по крайней мере один 1 і! пользователь || users Учетная запись группы, содержащая все учетные записи пользова- Е телей. MS Access автоматически добавляет учетные записи пользо-\ вателей в группу Users ПрИ ИХ СОЗДаНИИ членом группы Admins, j1 Данные записи являются одинаковыми в каждом файле рабочей 11 группы, однако этот файл содержит только учетные записи пользо­ вателей, созданные членами группы Admins, входящими в данную j рабочую группу. По умолчанию данная учетная запись имеет все разрешения на все новые объекты. Единственным способом удале- jj ния учетной записи из группы users является удаление пользова- 1 теля членом Группы Admins
Учетные записи групп (входящих в рабочую группу) MS Access являются частью системы защиты базы данных. Создание группы позволяет присваивать одинаковый набор разрешений на доступ сразу нескольким пользователям. Для выполнения данной процедуры необходимо войти в базу по учетной записи члена группы Admins. Учетные записи, соз­ данные для пользователей базы данных, должны сохраняться в том файле рабочей группы, который эти пользователи будут ис­ пользовать для работы с базой данных. Для создания учетной записи группы следует выбрать Сер- вис\Защита\Пользователи и группы, затем на вкладке Груп­ пы нажать кнопку Создать и в диалоговом окне Новый пользо­ ватель или группа ввести имя новой учетной записи и личный код (pid) (рис. 3.16), нажать кнопку ок. Пользователи Группы Изменение пароля Имя: Users Созд ать... ] [ Удалить Нлйый пппыояатель или группа Имя: ipartyka Код: *ata і........... і Отмена f OK {IОтмена j Рис. 3.16. Создание учетной записи группы Учетные записи пользователей создаются с целью управления разрешениями на доступ. Для выполнения процедуры создания необходимо войти в базу по учетной записи члена группы Admins. Учетные записи, созданные для пользователей базы данных, должны сохраняться в том файле рабочей группы, кото­ рый эти пользователи будут использовать для работы с базой данных. Следует выбрать рубрики меню Сервис\ЗащитаХПоль­ зователи и группы, на вкладке Пользователи нажать кнопку Создать и в диалоговом окне Новый пользователь или груп-
п а ввести имя новой учетной записи и личный код пользователя (pid ) (рис. 3.17). ЯЯВЙЯІ Пользователи группы Изменение пароля Пользе Имя: jAdmin Созд ать.., Удалить Снять пароль Группы Имеющиеся группы: шшщ Users Участие в группе: Новый пользователь или группа [? Имя: Idusyka Код : ;the_cat ОК Отм ена Рис. 3.17. Создание учетной записи пользователя Вводимые при создании рабочей группы, группы, пользова­ теля данные (имя, название организации и код с учетом регист­ ра) обязательно следует записать и хранить в надежном месте. Если они забыты или потеряны, восстановить их и получить доступ к базам данных будет невозможно. Имя учетной записи пользователя не может совпадать с име­ нем учетной записи группы, и наоборот. Разрешения на доступ являются компонентой защиты инфор­ мации в MS Access. Существует два типа разрешений на доступ: явные и неявные. Разрешения называются явным и, если они непосредственно присвоены учетной записи пользователя; такие разрешения не влияют на разрешения других пользовате­ лей. Неявными называются разрешения на доступ, присвоенные учетной записи группы. Пользователь, включенный в такую группу, получает все разрешения, предоставленные группе; уда­ ление пользователя из этой группы лишает его всех разрешений, присвоенных данной группе. При попытке пользователя выполнить какую-либо операцию с защищенным объектом базы данных его текущие разрешения
определяются комбинацией явных и неявных разрешений на доступ. На уровне пользователей всегда действуют минимальные ограничения из налагаемых явными разрешениями для пользо­ вателя и для всех групп, к которым принадлежит данный поль­ зователь. Поэтому простейшим способом управления рабочей группой является создание новых групп и определение разреше­ ний на доступ для этих групп, а не для индивидуальных пользо­ вателей. После этого изменение разрешений для отдельных пользователей осуществляется путем добавления пользователей в группы или удаления их из групп. Кроме того, при необходимо­ сти предоставить новые разрешения они предоставляются сразу всем членам группы в одной операции. Изменять разрешения других пользователей на отдельные объекты базы данных могут следующие пользователи: • члены группы Admins, определенной в файле рабочей группы, который использовался при создании конкретной базы данных; • владелец объекта; • любой пользователь, получивший на этот объект разреше­ ния администратора. В ряде случаев пользователи, не имеющие разрешений на выполнение какого-либо действия, имеют возможность при­ своить их себе. Такая ситуация имеет место для пользовате­ ля, являющегося членом группы Admins или владельцем объ­ екта. Пользователь, создавший таблицу, запрос, форму, отчет или макрос, является владельцем этого объекта. Кроме того, группа пользователей, которые могут изменять разрешения в базе дан­ ных, может также сменить владельца объектов или заново соз­ дать эти объекты, что является альтернативным способом смены владельца объектов. Для создания объекта заново достаточно импортировать или экспортировать этот объект в другую базу данных или сделать копию объекта. Этот прием является про­ стейшим способом смены владельца объектов, в том числе и всей базы данных. Используемый при входе в базу данных файл рабочей труп­ пы должен содержать учетные записи пользователей, которым нужно присвоить разрешения. Однако можно присваивать раз­ решения группам, а позднее добавлять в них пользователей. Для установки разрешений (рис. 3 .18) необходимо войти в меню Сервис\Защита\Разрешения, на вкладке Разрешения
Список: '*) пользователи Разрешения р ] чтение макета 0 изменение макета 0 администратора Пользователь: Admin 0 чтение данных 0 обновление данных 0 вставка данных 0 удалениеданных I Отмена Рис. 3.18. Установка разрешений на доступ к таблице Рейсы в БД График выле­ тов самолетов выбрать параметр пользователи или группы, а затем в спи­ ске Пользователи и группы выбрать пользователя или груп­ пу, которым нужно присвоить разрешения. Далее следует вы­ брать нужный тип объекта в раскрывающемся списке Тип объекта, а затем нужный объект в списке Имя объекта. Можно выделить несколько объектов в этом списке, проведя указателем по именам объектов при нажатой кнопке мыши или выбрав имена объектов при нажатой клавише <ctrl>. В группе Разрешения установить или снять флажки, опреде­ ляющие соответствующие разрешения, и нажать кнопку При­ менить. В табл. 3.3 перечислены все разрешения, которые могут быть присвоены пользователям. Некоторые разрешения на доступ автоматически предостав­ ляют другие разрешения. Например, разрешение Обновление данных на таблицу автоматически предоставляет разрешения Чтение данных и Чтение макета, необходимые для изменения
Таблица 3.3. Типы разрешений на доступ Разрешения Разрешенные действия Открытие/запуск іОткрытие базы данных, формы или отчета, запуск макроса Монопольный доступ Открытие базы данных для монопольного доступа Чтение макета Просмотр таблиц, запросов, форм, записей или макро­ сов в режиме конструктора Изменение макета Просмотр и изменение структуры таблиц, запросов, 1форм, записей или макросов или их удаление Администратор Для баз данных: установка пароля базы данных, репли­ кация базы данных и изменение параметров запуска. Для таблиц, запросов, форм, отчетов и макросов: все разрешения на объекты и данные, в том числе предос­ тавление разрешений на доступ і;Чтение данных Просмотр данных в таблицах и запросах (Обновление данны Вставка данных Просмотр и изменение данных в таблицах и запросах, но без их вставки или удаления !|Удаление данных Просмотр и вставка данных в таблицах и запросах, но без их изменения или удаления Просмотр и удаление данных в таблицах и запросах, 1но без их изменения или вставки данных в таблице. Разрешения Изменение макета и Чтение данных автоматически предоставляют разрешение Чтение ма­ кета. Для макросов разрешение Чтение макета означает пре­ доставление разрешения Открытие /запуск. Защита паролем Типы паролей. В MS Access используются три типа паролей: • пароли баз данных. Если установлен пароль базы данных, ввод этого пароля требуется от каждого пользова­ теля, открывающего базу данных. Определение пароля базы данных является простейшим средством зашиты от открытия БД несанкционированным пользователем. Одна­ ко после открытия базы данных других средств безопасно­
сти при этом не имеется, если дополнительно не определе­ на защита на уровне пользователей. Пароль БД хранится в незаш ифрованном виде. Если это нарушает безопасность защищаемой паролем базы данных, то для защиты базы данных не следует использовать пароль; • пароли учетных записей пользователей. К о ­ гда для рабочей группы определена защита на уровне поль­ зователей, становится возможным использование паролей учетных записей. Пароль учетной записи пользователя за­ прещает несанкционированным пользователям регистра­ цию с использованием другой учетной записи. Кроме того, можно добавить пароли для создаваемых учетных записей пользователей или предписать пользователям добавить соб­ ственные пароли. Пользователи могут создавать или изме­ нять собственные пароли учетных записей. Однако если пользователь забыл свой пароль, то снять этот пароль мо­ жет только администратор. Кроме того, в дополнение этому можно задавать пароли Visual Basic для приложений (ѴВА). Эти пароли используются для защиты программ на языке ѴВА в стандартных модулях (та­ ких, как модули с программами форм и отчетов). Задание пароля в базе данных M S Access (файл .mdb). Час­ тичную защиту базы данных обеспечивает добавление пароля, ограничивающего пользователей, которые могут открывать базу данных. Если вы потеряли или забыли пароль, восстановить его будет невозможно, и вы не сможете открыть базу данных. Нельзя установить пароль базы данных, если для БД была определена защита на уровне пользователей, а у вас нет разре­ шений администратора для базы данных. Кроме того, пароль базы данных определяется дополнительно к защите на уровне пользователей. Если была определена защита на уровне пользо­ вателей, то любые ограничения, основанные на разрешениях на доступ на уровне пользователей, остаются в силе. Для установления пароля доступа к БД необходимо выпол­ нить следующие действия: • закрыть базу данных. Если БД открыта для общего доступа в сети, следует убедиться, что все остальные пользователи закрыли ее; • необходимо сделать резервную копию базы данных;
• открыть файл. В окне Открытие файла БД (рис. 3.19, 1) щелкнуть по стрелке справа от кнопки Открыть, выбрать вариант монопольно и открыть БД; • выбрать рубрики меню Сервис\3ащита\3адать пароль базы данных; • в окно Задание пароля БД ввести пароль в поле Пароль (рис. 3.19, 2). В паролях учитывается регистр знаков. Для подтверждения пароля он вводится в поле Подтверждение, а затем следует нажать кнопку ок. Пароль базы данных со­ храняется в базе данных, а не в файле рабочей группы. Открытие файла базы данных Папка: ^ EXAMPLE2 ѵ $Л $£X^ £2-Сервис* «^ Графи к вылетов самолетов 1 Открыть Открыть для чтения Монопольно Монопольно для чтения Открыть >| Отмена 1 Рис. 3 .19 . Задание пароля доступа к БД в целом: / — открытие БД в монопольном режиме; 2 — окно ввода пароля Рис. 3.20. Ввод пароля при открытии БД (/); сообщение об ошибке при вводе пароля (2)
Теперь пароль задан и при следующем открытии базы дан­ ных появится диалоговое окно, в которое необходимо ввести па­ роль (рис. 3.20). Удаление пароля в базе данных M S Access: • в меню Файл выбрать команду Открыть; • щелкнуть стрелку справа от кнопки Открыть, выбрать ко ­ манду Монопольно и открыть БД; • в диалоговом окне Необходимо ввести пароль ввести па­ роль базы данных и нажать кнопку ок; • выбрать рубрики меню Сервис\Защита\Удалить пароль базы данных. Эта команда доступна, когда пароль базы данных уже установлен; • в диалоговом окне Удаление пароля базы данных ввести текущий пароль. Создание или изменение пароля учетной записи пользователя в базе данных MS Access. Пароль учетной записи пользователя о п­ ределяется для^того, чтобы запретить кому-либо подключение под учетной записью другого пользователя. MS Access по умол­ чанию присваивает учетной записи пользователя Admin и лю ­ бым новым учетным записям пользователя, создаваемым в рабо­ чей группе, пустые пароли. Если пароль потерян или забыт, то восстановить его будет невозможно. Поэтому следует хранить его в надежном месте. Чтобы получить доступ к базе данных, пользователь, потеряв­ ший пароль, должен обратиться к администратору (члену группы Admins той рабочей группы, в которой были созданы учетная за­ пись и пароль), чтобы тот снял пароль. Для создания пароля не­ обходимо (рис. 3.21): • запустить MS Access с использованием той рабочей груп­ пы, в которой хранится учетная запись пользователя, и войти в него по той учетной записи, для которой нужно создать или изменить пароль; • открыть базу данных; • выбрать Сервис\Защита\Пользователи и группы; • на вкладке Изменение пароля оставить Текущий пароль пустым, если учетная запись ранее не имела пароля, иначе ввести в поле Текущий пароль старый пароль, а новый — в поле Новый пароль; • повторно ввести новый пароль в поле Подтверждение и нажать кнопку ок.
щ j% j| Администратор рабочих групп... Разрешения... Пользователи і Группы: Изменение пароля Пользователь: Admin Текущий пароль: Новый пароль: Подтверждение: Пользователи и группы... Мастер... Закодировать или раскодировать базу данных... I OK J [ Отмена | j Применить"] Рис. 3.21. Создание/изменение пароля пользователя Снятие пароля учетной записи пользователя. Для выполнения данной процедуры необходимо: • запустить MS Access с использованием файла рабочей группы, в котором хранится учетная запись пользователя, и войти в базу по учетной записи члена группы Admins; • открыть базу данных, выбрать Сервис\Защита\Пользова- тели и группы; • на вкладке Пользователи ввести учетную запись пользова­ теля в поле Имя и нажать кнопку Снять пароль. Отображение и скрытие объектов базы данных в окне базы данных Указание отображения или скрытия объекта базы данных. Для управления отображением объекта можно выполнить сле­ дующие действия (рис. 3.22): • в списке Объекты окна базы данных выбрать тип объекта базы данных, свойства которого нужно изменить; • нажать кнопку Свойства на панели инструментов База данных; • установить или снять флажок скрытый. Отображение или скрытие объектов, скрытых по умолчанию. Если нужно выполнить какие-либо действия с объектами, кото-
Ш Microsoft Access файл j&amca §кд Вставка Сервис :Jl>-i ккД Jk ее® Яр*** Справка €tw J Ш График вылетов самолетов : база данных (формат Acces.», ^fjjОткрыть ^Конструктор 13Создать X іъекты 5»»^ ] Свойства: Рейсы Создание таблицы в режиме конструктора Создание таблицы с помощью мастера У Создание таблицы путем ввода данных Аэропорт Тип: Описание: Рейсы Таблица Самолеты Самолеты по рейсу Создан: 28.11 .2007 21:02:33 Изменен: 28.11 .2007 22:13:46 Владелец: Admin Атрибуты: [^! скрытый - Ш Microsoft Access I ? Фай* £►** Вст»#» ораие <2*но Qvmta ------- ( * График вылетов самолетов : 6«за данных (формат Acces.. ^Открыть Конструктор ЗСОЗДсТЬ X ‘V іЗу Создание табтоцы в режѵпе конструктора Создание таблицы с помощью мастера Создание табтц ы путем ввода дат Аэропорт £53233 Самолеты го рейсу Рис. 3.22. Скрытие объекта БД: 1 — исходное состояние окна БД; 2 — скрытие таблицы Рейсы; 3 со скрытой таблицей окно БД рые были определены как скрытые, можно отобразить эти объ­ екты в окне базы данных, не отменяя их атрибута скрытия. Для этого: • в ыбрать рубрики меню Сервис\Параметры, перейти на вкладку Вид; • установить или снять флажок скрытые объекты в группе Отображать. Чтобы показать различие между скрытыми и остальными объектами, скрытые объекты отображаются в виде серых значков (рис. 3.23).
Дру гие Международ ные Проверка ошибок Орфография Таблицы и запросы Общие Правка и поиск Клавиатур а Режим таблицы Формы и отчеты Страницы Ото&оая'ать Ёстроку состояния Е область задач при запуске Ё новые ярлыки объектов Конструктор гсакрособ I ..j столбец имен Открыв*?* Оодним щелчком 0 двойным щелчком Ѳ скрытые объекты I Iсистемные объекты Э окна в панели задач LJ столбец условии Рис. 3.23. Управление отображением скрытых объектов Защита базы данных с помощью мастера защиты на уровне пользователя Защита на уровне пользователя — гибкий и распространен­ ный метод реализации средств защиты базы данных MS Access. Хотя установка защиты на уровне пользователей для большинст­ ва баз данных является сложной задачей, мастер защиты обес­ печивает быстрое и легкое применение новейших средств безо­ пасности базы данных Access. Более того, благодаря использова­ нию общих схем защиты мастер позволяет уменьшить или даже вообще исключить необходимость использования команды Сер- вис\3ащита. Мастер защиты позволяет установить защиту на уровне пользователя с общей схемой зашиты и закодировать базу дан­ ных MS Access, помогает назначить разрешения и создать учет­ ные записи пользователей и учетные записи групп. После запус­ ка мастера защиты можно создать собственные группы пользо­ вателей и определить разрешения на работу с базой данных и ее таблицами, запросами, формами, отчетами и макросами для раз­ личных пользователей или групп пользователей. Также могут быть установлены разрешения на доступ, по умолчанию при­ сваиваемые вновь создаваемым объектам базы данных. Для ак­ тивизации Мастера защиты необходимо: • открыть БД, которую требуется защитить; • в ыбрать рубрики Сервис\Защита\Мастер; • следовать инструкциям, выводящимся в диалоговых окнах мастера.
Работа Мастера защиты предусматривает выполнение до 7 шагов, которым соответствуют различные диалоговые окна, выборка из которых приводится на рис. 3.24. Мастер защиты 2 Макросы ШИ Таблицы »иЙ___ S' ЦП] Рейсы & ЩИ Самолеты ЦП] Самолеты по рейсу По умолчанию проверяется защита всех существующих объектов базы данных и всех объектов, создаваемых после выпошеж я мастера. Чтобы оставить защиту объекта без изменении, отмените его выбор. К«сие объекты базы данных нужно защитить? © Прочее Все объекты Запросы Ш Формы Я Отчеты Справка Далее > Готово Мастер защиты Все пользователи входят в группу Users, которая имеется во всех файлах рабочих групп. По умолчанию у группы Users нет никаких разрешений, однако можно присвоить этой группе ограничежые разрешеюія. Не предоставляйте группе Users все разрешения, так как это полностью снимает защиту. фч. Предоставить группе Users какие-либо разрешения? 0 Да, группе Users нужно предоставить некоторые разрешения. ОН£т>Угруппы Users не должно быть никаких разрешений. Таблицы Запросы Формы Отчеты Макросы Ё открытие и запуск Ё монопольный досту п Ё администратора Витание: все пользователи Access получат все права группы Users» 1 І.Слкша/ j I Отмена j [ <Назад |[Далее> | [ Готово | б Рис. 3.24 . Экраны Мастера зашиты: a — проверка состояния защиты; б — предоставление прав; в — распределение пользователей по группам (начало)
Далее можно распределить пользователей по группам в файле рабочей групгы. Что нужно сделать: задать гр у ты для выбранного пользователя или пользователей для выбранной группы? 0 Выбрать поіъзователя и в кто^іть его в группы. О Выбрать гр у ту и вктео^ть в нее пользователей. [ Справка | [ Отмена | [ <Назад |[Далее> ] | Готово | в Рис. 3.24 (окончание) В процессе выполнения Мастера защиты создается резерв­ ная копия текущей базы данных с тем же самым именем и рас­ ширением имени файла .bak, а затем применяются средства за­ щиты к выделенным объектам текущей базы данных. Все пароли, созданные при работе мастера, распечатываются в отчете, формируемом мастером защиты по окончании его ра­ боты. Следует хранить этот отчет в безопасном месте. Можно использовать этот отчет для повторного создания файла рабочей группы. Контрольные вопросы 1. Чем отличается учетная запись Гость (по умолчанию) от любой другой учет­ ной записи, входящей в группу Гости? 2. Чем отличается учетная запись Администратор (по умолчанию) от любой другой учетной записи, входящей в группу Администраторы? 3. Какие данные могутбыть скрыты (и как) вразличных приложениях MS Office? 4. Что такое «уровни защиты» (и от чего) в MS Office? 5. Какие элементы данных могут быть защищены паролем в ОС и различных при­ ложениях MS Office? 6. Какие способы шифрования данных применяются в ОС и различных приложе­ ниях MS Office?
Глава 4 НЕКОТОРЫЕ ПРОГРАММНО-ТЕХНИЧЕСКИЕ СРЕДСТВА ЗАЩИТЫ ИНФОРМАЦИИ В ПК Рассмотрим ряд специализированных программ и программ­ но-технических комплексов, предназначенных для обеспечения информационной безопасности ПК. Прежде всего, они предна­ значены для борьбы с вредоносным ПО — программными за­ кладками (см. гл. 2). 4.1 . Средство программной защиты ПК — Ad-Aware Ad-Aware 2007 (разработчик Lavasoft АВ, Швеция) явля­ ется представителем современного поколения программ по иска и удаления злонамеренных программ­ ных средств (ЗПС). Использует технологию иденти­ фикации кодовых последовательностей (Code Sequence Identification — CSI), которая позволяет не только обнаружить ра­ нее известные образцы ЗПС, но также предсказать свойства и за­ фиксировать их неизвестные варианты. Ad-Aware обнаруживает и удаляет также запущенные вредоносные процессы, определяет наличие вредоносных закладок в компьютере пользователя, оце­ нивает уровень угрозы, а затем предоставляет пользователю воз­ можность удалить нежелательное содержание. Ad-Aware 2007 позволяет полностью проверить память ПК, а также НЖМД, НГМД, CD/DVD-накопители и обнаружить из­ вестные экземпляры таких вредоносных закладок, как анализа­ торы данных (Data miners), программы навязчивого рекламиро­ вания (Aggressive advertising), программы-паразиты (Parasites), шпионские программы (Spyware, Scumware, Malware), перехват­ чики клавиатуры (Keyloggers), номеронабиратели (Dialers), за­ хватчики браузеров (Browser hijackers), а также традиционные «троянцы» (Trojans) и ряд других кодов. Сканируется также реестр операционной системы и, если там обнаруживается запись, установленная вредоносной про­
граммой, она удаляется. Для предотвращения случайного удале­ ния нужного файла или записи в реестре предусмотрена функ­ ция восстановления (для этого автоматически создаются копии удаляемых данных). Системные требования: Процессор: Pentium 600 МГц (или выше); Оперативная память: рекомендовано минимум 50—100 Мбайт; НЖМД: 50 Мбайт свободного пространства. Совместимые операционные системы: Windows 2000 Professional; Windows 2000/2003 Server; Windows XP (Home/Professional); Windows Vista (32-битовая версия). Другие требования (браузеры): Internet Explorer версии 5.5 и выше; Firefox 1.5 или выше; Opera 9 или выше. Элементы интерфейса Ad-Aware. Интерфейс приложения включает следующие элементы: • Меню быстрого запуска (рис. 4 .1, /, табл. 4.1); • Главное меню (рис. 4.1, 2, табл. 4.2); • окно главного экрана (рис. 4.1, 3—9). Таблица 4.1. Кнопки Меню быстрого запуска (Quick launch menu) Символ Действия Получение информации об Ad-Aware SE Открытие файла справки о программе Таблица 4.2. Кнопки Главного меню интерфейс а Кнопка меню Действия ^ Открытие главного экрана статуса (состояния защиты) Ad-Aware (см. рис. 4 .1) ш Statu; •statistics Log Files v** Открытие экрана подготовки проверки (рис. 4 .2) ъсап Мосіе I Qua:inline <signore * Scheduler
System Protection Status Watch realtim e protection: Definitions Status Current version: Last update: Authenticity verified: Threats in detection: ./-5 004-: oooo - ;ioi;eo314421з ^ /6 IfcW;^ ОЧвЛ j Automatic update: System Scan 7 Last scan: 31 01 2008 Last infection: 3'0 ’2008 Items in Quarantine: 0 Items in Ignore List: 0 a . _______ Іf License Status Typ e: Ғге-ЬЛюп License ex pires i н»ѵег P^.st«r -our ■j’T ji prod-jol of cfc-hnc the button betow Рис. 4 .1 . Экран состояния защиты: / — Меню быстрого запуска; 2 — Главное меню; 3 — указатель состояния мо­ нитора реального времени AD-Watch (отключен); 4 — указатель состояния авто­ матического Web-обновления (отключен); 5 — используемая версия базы данных описаний угроз; 6— количество единиц в БД описаний угроз; 7— информация о последней выполненной проверке; 8— кнопка перехода к экрану задания режима сканирования (Scan Mode); 9— информация о действующей лицензии на продукт Кнопка меню Окон чание табл. 4 .2 Действия Запуск монитора реального времени Ad-Watch fra» Web Update Settings Tools Plucj-lnx TrackSweep (~8ЕКШЕВ Подключение к Web-узлу Ad-Aware 2007 с целью обнов­ ления файла определений угроз и закладок (рис. 4 .3) Открытие экрана расширений функций системы (Add-ons) Настройка системы на потребности пользователя
Экраны статистики и просмотра журнала. Кроме экрана со­ стояния защиты, кнопкой меню status могут быть вызваны: • окна общей и детальной статистики (по соответствующим закладкам, рис. 4.2, / и 2), отражающие результаты ранее выполненных и последней выполненной проверки; • журнал (протокол) одной из проведенных проверок (рис. 4.2, 3). Г*Х< !Ы->' Last scan: Last scan mode used: Last infection detected: 01022008 152SC0\ 01022aeTT5^SjJO. ТА лѵ'Ш Ш гі8"'"’ii^totnbve ..... ЛШ32 Mydooin А 8 6 4 / 2008-01-31 vMn32 TroianPro 7 ^ / б 11 7/ 2008-01-31 /Лгі32Adware 3/ 13ѵ 2008-01-31 Tracing Cookie 3 / 233\. _ / 138 2008-02-01 *МпЗхТго»апА 10' \^з 2рвб^01 -31 ѵМп32Тго»агОг 10 23^ 8 8 2008-01-31 vMn32 3oamToo 10 19 12 2008-01-31 7 ТОО» ГѴІ Tracking Cookie Category: Dacalliner T AI:3 Value: Brouser: Internet Bxplcrer Cookie: C: Value: Browser: Internet Explcrer Cook: Value: Browser: Internet Bxplcrer Cookiej. Value: Brouser: Internet f Рис. 4 .2 . Экраны статистики и протоколов (журналов) проверок: 1 — окно общей статистики; 2— окно подробной статистики; 3— окно протоко­ ла; 4 — данные о последней выполненной проверке; 5 — совокупные данные, полученные при проверках после установки системы либо после последнего об­ нуления статистики; 6 — типы (группы) выявленных объектов и соответствую­ щие индексы опасности (TAI — Threat Analysis Index); 7 — количество обнару­ женных и удаленных объектов соответствующих категорий; 8—дата выполнения последней проверки; 9— кнопка обнуления (сброса) статистики; 10— протокол, описывающий обнаруженные объекты, выполняющиеся в системе процессы и предпринятые по ним действия Экран подготовки проверки. Прежде чем приступить к выпол­ нению сканирования, можно обновить файлы определений пу­ тем использования WebUpdate (рис. 4.3). Переход к подготовке проверки (установке режима сканирования) осуществляется на­ жатием кнопки Scan Главного меню. Описания элементов дан­ ного экрана приводится в табл. 4.3.
То ensure you are protected from the latest sprware threats, it is important to have the J' ,vare 2007 Id schedule Рис. 4.3. Экран обновления БД описаний угроз: 1— кнопка запуска загрузки обновлений; 2 — сообщение о поиске обновлений; 3 — информация о завершении обновления БД Таблица 4.3. Элементы экрана задания режима проверки Элемент Интерпретация smart scan (Быстрая проверка (рис. 4 .4 ,1) Full scan Полная проверка '(рис. 4 .4,2) ICustom scan Использовать настрой­ ки пользователя (рис. 4 .4 ,3) Действия Осуществляется проверка памяти, реестра, cookies, избранных файлов. Сканируются катало- ГИ Windows, Temp И Program Files. Р е ж и м рекомендуется для ежедневной поверхностной проверки, если ранее была выполнена полная проверка. Кроме того, этот режим не преду­ сматривает поиск в архивных файлах IРежим глубокого исследования ПК на предмет !наличия «инфекции» Spyware (рекомендуется для первичного запуска и последующего ежене­ дельного повтора). Режим предусматривает по­ иск на всех НЖМД и в архивных файлах Ad-Aware SE может быть настроена на анализ оп­ ределенных дисков или каталогов IConfigure Настроить Переход к экрану настроек (scan settings — рис. 4 .4 ,3). Если на этом экране нажать на ссыл­ ку select folders, то можно перейти к экра­ ну выбора дисков /каталогов (рис. 4 .4 ,4)
Окончание табл. 4 .3 Элемент Интерпретация Действия Active processes Registry Активные процессы Проверка всех активных процессов, запущенных на ПК Реестр Проверка известных областей реестра, могущих содержать угрозы Registry Приложения в реестре executables Проверка реестра на наличие ссылок на вредо­ носные приложения Hosts file Tracking cookies Списки серверов Файлы списков нави­ гации [Alternate Альтернативные потоки Data Stream да нн ы х (ADS) Проверка списков серверов, используемых брау- | зером. Их изменения могут быть ! связаны с атакой на домашнюю страницу |і браузера !і Проверка файлов навигации (Tracking Cookies) для браузеров Internet Explorer, M ozilla Firefox и Opera Проверка альтернативных потоков данных на f присутствие вредоносных объектов j] Executable Только исполняемые files only файлы Проверка только исполняемых файлов Archives Spanned files Possible browser hijacks Schedule Scan iАрхивы Заполненные архивы Возможные атаки на ;браузер Проверка содержимого архивов (.zip, .cab И пр.) Заполненные c a b -архивы появляются, когда не- і| сколько cab -файлов формируют единичный I' cab-архив Проверка настроек браузера (стартовая и поиско­ вые страницы, списки часто посещаемых узлов и рабочий стол) на наличие подозрительных W eb-ссылок (Диспетчеризация (рис. 4 .4 ,5) Проверить (рис. 4.4, 6) Открывается окно настройки проверок по распи­ санию Начало сканирования системы Выполнение проверки (Performing Scan). Режим в ып ол не­ ния сканирования (рис. 4.5) активизируется нажатием кнопки Scan экрана задания режима (рис. 4.4).
Рис. 4.4. Экран задания режима проверки: / — быстрая проверка; 2 — полная проверка; 3 — проверка по усмотрению поль­ зователя; 4 — переход к экранам настройки пользовательского режима проверки (указание дисков, каталогов и пр.); 5 — задание проверок по расписанию; 6 — переход к немедленной проверке компьютера Рис. 4.5 . Экран выполнения проверки: 1 — индикатор состояния проверки; 2 — статистика обнаружения угроз и про­ пуска объектов; 3 ~ тип проверки и версия используемой БД описания угроз; 4 — кнопка прекращения проверки
В процессе выполнения проверки Ad-Aware 2007 антивирус­ ные мониторы, загруженные и выполняющиеся в данной мо­ мент, могут выдавать предупреждения о том, что обнаружен ви­ рус во временном каталоге (%temp%) активного пользователя. Это не обязательно означает, что компьютер действительно за­ ражен вирусами, поскольку в процессе проверки Ad-Aware 2007 осуществляет временную разархивацию файлов (возможно, зара­ женных), без активации их содержимого, и этот факт может быть обнаружен антивирусным сканером. Кроме того, многие антивирусные приложения помещают зараженные файлы в ка­ рантин и, когда Ad-Aware 2007 проверяет такие файлы, антиви­ русный сканер может сигнализировать о том, что вирус обнару­ жен вне карантинного пространства. Результаты проверки. Э кран результатов проверки (Scan Results, рис. 4.6) позволяет просмотреть списки обнаруженных объектов, которые разделяются на безусловно опасные (Critical Objects) и подо зрительные (Privacy Objects), а также ознакомиться с журналом проверки (Scan Log). Рис. 4.6. Экран результатов проверки: 1 — список опасных объектов (помечены на удаление); 2 — список подозритель­ ных объектов; 3 — журнал проверки; 4 — кнопка восстановления; 5 — сообще­ ние об удалении помеченных объектов; 6 — кнопка завершения работы
Critical Objects — список содержит объекты, представ­ ляющие собой потенциальную угрозу и предлагаемые на удале­ ние. Они группируются по категориям, каждой из которых при­ писывается уровень опасности или индекс угрозы (Threat Analysis Index — ТАІ), который измеряется в 10-балльной шкале, причем «1» соответствует минимальной опасности, а «10» — максимальной. Для каждого опасного объекта могут быть выполнены сле­ дующие действия: • добавить к списку пропускаемых объектов (Add to ignore) — в этом случае данные объекты не будут прове­ ряться при последующих сканированиях системы; • поместить в карантин (Quarantine) — будучи изолирован­ ным, объект не сможет в дальнейшем представлять угрозу для системы; • удалить (Remove) — удаление из системы. Перед удалением опасных объектов у пользователя есть возможность создать контрольную точку рестарта системы для ее восстановле­ ния в дальнейшем при появлении проблем. Privacy objects — список включает объекты, не представ­ ляющие непосредственной угрозы, куда обычно входят индексы навигации браузеров (Tracking Cookies) и часто используемые объекты (Most Recently Used — MRU), которые могут быть уда­ лены по желанию пользователя. Scan Log (Журнал проверки) — показывает файл протокола выполненной проверки (рис. 4.7). Кроме того, пользователю доступны списки объектов, поме­ щенных в карантин и тех, которые были пропущены при выпол­ ненном сканировании. Настройки характеристик по умолчанию. Кроме настроек, которые могут быть выполнены пользователем по отношению к конкретной проверке системы (см. табл. 4.3), предусмотрена на­ стройка умолчаний (рис. 4 .7), экран которой включает 5 закла­ док, управляющих различными аспектами настроек. Перечислим некоторые из них: • настройки браузеров — здесь задаются домаш няя и поис­ ковая страницы браузера, которые в случае их изменения при атаке ЗПС на браузер будут восстановлены; • режим сканирования — здесь определяются такие парамет­ ры, как выгрузка из памяти подозрительных модулей или процессов, отложенное удаление некоторых модулей (при
Рис. 4.7 . Экран настроек приложения (открыта закладка Scanning): 1 — настройки браузера по умолчанию; 2 — характеристики сканера; 3 — авто­ матический запуск сканера; 4 — интерфейс пользователя; 5 — файлы журналов проверки последующем запуске ОС), пропуск при проверке слишком больших файлов, показ или нет элементов экрана сканиро­ вания (см. рис. 4.5), сканирование альтернативных потоков данных, индексов навигации, архивов, часто используемых модулей и пр.; • автосканирование — устанавливаются такие возможности, как автоматический запуск проверки при загрузке ОС, вы ­ бор при этом полной или частичной проверки, автоматиче­ ское удаление объектов, уровень опасности которых выше определенного предела и пр.; • интерфейс — позволяет задать вид оболочки, звуковые сиг­ налы при обнаружении угроз или других событиях, язы к сообщений или подсказок и т. д.; • журналы проверок — определяются адрес размещения и имя журнального файла, а также требования к его со­ держимому, например, записывать ли в него идентифи­ катор компьютера и пользователя, списки игнорируемых объектов, базовые и расширенные настройки сканера и пр.
4.2 . Антивирусная система Dr.Web для Windows Состав системы. Dr.Web для Windows вклю чает в себя следующие компоненты: • антивирусный сканер — запускается по запросу пользователя или по расписанию и про­ изводит антивирусную проверку компьютера (рис. 4.8, а)\ • антивирусный сторож # (SpIDer Guard, называемый также монитором) — постоянно находится в оперативной памяти, осуществляет проверку файлов «на лету», а также обнаруживает проявления вирусной актив­ ности (рис. 4.8, б); • почтовый антивирусный сторож (SpIDer Mail для рабочих станций) — перехватывает обращения любых почтовых клиентов компьютера к почтовым серверам, об­ наруживает и обезвреживает почтовые вирусы до получе­ ния писем почтовым клиентом с сервера или до отправки письма на почтовый сервер (рис. 4.8, в)\ • модуль автоматического обновления — п о зв о­ ляет зарегистрированным пользователям получать обновле­ ния вирусных баз и других файлов комплекса, а также про­ изводит их автоматическую установку; незарегистрирован­ ным пользователям дает возможность зарегистрироваться или получить демонстрационный ключ. В состав Dr.Web для рабочих станций входят также Плани­ ровщик заданий для Windows, сканер для среды DOS и ряд вспомогательных программ. Требования Dr.Web к ОС и компьютеру. Сканер (G U I-версия и консольная версия для Windows), SpIDer Mail а также сторож SpIDer Guard работают на ПК под управлением ОС Win­ dows 95/98/Ме или Windows NT/2000/XP/2003/Vista, причем сто­ рож SpIDer Guard работает только в 32-разрядных системах. Ра­ бота всех компонентов под управлением Windows 95 возможна только, начиная с версии Windows 95 OSR2 (ѵ.4 .00 .950В). Сканер для DOS работает под управлением MS-DOS или в режиме командной строки Windows. Минимальные требования к конфигурации ПК совпадают с таковыми для соответствующих ОС, однако корректная работа SpIDer Guard возможна только при наличии не менее 32 Мбайт я* Сканер Dr.Web
_ _ ___ ___________ ;________и^2.:: .:т л Файл Настройки Помощь Проверка | Статистика | быстрая проверқа^ АЦ^пная проверка N <Ѵвыбс£»*но В этой режимепроверяются; * Оперативная память * Загруэоч«>іе секторы всех дисков * Объекты автозапуска * Корневой каталог загрузоФюго диска * Корневой каталог диска установки Windows * Систеиньм каталог Windows V Папка Мои Документы * ^•'О Зременный каталог системы * Вввме«*>в5 каталог пользователя ■.. ...... 3 ц Вэтом р е ж и м е проверяются: * Эагрузочи»» секторы всех дисков * Все оіенные носители * Все локаяыъіе д«ски 0«ш О Диск 3,5 (А:) Объек- L: о Локальный диск (С:) □ О Локальный диск (D:) □ Л?Компакт-диск (Е:) [±= Съемный диск (F:) 1 Статус 1 Действие 1 Dr.Web(R) Сканер д ля Window» юянено - в кусов не найдено Т' а SpIDer Guard ак тиве н Проверено: 394 Инфицированных: О Модификаций: О Подозрительных: О Исцелено:О Удалено:О Переименовано:О Перемещено: О Запрещен доступ: О Последнее обновление: 6.09 .2008 Всего вирусных записей: 420985 ~^506^19*06(23:54) ' |ІІмЙГ І) SpIDer Mail® включен Всего: Проверено: Не проверено: Инфицировано: Подозрительных: Удалено: В карантин: Пропущено: Реклама: Дозвонщики: Шутки: Опасные: Взломщики: Спам: Обновление 6 .09 .2008 (420985 записей) Рис. 4 .8. Варианты содержания Главного окна сканера (а); извещение SpIDer Guard (б)\ извещение SpIDer Mail (в) оперативной памяти, установленной на компьютере. П К должен полностью поддерживать систему команд процессора i80386. При работе под управлением ОС Windows Vista рекоменду­ ется запускать сканер от имени пользователя, обладающего правами администратора. В противном случае те файлы и пап-
ки, к которым непривилегированный пользователь не имеет доступа (в том числе и системные папки), не будут подвергну­ ты проверке. Главное окно сканера. В этом окне формируется задание на сканирование (вкладка Проверка), а также предоставляется доступ к итоговым сведениям о работе сканера (вкладка Ста­ тистика). В центральной части окна в зависимости от выбора режима сканирования отображается список объектов, которые будут подвергнуты проверке, либо иерархический список файловой системы (рис. 4.8). В нижней части окна располагается таблица для отображе­ ния сведений о найденных в ходе сканирования зараженных и подозрительных объектах, а также о произведенных программой действиях. Управление процессом сканирования может производиться кнопками в правой части окна (табл. 4.4). Таблица 4.4. Функции управляющих кнопок Главного окна сканера Действие Начать/возобновить сканирование (старт) Приостановить процесс (пауза) Остановить сканирование (Стоп) Кроме кнопок и пунктов меню для доступа к различным ок­ нам, настройкам и функциям предусмотрены клавиши быстрого доступа. Немедленно после запуска программа при настройках по умолчанию проводит антивирусное сканирование оперативной памяти и файлов автозапуска Windows. Проверка остальных объ­ ектов файловой системы производится по запросу пользователя, для этого следует выбрать один из следующих режимов антиви­ русного сканирования: • Быстрая проверка; • Полная проверка; • Выборочно. Выполнение проверки. По умолчанию программа производит антивирусное сканирование всех файлов с использованием как Кнопка [И [ІЦ
вирусных баз, так и эвристического анализатора (алгоритм, по­ зволяющий с большой вероятностью обнаруживать неизвестные программе вирусы на основе общих принципов их создания). Исполняемые файлы, упакованные специальными упаковщика­ ми, при проверке распаковываются, проверяются файлы в архи­ вах всех основных распространенных типов (zip, arj, lha, rar и др.), файловых контейнерах (PowerPoint, RTF и др.), а также файлы в составе писем в почтовых ящиках почтовых программ. В поле отчета в табличной форме представлены сведения о найденных в ходе сканирования зараженных и подозритель­ ных объектах, а также о произведенных программой действи­ ях (рис. 4 .9): • Объект — наименование инфицированного файла или за­ грузочного сектора; • Путь — расположение инфицированного объекта; • Статус — условное наименование вируса (для файлов и загрузочных секторов) или сообщение об инфицированно- сти архива; щ Файл Настройки Помощь Проверка В этом режиме проверяются: * Загрузочные секторы всех дисков * Все смен»*>іе носители * Все локальные диски * 8% -Dr.Web ЕИ Объект 1396.tmp\Script.l3 1396.tmpV5cript.14 2 1396.tmp Qkktkrrd.exe f§{9CC3F3F2-0AD2 -4B .. . M ConnectionSer vices.dll Путь C:\Documents and Settings... C:\Documents and Settings... C:\Documents and Settings... C:\Documents and Settings... C:\Documents and Settings... C:\Program Files\Connectio... Статус Worm.Sifiliz VBS.PackFor Архив содержит инфицир.. Trojan. Packed. 194 BackDoor.Haxdoor.363 Adware.BitAcc Действие 1Проверено файлов] C : \. , . ad 13\doc\Help_EN\DevRef\IMWPrintAll.html T: 'сных записеи j120960 )2008 -09 -06( 23:5 4)
• Действие — сообщение о выполненных действиях (изле­ чении, удалении, переименовании или перемещении объ­ екта). Если указанные объекты обнаружены в файловых архивах, почтовых файлах или файловых контейнерах, в таблице приво­ дятся как инфицированные объекты, так и содержащие их ар­ хивы. Вкладка Статистика. В окне статистики собраны итоговые сведения о работе сканера — общее количество проверенных объектов, обнаружено инфицированных известными вирусами, модификациями известных вирусов, обнаружено подозритель­ ных объектов, а также сведения о действиях программы над за­ раженными и подозрительными объектами (рис. 4.10). вк Нъ- »■; Г>■ Проверка Статистика j Показать статистику для: ЕМрусъі d Действия Проверено: 1015 Исцелено: 0 Инфщированодх: 0 Удалено: 0 Модификации: 0 Переименовано: 0 Подозрительных: 0 Перемещено: 0 Рекламных: 5 Проигнорировано: 0 Програю ■ Програ» Потенциальнс rfcorpai О Выможете потерять ценные даюіые, в ы б ир ая действие "Удалить"! Выуверены? Объект Да WinMP3LocatorJDSi...' D:\MP3\ffirev\MP3LOOI<\... WinMP3Locator_051 . . . . \A/ir>MD'5l пгзНлг П С 1 Снять выдележе | D:\MP3\kokorev\MP3LOOK\... ПЛМО'^М'^г.гвчЛМО'г! гЛПк' ДЖагеАи гeatе" Adware. Aureate J Переименовать j Переместить Удалить Выполнено - вирусы найдены рГ~ |і015 |2008-09-06 (23:54) j42G985 Рис. 4 .10. Вкладка Статистика (выбор удал ен ия угроз) Эти сведения можно получить для любого из логических дисков компьютера. Для этого следует указать имя диска в окне Показать статистику для. Для того чтобы обнулить стати­ стические сведения, необходимо нажать на кнопку Очистить. Действия над угрозами. Находясь в режиме Проверка или Статистика, пользователь может предписать действия по устра­ нению вирусной угрозы, отображенной в отчете (см. рис. 4.10).
Для этого следует щелкнуть правой клавишей мыши по строке списка отчета, содержащей описание зараженного объекта, а за ­ тем выбрать действие в открывшемся контекстном меню или на­ жать на соответствующую кнопку под полем отчета: • Вылечить — восстановить состояние объекта до заражения. Данное действие возможно только при обнаружении из­ вестных вирусов, и то не всегда. Действие невозможно при обнаружении вируса в архиве. Если выбран вариант Выле­ чить, откроется дополнительное контекстное меню, в ко­ тором необходимо определить реакцию программы в слу­ чае неудачного лечения; • Удалить — удалить инфицированный объект*; • Переименовать — изменить расширение имени файла в соответствии с настройками программы*;. • Переместить — переместить инфицированный файл в спе­ циальный каталог (карантин)* Путь к каталогу задается на­ стройками программы. При обнаружении зараженного или подозрительного файла, используемого другим 32-битовым приложением Windows, вы ­ бранное действие не может быть выполнено немедленно. В поле отчета сканера в колонке Действие в этом случае появляется за­ пись Будет излечен после рестарта, Будет удален после рестарта и т. п., в зависимости от выбранного действия. Поэто­ му при обнаружении таких объектов рекомендуется провести пе­ резагрузку системы сразу после окончания сканирования. Настройка параметров сканера. Настройки программы по умолчанию являются оптимальными для большинства примене­ ний и их не рекомендуется изменять без необходимости. Для того чтобы изменить настройки программы, следует вы­ брать в главном меню программы пункт Настройки\ Изменить настройки. Откроется окно, содержащее несколько вкладок (рис. 4 .11 —4.14). Рассмотрим основные из них. Вкладка Проверка (рис. 4.11) задает списки каталогов и файлов, исключаемых из сканирования: • Список исключаемых путей. Здесь можно задать список каталогов, файлы в которых не будут подвергнуты провер­ ке. В таком качестве могут выступать каталоги карантина антивируса, рабочие каталоги некоторых программ и т. п.; * Невозможно, если вирус обнаружен в загрузочном секторе.
тройки Dr.W eb(R) Сканер Х| Г^юверка | Типы файлов ] Действия ] Отчет | Обновление | Общие | Р Эвристически анализ - Список исключаемых путей —------------ ----------------------------- _ ----------- ------------------------------------- 1.......................................................................................... J рУ '5TM то books ^ Добавить I у I Удалить I Слисок исктеочаепых ф айлов Г~ ...... ............... ... . ............... ........ Far'8Xe ” * 3 добавить I Удалить I I OK I Отмена ] _______ | Сгравка Рис. 4.11. Вкладка настройки проверка • Список исключаемых файлов. Здесь можно задать список файлов (масок файлов), которые не будут сканироваться. (Из проверки будут исключены все файлы с данным име­ нем.) В таком качестве могут выступать временные файлы (файлы подкачки) и т. п. При необходимости исключения из антивирусной проверки определенного файла следует внести путь к данному файлу (мож­ но воспользоваться кнопкой обзора - 1) и его имя (имя файла следует прописать вручную) в Список исключаемых путей. На этой вкладке также предоставляется возможность исполь­ зования эвристического анализа (по умолчанию данная настрой­ ка включена) — метода, позволяющего выявлять подозритель­ ные объекты, с большой вероятностью зараженные еще неиз­ вестными вирусами. Вкладка Типы файлов (рис. 4.12) задает дополнитель­ ное ограничение на состав файлов, которые должны быть под­ вергнуты сканированию в соответствии с заданием на сканиро­ вание. В группе радиокнопок Режим проверки задается способ отбора проверяемых файлов: • Все файлы (по умолчанию) — обеспечивает максимальную защиту; • Выбранные типы и Заданные маски — предписывает про­ верять только файлы, расширения или имена которых со-
С все файлы Выбранныетипы (* Задаю<ые маски '.AR? .386 *.ASP *.ВАТ *. BIN ".BMP *.ВОО * BZ2 *.САВ * СНМ тI Базовый Удалить I * Файлы в архивах Р Почтовые файлы OK j Отнена j Применить | Справка Рис. 4 .12 . Вкладка настройки Типы файлов ответственно входят в список, задаваемый в правой части вкладки. На этой вкладке задается также режим проверки файловых архивов и почтовых файлов (по умолчанию файловые архивы и почтовые ящики проверяются). Вкладка Действия. На этой вкладке (рис. 4.13) задает­ ся реакция программы на обнаружение зараженных или подоз­ рительных файлов, вредоносных программ, а также инфициро­ ванных архивов. Реакция задается отдельно для объектов, зараженных извест­ ным и (предположительно) излечимым вирусом, для зараженных неизлечимым вирусом и для предположительно зараженных (по­ дозрительных), а также для отдельных видов вредоносных про­ грамм и отдельных типов архивов. По умолчанию Dr.Web для рабочих станций лиш ь информи­ рует пользователя в случае обнаружения известного вируса или при подозрении на зараженность объекта вирусом. При этом сведения обо всех зараженных и подозрительных объектах выво­ дятся в поле отчета, в котором можно в дальнейшем предписать программе необходимые действия вручную (см. рис. 4.10). Dr.Web для серверов Windows в случае обнаружения извест­ ного вируса или при подозрении на зараженность объекта виру­ сом по умолчанию предпринимает автоматические действия по
Настройки Dr.Web(R) Сканер Проверка | Типы файлов Действия I отчет ] Обнсюление j Общие | Объекты Инфицировдоые |вылечить d Неизлечимые (уд алить d Подозрительные j Информировать d *Инфицироважые пакеты ~~~ ---------- - Архивы jИнформировать d Почтовые файлы j Информировать d Контейнеры [информировать d Переименовать расширение і Вредоносные программы (Malware) Путьдля переметенаjinfected.!!! Г" Запрос подтверждения М [переместить d [переместить d [переместить d [переместить d 3 Дополнительно ] ОК J QTweHa j Применить j Справка Рис. 4 .13 . Вкладка н ас трой ки Действия предотвращению вирусной угрозы, однако могут быть указаны и Другие реакции, а именно — Вылечить, Удалить, Переимено­ вать, Переместить (в каталог карантина, по умолчанию подка­ талог infected. ! ! в каталоге установки программы), Игнори­ ровать (допускается только для вредоносных программ). При обнаружении инфицированного объекта в архиве при­ меняется реакция, заданная для архивов. Предписанное дейст­ вие выполняется для всего архива целиком, а не только для ин ­ фицированного объекта. Вкладка Отчет задает режим ведения файла отчета (рис. 4.14). По умолчанию установлен флажок Вести файл от­ чета. Можно настроить наименование и расположение файла о т­ чета, кодировку текста, режим открытия (добавлять ли записи в конец файла отчета или перезаписывать его в начале каждого се­ анса), а также степень детальности отчета. Также можно указать, следует ли ограничить максимальный размер отчета и настроить этот размер. При необходимости отчет может быть распечатан или просмотрен текстовым редактором. На рис. 4.15 приведен пример фрагмента текстового файла отчета, содержащего статистику проверки (всего проверено более 827 тыс. объектов и объем файла составляет свыше 150 Мбайт — см. число справа вверху экрана).
им м Проверка I Тигыфайле© | Действия Отчет | обновление \ Общие | W Вести файл о тче та I %US ERPROFILE%\DQCtorWeb\drweb3 2 w .log Режим открытия отчета Добавлять С Перезаписывать Предельный размер файла отче та w Предельньй размер: I 512 Кодировка <* ANSI <" OEM Детали Р Проверяемые объекты Р 1/Ыена упаковщиков F ? 1/&іена архиваторов !У Ста тисти ка Справка Рис. 4.14 . Вкладка настройки О тч е т і аѵмсіика проверки Объектов проверено: 827339 :Инон£лнро»анных: I Инвицмройвнных под«<рикАциями: О Подозрительных: Ѳ Рея.лаиных прогрет»: Ѳ Прогрйкм доз&онаг {if Программ- шуток : Q Потенциально опасных программ: L Программ в?лома: Ш Исцелено: О Удалено: 0 Перемпено«ано: й .Переменено: О Проигнорировано: Ш Скорость проверки: 1.46 Kh/s Время проверки: 06:58:52 Рис. 4 .15 . Фрагмент файла отчета Рассмотрим далее элементы настроек прочих компонент сис­ темы Dr.Web для Windows. Настройки SpIDer Guard. Рассмотрим одну из вкладок — Действия, которая задает реакцию программы на обнаружение зараженных или подозрительных файлов, вредоносных про­ грамм, а также инфицированных архивов (рис. 4.16). Все виды объектов представлены в иерархическом списке в левой части окна. При выборе объекта из списка в правой части окна отображается реакция программы по умолчанию на его об­ наружение. Указывается действие, предписанное текущими на­ стройками, а также последовательность действий в случае неуда­ чи предыдущего.
Настроики SpIDer Guard J|X| OQ Проверка I Q Типыфайлов О Действия j g j Отчет j CJi Исключения | Предполагаемые д е й с т в а н ад обнаруженными объектами Типы обнаруженных объектов: ЭЕЙЗШГ Заражённые объекты Подозрительные объекты Составные объекты Вредоносные программы Как поведёт себя SpIDer Guard, обнаружив “Все объекты": Для разных типов объектов задакм различные действия. Первис деа%- івие. "3 По умолчанию | [-Что делать, если действие не удалось - ‘ Лечение: [информировать J*] Перетеноеание: [удалить "т| Карантин: [переименоватьУдаление: (запретить доступ Папка для карантина: _________________________________ Маска переим енованы : jinfected.!!! j #?? jOKjОтмена| | Сгравка Рис. 4.16 . Вкладка Действия SpIDer Guard При обнаружении зараженного или подозрительного объекта сторож в пакете Dr.Web для рабочих станций по умолчанию лиш ь информирует пользователя. При этом сторож порождает окно с запросом пользователю, в которое могут быть введены указания программе. При обнаружении объектов, содержащих программы-шутки, потенциально опасные программы и программы взлома, по умолчанию предусмотрено игнорирование. При обнаружении объектов, содержащих рекламные про­ граммы и программы дозвона, для сторожа в пакете Dr.Web для серверов Windows по умолчанию предусмотрено перемещение, для сторожа в пакете Dr.Web для рабочих станций — информи­ рование пользователя. Для изменения настроек первого действия следует указать в раскрывающемся списке Первое действие первичную реакцию программы. В зависимости от выбранного типа объекта в списке могут быть доступны следующие действия: • Переименовать — изменить расширение имени заражен­ ного или подозрительного объекта в соответствии с маской, задаваемой в поле Маска переименования (по умолчанию #??, т. е. заменить первый символ расширения на #);
• Удалить — предписывает удалить зараженный или подозри­ тельный объект (для загрузочных секторов никаких дейст­ вий производиться не будет). По умолчанию программа не проверяет и не позволяет удалять файловые архивы. Если проверка файловых архивов включена (включение этой проверки значительно увеличит нагрузку на компьютер), то можно разрешить выбор действия Удалить для архива. Для файлов внутри архивов никакие действия невозможны и при выборе этого действия архив будет удален целиком; • Запретить доступ — предписывает запретить доступ к файлу, проверка которого вызвала реакцию сторожа. Бло­ кировка доступа к файлу снимается после перезагрузки компьютера, а также при временном отключении монито­ ринга. Опции Вылечить, Переместить, Информировать, Иг но ри ­ ровать аналогичны рассмотренным выше. В области Что де­ лать, если действие не удалось, задаются те действия, кото­ рые выполняются в случае неудачного срабатывания основных действий. Настройка SpIDer M ail Здесь также имеется вкладка Дейст­ вия, на которой задаются реакции программы на обнаружение зараженных или подозрительных файлов в электронной почте (рис. 4.17): •'Удалять - почтовый сторож не передает письмо почтово­ му клиенту, вместо удаленного письма передается сообще­ ние о совершенной операции; Проверка Действия | Ядро | Отчет )Пережат jИсключаемые приложения | Инфицированные письма (удалять d Пойвзриге/ъные письма jВ карантин jd Непроверенные письма ^ Пропускать d Удалять модифицированные письма на сервере! & \ Вставка заголовка Х -AntiVkus' в сообщения w \ - Папка для карантина jInfected.!!! \ I ОК. j Отмена j Справка
• в карантин — письмо помещается в каталог карантина, также не передается почтовой программе, которой только сообщается о совершенной операции; • Пропускать — передавать почтовой программе как обычно. Для исходящих писем любая настройка, кроме Пропускать, приводит к отказу в передаче письма на SMTP-сервер. Флажок Удалять модифицированые письма на сервере ПО умолчанию установлен. В этом случае входящие письма, для которых была применена реакция Удалять или в карантин, удаляются с РОРЗ/ІМАР4-сервера независимо от настроек почтовой про­ граммы. 4.3 . Антивирус-ревизор диска ADinf Основной особенностью программы является то, что, кроме борьбы с вирусами ADinf32 следит за целостно­ стью и сохранностью информации на жестком диске, позволяя выявить все происходящие в ней изменения. Такая возможность особенно полезна на компьюте­ рах, на которых работают несколько пользователей. Одной из наиболее важных функций ADinf32 является поиск активных стелс-вирусов. Обнаруженные изменения анализируются и, если обнаруже­ ны подозрительные изменения, похожие на проявления вируса, выдается предупреждение. Изменения отображаются в окне про­ смотра результатов. Если обрабатываются несколько дисков, то результаты отображаются и могут анализироваться по мере го­ товности, поскольку сканирование дисков происходит в аси н­ хронном фоновом режиме. Порядок обработки дисков выбира­ ется так, чтобы можно было начать анализировать информацию об изменениях за минимальное время. Методы работы программы ADinf32 основаны на сохранении в специальной базе (таблицах) основных данных о каждом ло ги­ ческом диске в системе. Когда вирус заражает компьютер, он из­ меняет объект, в который внедряется, — исполняемый файл, главный загрузочный сектор или загрузочный сектор. Ревизор ADinf32 позволяет периодически проверять целостность всех объектов, в которые может внедриться вирус. Если при этом бу­ дут обнаружены изменения, значит, возможно, что в компьюте­
ре появился вирус, более того, этот метод позволяет ревизору ADinf32 находить новые вирусы, неизвестные ранее. При обна­ ружении на диске изменений, характерных для действий вируса, ревизор ADinf32 предупреждает об этом пользователя. Важным отличием A D in02 от других существующих про­ грамм-ревизоров является использование физического доступа к накопителям на жестких дисках (непосредственно к секторам без использования функций операционной/файловой системы). Такой метод доступа к НЖМД позволяет обнаружи­ вать стелс-вирусы. A D in02 проверяет размер и другие атрибуты и характеристики исполняемых файлов двумя методами — поль­ зуясь для доступа к диску функциями операционной системы и чтением диска по секторам. В случае если в информации, полу­ ченной об одном и том же файле, обнаруживаются расхождения, значит, скорее всего, он заражен вирусом, и этот вирус в данный момент времени находится в оперативной памяти. Перед инсталляцией и первым запуском ревизора рекомен­ дуется с помощью имеющихся сканеров, например, Dr.Web или Nod32, осуществить тщательный поиск и обезвреживание виру­ сов в оперативной памяти и на всех логических дисках компью ­ тера. Кроме того, нужно не забыть проанализировать файлы конфигурирования и настройки на предмет отсутствия вызовов несанкционированных программ. При обнаружении такие вызо­ вы следует удалить, а также установить и устранить причину их появления. При первом запуске ревизора формируются следующие эта­ лонные характеристики компьютерной системы: • объем занимаемой оперативной памяти; • адрес обработчика прерывания I3h, используемого опера­ ционной системой и программами для низкоуровневого доступа к дискам; • код внесистемного загрузчика, таблица разделов и вторич­ ные загрузочные записи жестких дисков; • количество и адреса расположения сбойных кластеров л о ­ гических дисков; • структура системных областей логических дисков каждого винчестера; • контрольные суммы содержимого файлов с программами, а также их системные характеристики: путь, дйта и время создания, длина, значения атрибутов, адреса физического расположения.
При следующих запусках Adinf выполняет проверки на соот­ ветствие эталонным характеристикам, обнаруженные изменения анализируются и если они безобидны, например, изменения даты и времени создания, то Adinf помещает информацию об изменениях в список, который можно просмотреть и принять. Если же происходят подозрительные изменения, то ревизор пре­ дупреждает об этом пользователя. К подозрительным изменениям относятся следующие: • изменение объема доступной оперативной памяти или ад­ реса обработчика прерывания 13h; • изменения в системных областях жестких дисков; • появление новых сбойных кластеров; • изменение контрольных сумм заданных файлов; • изменение длины файлов без изменения даты и времени модификации; • изменение файлов с появлением странных даты и времени модификации, например, 35 марта. Новые сбойные кластеры на винчестере могут появиться по­ сле использования таких утилит проверки и восстановления дис­ ковой памяти, как N DD , ScanDisk и др., которые могли сами пометить неустойчивые или дефектные кластеры как сбойные. При обнаружении изменений в загрузочных записях жестких дисков Adinf автоматически восстанавливает их исходное содер­ жимое по эталонной информации с выдачей сообщения пользо­ вателю. При обнаружении этих и других изменений следует уста­ новить их причину. Наиболее вероятной причиной изменения загрузчиков и программных файлов является заражение ком ­ пьютерным вирусом. Следует также учитывать, что некоторые программы могут сами изменять файлы своего хранения, мо­ дифицируя в них какие-либо параметры настройки. В любом случае при обнаружении изменений загрузчиков и программных файлов необходимо приступить к поиску и обез­ вреживанию вирусов, для этого можно использовать любые транзитные сканеры, например, Dr.Web и Nod32, или восполь­ зоваться функциями программы-сканера ADinf Cure Module. Главное окно. Управление программой осуществляется с по­ мощью кнопок на главном окне или с помощью контекстных меню, вызываемых по нажатию правой кнопки мыши. Главное окно может находиться в четырех состояниях. Вид и назначение
управляющих элементов (кнопок) в этих состояниях могут изме­ няться: • исходное состояние программы/построение таблиц (рис. 4 .18); • со стояние сканирования (рис. 4.19); • сканирование завершено (рис. 4.20); • ожидание начала сканирования при автозапуске (в этом режиме программа находится, если установлена задержка начала сканирования при автоматической проверке дисков при загрузке Windows). В режиме ожидания главная управляющая кнопка позволяет прервать ожидание и начать сканирование, кнопка Выход позво­ ляет завершить ADinf32. Также возможно изменить установки сканирования без CRC и режима обновления таблиц. Другие управляющие элементы недоступны. По истечении заданного времени задержки ADinf32 автоматически переходит в режим сканирования. Задержка бывает полезна, чтобы не замедлять за­ пуск других приложений, стартующих при загрузке Windows. ADinf32 может работать в режимах: • построения таблиц (рис. 4 .18); • проверки дисков (рис. 4.19); • просмотра результатов (рис. 4 .21 —4.23). Режим построения таблиц (рис. 4 .18) запускается для всех отмеченных в главном окне дисков, для которых не существуют таблицы ADinf32, если нажать кнопку Старт или выбрать пункт Обработать отмеченные диски в общем контекстном меню. Drives; Done1erf2 ;іиоочз, ьпи type: mauw lvs.ooc HSlllfllllliaSIBIIIIII Calculating fife CRCs. . .
Режим проверки для одного диска, для которого не сущест­ вуют таблицы ADinf, можно запустить двойным щелчком мыши на этом диске или через контекстное меню диска. В режиме построения таблиц сначала производится сканиро­ вание диска, в процессе которого считываются загрузочный сек­ тор, формируется список сбойных кластеров, проходится дерево каталогов, вычисляются контрольные суммы файлов. Как уже отмечалось, сканирование диска производится без участия опе­ рационной системы. ADinf32 самостоятельно разбирает структу­ ру файловых систем, читая диск по секторам. Когда сканирова­ ние завершено, собранная информация для каждого диска запи­ сывается в таблицах ADinf32. Если для диска уже существуют таблицы ADinf32, то для за­ пуска режима построения таблиц необходимо предварительно удалить существующие таблицы. Удалить таблицы для всех отме­ ченных дисков можно через общее контекстное меню главного окна. Для одного диска таблицы можно удалить через контекст­ ное меню диска. Режим проверки дисков (рис. 4.19) запускается для всех отм е­ ченных в главном окне дисков, для которых существуют табли­ цы ADinf32, если нажать кнопку Старт или выбрать пункт Об­ работать отмеченные диски в общем контекстном меню. Режим проверки для одного диска, для которого существуют таблицы ADinf, можно запустить двойным щелчком мыши на значке этого диска или через контекстное меню диска. В режиме проверки дисков сначала производится сканирова­ ние диска, в процессе которого считываются загрузочный сек- і Advanced Diskinfoscopeш Mod“ Modes - Table: Sep 08,2008 at 5:48 PM ; No update} УШ!.. |D: ~ |Phy$.devjce jsep 03, 2008 (б:39 PM
тор, формируется список сбойных кластеров, проходится дерево каталогов, вычисляются контрольные суммы файлов. Как и ра­ нее, сканирование производится без участия операционной сис­ темы. ADinf32 самостоятельно разбирает структуру файловых систем, читая диск по секторам. Когда сканирование завершено, производится сравнение со­ бранной информации с информацией, сохраненной в таблицах ADinf32. В процессе сравнения анализируются изменения загру­ зочного сектора, появление новых сбойных кластеров, появле­ ние новых или удаление каталогов. Также фиксируются новые, удаленные, переименованные, перемещенные из каталога в ка­ талог и измененные файлы. Изменения файлов определяются по изменению длины или контрольной суммы (CRC). Исключением являются файлы фор­ мата OLE2 (документы MS Word .doc и .dot, таблицы Excel . x ls) . Если для таких файлов установлен тип контрольных сумм Макро (см. рис. 4.25), то измененными считаются только те фай­ лы, в которых поменялись макрокоманды. Обычные изменения файлов, происходящие при ежедневной работе с документами, игнорируются. Таким образом, заражение макровирусами будет немедленно замечено и не потеряется за текущими изменениями документов или таблиц. Стелс-вирусами называют компьютерные вирусы, в алгорит­ мах которых заложена возможность маскировать свое присутст­ вие в зараженном компьютере. Первые вирусы не обладали та­ кими возможностями и их легко было обнаружить при визуаль­ ном просмотре исполняемых файлов, загрузочных секторов или главного загрузочного сектора. Применение даже простейших антивирусных средств немедленно останавливало распростране­ ние таких вирусов. Появление антивирусных программ привело к новому витку в развитии вирусов. Возникновение стелс-вирусов стало естест­ венным шагом в таком развитии. Вирусы, использующие прие­ мы м аскировки, нельзя увидеть средствами операционной сис­ темы. Если просмотреть зараженный файл средствами операцион­ ной системы, например, нажав клавишу <F3> в Norton Com­ mander, то на экране будет показан файл, не содержащий виру­ са. Это происходит потому, что вирус, активно работающий вме­ сте с операционной системой, при открытии файла для чтения немедленно удаляет свое тело из зараженного файла, а при за­
крытии файла возвращается. Аналогично маскируются и загру­ зочные вирусы — при попытке прочитать зараженный загрузоч­ ный сектор они заменяют его оригинальным, незараженным. Способность к маскировке оказалась слабым местом стелс- вирусов, позволяющим легко обнаружить их наличие на ко мпь­ ютере. Достаточно сравнить информацию о файлах (длину и контрольную сумму), выдаваемую операционной системой с фактической, содержащейся на диске, и несовпадение данных будет означать наличие вируса. Таким образом, способность к маскировке демаскирует эти вирусы. Именно такое сравнение производится в режиме поиска стелс-вирусов. Сканируя диск, AD inf проверяет загрузочные секторы жест­ ких дисков, а также сравнивает длины и контрольные суммы файлов, определяемые средствами ОС, с фактическим и, полу­ чаемыми путем непосредственного чтения секторов диска пря­ мым обращением в BIOS. Если ревизор обнаруживает несовпа­ дение, то немедленно прекращает сканирование диска, чтобы не распространить вирус по еще не зараженным каталогам, и выда­ ет сообщение пользователю о заражении стелс-вирусом. В этом случае следует выключить компьютер, спустя 20—30 секунд за­ грузиться с системной дискеты из состава средств восстановле­ ния и приступить к восстановлению нормальной работоспособ­ ности компьютера и обезвреживанию вирусов с помощью тран­ зитного сканера. Сообщение ADinf32 о возможности заражения стелс-виру­ сом может возникнуть не только в результате реального зараже­ ния, но и в ряде других случаев. Например, поскольку операци­ онная система кэширует запись на диск, в некоторый момент времени после записи данных в файл информация, физически существующая на диске, может отличаться от той информации, которую сообщает о файле операционная система. Если в этот момент файл будет проверен ADinf32 в режиме поиска стелс-ви ­ русов, то появится сообщение о подозрении на стелс-вирус. К сожалению, программно отличить такую ситуацию от зараже­ ния реальным стелс-вирусом невозможно. Просмотр результатов. После завершения проверки (рис. 4.20) могут быть просмотрены итоги, которые отображают­ ся в окнах просмотра результатов — рис. 4.21. Окна просмотра результатов открываются нажатием кнопки Open results в главном окне программы.
Advanced Diskinfoscope - lal.xj гм гTM Modes' NvШг , All/tjone! Press "Open results" to view scan results; Press "Close info" to close all information ШЯВЕВШВВ!!Ш^'У з ш Ooj>ouvwsh to update diskinfotables? Г Skip this dialog and update tobies without confernation. Update Do not update Cencel Help No update j Close rtfо J (бі47 PM Рис. 4 .20. Экран завершения проверки USMl Mdars шгйаіпіпд changedfiles are mark ^Desktop My Computer Hard drive C: Table: Sep ♦ i f * Root directory E-О Hard drive D: Table: 5ep Root directory ** 2- _ _ 3 ------ fi s~ €i j? * - 7- ЙB: ~ 89" Processed computers 1, drives 2, folders 11$ 2 , fles 169724 Master Boot Records; No charges Boot Records; Nochanges New bad clusters: None Newfolders: 135 Deleted folders: 51 Show Changed files: None Newies : 13Л Show Deleted 8es: 847 Show Movedfiles: 12 Show lL X iDesktc© Processed? computers: I , drives: 2,folders: 11962, fifes: 169724. Panged? folders: Ж , files: 2230 Help j dose Press Ft for help A Рис. 4.21. Окно просмотра результатов и кнопки управления просмотром: / — кнопки перемещения вперед-назад между состояниями просмотра результа­ тов; 2 — переход в дереве к следующему или предыдущему каталогу с измене­ ниями; 3 — переключение режима левого окна; 4 — переключение режима пра­ вого окна; 5 — кнопки выбора состава файлов, отображаемых в правом окне; 6 — включение в список только файлов с подозрительными изменениями; 7 — запуск сканера для проверки файлов, выделенных в правом окне, или ката­ логов, выделенных в левом окне; 8 — открытие еще одного окна просмотра ре­ зультатов; 9 — перемещение вверх экрана главного окна программы
Одновременно можно открыть произвольное количество окон просмотра результатов, в каждом из которых можно вы­ брать свой состав отображаемой информации. Все окна синхро­ низированы между собой и изменения, производимые в одном окне, автоматически отображаются в других окнах, если они за­ трагивают отображаемую в них информацию. После окончания анализа изменений закрывать все окна просмотра результатов не обязательно. После нажатия кнопки Close info главного окна программы все окна автоматически закроются. Сканирование дисков осуществляется в асинхронном режи­ ме и по мере готовности информация в окнах просмотра резуль­ татов пополняется. Структура представления результатов. О кно просмотра результатов состоит из двух частей. В левом окне о то­ бражается дерево проверяемых объектов, в правом — информа­ ция о выбранном в дереве объекте или список файлов в подде­ реве, начиная с выбранного слева объекта. В верхней части окна расположены кнопки панели инструментов. В нижней части окна расположена информационная панель, в которой выдается полное название и краткая информация о выбранном объекте. Подробную информацию о каждом объекте, о его изменениях и истории можно получить через контекстное меню, раздел Свой­ ства. Левая часть окна просмотра результатов может находиться в двух режимах. В этом поле всегда показано дерево проверенных объектов. В одном режиме среди них отмечены каталоги, содер­ жащие изменения в файлах, в другом — новые и стертые катало­ ги. Переключение режимов осуществляется с помощью кнопок на панели инструментов в верхней части окна. Правая часть окна просмотра результатов также может нахо­ диться в двух состояниях. В одном режиме в правом окне ото­ бражается подробная информация о проверенном объекте, в другом — список измененных файлов во всем поддереве ниже выбранного в левом окне объекта. Управление просмотром. Управление составом ин­ формации, отображаемой в окне просмотра результатов, может осуществляться двумя способами. Первый способ заключается в использовании кнопок, расположенных на сводной панели из­ менений, отображаемой в правом окне в начале просмотра ре­ зультатов. После нажатия нужной кнопки окно автоматически
конфигурируется для просмотра конкретного набора изменений или открывается еще одно окно просмотра результатов. Второй способ позволяет настроить желаемый состав про­ сматриваемой информации в текущем окне просмотра результа­ тов с помощью кнопок, расположенных на панели инструментов в верхней части окна (рис. 4.21). На рис. 4.22 и 4.23 приведены примеры экранов просмотра списков перемещенных и новых файлов. Список файлов в пра­ вом окне может быть отсортирован. Для сортировки списка не­ обходимо нажать мышью на заголовок соответствующей колон­ ки (в режиме подробного отображения) или воспользоваться контекстным меню. Сортировка возможна по именам, по типам изменений (в этом случае внутри одного типа файлы сортируют­ ся по расширениям), по расположению файлов (по каталогам) или по изменению длины. fokfefs cottoirangdhanged ffes are mark [Moved and renamed fBes only" jgj My Computer В £3 HarddriveC:Table:S U Root directory Hard drive D: Table: S « £ 3 Root directory Fie name I Status 1 Folder *];spisok_l _k . . . Бакалавр^ .. £ ] Димитриен... £ ) Димитриен... Й листі.сіос ¢3 cc2001r.p df «£] TITLE_activ... Й TITLE.activ... «►] plan_active... ♦ j plan_sia.xls plan_active... Й plan_active... [«►spisok_l _k .. . [«►Бакалавр**. .. [■►Димитриен... Moved to folder Moved to folder Moved to folder Moved to folder Moved to folder Moved to folder Moved to folder Moved to folder Moved to folder Moved to folder Moved to folder Moved to folder Moved from fol... Moved from fol... Moved from fol... : m\ STUDV* STUD 2006\spisok 1 kurs 2006.doc Rte length: 150.50Kb (154112 byte(s}), date: Oct 12,2006 , time: 12:17:02 PM Movedtofdder, ctoNation: pose Рис. 4.22. Просмотр списка перемещенных файлов: 1 — результирующее положение файла; 2 — исходное положение Профили настроек. ADinf32 позволяет создать множество ва­ риантов настроек и выбирать необходимый вариант при запуске или менять вариант настроек в процессе работы — рис. 4.24. При этом можно настроить A Din02 для быстрого контроля при загрузке компьютера, создать конфигурацию для ручного еже-
' ADinf32: Scan resufts window :oktefs containing Changed fdes are mark iWew files only I Desktop ’Л My Computer □ щHard drive C: Table: S г: Root directory О Hard drive D: Table: S Root directory <! Ffename I Folder ¥l plan_1309_... New file D 005_plan\m... plan_mob.xls New file D 005_plan\m... продолжен... New file D 005_plan\m... plan_l _06 .xls New file D 005_plan\m... ІЁІ plan_l _sem . . . New file D 005_plan\m... % plan_2 _10 .xls New file D 005_plan\m... plan_2 _00 .xls New file D £ % 4 I D О О % plan_2706_... New file D 005_plan\PL.. price.xls New file D _____ ZI_PC. . price_2.xls New file D _____ZI_PC. . price_3.xls New file D _____ ZI _PC. . ИСиТочка-... New file D _FORUM\_ . . ИСиТ_выб... New file D __FORUM\_. . % gost_50922 . . . New file D _____ZI _PC. . ^ sealabP.zip New file D ___DISKI_07\ File: 1D:\ DISKI 07V DISK 07 IS\BD 3UR\DOCSUndex.fites\163 File length: 8.53 Kb (8733 byte(s>), date: Oct 10,2002 , time: 3:05:12 PM Newfile twp I Рис. 4.23. Просмотр списка новых файлов им Р " Л j Startup I Schedbfej Setup profilefor compete integrity check .2.1 Add... j j Properties.. j Copy... j Useas defaui profle: Default scan settings 3 Г :з е Ы f-icii P Lc^Ager* at Wrdows startup OK Отмена Справка Рис. 4.24 . Окно профилей настроек дневного контроля, а также конфигурации для еженедельных или ежемесячных проверок. Профили настроек могут быть двух типов. Первый тип — профиль настроек ADinD2. Второй тип — профиль настроек, со-
вместимый с 16-битовыми версиями ADinf. При передвижении по списку профилей тип профиля показывается картинкой в верхней части окна. По умолчанию в настройках создаются два профиля — с име­ нами Default profile и Default boot-time profile. Они имеют тип профилей ADinf32. Для того чтобы создать новый про­ филь ADinf32, можно воспользоваться кнопками Сору или Add. Каждому профилю настроек можно присвоить произвольное имя. Во время работы программы имя текущего профиля пока­ зывается в заголовке главного окна. Рассмотрим некоторые из типов настроек. Выбор типов контрольных сумм. В этой диалоговой панели (рис. 4.25) можно установить состав информации, включаемой в таблицы ревизора ADinf32, и типы контрольных сумм для кон­ троля целостности файлов. Контрольные суммы, поддерживае­ мые ADinf32, можно условно разделить на две группы. Первая группа включает специализированные контрольные суммы, а вторая — стандартные. Специализированные контрольные сум­ мы используют знание внутренней структуры файлов и не рас­ считываются по всему файлу. Такие типы контрольных сумм можно использовать только для обнаружения вирусов и только для определенных типов файлов. Контрольные суммы Fast шшш Stable ffes j Log I Common j Anatysit | Scanner Tables СЯС types j Local drives j Excluded Me® ADrrf32: CRC setfchgs ------------ Othefies: —^ Add to list.. I I * Include BAT BIN COM DLL DO? DRV EXE LIB OV? PGM SYS VXD XL? XLW ЛІ Г IAN64 С LAN64 Г HoCRC <♦ No CRC & FastCRC j Г FastCRC С Macro Г Maao c mas г crci6 г CRC32 с CRC32 г CRC48 Г CRC48 OK I Отмена ] j Справка
можно использовать для обнаружения вирусов в исполняемых файлах типа .com, .exe, .dll, .vxd. Контрольные суммы Macro предназначены для обнаружения макровирусов в фай- лах-документах .doc, .dot, .xls. Стандартные контрольные суммы реализуют алгоритмы CRC16 и CRC32, рассчитываемые по всему файлу. Их необходи­ мо использовать для обнаружения вирусов, поражающих файлы с расширением .bat и для контроля за целостностью файлов, которая может быть нарушена из-за случайных сбоев. Чем выше размерность контрольной суммы, тем лучше надежность обнару­ жения случайного сбоя. Наибольшую надежность обеспечивают контрольные суммы типа CRC48, реализованные как одновре­ менный расчет алгоритмов CRC16 и CRC32 по всему файлу. Использование контрольных сумм LAN64 гарантирует обна­ ружение не только случайных сбоев, но делает невозможной не­ заметную преднамеренную модификацию данных злоумышлен­ ником. Этот тип контрольных сумм предназначен для контроля за сохранностью особо ценных файлов, например баз данных или документов. Маски неизменяемых файлов (рис. 4.26). В этой диалоговой панели можно определить маски имен файлов, любое изменение которых относится к подозрительным. штт ИМ Tables 1 CRC types ] Local drives, j Excluded Res Stable files j Log j Coramon j Analysis \ Scanner |p || ADinf32: Masks of stabfe files All changes n stable files are treated as suspicious. File masks « e to be set'm the formof a short file name {8+3) and can contain the wildcard characters4,1and '7 COMMAND COM FAR. EXE GDI.EXE GDI32.DLL 10.SYS KERNEL32.DLL KRNL386.EXE NC'.EX E USER.EXE WIN COM Add mask... Remove mask OK Отмена J Справка j
4.4 . ESET Smart Security ESET Smart Security является представителем интег­ рированного подхода к компьютерной безопасности для всех категорий пользователей. Современные технологии с применением методов искусственного интеллекта способны превентивно противодейство­ вать распространению компьютерных вирусов, ш пи ­ онского ПО, «троянских» программ, червей, рекламного ПО, руткитов и других атак из Internet без дополнительной нагрузки на систему и перерывов в работе компьютера. Модули системы. Решения в области безопасности содержат модули с рядом дополнительных функций. Приведем краткий обзор каждого из этих модулей. Модуль защиты от вирусов и шпионских про­ грамм использует ядро сканирования на основе технологии ThreatSense, которое обеспечивает следующие возможности: • улучшенную очистку — система защиты от вирусов высокотехнологично очищает и удаляет большую часть об­ наруженных заражений, не требуя участия пользователя; • фоновый режим сканирования, незам етный для системы и пользователя; • уменьшенный размер файлов обновлений. Оптимизация ядра позволила сократить размер файлов об­ новлений. Защита файлов обновлений от повреждений также улучшена; • защиту популярных почтовых клиентов. Воз­ можно сканирование входящей почты не только в MS Outlook, но и в Outlook Express и Windows Mail; • прямой доступ к файловой системе, обеспечи­ вающий высокую скорость и производительность; • блокировку доступа к зараженным файлам; • оптимизацию под требования Windows Security Center, включая версию для Vista. Персональный брандмауэр отслеживает весь тр аф ик между защищаемым компьютером и другими компьютерами сети. Персональный брандмауэр ESET содержит следующие рас­ ширенные функции: • низкоуровневое сканирование трафика. Об­ мен данными сканируется на уровне Data Link Layer, что
позволяет персональному брандмауэру ESET отражать большинство атак, которые могут пройти незамеченными; • поддержку протокола IPv6. Персональный бранд­ мауэр ESET способен работать с адресами IPv6 и позволяет пользователям создавать правила для них; • отслеживание изменений в исполняемых файлах производится для предотвращения их заражения. Можно разрешить изменения для отдельных файлов; • сканирование файлов, передающихся по протоко­ лам HTTP и POP3. Встроенная проверка трафика по про­ токолам приложений HTTP и POP3. Используется для за­ щиты пользователя при работе в Internet; • систему обнаружения вторжений (СОВ). При ­ меняется для распознавания характера обмена данными и предотвращения различных сетевых атак. Можно запре­ щать подозрительные соединения; • интерактивный, автоматический режимы, а также режим на основе политики. Пользователь может на­ строить персональный брандмауэр на выполнение дейст­ вий автоматически или в интерактивном режиме. В режиме на основе политики соединения обрабатываются в соответ­ ствии с правилами, предопределенными пользователем или администратором сети; • замещение встроенного брандмауэра Windows. Заменяя брандмауэр Windows, модуль взаимодействует с центром безопасности Windows, что позволяет пользовате­ лю знать о текущем уровне защиты системы. Система ESET Smart Security отключает персональный брандмауэр Win­ dows при установке по умолчанию. Модуль защиты от нежелательной почты п о ­ вышает уровень безопасности системы и удобство использова­ ния обмена данными по электронной почте. Вот его функции: • оценка входящих сообщений. Весь объем входя­ щей почты оценивается по шкале от 0 (сообщение не со­ держит нежелательных элементов) до 100 (сообщение крайне нежелательно) и в соответствии с оценкой переме­ щается в папку нежелательных сообщений, созданную по умолчанию или указанную пользователем; •использование передовых технологий ска­ нирования — байесовский анализ; сканирование на ос­ нове правил; проверка по глобальной базе отпечатков, пол­
ная интеграция в почтовые клиенты (защита от нежела­ тельной почты доступна для пользователей программ MS Outlook, Outlook Express и Windows Mail). •отбор нежелательных сообщений вручную позволяет вручную квалифицировать сообщения. Требования к системе. Для корректной работы программы ESET Smart Security система должна удовлетворять следующим аппаратным и программным требованиям: • операционные системы Windows 2000/ХР/2003 — процес­ сор 400 МГц, 32-разрядный (х86)/64-разрядный (х64); 128 Мб ОЗУ системной памяти; 35 Мб места на диске; Super VGA (800 х 600); • ОС Windows Vista — процессор 1 МГц, 32-разрядный (х86)/ 64-разрядный (х64); 512 Мб ОЗУ системной памяти; 35 Мб места на диске; SVGA (800 х 600). Интерфейс Eset Smart Security. Упраштение системой осуще­ ствляется через главное меню (рис. 4.27, 1) и меню моду­ лей/функций (рис. 4.27, 2). Обычный режим отображения обеспечивает доступ к основным, простым в использовании функциям администриро­ вания системы защиты. Расширенный режим больше Количество обнарѵженньі;; атак Версия вирусной базы данных сигнатур: Лицензия действительна до: 2 * Защита против вирусов и шпионских программ ѵ' Персональный файервол ѵ' Моду-'fr защиты от нежелательной почты | | | | Справка и поддержка Рис. 4.27 . Основной экран расширенного режима (окно Состояние защиты): 1 — главное меню; 2 — модули системы
подходит для опытных пользователей, в нем доступны такие па­ раметры и служебные программы, как карантин, средство про­ смотра журналов и прочее, однако этот режим требует больше времени для настройки. Главное меню программы предоставляет доступ к некоторым наиболее важным функциям .и параметрам (рис. 4.27, /; табл. 4.5). Содержание меню зависит от текущего режима ото­ бражения и может изменяться. Таблица 4.5. Элементы меню Eset Smart Security, доступные в расширенном режиме Пункты меню и подменю Интерфейс ѵ Расширенный режим Ctrl+M 1 \ Восстанов ит ь распо ложение око н Ctrl+R 2 Настройка Настройка ннени пользователя и пароля... і Настройка прокси -сервера 4 Защита о т вирусов и шпионских программ Персональный файервол 5 Модуль защиты от Спама Импорт и экспорт параметров.,, Дополнительные настройки ... 6 7 Сервис Файлы журнала Карантин ^ Расписание/план ировщик Предоставить файл для анализа 9 Справка Справка Указатель Поиск Найти быстрое решение База знаний в Интернете Вирусная энц иклопедия Вирусный р адар ESET в сети Действия 1—показываются параметры расширенно­ го режима отображения; 2— возвращает окна к их первоначальному размеру 3— позволяет ввести или изменить данные аутентификации Eset Smart Security; 4—позволяет настроить прокси-сервер, если он используется при подключении к Internet; 5— отображают экраны настройки соответ­ ствующих модулей; 6—позволяет импортировать из файла и экспортировать в файл конфигурацию Eset Smart Security; 7 — открывает диалоговое окно дополни­ тельных настроек конфигурации 8— открывает диалоговое окно соответст­ вующей служебной программы Eset Smart Security; 9—открывает диалоговое окно, позволяю­ щее передать подозрительные файлы для анализа в лабораторию Eset Меню содержит параметры, доступные в ин­ терактивной справке Eset Smart Security. Кроме того, здесь можно расположить ссылки на Web-сайт компании, вирусную эн­ циклопедию, вирусный радар и форму за­ проса в службу технической поддержки Связаться со службой поддержки
Рассмотрим далее основные разделы меню модулей системы (рис. 4 .27 , 2). Состояние защиты информирует пользователя об уровне безопасности компьютера. Окно состояния содержит сведения об общем количестве заблокированных атак, а также информа­ цию об установленной версии базы данных сигнатур вирусов. В этом же окне находится информация о дате окончания срока действия лицензии. Предусмотрены три состояния защиты: • «зеленое» — обеспечивает максимальный уровень защиты компьютера. Индикацией служит надпись «Максимальная защита» и зеленый значок рядом с часами в правом ниж­ нем углу экрана (см. рис. 4.27); • «оранжевое» — некоторые функции защиты отключены (возможные причины — отключена защита электронной почты, отключена защита доступа в Internet, персональный брандмауэр блокирует весь трафик); • «красное» — сигнализирует о серьезных проблемах с защи­ той от вирусов и возможных атак. В этом состоянии ком­ пьютер уязвим для возможных атак. Существуют следующие разновидности окна Состояние за­ щиты: • Защита от вирусов и шпионских программ — окно содер­ жит подробные сведения об обнаруженных проникновениях. Отображаются такие данные, как количество отсканирован­ ных, инфицированных, очищенных и удаленных объектов, а также количество объектов, находящихся на карантине. И н­ формация накапливается отдельно для каждого модуля; • Персональный файервол — в окне находится список ак­ тивных и отложенных соединений. Это позволяет управ­ лять всеми приложениями, пытающимися установить исхо­ дящ ие соединения; • Модуль защиты от нежелательной почты — окно содер­ жит информацию о количестве принятых сообщений, ко­ личестве доставленных сообщений, а также различные ста­ тистические данные, собранные за указанный период вре­ мени (например, количество принятых писем без спама, количество нежелательных писем и количество писем, классифицированных пользователем). Сканирование ПК. Модуль сканирования компьютера по требованию является важнейшей частью системы антивирусной
защиты. Он используется для сканирования файлов и папок компьютера пользователя (рис. 4.28). Ё?ESET Smart Security (e sQ | кет srTiiSrtSecurity Интерфейс .Настроят ^ ▼ Сгравкъ s i l l Состояние защиты Сканирование ПК І ІіЙ^ Обновпение ||||: Настройка ^ Служебные программа ||р ) Справка и поддержка Сканирование ПК по требованию ESET Smart Security позволяет повысить степень безопасности с помощью ск4Нг^‘0Б<інич вручную. Сканирование ж есттго диска 0 Вь:':«оро--:Ное о лк'^хизанис Выбор профиля и объектов сканирования Дата м время последнего сканирования: Результаты последнего сканирования: Текущая версия вирусной базы данны;: 23.06 .2008 10:18:09 О зараженных файлов Вид: расширенный режим Рис. 4 .28. Окно Сканирование П К по требованию Сканирование компьютера по требованию. Рубрика Настройка сканирования позволяет осуществить выбор параметров, объектов и режимов сканирования по требованию пользователя. Осуществляется переход к экрану Настройка (рис. 4.29). В этом диалоге описываются параметры сканирования: • Выбранный профиль — набор параметров, который ис­ пользуется модулем сканирования по требованию; • Объекты сканирования — нажатием кнопки Настройка можно перейти в диалоговое окно, содержащее параметры имен и путей файлов и папок, подлежащих сканированию, ит.д. Объекты сканирования. В этом окне можно указать объекты (оперативная память, жесткие диски, секторы, файлы и папки) для проверки на наличие вирусов (рис. 4.30). Необходи­ мо установить флажки в дереве для объектов, подлежащих ска­ нированию. Изменяемая строка, которая находится ниже дерева катало­ гов, служит для быстрого перемещения к выбранному объекту сканирования в дереве каталогов, а также для добавления необ­ ходимого объекта сканирования напрямую. Добавление напря-
ESET Smart Security Ш*1 Настройка Исключения Персональный файерво/ Правила и зоны Дополнительные на( Контроль изменений Фильтрация протоке Вид соединений Разное Прокси-сервер ±L Выбрали профиль [глубс^^сканир^ние~ ... ~ г Настрогаса сканирования по требоваж к^ для выбранного профиля Настройса параметров модуля ThreatSense: Hgupuma... j О бъекты ска*#ірования: Настройса... | ▼] Профили... j if1 По умолчало Рис. 4.29 . О кн о Настройка ESET Smart Security шт Л*ІІ Выборочное сканирование Профиль сканирования: j Глубокое сканирование Объекты сканирования: {Локальные диски JL! - о іцвв . .... .... .... .... .... .... .... .... .... .. ж Г Г * # Оперативная память А:\ ЕіаС:\ D:\ Е:\ D®ғд пй*\ ЕІеі:\ 1^1.— хэ-И Г * Сканировать без очистки Настройка,,, j Сохранить j Сканировать! Отменить Рис. 4 .30. Окно Объекты сканирования мую возможно в том случае, если не выбран объект в дереве ка­ талогов (по умолчанию ничего не выбрано).
Сканировать без очистки — зараженные файлы не будут очищаться автоматически. Сканирование без очистки служит для получения отчета о текущем состоянии безопасности систе­ мы. Информация о ходе сканирования сохраняется в журнале. Настройки — кнопку следует нажать для точной настройки модуля сканирования. Сохранить — запоминание изменений в выборе объектов сканирования, в том числе объектов, выбранных в дереве ката­ логов. Ход сканирования. В окне показывается текущее со­ стояние сканирования, в том числе приводится перечень непро- сканированных файлов и файлов, содержащих вредоносный код (рис. 4.31). Индикатор выполнения предоставляет сведения о ходе сканирования и процентном отношении просканирован­ ных объектов: • Объект — имя объекта, который сканируется в текущий момент; • Количество угроз — общее количество угроз, найденных к текущему моменту; НЯНИН! ИНДИЯ Jai xl Сканирование ПК по требованию Ход сканирования Объект: J:\D_PLEX _ly0507\___ kolrnakov\tanya\PARTYKA\Eypueea Количество опасных обьа J:\D_PLEX. J:\D_PLEX. J:\D_PLEX. J:\D_PLEX J:\D_PLEX. J:\D_PLEX. J:\D_PLEX. J:\D_PLEX. J:\D_PLEX. J:\D_PLEX J:\D_PLEX. J:\D_PLEX. J:\D_PLEX. l:\L- . PLEX. _ 190507\ARCS_RP< _190507\BACK\FR6 _190507\BACK\ner< 190507\metod_RC _190507\metod_RC _190507\_KASH\PG _190507\_KASH\. _190507\_KASH\ne _1905 07\ _ALEX\A _190507\_ _ DOWN _190507\_ _ DOWN _190 50 7\_ __DOWN _190 50 7\_ __DOWN ,.i9050?\ _ _ koifocl Ѳ Прокрутить журнал ск ^ -- ------ 1^—5 --- Г- ~ ' ----- ---- " : ESET Smart Security fesf-ДІ ||Д || Обнаружена угроза! Щ Р Тревога Объект: J:\D_PLEX _190507\___koiniakov\tariya\PAR Т ГКАѵБурцевіуѵье.гаг Угроза: W97M/Flop.A вирус Удалить Пропустить ▼ парсг-е : р.: •d ;ып( Ікет ТОBf ющ оль
• Прокрутка журнала сканирования — при проверке ре­ жим прокрутки журнала сканирования включается автома­ тически по мере добавления данных; • Пауза/Продолжить — приостановка и возобновление ска­ нирования; • стоп — прекращение сканирования. Сканирование завершено. На данном экране отобра­ жаются следующие данные (рис. 4.32): • время, затраченное на сканирование; • общее количество просканированных объектов; • количество обнаруженных зараженных объектов; • количество успешно очищенных объектов. -IDIXI Сканирование Г К по требовании:' Сканирование завершено Сканирование завершено за 5 часов а 14 минут. Количество просканированных объекте 201546 Количество зараженных объектов: 44 Количество очищенны:*: объектов: 44 Сканирование запущено: 15:06:16 Время завершения: 20:20:18 Прошло времени: 5:14:02 \TATA_PLEX_310103\_D_DISK\до кументы 2005 2006\АЮ\Личная AIO\riepeB0fl4HKM\HeMeu\Russian\IE6\IENT_S3.CAB > C / j J \ТATA_PLEX_310108\ _D_DISK\документы 2005 2006\АЮ\Личная АЮ\Переводчики\Немец\Яи55іап\ІЕ6\ІЕт_54 .САВ » О І \ТATA_PLEX_310108\_D_DISK\докум енты 2005 2006\АЮ\Личная АЮ\Переводчики\Немец\Яи55іап\ІЕ6\ІЕІЧТ_55.САВ » С/ \ТATA_PLEX_310108\_D_DISK\докум енты 2005 2006\АЮ\Личная АЮ\Переводчики\Немец\Ри55іап\ІЕ6\іЕИТ_56.САВ » Сt \ТATA_PLEX_310108\_D_DISK\до кументы 2005 2006\АЮ\Личная АЮ\Переводчики\Немец\Ри55іап\ІЕ6\ІЕ_51 .CAB » CAB \ТАТА_РІЕХ_ЗЮ108\_Р _ОІ5К\документы 2005 2006\АЮ\Личная АЮ\Переводчики\Немец\Ри55Іап\ІЕ6\ІЕ_52.CAB » CAB \ТATA_PLEX_310108\_D_DISK\докум енты 2005 2006\АЮ\Личная АЮ\Переводчики\Немец\Ри55іап\ІЕ6\ІЕ_53 .САВ » CAB \virmach\Portable Microsoft Virtual Pc 2007\Appdata\app\Documentation\English\vpc.chm » CHM » /bcal/5edebfd8-bf97-43ba \virmach\XP_VIR\Appdata\app\Documentation\English\vpc.chm » CHM > /Iocal/5edebfd8-bf97-43ba-a9da -bc04d06fe261 .gif -. \virmach\__adavm\BnpTyaлка\Appdata\app\Documentation\English\vpc. chm » CHM » /Iocal/5edebfd8-bf97-43ba-a9da-bc04c_ QK Рис. 4 .32 . О кно Сканирование завершено Обновление. В разделе содержится важная информация об обновлениях программы. Регулярные обновления системы являются основой для обеспечения максимального уровня безопасности, который предоставляется программой ESET Smart Security. Главное окно обновления содержит информацию о текущем состоянии обновлений. Важно, чтобы в этом окне всегда отобра­ жалось сообщение База данных сигнатур вирусов содержит всю последнюю информацию о сигнатурах вирусов. Если этого сообщения нет, база данных устарела (рис. 4.33).
ои оод и т с-бновпение 6э5ьі данных Настройка Процесс обновления: # Сграека и поддержка Вид: расширенный режим # ЕЩ Smart Security База данные сигнэтур вирусов успешно обновлена до версии 3207 (20003622). Рис. 4 .33 . О кн о Обновление После нажатия кнопки Обновить базу данных сигнатур вирусов начинается процесс загрузки. Ход процесса отобража­ ется на индикаторе. Показано расчетное время, оставшееся до конца загрузки. Настройка антивирусной защиты. Для обеспечения макси­ мальной безопасности рекомендуется включить все модули ан ­ тивирусной защиты. В некоторых ситуациях, возможно, необхо­ димо временное отключение отдельных модулей, но это снижает уровень защиты компьютера. Главная страница настроек содержит следующие возможно­ сти (рис. 4 .34): • защиту от вирусов и шпионских программ; • персональный брандмауэр; • модуль защиты от нежелательной почты. Служебные программы. Раздел служебных программ содер­ жит дополнительные модули, которые позволяют упростить про­ цесс администрирования программы и содержат дополнитель­ ные возможности администрирования для опытных пользовате­ лей. Набор содержит следующие инструменты (рис. 4 .35): • Журналы — раздел сохраняет журналы отдельных модулей; • Карантин — отображает содержимое карантина; • Планировщик — отображает все запланированные задачи. В разделе Журналы предоставляется возможность просмотра информации о следующих важных событиях — обнаружение про-
: Состояние защиты Q Сканирование ПК Обновление -13⁄4Ь іу^бнь»прс*раммШ Настройка •;WC0B •• •рогруі. Ззщитз в режиме реального времени Защита і-лектронной почты Защитз доступа в Интернет ого трафика уль защитьі от нежелательной почты ѵ” Включена ѵ Включена ѵ' Включена Рис. 4.34. Окно Настрой* 3 ESET Smart Secu rity El-E УSmart -re кЬ~ерф*йс▼Цаст&омкн Сервис▼Сгрз&кз-' im J * Состояние защиты Сканирование ГК # Обновление Настройка У 1 j j . Служебные программы Зид: расширенный режим Л Служебные программы Спеііивльные сред ств , р«рзбот=No Ла-ІчТ:-:'!-::- Объекты, вторые «е могу перед удг Конфигурация і лланированны>. время., и их свойства. ышения удобстве и йгрэгрэммыЕЗ I Згп у t Security. I . помещаются на каранг Рис. 4 .35 . Окн о Служебные программы никновения, события, сканирование по требованию и в режиме реального времени, а также системной информации (рис. 4.36): • Обнаруженные угрозы — журнал содержит подробную ин­ формацию о проникновениях в систему, обнаруженных мо­ дулями ESET Smart Security. Регистрируется информация о времени обнаружения, название угрозы, место обнаруже­ ния, выполненные действия и имя пользователя, который находился в системе при обнаружении проникновения;
Состояние защ иты Сканирование ГК : Обновление Настройка ] Файлы журнала Журналы событий программы ESET Smart 5ешг *у ф.. H:\PECYCLER... '>.Vin32/AutoP.. 13 Вид: расширенный режим Zl ESET Smart Security fesHQ eset sn p Состояние защиты Q Схашравание ПК : О&ювлеже Настр ойка Вид: расширеі и режим Р Журнал: Интврф?!к чг м*:трс-No іжурнала ■событий программы ESET Обновление SPSM>1 06.06.2008 1... 06.06 .2008 1... Обновление 06.06 .2006 1... Обновление 06.06 .2008 1. Ядро 06.06-2003 I Пер-'.онол:^. Произошла ошибка при загрузке файл.. Произошла ошибка при загрузке файл.. Произошла ошибка при загрузке файл.. База д-анныѵ сигнзт/р вирусов успеш... Ошибка при і-апѵг.кті спѵхб файересл... Л zl W ESET Smart Security (esH B ESET Smart Securl Вид; расширенный режим ^нтерф&Гк ▼ Н-астр&й щ Состояние защиты П Сканирование ПК ф Обновлен?»© Журнап: Настройка 2:.06 .20. 06.06.20 . 06.06 .20 . 06.06 .20. 06.06.20 Файлы журнала Журналы соэыткй программы Е5ЕТ _.ті ::рОС СДЗагруз-хный сектор;С... 162. С:\?агрузс-чны сек тор;С.. С:'.Загрузочный сектор;С.. Оперативная память;С:\... Завершено Завершено Прервано <х>.. Завершено Прере-ано по.. УА Рис. 4 .36 . Файлы журналов ESET Smart Security: a — Обнаруженные угрозы; б — События; в — Сканирование
• События — журнал содержит информацию о событиях и ошибках, которые произошли во время работы программы. Зачастую информация, которая содержится в этом журна­ ле, оказывается весьма полезной при решении проблем, возникающих в работе программы; • Сканирование компьютера по требованию — журнал модуля сканирования содержит информацию о результатах сканирования вручную или по расписанию. Каждая запись журнала соответствует одной проверке компьютера. Она содержит следующие данные: дату и время сканирования, общее количество просканированных, зараженных и очи­ щенных файлов и текущие результаты сканирования. Карантин. Папка карантина предназначена для хране­ ния зараженных и подозрительных файлов в изолированных ус­ ловиях (рис. 4 .37). Защита в режиме реального времени по умолчанию изолирует все вновь созданные или подвергшиеся изменениям подозрительные файлы, но пользователь имеет возможность помещать на карантин любые файлы по желанию. Файлы, находящ иеся в карантине, можно переместить обратно в их исходное местоположение или в любое другое местополо­ жение по желанию пользователя. Контекстное меню изолиро­ ванного объекта в окне карантина дает доступ к следующим действиям: добавить, восстановить, восстановить в другое ме­ стоположение, переместить, удалить или отправить на анализ в лабораторию ESET. -ІП ІХ* іm Состояние защиты Сканирование ГК Обновление |||| ^ Служебные программы Карантин ’W Вид: расширенный режим Карантин Объекты, которые ме могут быть очищены, помещаются на карантин перед удалением. 23.06.20. 06.06.20. 06.06.20. 06.06.20. 06.06.20. 06.06.20. 06.06.20. Н:\___ТДТм\_УМКД_Парть;га.. H:\autc-r un.:nf H:\fec_autorijri.rar H:\RECYCLEP.exe J:\TATA_PLEX _310108\_D_DIS... JДТATA_PLE>'._31010 8 \_ D _0 I5 .. l:\TATA PLEX 31010в\ D DI5... Добавить... \Vin32/Delf.BI вирус Win32/AutoRun.ОС1ч .. . Win32/AutoRun.'5D ч ... Win32/A>jtoR>jn.OC'4... W97M/ іор.А вирус W97M; Sop.А вирус ѴѴ97М/ 'ор.Авирус
4.5 . Антивирус Касперского Ж ш Ш т Система осуществляет распознавание вредоносных объектов на основании б а з приложения, кото­ рые содержат описания всех известных на настоя­ щий момент вредоносных программ, угроз, сетевых атак и способов их обезвреживания. Кроме того, эвристический алгоритм позволяет обнаруживать новые вирусы, еще не описанные в базах. Защита строится исходя из источников угроз, т. е. на каждый источник предусмотрен отдельный компонент программы, обес­ печивающий его контроль и необходимые мероприятия по пре­ дотвращению вредоносного воздействия этого источника на дан ­ ные пользователя. Такое построение системы защиты позволяет гибко настраивать приложение под нужны конкретного пользова­ теля или предприятия в целом. Антивирус Касперского (АК) включает: • компоненты постоянной защиты, обеспечиваю ­ щие защиту компьютера на всех каналах поступления и пе­ редачи информации; • задачи поиска вирусов, посредством которых вы­ полняется поиск вирусов в отдельных файлах, каталогах, дисках или областях, либо полная проверка компьютера; • обновление, обеспечивающее актуальность внутренних модулей приложения, а также баз, использующихся для по ­ иска вредоносных программ; • сервисные функции, обеспечивающие информаци­ онную поддержку в работе с приложением и позволяющие расширить его функциональность. Главное окно АК Главное окно АК условно можно разделить на три части (рис. 4.38): • верхняя часть окна сигнализирует о текущем состоянии за­ щиты компьютера, трем возможным ее состояниям соот­ ветствуют определенные цвета: — зеленый обозначает, что защита компьютера осущест­ вляется на должном уровне; Антивирус Касперского
- Антивирус Касперского 7.0 Антивирус Касперского Критические области Мой Компьютер Объекты автозапуска Поиск руткитов (rootkit) П ■S'jПочтовые ящики □ Диск 3,5 (А:) 0 ш SYS2000_06(С:) 0 5ERV_6 (D:) 0 S3OTHER(Е:) □ J j ) Компакт-диск (F:) □ Компакт-диск (G:) «Ф Запус тить проверку Уроьень '^ .опасности: Действе: т Созд ать диск аварий ого восстан овления ДИС:-:ае<}р4:“ B0CCF .с-:тъ сяс Да«-Т бОМ-ЮжгККТЬ ЬО СС Т. г. по<: т вирусной -эг-аки. ког да апь /*>загрузку. Рис. 4 .38. Главное окно АК — желтый и красный сигнализируют о наличии раз­ ного рода проблем в настройке параметров или работе антивируса; • левая часть окна (навигационная) позволяет быстро и про­ сто перейти к любому компоненту, к выполнению задач поиска вирусов, обновления, к сервисным функциям при­ ложения; • правая часть окна (информационная) содержит информа­ цию по выбранному в левой части компоненту защиты, по­ зволяет перейти к настройке каждого из них, предоставляет инструменты для выполнения задач поиска вирусов, для работы с файлами на карантине и резервными копиями, для управления лицензионными ключами и т. д. В табл. 4.6 приведено краткое описание элементов навигаци­ онной панели главного окна. Каждый элемент навигационной части сопровождается спе­ циальным контекстным меню. Так, для компонентов защиты меню содержит пункты, позволяющие быстро перейти к их на­ стройке, управлению, просмотру отчета (см. рис. 4.41) и пр. Для
Таблица 4.6. Разделы навигационной части главного окна Раздел нав игацион ной част и главного окна Файловый Антивирус Почтовый Антивирус Веб-Антивирус Проактивная защ ита Назначе ние Обеспечение доступа к основным ком понентам постоянной защиты вашего компьютера. Чтобы просмотреть информацию о работе какого-либо компонента защиты или его модулей, перейти к настройке его параметров или открыть отчет по нему, следует выбрать данный компонент в спи- !ске раздела защита К ритичес кие области Мой Ком пьютер Объекты автозапу ска Поиск рутки тов (rootkit) IДоступ к задачам проверки объектов на вирусы. !В разделе представлены задачи, сформирован- іные экспертами «Лаборатории Касперского» (по- I иск вирусов в критических областях, среди объек­ т о в автозапуска, полная проверка компьютера, поиск руткитов), а так же пользовательские задачи Содержит информацию об обновлении приложе­ ния: дату создания баз и количество сигнатур ви­ русов, содержащихся в базах Спра вка Настройка Доступ к подробным отчетам о работе любого компонента приложения Работа с ключами, необходимыми для полно- функциональной работы приложения. Если ключ установлен, в данном разделе представлена ин­ формация о типе используемого ключа и сроке его действия Информация о сервисах Службы технической Iподдержки для зарегистрированных пользовате­ лей Антивируса Касперского !Доступ к справочной системе Kaspersky Internet ;Security Открывает окно настройки параметров приложе­ ния (см. рис. 4 .47) задач поиска вирусов предусмотрен дополнительный пункт меню, позволяющий на основе выбранной задачи создавать соб­ ственную, удалять и переименовывать созданные задачи. Вы можете менять внешний вид приложения, создавая и ис­ пользуя свои графические элементы и цветовую палитру.
Компоненты защиты Защита компьютера в реальном времени обеспечивается сле­ дующими компонентами (рис. 4.39). ^ Антивирус Касперского 7.0 Антивирус Касперского Файловый Антивирус Почтовый Антивирус Веб-Антивирус Проактивная защита jfX*' ш . . , . ..лн^мішттшштттммшштт ч!'ja*) компьютер защищен Антивирус Касперского обеспечивает комплексную защиту компьютера от вирусов, илионского ПО и других вредоносных програм. Статус защиты вашего компьютера Защита вашего компьютера: Проверено / обнзр-у чено: У>3 I Н«г;;ч Проверитькритическиеоблети Зад-ач-а не выполияод: ■трс-нка I Ро-:г -Ф Обновить балы работает 662386/ 15 Рис. 4.39. Экран Защита Файловой Антивирус запускается при старте операционной системы, постоянно находится в оперативной памяти компьюте­ ра и проверяет все открываемые, сохраняемые и запускаемые файлы. Индикатором работы компонента является значок АК в панели задач Windows, который принимает вид Щ каждый раз при проверке файла. По умолчанию Файловый Антивирус проверяет ТОЛЬКО новые или измененные файлы, т. е. файлы, которые добави­ лись или изменились со времени последнего обращения к ним. При этом обращение пользователя или некоторой програм­ мы к каждому файлу перехватывается компонентом, а затем Файловый Антивирус проверяет наличие информации о пере­ хваченном файле в базе iChecker и iSwift (см. ниже). На основа­ нии полученной информации принимается решение о необходи­ мости проверки файла.
В процессе проверки файл анализируется на присутствие ви­ русов. В результате анализа возможны следующие варианты по­ ведения приложения: • обнаружен вредоносный код — Файловый Антивирус бло­ кирует файл и пытается его лечить. В результате успешного лечения файл становится доступным для работы, если же лечение произвести не удалось, файл удаляется. При вы­ полнении лечения файла или его удалении копия файла помещается в Резервное Хранилище; • обнаружен код, похожий на вредоносный, но полной уве­ ренности в этом нет — файл помещается в специальное хранилище (Карантин). Позже можно попытаться выле­ чить его на основе обновленных баз; • не обнаружен вредоносный код — файл становится доступ­ ным для работы. Почтовый Антивирус запускается при старте операционной системы, постоянно находится в оперативной памяти компьюте­ ра и проверяет все почтовые сообщения по протоколам POP3, SMTP, IMAP и NNTP, а также через защищенные соединения (SSL) по протоколам POP3 и ІМАР. Индикатором работы компонента является значок АК в па­ нели задач Windows, который принимает вид ^ каждый раз при проверке письма. Каждое письмо, принимаемое или отправляе­ мое пользователем, перехватывается Почтовым Антивирусом И разбирается на составляющие его части: заголовок письма, тело, вложения. Тело и вложения почтового сообщения (в том числе вложенные OLE-объекты) проверяются на присутствие в нем опасных объектов. Распознавание вредоносных объектов проис­ ходит с помощью баз и эвристического алгоритма. В результате проверки на вирусы возможны следующие ва­ рианты поведения: • тело или вложение письма содержит вредоносный код — Почтовый Антивирус блокирует письмо, помещает ко­ пию зараженного объекта в резервное хранилище и пыта­ ется обезвредить объект. В результате успешного лечения письмо становится доступным для пользователя, если же лечение произвести не удалось, зараженный объект из письма удаляется. В результате антивирусной обработки в тему письма помещается специальный текст, уведомляю­ щий о том, что письмо обработано АК;
• тело или вложение письма содержит код, похожий на вре­ доносный, но стопроцентной гарантии этого нет — подоз­ рительная часть письма помещается в карантин; • в письме не обнаружен вредоносный код — оно становится доступным для пользователя. Для почтовой программы MS Outlook предусмотрен специ­ альный встраиваемый модуль расширения, позволяющий произ­ водить более тонкую настройку проверки почты. Если используется почтовая программа The Bat!, то АК мо­ жет использоваться наряду с другими антивирусными приложе­ ниями. При этом правила обработки почтового трафика на ­ страиваются непосредственно в программе The Bat! и превалиру­ ют над параметрами защиты почты АК. При работе с остальными почтовыми программами (в том числе MS Outlook Express (Windows Mail), Mozilla Thunderbird, Eudora, Incredimail) Почтовый Антивирус проверяет почту на трафике по протоколам SMTP, POP3, IMAP и NNTP. Веб-Антивирус. Каждый раз при работе в Internet пользова­ тель подвергает информацию , хранящуюся на компьютере, р ис­ ку заражения опасными программами. Компонент Веб-Антиви- рус позволяет защищать информацию, поступающую на компь­ ютер по HTTP-протоколу, а также предотвращает запуск на компьютере опасных скриптов. Индикатором работы компонента является значок Антивиру­ са Касперского в области уведомлений панели задач MS Win­ dows, который принимает вид Ѵш при проверке скриптов. Веб-Антивирус состоит из двух модулей, обеспечивающих: • защиту НТТР-трафика — проверку всех объектов, посту­ пающих на компьютер пользователя по протоколу HTTP; • проверку скриптов, обрабатываемых в MS Internet Explorer, а также любых WSH-скриптов (JavaScript, Visual Basic Script и др.), запускаемых при работе пользователя на ко м­ пьютере, в том числе и в Internet. Для программы MS Internet Explorer предусмотрен специаль­ ный модуль расширения, который встраивается в программу при установке АК. О его наличии свидетельствует кнопка |g в пане­ ли инструментов браузера. При нажатии на нее открывается ин­ формационная панель со статистикой Веб-Антивируса по коли­ честву проверенных и заблокированных скриптов. Каждая Web-страница или файл, к которому происходит об­ ращение пользователя или некоторой программы по протоколу
HTTP, перехватывается и анализируется Веб-Антивирусом на присутствие вредоносного кода. Распознавание вредоносных объектов происходит на основании баз и с помощью эвристиче­ ского алгоритма. В результате анализа возможны следующие ва­ рианты поведения: • если Web-страница или объект, к которому обращается пользователь, содержат вредоносный код, доступ к нему блокируется. При этом на экран выводится уведомление о том, что запрашиваемый объект или страница заражены; • если файл или Web-страница не содержат вредоносного кода, они сразу же становятся доступны для пользователя. Аналогично выполняется проверка скриптов. Для перехвата и проверки http-трафика и скриптов на наличие вирусов требу­ ется, чтобы Веб-Антивирус был запущен до момента установки соединения с Web-pecypcoM. В противном случае проверка тра­ фика осуществляться не будет. Проактивная защита. В процессе работы Проактивная защита использует набор правил, включенных в поставку про­ граммы, а также сформированных пользователем при работе с приложением. Правило — это набор критериев, определяющих совокупность подозрительных действий и реакцию АК на них. Отдельные правила предусмотрены для активности приложе­ ний, контроля изменений системного реестра и запускаемых на компьютере программ, причем пользователь может изменять правила по своему усмотрению, добавляя, удаляя или варьируя их. Анализ производится на основании разрешающих и запре­ щающих правил Проактивной защиты. В результате анализа возможны следующие варианты пове­ дения: • если активность удовлетворяет условиям разрешающего правила Проактивной защиты либо не подпадает ни под одно запрещающее правило, она не блокируется; • если активность описана в запрещающем правиле, дальней­ шая последовательность действий компонента соответствует инструкциям, указанным в правиле. Обычно такая актив­ ность блокируется. На экран выводится уведомление, где указывается приложение, тип его активности, история вы­ полненных действий, и пользователь должен самостоятельно принять решение запретить или разрешить такую активность. В случае если при появлении уведомления Проактивной защиты пользователь не производит никаких действий, через не-
которое время приложение применяет действие по умолчанию, рекомендуемое для данной угрозы. Рекомендуемое действие мо­ жет быть различным для разных типов угроз. Задачи поиска вирусов Помимо защиты всех источников проникновения вредонос­ ных программ крайне важно периодически проводить проверку вашего компьютера на присутствие вирусов. Это необходимо де­ лать для того, чтобы исключить возможность распространения вредоносных программ, которые не были обнаружены ком по ­ нентами защиты из-за, например, установленного низкого уров­ ня защиты или по другим причинам. В состав Антивируса Касперского по умолчанию включены следующие задачи поиска вирусов (рис. 4 .40): • Критические области — проверка на присутствие вирусов всех критических областей компьютера. К ним относятся: системная память, объекты, исполняемые при старте сис­ темы, загрузочные сектора дисков, системные каталоги Критические области Ш Мой Компьютер Объекты автозапуска Поиск рѵткитов (rootkit) 0Л □а£ Проверка выполняется (62°/е)
Windows и System32. Цель задачи — быстрое обнаружение в системе активных вирусов без запуска полной проверки компьютера; • Мой Компьютер — поиск вирусов с тщательной проверкой всех подключенных дисков, памяти, файлов; • Объекты автозапуска - проверка на присутствие вирусов объектов, загрузка которых осуществляется при старте опе­ рационной системы; • Поиск руткитов (rootkit) — поиск на компьютере рут- китов, обеспечивающих сокрытие вредоносных программ в операционной системе. Данные утилиты внедряются в сис­ тему, маскируя свое присутствие, а также наличие в систе­ ме процессов, каталогов, ключей реестра любых вредонос­ ных программ, описанных в конфигурации руткита. Также предусмотрена возможность создавать собственные задачи поиска вирусов и формировать расписание их запуска. Например, можно создать задачу проверки почтовых ящиков раз в неделю или задачу поиска вирусов в каталоге Мои документы. Кроме того, может быть осуществлена проверка на вирусы любого объекта (например, один из жестких дисков, на котором находятся программы и игры, почтовые базы, принесенные с ра­ боты, пришедший по почте архив и т. п .), не создавая для этого специальной задачи проверки. Выбрать объект для проверки можно из интерфейса АК или стандартными средствами опера­ ционной системы MS Windows (например, в окне программы Проводник или на Рабочем столе и т. д.) . При нажатии кнопки Подробно. в состоянии поиска ви­ русов существует возможность активизации ряда закладок, вы ­ зывающих информационные окна. Закладка Обнаружено содержит список обнаруженных опас­ ных объектов (рис. 4.41). Для каждого объекта указывается его полное имя и статус, присвоенный приложением при его про­ верке/обработке. Чтобы список содержал не только опасные объекты, но и те, что были успешно обезврежены, следует уста­ новить флажок Показывать вылеченные объекты. При необходимости действия над объектами списка следует нажать кнопку Действия и в раскрывшемся меню выбрать: • Лечить — произвести попытку лечения опасного объекта. Если обезвредить объект не получится, вы можете оставить его в этом списке для отложенной проверки с обновленны­ ми базами приложения или удалить. Вы можете применить
WMJ-J ■-зісі-sl Проверяется: petgstyfc.css Расположение; г. .\PC-Teeh.rar/PC Technology Glide Gufcte-Mutomedte-Digfcal « t a r i f f . , „ІЙІІІІІІЙІІІІІІІІІІІітЙІІІЙІІІІІІПЙІІІІ Проверено:: Обнаружено: Необр'аботано; 566861 Запуск: 14.09 .2008 14:36і51 14 Длительность. 04:10:20 0 Завершение: 14 .09 .200819:5Ѳ:££ ШQmmm fI Пауза I стоп I Закрыть 1 .іііичиіі».wmiihiiiI у . .... ..... .... .. .... ..... .. м шіЯу,-+тшттштшштттЛ■тттШшмтт+ттттлА,: Рис. 4.41. Информационное окно протокола проверки (закладка О б н а руж е н о ): / — журнал событий; 2 — всплывающие информационные окна событий данное действие как к одному объекту списка, так и к не­ скольким выбранным объектам; • Удалить — удалить опасный объект с компьютера; • Удалить из списка — удалить запись об обнаружении объекта из отчета; • Добавить в доверенную зону — добавить объект как ис­ ключение из защиты. При этом будет открыто окно с пра­ вилом исключения для данного объекта; • Показать файл — открыть MS Explorer на папке, где рас­ положен данный объект; • Лечить все — обезвредить все объекты списка. АК попыта­ ется обработать объекты с использованием баз приложения; • Очистить — очистить отчет об обнаруженных объектах. При этом все обнаруженные опасные объекты останутся на вашем компьютере; • Посмотреть на w w w .viruslist.ru — перейти к описа­ нию объекта в Вирусной энциклопедии на сайте Лаборато­ рии Касперского; • поиск — задать условия поиска объекта в списке по имени или статусу; • Выделить все — выбрать все объекты списка (для выпол­ нения групповых действий над объектами);
• Копировать — скопировать строку отчета в буфер. Далее эту информацию можно вставить в текстовый файл или электронное сообщение; • Сохранить как — сохранить отчет в текстовом формате. Кроме того, можно сортировать информацию, представлен­ ную в окне, по возрастанию и убыванию каждого из столбцов. Обработка опасных объектов, обнаруженных в ходе работы АК, выполняется с помощью кнопок Лечить (для одного объекта или группы выбранных объектов) или Лечить все (для обработ­ ки всех объектов списка). При обработке каждого объекта на э к ­ ран будет выведено уведомление, где вам будет необходимо пр и­ нять решение о дальнейших действиях над ним. Закладка С обы т и я содержит список всех важных событий в работе компонента защиты или при выполнении задачи поиска вирусов либо обновления баз приложения (рис. 4.42): • Критические события, указывающие на проблемы в рабо­ те приложения или на уязвимости в защите вашего ком пь­ ютера. Например, Обнаружен вирус, Сбой в работе; • Важные события, на которые обязательно нужно обратить внимание, поскольку они отображают важные ситуации в работе приложения. Например, Прервано; • Информационные события справочного характера, как правило, не несущие важной информации. Например, ок, JOfxt Проверяется: attach Расположение: D:\ ZI РС\ OTRAfiftESET infeerface.rtf// Проверено; 556597 Запуск: t4.G9 .200814 :36:51 Обнаружено: И Длительность: 04:11:21 Не обработано: 0 Завершение: 14.09 .2003 19:58:05 Обнаружено События j Статистика j Параметры j Имя EJ 14.09 .2008 18:32:44 Файл: D:\_____IT\TI\WarezP2P.exe//str,Диплом.гаг/Диплом.doc, обнаружено: ви... Ф 14.09.200818:32:44 Файл: D:\____ IT\TI\WarezP2P.exe 0 14.09 .2008 18:4 0:24 Файл : D:\ _____ STUDY\PLEX_DIP_04\boldyreva\Диплом... обнаружено $ 14.09 .2008 18:40:24 Файл: D:\_____ STUDY\PLEX_DIP_04\boldyreva\flHnnoM... вылечен ви .. . 14.0 9 .2008 18:40:24 Файл: D:\ _____ STUDY\PLEX_DIP_04\boldyreva\Диплом... обнаружено Щ 14.09.2008 18:40:24 Файл: D:\ STUDVlPLEX DIP 04\boldyreva\Диплом... вылечен ви .. . I .іі ФШЯЙёШ
не обработан. Данные события отображаются в журнале событий только в том случае, если установлен флажок По­ казывать все события. Формат представления событий в журнале событий может различаться в зависимости от компонента или задачи. Так, для задачи обновления приводятся (см. рис. 4.45): • название события; • имя объекта, для которого зафиксировано это событие; • время, когда произошло событие; • размер загружаемого файла. Для задачи поиска вирусов журнал событий содержит имя проверяемого объекта и статус, присвоенный объекту в результа­ те проверки/обработки. Закладка Статистика. На данной закладке фиксируется под­ робная статистика работы компонента или выполнения задачи поиска вирусов (рис. 4.43). Здесь можно получить следующую информацию: • сколько объектов было проверено на наличие опасных объектов в текущем сеансе работы компонента или при выполнении задачи. В том числе указано количество про­ веренных архивов, упакованных файлов, защищенных па­ ролем и поврежденных объектов; - Проверка Моего Компью тера; работает Q. Проверяется: 0071431918.jpg Расположение: .. .\РС Technology Glide G uidtes*3G rage<D4WXH*W-^ma& ,ffesV., llilllllllllllllllllllllllllllllllllllllll Проверено: 571822 Запуск; i4.09 .200814*36:51 Обнаружено: 14 Длительность: 04: И ::21 Не обработано: 0 Завершение: 14 .99 .2008 19:58:05 Обнаружено j События Статистика j Параметры j Объект j Проверено і ОпасньЕХ объе&тое 1 He<^&a^0Tat « l yflajrreH0 І Пзмещвнонакг Ф Все объекты 571822 14 0 3 0 Системная память 1168 0 0 0 0 $$$ Объекты автозапуска 303 0 0 0 0 Резервное хранилище сис... 6266 0 0 0 0 ъ ф Все жесткие диски 564085 14 0 3 0 Л Все сменные диски 0 0 0 0 0 Ц _ _____________, _____ _________ 1 1 €# Справка j[ Пауза | Стогт 11 Закрыть |
• сколько было обнаружено опасных объектов, сколько из них не вылечено, удалено и помещено на карантин. Закладка Параметры приводит полный обзор параметров, в соответствии с которым работает компонент защиты, выполня­ ется задача поиска вирусов или обновление приложения (рис. 4.44). Здесь можно узнать, какой уровень защиты обеспе­ чивает работа компонента или на каком уровне выполняется по­ иск вирусов, какое действие выполняется над опасным объектом или какие параметры используются при обновлении приложе­ ния и т. д. Чтобы перейти к настройке, необходимо воспользо­ ваться ссылкой Изменить параметры. Для задач поиска вирусов можно настроить дополнительные условия выполнения: • установить приоритет выполнения задачи проверки при нагрузке на процессор. По умолчанию флажок Уступать ресурсы другим приложениям установлен. При этом при­ ложение отслеживает уровень загрузки процессора и дис­ ковых подсистем на предмет активности других приложе­ ний. Если уровень нагрузки существенно увеличивается и мешает нормальной работе приложений пользователя, при­ ложение сокращает активность выполнения задач провер­ ки. Это ведет к увеличению времени проверки и передаче ресурсов приложениям пользователя; wiDixl Опасных объектов не обнаружено Проверено: Обнаружено: Не обработано: 1863 Запуск: 15.09 .20088:56:52 0 Длительность: 00:00:16 Завершение: 15 .09 .2008 8:57:08 ф Уровень безопасности (і) Действие (і) Режим запуска І.іу Типы файлов і.,іу Проверка только новых и измененных файлов Параметр Рекомендуемый Лечить, удалять (если лечение невозможно) При запуске приложения Проверять все файлы Нет Изменять параметры
• установить режим работы компьютера после завершения задачи проверки на вирусы (выключение/перезагрузка компьютера, переход в режим ожидания или спящ ий). Та­ кая возможность полезна, например, если запуск проверки компьютера производится в конце рабочего дня. Однако использование этого параметра требует следующей допол­ нительной подготовки: нужно до запуска проверки отклю­ чить запрос пароля при проверке объектов, если он был включен, установить режим автоматической обработки опасных объектов. В результате выполненных действий ин­ терактивный режим работы приложение отключается, при­ ложение не будет задавать вопросов, требующих ответов и прерывающих процесс проверки. Обновление Чтобы всегда быть готовым отразить любую хакерскую атаку, уничтожить вирус или другую опасную программу, необходимо поддерживать Антивирус Касперского в актуальном состоянии. Для этого предназначен компонент Обновление. Он отвечает за обновление сигнатур угроз и модулей приложения АК, исполь­ зуемых в работе приложения (рис. 4.45). Загружается: basei62£.avc Расположение: Mtp;//dnk u! ,tesperskHabs.com / iiSSiilliKIVillllililliiii Размер обновлении; 13,GMi Запуск: 14,09 .200814 :13:21 Скорость: 193,43 Кб/сек Дгаітелъмость: 00:02:12 3***?ршение: 14.09.200814:17:05 Событие 14.09 .2008 14:15:32 49 КБ 14.09 .2008 14:15:32 Выполняется загрузка файла bases/av/avc/i386/base 159с.аѵс Ф Файл загружен bases/a v/avc/i386/base 159с.avc (jLjjВыполняется эвгрузка файла bases/av/avc/i386/base 160с.аѵс 0 Файл загружен bases/av/avc/i386/base 160с.аѵс Щ Выполняется загрузка файла bases/av/avc/i386/ba se 161с.аѵс 14.09.2008 14:15:32 50 ,8 КБ 14.09 .2008 14:15:32 14.09 .2008 14:15:32 50,7 КБ
Сервис копирования обновлений позволяет сохранять обнов­ ления баз сигнатур угроз, сетевых драйверов, а также модулей приложения, полученных с серверов «Лаборатории Касперско­ го», в локальном каталоге, а затем предоставлять доступ к ним другим компьютерам сети в целях экономии Internet-трафика. Отчеты и файлы данных В процессе работы приложения по каждому компоненту за­ щиты, задаче поиска вирусов или обновлению приложения фор­ мируется отчет. Он содержит информацию о выполненных о пе­ рациях и результаты работы. Пользуясь функцией Отчеты, все­ гда можно узнать подробности о работе любого компонента АК. Все подозрительные с точки зрения безопасности объекты АК переносит в специальное хранилище — Карантин. Здесь они хранятся в зашифрованном виде, чтобы избежать заражения компьютера. Пользователь может проверять эти объекты на при­ сутствие вирусов, восстанавливать в исходном местоположении, удалять, самостоятельно добавлять объекты на карантин. Все объекты, которые по результатам проверки на вирусы окажутся незараженными, автоматически восстанавливаются в исходном местоположении. Все вредоносные объекты обезврежены Всего проверено: 662410 Запуск; 14.09 .2008 И :35;01 Обнаружено; 15 Длительность; 05:48 :14 Не обработано: 0 Обнаружено { События ] Отчеты ] Карантин Резервное хранилище J Статус j Объект 1Разнер j 0 Заражен: троянская программа Packed... . D:\____IT\IT\WarezP2P.exe 2МБ Цк Заражен: троянская программа Packed... . D:\_____IT\WarezP2P.exe 2МБ ф Заражен: вирус Virus.MSWord.Flop D:\ _____STUDY\_2004 _DIP\boldyreѵа\Диплом.rar 401,9 КБ Зараж ен: вирус Virus.MSWord.Flop D:\ ____ STUDY\PLEX_DIP_04\boldyreva^nnnoM.rar 401,9 КБ ^ Заражен: вирус Virus.MSWord.Flop D:\ ______EIS\boldyгev a\Диплом.rar 401,9 КБ 0 Заражен: троянская программа Packed... . D:\_____IT\TI\WarezP2P.exe 2МБ Р-5Защита:работает
В Резервное хранилище помещаются копии вылеченных и удаленных приложением объектов (рис. 4.46). Данные копии создаются на случай необходимости восстановить объекты или картину их заражения. Резервные копии объектов также хранят­ ся в зашифрованном виде, чтобы избежать заражения компью те­ ра. Всегда можно восстановить объект из резервного хранилища в исходном местоположении или удалить копию. Поддержка Все зарегистрированные пользователи АК могут воспользо­ ваться Службой технической поддержки. Для того чтобы узнать о том, где именно вы можете получить техническую поддержку, следует воспользоваться функцией Поддержка. Окно настройки параметров АК можно вызвать из главного окна или контекстного меню приложения. Для этого необходимо нажать на кнопку Настройка в нижней части главного окна либо выбрать одноименный пункт в контекстном меню приложения. ЩШВБ ■уЗащита Файловый Антивирус Почтовый Антивирус Веб-Антивирус Проактивная защита Поисквирусов Критические области Мой Компьютер Объекты автозапуска Поиск руткитов (rootkit) Угрозы и исключения 4. 1 Поиск вирусов уровень безопасно-: [-j Настройка: Поиск вируса» Г * Запуск задачи от имени Рекомендуемый - Оптимальная защита - Рекомендуется большинству пользователей Настройка... I О&цие Дополштельно j Эвристически анализатор j Действие С Запросить по окончании проверки f "ѵ" ' Т: .20 . эемя проверки ти лечение невозможно Дополжтальные параметры & Использовать технологи» l£hecker I * Йспользоваггъ технологию iSwift W Регистрировать информацию обооаоъл объектах в статистике 11ЭИ1Ш «НИ Я J 7 Уступ&тьресурсы друга* приложе»«м <Ж Отмена іть заданные задачам поиска Применить OK j Закрыть
Окно настройки построено аналогично главному окну (рис. 4.47): • левая часть окна обеспечивает быстрый и удобный доступ к настройке каждого из компонентов постоянной защиты, задач поиска вирусов, обновления, а также настройке сер­ висных функций приложения; • правая часть окна содержит непосредственно перечень пара­ метров выбранного в левой части компонента, задачи и т. д. При выборе в левой части окна настройки какого-либо раз­ дела, компонента либо задачи в правой части окна будут пред­ ставлены его основные параметры. Для детальной настройки не­ которых параметров вам будет предложено открыть окна на­ стройки второго и третьего уровней. Настройка дополнительных параметров задач поиска вирусов выполняется В блоке Дополнительные параметры: • использовать технологию iChecker — вклю ­ чить технологию, позволяющую увеличить скорость про­ верки за счет исключения некоторых объектов. Исключе­ ние объекта из проверки осуществляется по специальному алгоритму, учитывающему дату выпуска баз приложения, дату предыдущей проверки объекта, а также изменение па­ раметров проверки. Например, если некоторый файл архива был проверен АК и ему был присвоен статус «не заражен», то в следующий раз этот архив будет исключен из проверки, если он не был изменен и не менялись параметры проверки. Если же из­ менился состав архива путем добавления в него нового объекта или изменились параметры проверки, или обнови­ лись базы АК, то архив будет проверен повторно. Технология iChecker имеет ограничение: она не работает с файлами больших размеров, а также применима только к объектам с известной АК структурой (например, файлы exe, dll, Ink, ttf, inf, sys, com, chm, zip, rar); • использовать технологию iSwift. Данная техно­ логия является развитием технологии iChecker для компью­ теров с файловой системой NTFS. Технология iSwift имеет ограничение: она привязана к конкретному местоположе­ нию файла в файловой системе, а также применима только к объектам, расположенным в файловой системе NTFS; • регистрировать информацию об опасных объек­ тах в статистике приложения — сохранять эту информацию,
а также отображать список опасных угроз на закладке Обна­ ружено окна отчета. В случае если флажок снят, информа­ ция об опасных объектах не будет отбражаться в отчете, сле­ довательно, обработать данные объекты будет невозможно; • уступать ресурсы другим приложениям — при­ останавливать выполнение данной задачи проверки на виру­ сы, если ресурсы процессора заняты другими приложениями. Значок в области уведомлений панели задач MS Windows по­ мещается сразу после установки АК и отражает состояние защи­ ты, а также показывает ряд основных действий, выполняемых приложением: • значок активный к (цветной), это означает, что защита включена полностью либо работают какие-либо ее компо­ ненты; • значок неактивный Кі (черно-белый), значит все компо­ ненты защиты выключены. В зависимости от выполняемой операции значок Антивируса Касперского меняется (табл. 4.7). Таблица 4 .7. Разновидности значка АК в линейке задач Значок Операция щ Выполняется проверка файла, который открывает, сохраняет или запускает ^ пользователь или некоторая программа ыг. Выполняется проверка почтового сообщения Выполняется проверка скрипта Выполняется обновление баз и модулей ру Требуется перезагрузка компьютера для применения обновлений Произошел сбой в работе какого-либо компонента Значок обеспечивает также доступ к основным элементам интерфейса приложения: контекстному меню и главному окну (см. рис. 4.38). Кроме того, при появлении новостей от «Лаборатории Кас­ перского» в области уведомлений панели задач MS Windows по ­ является значок ^4 и > если щелкнуть по нему дважды левой клавишей мыши, в открывшемся окне можно ознакомиться с текстом новости.
4 .6 . Symantec AntiVirus Популярный американский антивирус, который вы­ пускается подразделением компании Symantec, ко н­ тролирует работу Windows с загрузки до выключения компьютера, использует более 74 ООО описаний виру­ сов, возможность обновления через сеть. Symantec AntiVirus обеспечивает защиту следую­ щих типов: • автоматическая защита. Постоянно отслеживает работу компьютера путем осмотра всех файлов при их от­ крытии, запуске, внесении изменений, сохранении, пере­ мещении и копировании; • поиск сигнатур атак. Выполняет поиск сигнатур ви­ русов в зараженных файлах, а также сигнатур угроз безо­ пасности в зараженных файлах и системной информации. Такой поиск называется осмотром. В зависимости от кон ­ фигурации, пользователи и администраторы могут запус­ кать осмотры для систематической проверки файлов ком ­ пьютера на наличие вирусов и угроз безопасности, таких как рекламные и шпионские программы, с использованием сигнатур и шаблонов. Осмотры могут выполняться по тре­ бованию, автоматически, по расписанию или при запуске системы; • дополнительная эвристика. Анализирует структу­ ру программы, ее поведение и другие атрибуты, сравнивая их с характеристиками вирусов. Во многих случаях это по­ зволяет обеспечить защиту от угроз (таких, как почтовые черви и макровирусы) еще до создания описания угрозы и обновления программы. Дополнительная эвристика позво­ ляет распознать угрозу со стороны сценариев в файлах HTML, VBScript и JavaScript. Symantec AntiVirus защищает компьютер от вирусов и угроз безопасности, поступающих из любых источников. В число та­ ких источников входят жесткие диски, дискеты, а также сети. Обеспечивается защита компьютеров от вирусов и других угроз, распространяющихся с помощью вложений электронной почты и некоторыми другими способами. Например, угроза безопасно­ сти может быть установлена на компьютере без ведома пользова­ теля во время работы в сети Internet.
Все файлы, расположенные внутри сжатых файлов, осматри­ ваются и при необходимости исправляются. Для обнаружения вирусов, распространяющихся по сети Internet, не требуется из­ менять никакие параметры и программы. Функция автоматиче­ ской защиты осматривает все несжатые файлы программ и доку­ ментов во время их загрузки. Интерфейс Symantec AntiVirus Главное окно содержит две панели (рис. 4.48). В левой пане­ ли доступные действия объединены в категории. Например, за­ дачи осмотра дискет, выборочного осмотра, быстрого осмотра и полного осмотра относятся к категории Осмотр. Каждая катего­ рия в левой панели показана в виде отдельного значка. При вы­ боре в левой панели категорий и других элементов в правой па­ нели будет показана информация, необходимая для выполнения соответствующей задачи. Автоматическая защита файловой системы. По умолчанию автоматическая защита от вирусов и других угроз безопасности загружается при запуске системы. Она проверяет программы на наличие вирусов и угроз безопасности, а также отслеживает вы- І6 Й Symantec AntiVirus Файл Правка Просмотр Осмотр Настройка Журналы Справ ка .................... 1 Symantec AntfVw<±s Г&іI Просмотр fljk| Осмотр У Гибкий диск И З Выборочный осмотр Быстрый осмотр figfr Полный осмотр Настройка gjj Журналы Ц» Журмюл угроз Журнал осмотров ( S Журнал событий Журнал изменений ГУі Осмотры при запуске Пользовательские осмотры П5) Плановые осмотры ^ Поиск справки Symantec AntiVirus При помощи Symantec AntiVirus компьютер защ и те н от віфусов. Выберите элемент слева для вьголнения действия. Общие сведения Родительски сервер: Группа: количество элементов в изоля_оре: і элемент Верст програт Програта: 10.0 .2 .2000 Сканер: 81.2 .0 .25 Файл олисатй вирусов 30.08 .2008 rev. 36 Uvellpdate.. Выход
полнение тех операций, которые могут указывать на наличие ви ­ руса или угрозы. При каждом обращении, копировании, переме­ щении и открытии файла функция автоматической защиты о с ­ матривает его на наличие вирусов. При обнаружении вируса, вирусоподобных действий (событий, которые могут быть резуль­ татом наличия вируса) или угрозы безопасности функция автома­ тической защиты предупреждает об этом пользователя (рис. 4.49). Результаты автоматической защиты Закрыть 1Угроза f Действие \ Количество [ Имя файла 1*1 Backdoor. Gravbird Удалено 2 A0033377.exe І*1 Backdoor. Gravbird < Удалено 2 A0033378.exe > Рис. 4 .49 . Экран Результаты автомат ической защиты В некоторых случаях функция автоматической защиты мо­ жет предупреждать о действиях, указывающих на наличие виру­ са, хотя известно, что эти действия не являются следствием ра­ боты вируса. Например, это может произойти при установке но ­ вых программ. При выполнении подобных действий для того, чтобы избежать вывода предупреждений, рекомендуется времен­ но отключить автоматическую защиту. Обязательно включите автоматическую защиту сразу после завершения задачи, чтобы компьютер оставался защищенным от вирусов. Отключение автоматической защиты может быть заблокиро­ вано системным администратором; кроме того, автоматическую защиту можно отключить временно, чтобы она самостоятельно включилась через указанный промежуток времени. Обычно значок Symantec AntiVirus расположен на панели за­ дач в правом нижнем углу рабочего стола Windows. В некоторых конфигурациях значок не отображается на экране. Значок Symantec AntiVirus имеет форму щита Qj. Для вклю­ чения или выключения автоматической защиты следует щелк­ нуть правой кнопкой мыши на этом значке. Если напротив пункта Включить автоматическую защиту показана галочка, значит автоматическая защита файловой системы включена.
Если автоматическая защита файловой системы выключена, то на значок Symantec AntiVirus накладывается знак запрета Ц (красная окружность, перечеркнутая по диагонали). Функция SmartScan, являющаяся частью автоматической за­ щиты, позволяет осмотреть файлы с указанными расширениями, в том числе исполняемый код, и все файлы с расширениями . ехе и . doc. SmartScan правильно определяет тип файла даже в том случае, если расширение файла было изменено вирусом. Например, она может обнаружить файлы .doc даже в том слу­ чае, если их расширения были изменены вирусом и не входят в группу расширений, заданную для осмотра. Осмотры. В дополнение к автоматической защите Symantec AntiVirus поддерживает осмотры различных типов, а именно: • выборочный — осмотр файла, папки, диска или всего компьютера в любое время. Осматриваемые объекты выби­ раются пользователем; • быстрый — осмотр оперативной памяти системы и тех областей, которые обычно атакуются вирусами и угрозами безопасности; • полный — осмотр всего компьютера, в том числе загру­ зочного сектора и оперативной памяти. Для осмотра сете­ вых дисков может потребоваться ввод пароля; • плановые — запускаются автоматически с указанной частотой; • пользовательские — анализ указанного набора фай­ лов в любое время; • осмотры при запуске — запускаются при каждом старте Windows. Обычно ежедневный быстрый осмотр и еженедельный плано­ вый осмотр всех файлов обеспечивают достаточную защиту, если включена автоматическая защита. Если компьютер часто подверга­ ется заражению вирусами, рекомендуется дополнительно настроить полный осмотр при запуске или ежедневный плановый осмотр. Ре­ комендуется всегда запускать осмотр дискет при их первом прочте­ нии, особенно если дискета использовалась в других системах. Исключение из осмотра. В редких случаях файлы, не содер­ жащие вирусы, могут быть распознаны программой как зара­ женные. Это связано с тем, что описания вирусов создаются для обнаружения всех возможных модификаций каждого вируса. Поскольку при этом описание получается достаточно обобщен-
ным, в некоторых случаях система может сообщить о заражении чистого файла. Если Symantec AntiVirus регулярно сообщает о заражении не­ которого файла, в котором заведомо нет вирусов, целесообразно исключить этот файл из осмотра. Исключать можно те элемен­ ты, осмотр которых не требуется. Кроме того, из осмотра можно исключить папки, содержа­ щие разрешенные в корпоративной политике безопасности про­ граммы, которые могут быть распознаны как угроза безопасно­ сти, например как программа показа рекламы. Исключения задаются независимо для каждого типа осмотра: автоматической защиты, пользовательского осмотра, осмотра при запуске и осмотра вручную (включая выборочный, быстрый и полный осмотры). Процедура формирования исключений во всех случаях одинакова. Действия над зараженным файлом На рис. 4.50 приводится экран настройки (выбор обрабаты­ ваемых файлов). По умолчанию в автоматической защите и во всех типах осмотров Symantec AntiVirus настроено удаление ви-
русов из файла при их обнаружении и изоляция файла, если ви­ рус удалить не удается. При обнаружении угрозы безопасности зараженный файл по умолчанию изолируется, после этого дела­ ется попытка устранить побочные эффекты угрозы. Если это сделать не удается, то информация об обнаруженной угрозе за­ носится в журнал. Если вирус был удален из зараженного файла либо заражен­ ный угрозой файл был изолирован и исправлен, то пользователю не требуется выполнять дополнительные действия. Окно диалога с информацией о состоянии осмотра позволя­ ет выполнить операции над зараженными файлами сразу после завершения осмотра. Например, исправленный файл можно уда­ лить, если имеется его копия. Позднее с зараженными вирусами или угрозами файлами можно работать с помощью Журнала уг­ роз, Журнала событий или Изолятора. Журнал угроз показывает список следующих объектов (рис. 4.51, /): • вирусов, обнаруженных в системе, и дополнительную ин ­ формацию о заражении; • угроз безопасности, таких как программы показа рекламы и программы-шпионы, которые были обнаружены про­ граммой Symantec AntiVirus и зарегистрированы в журнале, изолированы и исправлены либо удалены. Для угроз безо­ пасности в журнале угроз приводится ссылка на Web-стра­ ницу Symantec Security Response с дополнительной инфор­ мацией об угрозе. Журнал событий. В журнал событий ежедневно заносятся за­ писи о действиях, которые связаны с вирусами и угрозами и имеют отношение к защите компьютера. В их число входит из­ менение конфигурации, сведения об ошибках и информация о файле описаний вирусов и угроз. Эти записи, называемые собы­ тиями, отображаются вместе соответствующей дополнительной информацией в виде списка (рис. 4.52). Проанализировав записи журнала событий, можно полу­ чить представление о тенденциях, связанных с заражением компьютера вирусами и угрозами. Если компьютер использует­ ся несколькими пользователями, можно определить того из них, который является источником большинства вирусов и уг­ роз, и помочь этому пользователю принять необходимые меры предосторожности.
наш : & Symantec AntiVirus Просмотр Статистика автоматическое f Плановые осмотры Изолятор f Копки зараженных файлов Исправленные файлы [ S Осмотр U Г ибкий диск ____________ Ж Выборочный! g | | Быстрый осм щ Полный осмо + Настройка Ц Журналы 13⁄4 Журнал утро Щ журнал осмо Ща Журнал собь ^ Журнал изме .t £►] Осмотры при заг ■ f l Пользоватеіъскі ГЭІ Плановые осмоті + ^ Поиск справки Журнал угроз 3 Список известных угроз й » С помощью текущих описаний Symantec AntiVirus может обнаружить следующие угрозы. Известные угрозы: Название угрозы Retaliator (2) Retaliate* (Genl) Retch. 1030 Retch. 1055 RetHunter.gen Retix Retoob(b) Retribution Retro.522 Retro. 852 Retro.866 Retro.974 Retro.974 (2) Retro.974 (3) Rev.4096 Rev.4096 Gen(l) Revelat.1150 Версия описаний: Файл Файл Файл Файл Файл Файл Файл Файл Файл Файл Файл Файл Файл Файл Файл Файл 30.08 .2008 rev. Всего угроз: 74174 Рис. 4 .51 . журнал угроз Symantec AntiVirus (/); экран просмотра базы данных по вирусам (2) Symantec AntiVirus Файл Правка Просмотр Осмотр Настройка Журналы Справка & Symantec AntiVirus Ой) Просмотр CS Осмотр У Гибкий диск тЯ Выборочный осмотр Ш Быстрый осмотр Полный осмотр Настройка Ц Журналы Журнал угроз я р Журнал осмотров V Журнал событии ^ Журнал изменекмй Г£] Осмотры при запуске ГУ1 Пользовате/ъские осмотры Ш Плановые осмотры ^ Поиск справки Журнал событий э с7 і Событие і Компьютер ] Пользователь 1 Источник 1 Ааті' Файл опи... PLEXA-89DA8S... PLEXA-890A85. .. Система 29.0 ѣ ѣ Файл опи... PLEXA-89DA85... PLEXA-89DA85... Заг рузчік опи... 29 .0 Файл опи... PLEXA-89DA85... PLEXA-89DA85... Загрузчик опи... 29 .0 % Запуск Sy... PLEXA-89DA8S... PLEXA-890A85... Система 29.0 Файл опи... PLEXA-89DA85... PLEXA-890A85... Система 29.0 % Завершен... PLEXA-890A85... SYSTEM Система 28.0 Запуск Sy... PLEXA-890A85... PLEXA-890A8S... Система 28.0 ѣ Файл опи... PLEXA-89DA85... PLEXA-89DA85.. . Система 28.0 % Завершен... PLEXA-89DA8S... SYSTEM Система 28.0 % Запуск Sy... PLEXA-890A85... PLEXA-89DA85... Система 28.0 %< Файл опи... PLEXA-89DA85... PLEXA-890A85... Система 28.0 У Справка
Журналы осмотров. Содержат информацию об осмотрах, вы ­ полненных на компьютере. Для каждого осмотра показана до­ полнительная информация (рис. 4.53). ___ _______ I Файл Правка Просмотр Осмотр Настройка Журналы Справка Symantec AntiVirus Р Symantec AntiVirus &ЭІ Просмотр З И Осмотр У Гибкий диск Щ Выборочный осмотр іЖ Быстрьй осмотр Щ | Полный осмотр ► Настройка * Журналы Журнал угроз а Журнал осмотрлв ( о Журнал событий Журнал изменений Осмотры при запуске Пользовательские осмотры Плановые осмотры ^ Поиск справки Журнал осмотров 1 Компьютер і Состояние ; Источник 1 Начат уч PLEXA-89DA85... Осмотр завер. .. Осмотр Defwatch 29.06 .2008 □ PLEXA-89DA85... Осмотр завер... Запуск 29.06 .2008 □ PLEXA-89DA85... Осмотр зав ер... Запуск 28.06 .2008 □ PLEXA-89DA85... Осмотр завер ... Запуск 28.06 .2008 □ PLEXA-89DA85... Осмотр завер ... Запуск 28.06 .2008 □ PLEXA-89DA85... Осмотр завер... Запуск 24.06 .2008 □ PLEXA-89DA85... Осмотр зав ер ... Запуск 23.06.2008 □ PLEXA-89DA85... Осмотр завер ... Запуск 23.06 .2008 □ PLEXA-89DA85... Осмотр завер ... Запуск 23.06 .2008 PLEXA-89DA85... Осмотр зав ер... Осмотр Defwatch 22.06 .2008 П PLEXA-89DA85... Осмото завео ... Запѵск 22.06 .2008 ѵ Справка j I Закрыть j Рис. 4 .53 . Просмотр Журнала осмотров Журнал изменений. Представляет собой список предотвра­ щенных попыток изменить приложения Symantec на локальном компьютере. Функция защиты от изменений предотвращает из­ менение приложений Symantec червями, троянскими конями, вирусами и угрозами безопасности. Изолятор. Файлы помещаются в Изолятор одним из следую­ щих способов: • Symantec AntiVirus перемещает в Изолятор зараженные объекты, обнаруженные автоматической защитой файло­ вой системы или процедурой осмотра; • файл может быть вручную помещен в Изолятор пользова­ телем. По умолчанию в автоматической защите и во всех типах ос­ мотров Symantec AntiVirus настроено удаление вирусов из файла при их обнаружении и изоляция файла, если вирус удалить не удается. При обнаружении угроз безопасности зараженные фай­ лы по умолчанию помещаются в Изолятор, после этого устраня­ ются побочные эффекты угрозы (рис. 4.54).
^Symantec AntiVirus Файл Правка Просмотр Осмотр Настройка Журналы Справка Symantec AntiVirus iial Просмотр Статистика автоматическог 13⁄4 Плановые осмотры @ Изолятор Копии зараженных файлов Q Исправленные файлы l£ l осмотр jf l Гибкий диск Р Я Выборочный осмотр Быстрый осмотр Полный осмотр + Настройка |[|| Журналы q k Журнал угроз ^ Журнал осмотров > Изолятор *) • S 1 Угроза j Имя файла і Исходный путь *1 Bloodhound. Оѵ... PKBFB.tmp D:\WINDOWS\TEMP\ < > Справка Закр ыть Рис. 4 .54 . Экран просмотра Изолятора Обновление данных Для поиска и устранения побочных эффектов вирусов и дру­ гих угроз безопасности Symantec AntiVirus всегда должен приме­ нять свежую информацию. Для надежной зашиты файлы описа­ ний вирусов и угроз безопасности должны регулярно обновлять­ ся после установки. Файлы описаний содержат информацию об обнаружении и устранении всех известных вирусов и угроз безо­ пасности (см. рис. 4.51, 2). Symantec поставляет обновленные файлы описаний ежене­ дельно через службу LiveUpdate и ежедневно через файлы Intelligent Updater, публикуемые на Web-узле Symantec Security Response. Кроме того, обновления распространяются при обна­ ружении новых серьезных угроз. Рекомендуется обновлять опи­ сания по крайней мере раз в неделю. Простейший способ обес­ печить это — запланировать автоматический запуск LiveUpdate. С помощью функции LiveUpdate (рис. 4.55) программа Sy­ mantec AntiVirus автоматически подключается к Web-узлу Syman­ tec и определяет, нужно ли обновлять описания вирусов и угроз. Если это необходимо, то указанная функция загружает нужные файлы и устанавливает их в системе. Обычно для настройки LiveUpdate не требуется выполнять никаких действий. Единствен­ ное требование — наличие подключения к сети Internet. Администратор может задать максимальный период работы с устаревшими описаниями вирусов и угроз безопасности. Через
I iyelJpdate . |Wj Параметры Вас приветствует LiveUpdate! ^Symantec. На комгыотере устгновленыследующие продукты и компонентыSymantec: : Avenge MicfoDef$25 SavCorpIO І LiveUpdate j Jy Symantec AntiVirus Cofporate Client /ў Щ:: Программа LiveUpdate выполнит поиск обновлений для установленных продуктов и компонентов Symantec в сети Интернет Нажгите Дал ее для просмотра списка имеющихся обновлена. [ Далее> |f Отмена {| Справка ] а і Параметры Программа LrveUpdcte выполняет поиск обновлений для следующих продуктоз и компонентов: Jj Avenge МісгоОе&25 SavCorpI О LiveUpdate Jj Symantec AntWi s Corporate Client Эта операция может занять несколько минут. Список, имеющихся обновлений Щижтыттмтітт'' j Отмена | | Справка j б Рис. 4 .55 . Функция LiveUpdate: а — исходный экран; б — выполнение обновлений указанное число дней Symantec AntiVirus автоматически запустит функцию LiveUpdate, если компьютер подключен к Internet. При обновлении защиты от вирусов Symantec AntiVirus авто­ матически проверяет наличие файлов в Изоляторе и предлагает осмотреть их с учетом новой информации. % LiveUpdate
4.7 . Аппаратные средства защиты В заключение рассмотрим некоторые из аппаратных (точнее, программно-аппаратных) средств защиты информации в ПК. Средства защиты в BIOS Setup Важнейшая микросхема постоянной или флэш-памяти — мо­ дуль BIOS (Basic Input/Output System — базовая система вво­ да-вывода) — совокупность встроенных программ, предназна­ ченных для автоматического тестирования устройств после включения питания компьютера и загрузки операционной систе­ мы в оперативную память. Разновидность постоянного ЗУ — CMOS RAM (рис. 4 .56), это память с невысоким быстродействием и минимальным энер­ гопотреблением от батарейки. Используется для хранения ин­ формации о конфигурации и составе оборудования компьютера, а также о режимах его работы. Рис. 4 .56 . Интегральные схемы BIOS и CMOS Содержимое CMOS может быть изменено служебной про­ граммой Setup, находящейся в BIOS (от англ. set up — устанав­ ливать). Наиболее известными фирмами-изготовителями BIOS явля­ ются AMI (American Megatrends Inc.), Award и Phoenix. Хотя функции BIOS одинаковы, но возможны различия способов на­ стройки, а также меню BIOS. В большинстве случаев для хране­ ния программ BIOS используются ППЗУ. Настройка (конфигурирование) системной платы состоит из подстройки ПК под используемый графический режим, установ­ ки рабочей тактовой частоты, указания объема имеющейся в на-
линии кэш-пам яти, типа встроенного сопроцессора и т. д. Суще­ ствует семь возможных вариантов настройки, из которых укажем следующие: • Standard CMOS Setup (основные установки CMOS) — от­ вечает за установку стандартных встроенных аппаратных компонентов, определение оперативной памяти, а также за установку времени и даты; • Advanced CMOS Setup (дополнительные установки CMOS) — обеспечивает конфигурацию различных устано­ вок при старте ПК и, кроме того, позволяет расположить в верхней части стандартной памяти системную область ROM BIOS; • Advanced Chipset Setup (дополнительные установки системной платы) — служит для установки опций Chipset. В процедуре Standard-CMOS-Setup в системе AMI BIOS ус­ танавливаются — дата и текущее время, параметры жесткого диска или дисковода, изменения используемой видеокарты и ха­ рактеристики клавиатуры. Обычно для начала настройки необходимо после включения ПК внимательно следить за экраном и, как появится предложе­ ние о переходе к BIOS, нажать клавишу <Del>. Вызывается программа настройки BIOS и появляется основное меню. Далее выбирается пункт Standard-CMOS-Setup, нажимается <Enter>, в результате появляется диалоговое окно программы Standard-CMOS-Setup. Если нажать <Esc>, то можно вернуть­ ся в главное меню BIOS. Если же нужно перейти к настройке, то достаточно нажать на любую клавишу (кроме <Esc>) и пе­ рейти в диалоговое окно программы настройки. Далее с исполь­ зованием клавишей перемещения курсора выбирается поле вво­ да, в котором нужно произвести изменения. После завершения работы нажатием клавиши <Esc> происходит выход в главное меню AMI BIOS. Для заполнений новых значений необходимо выбрать пункт меню write то cmos and exit.После нажатия клавиши <Y> данные записываются в CMOS-RAM . Далее систе­ ма автоматически перезагружается с измененными или допол­ ненными данными. Для того чтобы повторно вызвать диалоговое окно програм­ мы настройки Standard CMOS, можно выполнить следующие действия: 1)<Ctrl> + <Alt> + <Del>; 2) <Del>, вход в BIOS-Setup;
3) выбор Standard-CMOS-Setup, <Enter>; 4) <Esc> — переход в диалоговое окно. Мы здесь не рассматриваем тонкости конфигурирования сис­ темы и не затрагиваем вопросы, связанные с конфигурированием программных средств (оптимальное согласование ОС с техниче­ скими средствами, правильное использование различных сервис­ ных программ), ограничиваясь указанием возможностей защиты ПК средствами BIOS. Здесь предусмотрены следующие возмож­ ности. Антивирусная защита Boot Virus Detection. Определение вируса в загрузочном секторе. Смысл этого параметра отличается от virus Warning и заключается он в следующем. Если этот параметр отключен (Disabled), то до загрузки операционной системы BIOS пере­ писывает загрузочный сектор во флэш-память и сохраняет его там. Но при этом никаких последствий для системы и пользова­ теля не возникает. При установке параметра в Enabled BIOS не будет загружать систему с жесткого диска, если содержимое boot-сектора будет отличаться от сохраненного в памяти. При этом система выводит сообщение, и пользователю далее предос­ тавляется возможность либо загрузить систему с жесткого диска, либо с дискеты. virus warning. Предупреждение о вирусе. Разрешение это­ го параметра (Enabled) запрещает любую запись в загрузочный сектор жесткого диска или таблицу разделов (partition table). При попытке изменения этих областей BIOS останавливает систему с выводом на экран монитора соответствующего сообщения, а также звукового сигнала. При этом пользователь может либо разрешить запись, либо запретить ее. Опция введена для защиты от так называемых boot-вирусов, поражающих загрузочный сектор. Стандартные действия при этом — запуск антивирусных программ, прежде всего с защи­ щенных дискет. Эта опция должна быть обязательно отключена при форма­ тировании жесткого диска, при вводе команды fdisk /mbr, при инсталляции операционных систем. Кроме того, некоторые ди­ агностические программы при обращении к boot-сектору могут вызвать появление сообщения о «вирусной атаке», что не отра­ жает реальную ситуацию. Применение этой функции не имеет смысла в случае использования SCSI- и ESDI-дисков, поскольку они используют собственный BIOS на контроллере.
Защита от НСД Change password — смена пароля (с помощью пароля мож­ но защитить Setup от несанкционированного доступа); Security Option/Password Checking Option (условия проверки пароля) — с помощью этой функции можно включать запрос пароля. При этом имеются различные степени защиты. Выбор System блокирует загрузку компьютера и доступ к BIOS Setup. Вход в систему тогда возможен только при вводе пра­ вильного пароля. Выбор Setup (по умолчанию) не ведет к бло­ кировке загрузки ПК, но блокирует вход в BIOS Setup. Оба ука­ занных значения рассматриваемой опции могут активизировать­ ся лишь в том случае, если в главном меню системной BIOS одновременно задан пароль для администратора и пользователя. Функция Password не имеет в BIOS надежной защиты. Ее можно аннулировать путем отключения батареи или изменить с помощью различных программ. Средства криптографического закрытия Шифраторы жестких дисков серии Криптон. А ппаратно-про­ граммные комплексы криптографической защиты данных (уст­ ройства криптографической защиты данных — УКЗД — М -544 («Криптон-IDE»), М-591 («Криптон-USB») и М-575 («Крип- тон-SATA») (табл. 4.8) — предназначены для защиты информа­ ции (в том числе и с высокими грифами секретности) на дисках компьютера и защиты от несанкционированного доступа (НСД) к ресурсам компьютера. В состав комплексов входит модуль проходного аппаратного шифратора серии «Криптон» и подсис­ тема защиты от НСД на базе аппаратно-программного модуля доверенной загрузки «Криптон-Замок». В состав аппаратно-программных комплексов входят модуль шифратора жесткого диска и подсистема защиты от НСД на базе аппаратно-программного модуля доверенной загрузки. Защиту информации в комплексах осуществляет модуль про­ ходного аппаратного шифратора (в соответствии с алгоритмом ГОСТ 28147—89) методом «прозрачного» шифрования данных, передаваемых между хост-контроллером на системной плате компьютера и НЖМД или флэшь-накопителем. Устройства «Криптон» гарантируют защиту информации, об­ рабатываемой на персональном компьютере и/ил и передаваемой
Таблица 4.8. Аппаратно-программные комплексы криптографической защиты Программно-тех­ ни ческое изделие Криптон-IDE Функции/общий вид изделия Подсистема защиты данных при работе с жестким диском Криптон 8 (PCI) Криптон-USB Криптон-4/PCI Принципы функц ион ирова ния и характеристики Разграничение доступа пользователей к аппаратным ресурсам рабочего места на­ страивается администратором на основе настройки индивидуальных прав (полно­ м оч ий) каждого пользователя. Интерфейс ЖМД: АТА/АТАРІ-6 для IDE устройств и ANSI хЗ.298 — 1997 Алгоритм шифрования: ГОСТ 28147— 89. Скорость шифрования: 70 Мбит/с Шифрование реализуется аппаратно. Система защиты от НСД устанавливается на компьютер и обеспечивает контроль доступа пользователя к компьютеру и кон­ троль загружаемой операционной системы (ОС) Изделие М-591 (Комплекс «Крип­ тон-USB») предназначено для защиты ин­ формации, хранящейся на устройствах FLASH DISK, путем ее аппаратного ш ифро­ вания при передаче информации между хост-контроллером USB и FLASH DISK, а также для защиты компьютера от НСД. Интерфейс: USB 2.0 . Скорость шифрования: 48 Мбит/с Сертификаты ФСБ: No СФ/527-0719 от 01.08 .2004, No СФ/120-0733 от 02.08 .2004 (в составе СКЗИ «Криптон- Шифрование»), No СФ/121-0768 от 14.03 .2005 (в составе СКЗИ «Криптон- Подпись»), No СФ/124-0744 от 01.11 .2004 (в составе СКЗИ Crypton ArcM ail) Crypton Emulator Пакет программ Crypton Emulator обеспечивает про­ граммную эмуляцию функций шифрования УКЗД серии «Криптон» в следующих опера­ ционных системах: ОС Windows-95/98/Me/l\IT 4.0/ 2000/ХР/2003; Solaris 2.x, 7, 8 (для архитектур х86, Sparc); Linux 2.2, 2.4, 2.6 Эмулятор обеспечивает ш ифрование по алгоритму ГОСТ 28147— 89, по функциям шифрования эмулятор полностью совмес­ тим с УКЗД серии «Криптон». Таким обра­ зом, возможна замена аппаратного УКЗД «Криптон» его программным эмулятором без какого-либо изменения программного обеспечения, использующего УКЗД «Крип­ тон» или Crypton Emulator
Продолжение табл. 4 .8 Программно-тех­ ни ческое изделие Функции/общий вид изделия Принципы функционирования и характерис ти ки Криптон-SATA Криптон IP Криптопровай­ дер КриптоПро CSP3.0 Верба W, Верба 0 W Интерфейс ЖМД: Serial АТА 1/0. Алгоритм шифрования: ГОСТ 28147— 89 . Скорость шифрования: 240 Мбит/с Криптографический маршрути­ затор Криптон-IP предназна­ чен для построения защищен­ ных виртуальных частных се­ тей (VPN), позволяющих объединять локальные компь­ ютерные сети путем передачи данных через глобальные сети открытого доступа (например, Internet). Криптон-IP обеспечи­ вает маршрутизацию IP-паке­ тов в глобальных сетях и их конфиденциальность, а также защищает локальные сети Предназначен для использова­ ния в специальных приложени­ ях (шифраторы ІР-протокола, файловой системы и т. д .) . Мо­ ж ет использоваться для фор­ мирования ключей шифрова­ ния и ключей электронной цифровой подписи, шифрова­ ния и имитозащиты данных, обеспечения целостности и подлинности информации Динамические библиотеки СКЗИ «Верба-W » («Вер- ба-OW ») предназначены для встраивания в прикладное про­ граммное обеспечение, в ре­ зультате чего к функциям Криптографическая защита данных реали­ зована методом прозрачного шифрования IP-пакетов при обмене ими по открытым каналам связи. Для защиты от НСД локаль­ ных компьютерных сетей используются методы фильтрации IP-пакетов по опреде­ ленным правилам с аутентификацией их источников и получателей, а также методы сокрытия ІР-адресов. Криптон-IP позволя­ ет также осуществлять криптографическую защиту файлов данных. Для контроля це­ лостности и авторства файлов формирует­ ся их электронная цифровая подпись (ЭЦП). Криптографическим ядром Крип­ тон-IP является аппаратный шифратор Криптон-4К/16 (в программно-аппаратной конфигурации) или программный шифра­ тор Crypton LITE (в программной конфигу­ рации) Используется в ОС Windows 2003/ХР/2000, Solaris 9 Update 7, FreeBSD 5, Red Hat Linux 7/9; микроархитектуры процессо­ ров — IA64, X86, Sparc. Для всех перечисленных платформ в со­ став КриптоПро CSP 3.0 входит модуль уровня ядра операционной системы (крип ­ тодрайвер), что позволяет использовать основные криптографические функции (шифрование/расшифрование, проверка подписи, хэш ирование) на уровне ядра операционной системы СКЗИ «Верба-W » использует симметрич­ ные ключи шифрования и асимметричные ключи для подписи. СКЗИ «Верба-OW» ис­ пользует принцип открытого распределе­ ния ключей шифрования и электрон- но-цифровой подписи
Окончание табл. 4 .8 Программно-тех- ф /общий м д изделия Принципы функционирования ническое изделие 3 и характеристики Верба W, ПО добавляются возможности Верба 0 W ш ифрования файлов и облас­ тей оперативной памяти, фор­ мирования и проверки элек­ тронной цифровой подписи в соответствии с российскими стандартами ГОСТ Р 34.10 — 94, ГОСТР34.11—94, ГОСТ 28147— 89 по открытым каналам связи и выполнены в виде плат расшире­ ния ISA и PCI персонального компьютера. Особенности уст­ ройств серии «Криптон»: • аппаратная реализация алгоритма криптографического преобразования гарантирует целостность алгоритма; • ш ифрование производится и ключи ш ифрования хранятся в самой плате, а не в оперативной памяти компьютера; • используется аппаратный датчик случайных чисел; • загрузка ключей шифрования в устройство «Криптон» со смарт-карт и идентификаторов Touch Memory (i-Button) производится напрямую, минуя ОЗУ и системную шину компьютера, что исключает возможность перехвата ключей; • на базе устройств Криптон можно создавать системы защи­ ты информации от несанкционированного доступа и раз­ граничения доступа к компьютеру; • применение специализированного ш ифропроцессора для выполнения криптографических преобразований разгружа­ ет центральный процессор компьютера; возможна также установка на одном компьютере нескольких устройств «Криптон», что еще более повысит скорость шифрования (для устройств с ш иной PCI); • использование парафазных шин в архитектуре шифропро­ цессора исключает угрозу снятия ключевой информации по возникающим в ходе криптографических преобразова­ ний колебаниям электромагнитного излучения в цепях «земля—питание» микросхемы. Динамические библиотеки СК З И (система криптографической защиты информации) «Верба». Криптографические библиотеки в первую очередь предназначены для встраивания в прикладное
программное обеспечение заказчика. Для этих целей в комплект поставки включается подробное описание функций и рекомен­ даций по построению защищенных систем (см. табл. 4.8). В частности, известны следующие приложения, в состав которых встроены СКЗИ «Верба-W» и «Верба-OW»: АРМ шифрования и ЭЦП (Файловый Криптоменеджер), защищен­ ная электронная Internet-почта «Курьер», система защиты HTTP-протокола «Корвет», Криптографический Сервер с сис­ темой управления ключами, защищенная электронная почта Х.400, текстовый процессор Лексикон, система документообо­ рота БОСС-Референт. Основные функции библиотек: • формирование электронной цифровой подписи файла/бло­ ка памяти; • проверка ЭЦП файла/блока памяти; • удаление подписи; • формирование до 255 ЭЦП для одних исходных данных; • выработка значения хэш-функции файла/блока памяти; • зашифрование/расшифрование файлов/блоков памяти; • одновременное зашифрование файлов/блоков памяти в ад­ рес множества абонентов; • получение имитовставки для файла/блока памяти; • формирование случайного числа заданной длины. Библиотеки предоставляют возможность формирования и администрирования справочников открытых ключей шифрова­ ния и ЭЦП соответственно и обеспечивают выполнение следую­ щих функций при работе со справочниками: • добавление и удаление открытого ключа; • получение атрибутов открытого ключа по идентификатору и наоборот; • контроль целостности справочника открытых ключей; • контроль целостности открытого ключа. Средства защиты от ут ечки информации по каналам ПЭМИН Данный тип средств защиты ориентирован на изоляцию или подавление каналов несанкционированного съема информации, образующихся за счет побочных электромагнитных излучений и наводок (табл. 4.9).
Таблица 4.9. Устройства подавления и изоляции каналов П ЭМИН Функции/общий вид изделия Программно-техниче­ ское изделие Принципы функционирования и характеристики «Соната-РК1» — устройство комби­ нированной защиты объектов информа­ тизации от утечки информации J Защита информации, обрабатывае­ мой основными техническими средст­ вами и системами до 1 категории включительно, от утечки по ПЭМИН путем постановки маскирующих помех Эффективное и недорогое ре­ шение задачи комплексной за­ щиты («ЭМИ + наводки + утечка по сети электропитания») оди­ ночного технического средства в ситуациях, когда остро стоит проблема помех, создаваемых генераторами маскирующего шума. Является комбинацией фильтра поглощающего типа, ге­ нераторов шумового тока с кор­ ректировкой спектра и регули­ ровкой интегрального уровня и элементов антенной системы Пелена-6У — по­ становщик радио- помех Принцип работы основан на по­ становке шумовой помехи в ши­ роком диапазоне частот Предотвращение несанкционирован­ ного получения информации с ис­ пользованием малогабаритных радио­ передатчиков, а также для защиты от радиоуправляемых взрывных уст­ ройств. М ожет использоваться для подавления устройств сотовой, тран- кинговой, пэйджинговой связи Генератор радиошу­ ма переносной SEL SP-21В2 «Спектр» Предназначен для формирования маскирующего широкополосного ра­ диоизлучения Является техническим средст­ вом активной защиты информа­ ции от утечки по радиоканалу и обеспечивает маскировку ин­ формативных побочных элек­ тромагнитных излучений ПЭВМ и периферийного оборудования, а также подавление приемников дистанционного управления по радиоканалу в радиусе не менее 30 м. Генератор может быть ис­ пользован как в помещениях, так и в полевых условиях
Программно-техниче- ское изделие ГНОМ-3, ЗМ ГШ-К -ЮООМ SELSP-21 «Баррикада» Генератор шума ЛГШ-501 Окончание табл. 4 .9 Функции/общий вид изделия Шумогенераторы маскировки ПЭМИН Принципы функционирования и характеристики Предназначены для защиты ин­ формации от утечки, обуслов­ ленной побочными электромаг- ; нитными излучениями и навод- !• ками ПЭВМ и других средств обработки информации Предназначен для защиты ПК от | утечки информации за счет ПЭМИН. Выполнен в виде слото-1! вой платы (0,1 .. .1000 МГц). Сер­ тификат ФСТЭК РФ Генератор шума для подавления ПЭМИН Система пространственного электро­ магнитного зашумления (система ак­ тивной защиты). Предназначена для предупреждения перехвата инф орма­ тивных побочных электромагнитны х излучений и наводок при обработке информации ограниченного распро­ странения в средствах вычислитель­ ной техники Устройство генерирует широко­ полосный шумовой электромаг­ нитный сигнал и обеспечивает маскировку побочных электро­ магнитны х излучений средств офисной техники, защиту от подслушивающих устройств, пе­ редающих информацию по ра­ диоканалу (некварцованных, мощностью до 5 мВт). Уровень шумового сигнала позволяет блокировать сотовую связь на расстоянии до 5 м Предназначен для работы в составе системы активной защиты информа­ ции (САЗ), обрабатываемой на объек­ тах ЭВТ второй и третьей категорий Генератор радиопомех ЛГШ-501 САЗ обеспечивает защиту ин­ формации от утечки по каналам ПЭМИН путем создания широко­ полосной шумовой электромаг­ нитной помехи в диапазоне час- ! тот от 0,01 до 1800 МГц. Принцип работы САЗ на базе ге­ нератора ЛГШ -501: создание на границе контролируемой зоны j; шумовой помехи, которая за­ шумляет побочные излучения |і защищаемого объекта 5
Некоторые другие программно-технические изделия В заключение приведем характеристики выборочного сп иска (табл. 4.10) программно-технических изделий, ориентированных на обеспечение зашиты информации в ПК. Таблица 4.10. Некоторые программно-технические изделия, предназначенные для защиты информации в ПК Программно-техническое изделие zbackup — защита информации при ре­ зервном копировании Принципы функц ио нировани я и характерис тики Использование для шифрования данных криптостойких алгоритмов ш ифрования с длиной ключа от 128 бит. Возможность подключения сертифицированного ФАПСИ крип­ тографического модуля или платы «Криптон», реализующих алгоритм шифрования ГОСТ 28147— 89 с дли­ ной ключа 256 бит. Формирование уникальных ключей шифрования на основе последовательности случай­ ных чисел. Возможность подачи сиг­ нала «тревога» Создание на НЖМД защищенной об­ ласти — виртуального логического диска, где информация хранится в зашифрованном виде и доступна только по ключу шифрования. Для работы с защищенными данными следует воспользоваться электрон­ ным ключом и ввести пароль. После с виртуальным диском можно рабо­ тать так же, как с обычным НЖМД или съемным USB-диском. Пароль для «входа под принуждением» по­ зволяет в экстренной ситуации сы­ митировать системный сбой и поте­ рю защищенных данных zserver — шифро- Защита в случае физического Защита информации, размещенной zdisк— защитадан­ ных в ноутбуках и на НЖМД Функции/общий вид изделия Зашифровка данных при запи­ си на ленту, CD или DVD и рас­ шифровка при чтении. Ключи шифрования хранятся на смарт-карте, защищенной PIN-кодом . Три попытки непра­ вильного ввода PIN-кода бло­ кируют карту. Предоставляется возможность удаленного ввода ключей шифрования и админи­ стрирования системы с любой рабочей станции локальной сети или через Internet Защита в ситуации похищения ноутбука или изъятия НЖ МД и подключения его к другому компьютеру вание данных на диске доступа злоумышленника к но­ сителю с конфиденциальной информацией в случаях: раз­ мещение серверов в стороннем прозрачного шифрования цен тр е данных; на НЖМД, на дисковых массивах (RAID-массивы любых конф игура­ ций) и в хранилищах SAN методом
Продолжение табл. 4 .10 Программно-техническое изделие і Функции/общий вид изделия Принципы функционирования и характеристики jотправка серверов или НЖМД ]в ремонт; перевозка компьюте- Iров из одного офиса в другой; !утилизация компьютеров, сер- Iверов, НЖ МД и лент; хранение МЛ в специальном депозита- Iрии; перевозка МЛ, например, в депозитарий; кража или поте­ ря НЖМЛ/МЛ ziock — разграни­ чение прав доступа пользователей к внеш­ ним устройствам и іпортам рабочих стан­ ций в масштабе пред­ приятия zlog in — аутенти- Iфикация пользова­ телей (Двухфакторная аутентифика- I ция пользователей сети с ис- !пользованием электронных ключей. Пользователь должен предъявить электронный USB-ключ и ввести P IN -код 'Для каждого физического или I логического устройства и для Iкаждого пользователя или ' группы пользователей из jActive Directo ry МОЖНО jразрешить либо полный дос- !туп, либо только чтение, либо !запретить доступ Подключаемые USB-устройства мо­ гут идентиф ицироваться по любым признакам, таким как класс устрой­ ства, код производителя, код устрой­ ства, серийный номер и т. д ., что по­ зволяет назначать разные права дос­ тупа к устройствам. Возможность настройки доступа к устройствам по расписанию. Функция мониторинга клиентских модулей, которая обес­ печивает своевременное уведомле­ ние о подключениях внешних уст­ ройств, как запрещенных, так и раз­ решенных, а также о попытках несанкционированной деактивации клиентского модуля и изменения на­ строек системы После загрузки ОС пользователю предлагается вставить ключ и ввести PIN-код. После ввода правильного PIN-кода система считывает с элек­ тронного ключа профиль пользова­ теля и осуществляет аутентиф ика­ цию сначала в Windows-домен или локально на рабочую станцию, и, если эта операция завершена успеш­ но — в NDS (если в профиле имеют­ ся соответствующие данные). Если ни один из серверов NDS недосту­ пен, то пользователь может продол­ жить работу в Windows без доступа к соответствующим ресурсам NetWare J
І! Программно-техническое ;| и зделие і( ||Printer j Activity IMonitor — KOH- I троль принтеров ' «Шкатулка» — уст- S ройство стирания ин- I формации іі іГ " II«ПК 2С-994 -В1» — |Іустройство уничтоже- і|ния информации на ||НЖМД || jl Функции/общий вид изделия Централизованный контроль всех принтеров организации, выявление и пресечение попы­ то к использования офисных принтеров в личных целях со­ трудников I Мгновенное уничтожение ин­ формации на магнитных носи- Jтелях уничтожение информации с Iмагнитного носителя непо- I средственно в системном бло- !ке компьютера вне зависимо- істи от работы пользователя с jинформацией Окончание табл. 4 .10 Принципы функционирования и характерис тики I При запуске компьютера модуль !PrinterMon.ехе загружается в I память, где находится на протяже- інии всего сеанса работы с компью­ тером . Информация о распечаты- !ваемых документах (название доку- імента, имя принтера, компьютера, пользователя, количество распеча­ тываемых страниц/байтов и т. д.) сохраняется в базе данных. Для Iвыдачи отчета о распечатанных Iдокументах служит модуль IPrinterActivityMonitor.exe jНе требует электропитания; может I эксплуатироваться в любых услови­ ях и не требует протяжки магнит- !ной ленты вдоль рабочей области Iприбора при уничтожении инфор- I мации; не имеет механических и гидравлических приводов; маски­ ровка под интерьер рабочего стола. Напряженность магнитного поля — 340 КА/м; вес — не более 4 кг; раз- !меры— 145х90х100мм;бес- Iпрерывная работа — не менее 110 лет Стирание производится наж атием потайной кнопки или дистанционно I(радиобрелок). Устанавливается на Iштатное место 5,25"-устройств. Не имеет с компьютером электрических соединений. Время стирания инфор­ мации менее 0,1 с. Только внешнее электропитание. Защита жестких дисков, дискет и кассет стримера не­ посредственно в устройствах чте­ ния-записи. Имеет сертификаты: [Управления Генштаба МО; МО в сис­ тем е сертификации «Военный ре­ гистр» ГОССТАНДАРТА
Контрольные вопросы 1. Какая статистика отображается в экранах Ad-Aware? 2. Каким образом осуществляется обновление в Ad-Aware? 3. Чем отличается быстрая проверка от полной проверки? 4. Что такое карантин? 5. Какие компоненты входят вDr.Web для Windows? 6. Какие действия могут быть выполнены над инфицированными файлами? 7. Какие ограничения существуют для удаления и лечения вирусов? 8. Что такое построение таблиц и проверка дисков в Adinf? 9. Какие типы контрольных сумм для проверки состояния файлов вам известны? 10. Какие журналы формируются при работе ESET Smart Security? 11. Какие виды защиты предусматривает Антивирус Касперского? 12. Что такое технология iChecker в Антивирусе Касперского? 13. Какие типы защиты реализует Symantec Antivirus?
Заключение Информационная безопасность относится к числу дисцип­ лин, развивающихся чрезвычайно быстрыми темпами. Этому способствуют как общий прогресс информационных техноло­ гий, так и постоянное противоборство нападающих и защищаю­ щихся. К сожалению, подобная динамичность объективно затрудня­ ет обеспечение надежной защиты. Причин тому можно назвать несколько: • повышение быстродействия микросхем, развитие архитек­ тур с высокой степенью параллелизма позволяет методом грубой силы (перебором вариантов) преодолевать барьеры (прежде всего криптографические), ранее казавшиеся не­ приступными; • развитие сетей, увеличение числа связей между информа­ ционными системами, рост пропускной способности ка­ налов расширяют число потенциальных злоумышленни­ ков, имеющих техническую возможность осуществить на­ падение; • появление новых информационных сервисов ведет и к по­ явлению новых угроз как «внутри» сервисов, так и на их стыках; • конкуренция среди производителей программного обеспе­ чения заставляет сокращать сроки разработки системы, что ведет к снижению качества тестирования и выпуску про­ дуктов с дефектами защиты; • навязываемая потребителям парадигма постоянного нара­ щивания аппаратного и программного обеспечения вступа­ ет в конфликт с бюджетными ограничениями, из-за чего снижается доля ассигнований на безопасность. Обеспечение информационной безопасности современных информационных систем требует комплексного подхода. Оно невозможно без применения широкого спектра защитных средств, объединенных в продуманную архитектуру. Далеко не все эти средства получили распространение в России, некото­
рые из них даже в мировом масштабе находятся в стадии ста­ новления. В этих условиях позиция по отношению к информационной безопасности должна быть особенно динамичной. Теоретиче­ ские воззрения, стандарты, сложившиеся порядки необходимо постоянно сверять с требованиями практики. От атак не защи­ титься книгой (хотя бы и «Оранжевой») или сертификатом. Ре­ альная безопасность нуждается в каждодневной работе всех за­ интересованных сторон.
Литература А. Нормативная и справочная литература 1. ГОСТ Р 50922—96 — Защита информации. Основные терми­ ны и определения. 2. ГОСТ Р ИСО/М ЭК 15408-1—2002 — Информационная тех­ нология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть. 3. Гостехкомиссия России. Руководящий документ. Автоматизи­ рованные системы. Защита от несанкционированного доступа к ин ­ формации. Классификация автоматизированных систем и требова­ ния по защите информации. Москва. Военное издательство. 1992. 4. Гостехкомиссия России. Руководящий документ. Защита от несанкционированного доступа к информации. Термины и опреде­ ления. Утверждено решением председателя Гостехкомиссии России от 30 марта 1992 г. М. Военное издательство, 1992. 5. Гостехкомиссия России. Руководящий документ. Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации. М. Во­ енное издательство, 1992. 6. Доктрина информационной безопасности Российской Феде­ рации (утверждена 9 сентября 2000 г. No П Р —1895). 7. Федеральный закон «Об информации, информатизации и за­ щите информации». Собрание законодательства Российской Феде­ рации. 20 февраля 1995 г. Официальное издание. Издательство «Юридическая литература», Администрация Президента Россий­ ской Федерации. Москва. С. 1213—1225. 8. Department of Defense Trusted Computer System Evaluation Criteria. - DoD 5200.28 -STD, 1993. Б. Основная литература 9. Аскеров Т. М. Защита информации и информационная безо­ пасность учеб. пособие / Т. М. Аскеров; под общ. ред. К. И. Кур- бакова. — М. Рос. экон. акад., 2001.
10. Герасименко В. А. Зашита информации в автоматизирован­ ных системах обработки данных / В. А. Герасименко. Кн. 1. — М. Энергоатомиздат, 1994. 11. Герасименко В. А., Малюк А. А. Основы защиты информа­ ции / В. А. Герасименко, А. А. Малюк. — М. МИФИ , 1997. 12. Голицына О. Л ., Максимов Н. В., Партыка Т. Л., Попов И. И. Информационные технологии учеб. пособие / О. J1. Голицына, Н. В. Максимов, Т. Л. Партыка, И. И. Попов. — М. ФОРУМ: ИН- ФРА-М , 2005. 13. Зима В. М., Молдовян А. А ., Молдовян Н. А. Защита компью­ терных ресурсов от несанкционированных действий пользователей учеб. пособие / В. М. Зима, А. А. Молдовян, Н. А. Молдовян. — СПб., 1997. 14. Лопатин В. Н. Информационная безопасность России: Чело­ век. Общество. Государство / В. Н. Лопатин. — СПб. Фонд «Уни­ верситет», 2000. 15. Мельников В. Защита информации в компьютерных систе­ мах / В. Мельников. — М. Финансы и статистика; Электронин- форм, 1997. 16. Нечаев В. И. Элементы криптографии (Основы теории защи­ ты информации) учеб. пособие для ун-тов и пед. вузов / В. И. Не­ чаев / под ред. В. А. Садовничего — М. Высш. шк., 1999. 17. Партыка Т. Л ., Попов И. И. Информационная безопасность учеб. пособие / Т. Л. Партыка, И. И. Попов. — 3-е изд. — М. ФОРУМ, 2008. В. Дополнительная литература 18. Герасименко В. АПартыка Т. Л. Каталог программных средств защиты информации от несанкционированного доступа в АСОД метод, указания / В. А. Герасименко, Т. Л. Партыка. — М. ГКНТ, 1984. 19. Герасименко В. А., Партыка Г. Л . Каталог каналов утечки ин­ формации в АСОД метод, указания / В. А. Герасименко, Т. Л. Пар­ тыка. - М. ГКНТ, 1985. 20. Емельянова Н. 3 Партыка Т. Л.у Попов И. И. Информацион­ ные системы в экономике / Н. 3. Емельянова, Т. Л. Партыка, И. И. Попов. - М. ФОРУМ: ИНФРА-М , 2006. 21. Партыка Т. Л ., Попов И. И . Операционные системы, среды и оболочки / Т . Л. Партыка, И. И. Попов. — М. : ФОРУМ: ИНФРА-М , 2003.
Г. Ресурсы Internet 22. http://www.adinf.ru 23. http://www.drweb.ru 24. http://www.eset.com 25. http://www.kaspersky.ru 26. http://www.kav.ru 27. http://www.microsoft.com . 28. http://www.sbchel.ru 29. http://www.securit.ru 30. http://www.symantec.ru 31. http://www.unlimmb.info 32. http://www.viruslist.com 33. http://www.wikipedia.org
Глоссарий (терминологический словарь) Автоконтроль целостности — использование в программе специаль­ ных алгоритмов, позволяющих после запуска программы опре­ делить, были ли внесены изменения в файл, из которого загру­ жена программа, или нет. Авторизация (authorization) — полномочия, устанавливаемые адми­ нистратором системы для конкретных лиц, позволяющие по­ следним использовать транзакции, процедуры или всю систему в целом. Аддитивные методы. В качестве ключа шифра используется некото­ рая последовательность букв того же алфавита, в котором представлен исходный текст. Длина ключа равна длине сооб­ щения. Сам процесс шифрования состоит из суммирования исходного текста и ключа по модулю, равному числу букв в ал­ фавите (например, по модулю 2, если алфавит двоичный). Администрирование средств безопасности включает в себя распро­ странение информации, необходимой для работы сервисов безопасности, а также сбор и анализ информации об их функ­ ционировании. Примерами могут служить распространение криптографических ключей, установка прав доступа, анализ регистрационного журнала и т. п. Аккредитация (accreditation) — авторизация и санкционирование обработки критичных данных в операционной среде информа­ ционной системы или сети. Решение об аккредитации выно­ сится после получения всеми лицами из технического персона­ ла сертификата, подтверждающего возможность этих лиц рабо­ тать с защищенными системами. При этом предварительно должно быть подтверждено соответствие проекта самой систе­ мы и его конкретной реализации набору заранее определенных технических требований. Все эти условия служат единственной цели — обеспечению степени безопасности, адекватной уров­ ню критичности данных.
Алгоритм DES состоит из многократно повторяемых шагов переста­ новки, гаммирования и колонной замены. В реализации этого алгоритма выделяются режимы электронного кодирования, сцепления блоков шифра, обратной связи по шифротексту и обратной связи по выходу. В базовом режиме текст разбивается на 64-битовые блоки. Они независимо шифруются с помощью одного и того же ключа, длиной 56 бит (8 бит используются для контроля). При этом одинаковые блоки будут иметь одина­ ковые шифры (недостаток). Для повышения степени надежно­ сти алгоритма часто используют ключи двойной или тройной длины (на которые существуют стандарты). Анализ затрат/выгоды (cost-benefit analysis) — стадия в разработке или развитии системы, на которой определяется стоимость обеспечения защиты данных в информационной системе; ин о ­ гда под этой стоимостью подразумевают ущерб, который может быть нанесен в случае утери или компрометации данных, под­ лежащих защите. Анализ риска (risk analysis) — процесс изучения характеристик и сла­ бых сторон системы, проводимый с использованием вероятно­ стных расчетов, с целью определения ожидаемого ущерба в случае возникновения неблагоприятных событий. Задача ана­ лиза риска состоит в определении степени приемлемости того или иного риска в работе системы. Апеллируемость — возможность доказать, что автором является именно заявленный субъект, и никто другой. Атака (attack) — нарушение безопасности информационной систе­ мы, позволяющее захватчику управлять операционной средой. Это действие некоторого субъекта компьютерной системы (пользователя, программы, процесса и т. д.), использующего ее уязвимость для достижения целей, выходящих за пределы авто­ ризации данного субъекта в данной компьютерной системе. Если, например, пользователь не имеет права на чтение неко­ торых данных, хранимых в компьютерной системе, а ему хо­ чется незаконно его приобрести, он предпринимает ряд не­ стандартных манипуляций, либо обеспечивающих доступ к этим данным (в случае отсутствия или недостаточно надежной работы средств безопасности) либо завершившихся неудачей (в случае надежной работы средств безопасности). Тем самым
этот пользователь (иногда его называют «захватчиком») пред­ принимает в отношении компьютерной системы атаку. Атака «салями» — характерна для банковских систем и основывает­ ся на том, что при исчислении процентов нередко получаются дробные числа. Аудит (audit) — контроль, образ действий, позволяющий получать независимый обзор и анализ системных записей об активности системы с целью установления ее текущего состояния безопас­ ности. Аутентификация (authentication) — 1) проверка принадлежности субъекту доступа предъявленного им идентификатора; подтвер­ ждение подлинности; 2) план, разрабатываемый для обеспече­ ния защиты от незаконных передач информации за счет уста­ новления санкционированноеTM потоков информации, со об­ щений, узлов или инициаторов. Аутентичность — возможность установления автора информации. База данных M S Access — совокупность данных и объектов, относя­ щихся к одной теме или использующихся для одной цели. В базе данных сведения об отдельных объектах, например со­ трудниках или заказах, распределены по таблицам, записям и полям. Управление данными выполняется ядром базы данных MS Jet [MSA]* Банковская тайна — защищаемые банками и иными кредитными организациями сведения о банковских операциях по счетам и сделкам в интересах клиентов, счетах и вкладах своих клиентов и корреспондентов, а также сведения о клиентах и корреспон­ дентах, разглашение которых может нарушить право последних на неприкосновенность частной жизни. Безопасная операционная система (secure operating system) — опера­ ционная система, эффективно управляющая аппаратными и программными средствами с целью обеспечения уровня защи­ ты, соответствующего содержанию данных и ресурсов, контро­ лируемых этой системой. Безопасность (security) — состояние, в котором файлы данных и программы не могут быть использованы, просмотрены и моди­ фицированы неавторизованными лицами (включая персонал * Определение используется в инструкциях/справках по MS Access.
системы), компьютерами или программами. Безопасность обеспечивается путем создания вокруг компьютера и оборудо­ вания защищенной зоны, в которой работает только авторизо­ ванный персонал, а также использования специального про­ граммного обеспечения и встроенных в операционные проце­ дуры механизмов защиты. Безопасность данных (data security) — защита данных от неавторизо­ ванных, случайных, умышленных или возникших по халатно­ сти модификаций, разрушений или разглашений. Безопасность информации (information security) — состояние защ и­ щенности информации, обрабатываемой средствами вычисли­ тельной техники или автоматизированной системы, от внут­ ренних или внешних угроз. Безопасность информационной системы (information system security) — совокупность элементов (действий, мер), необходимых для обеспечения адекватной защиты компьютерной системы, вклю­ чая аппаратные/программные функции, характеристики и сред­ ства; операционные и учетные процедуры, средства управления доступом на центральном компьютере, удаленных компьютерах и телекоммуникационных средствах; административные меро­ приятия, физические конструкции и устройства; управление персоналом и коммуникациями. Безопасность коммуникаций (communications security) — аутентифи­ кация телекоммуникаций за счет принятия мер по предотвра­ щению предоставления неавторизованным лицам критичной информации, которая может быть выдана системой в ответ на телекоммуникационный запрос. Безопасность персонала (personnel security) — методы обеспечения гарантий того, что весь персонал, имеющий возможность дос­ тупа к некоторой критичной информации, обладает необходи­ мой авторизацией, равно как и всеми необходимыми разреше­ ниями. Безопасность программного обеспечения (software security) — свойство общецелевых (исполнительные программы, утилиты либо сред­ ства разработки программного обеспечения) и прикладных программ и средств осуществлять безопасную обработку дан­ ных в компьютерной системе и безопасно использовать ресур­ сы системы.
Блочный шифр — тип симметричного алгоритма шифрования, при котором блок открытого текста заданной длины преобразуется в блок зашифрованного текста такой же длины. Преобразова­ ние выполняется при шифровании сообщения секретным ключом. Расшифровывание производится с помощью того же секретного ключа обратным преобразованием блока зашифро­ ванного текста в блок открытого текста. Заданная длина назы­ вается размером блока. Блочные шифры используют блоки размером 64—128 бит. Брешь, дыра (loophole) — программное или аппаратное упущение или недоработка, позволяющая обойти процессы управления доступом. Синонимы — fault, flaw. Вакцинация — специальная обработка файлов, дисков, каталогов, запуск резидентных программ-вакцин, имитирующих сочета­ ние условий, которые используются данным типом вируса для определения (выявления) заражения, т. е. «обманывающих» вирус. Ведение контроля (auditing) — процедуры управления системой, не­ обходимые для обеспечения нормальной работы системы и выполнения имеющихся задач, а также для обеспечения э ф ­ фективности работы и эффективности использования ресурсов информационной системы. Ведение контроля может осущест­ вляться лицами, отличными от лиц, непосредственно отвечаю­ щих за работу системы и решение конкретных эадач. Верификация (verification) — использование теста или имитирован­ ной среды для выявления идентичности двух уровней специ­ фикаций системы, например, политики безопасности в специ­ фикации высшего уровня (исходном коде) и объектном коде. Вирус (virus) — программа, модифицирующая другие программы. В контексте проблем безопасности этот термин обычно ис­ пользуется в отношении программ, злонамеренно внедряемых в систему с целью нанесения вреда или разрушений. Вирусная программа распространяется за счет самокопирования и под­ соединения копий к другим программам. Когда в системе про­ исходит определенное событие, на которое настроен вирус, ви­ рус начинает выполнять свою целевую функцию. В настоящее время известны десятки тысяч программных вирусов, число которых непрерывно растет.
Вирусы загрузочные внедряются в загрузочный сектор диска (Boot-сектор) или в сектор, содержащий программу загрузки системного диска (Master Boot Record). Вирусы сетевые — вирусы, распространяющиеся по различным ком­ пьютерным сетям. Вирусы файлово-загрузочные заражают как файлы, так и загрузочные секторы дисков. Вирусы файловые внедряются главным образом в исполняемые мо­ дули, т. е. в файлы, имеющие расширения .сот и .ехе. Ф ай­ ловые вирусы могут внедряться и в другие типы файлов, но, как правило, записанные в таких файлах, они никогда не полу­ чают управление и, следовательно, теряют способность к раз­ множению. Вирусы-мутанты содержат алгоритмы шифровки-дешифровки, бла­ годаря которым копии одного и того же вируса не имеют ни одной повторяющейся цепочки байтов. Вирусы-невидимки — стелс-вирусы, которые очень трудно обнару­ жить и обезвредить, так как они перехватывают обращения операционной системы к пораженным файлам и секторам дис­ ков и подставляют вместо своего тела незараженные участки диска. Владелец (owner) — 1)лицо, ответственное за вынесение и доведе­ ние до заинтересованных сторон решений от имени организа­ ции в отношении использования, идентификации, определе­ ния степени секретности и защиты конкретных информацион­ ных объектов; 2) при активизированной системе защиты — учетная запись пользователя, которая осуществляет управление базой данных или ее объектом. По умолчанию разрешения (права) владельца имеет учетная запись пользователя, создав­ шего базу данных или ее объект [MSA]. Гиперссылка — цветной подчеркнутый текст или графический объ­ ект, по щелчку которого выполняется переход к файлу, фраг­ менту файла или Web-странице в интрасети или Интернете. Гиперссылки могут также указывать на группы новостей и узлы Gopher, Telnet и FTP [MSOF]* * Определение используется в инструкциях/справках по MS Word и Excell.
Группа Admins — учетная запись группы системных администрато­ ров, имеющих полные разрешения на все базы данных, ис­ пользуемые рабочей группой. Программа установки автомати­ чески добавляет в группу Admins стандартную учетную запись пользователя Admin [MSA]. Группа Users — учетная запись группы, в которую включаются все учетные записи пользователей. MS Access автоматически до ­ бавляет создаваемые учетные записи пользователей в группу Users [MSA]. Дескриптор безопасности — набор данных, содержащий сведения о безопасности, связанные с защищенным объектом. Дескрипто­ ры безопасности включают в себя сведения о том, кто является владельцем объекта, кто и каким образом может получить дос­ туп к объекту, а также о том, аудит каких типов доступа будет вестись [MSW]* Диалер (англ. dialer) — вредоносная программа, которая, будучи запу­ щена на компьютере пользователя, делает попытки установить модемное соединение с платным модемным пулом. Обычно по установленному каналу предоставляется доступ к какому-либо платному (чаще всего порнографическому) ресурсу. В некото­ рых же случаях просто устанавливается соединение, а пользова­ телю в дальнейшем выставляется телефонный счет. Дискреционное управление доступом (discretionary access control) — разграничение доступа между поименованными субъектами и поименованными объектами. Субъект с определенным правом доступа может передать это право любому другому субъекту. Доверенная/надежная вычислительная база (trusted computing base, ТСВ) — термин, относящийся к аппаратным, фирменным про­ граммным и просто программным механизмам защиты в ком­ пьютерной системе, обеспечивающим реализацию в этой сис­ теме избранной политики безопасности. Доверенная/надежная компьютерная система (trusted computer system) — система, допускающая ведение безопасной обработ­ ки несортированного потока критичной информации за счет использования достаточных аппаратных и программных средств обеспечения безопасности. * Определение используется в инструкциях/справках по MS Win­ dows.
Доверие к информации — отсутствие в ней подмены (несанкциони­ рованной модификации ее элементов при сохранении целост­ ности). Доступ (access) — 1) в обработке данных — взаимодействие между субъектом и объектом, обеспечивающее передачу информации между ними; 2) в физической безопасности — возможность входа на защищенную территорию. Доступ к информации (access to information) — ознакомление с ин ­ формацией, ее обработка, в частности, копирование, модифи­ кация или уничтожение информации. Доступность (availability) — возможность получение информации авторизованным пользователем в нужное для него время. Жадная программа — программа, которая монополизирует опреде­ ленный ресурс сети и не дает возможность другим программам пользоваться ею. Журнал изменений — сведения в общей книге об изменениях, вне­ сенных в ходе последних сеансов работы. Сохраняются сведе­ ния о том, кто внес изменения, когда изменения были сделаны и какие данные были изменены [MSOF]. Захватчики паролей — программы, ворующие пароли путем обман­ ных воздействий на операционную систему. Защита данных (data protection) — средства защиты данных от слу­ чайных или умышленных нежелательных модификаций, разру­ шений или разглашений. Защита информации (ЗИ) — деятельность по предотвращению утеч­ ки защищаемой информации, несанкционированных и непред­ намеренных воздействий на защищаемую информацию, т. е. процесс, направленный на достижение состояния защищенно­ сти (тогда как информационная безопасность — это состояние защищенности информационной среды). Защита на уровне пользователей. При активизации защиты на уров­ не пользователей в базе данных MS Access администратор базы данных или владелец объекта предоставляет определенные раз­ решения отдельным пользователям и группам пользователей на следующие объекты: таблицы, запросы, формы, отчеты и мак­ росы [MSA].
Защита объектов (object protection) — средства защиты объектов типа сейфов, файлов и т. д., — того, что может быть выведено из защищенной области (protected area). Защита от НСД (от несанкционированного доступа — protection from unauthorized access) — предотвращение или существенное затруднение несанкционированного доступа. Защита персональной информации (privacy protection) — совокуп­ ность технических, административных и физических мер, реа­ лизованных с целью обеспечения безопасности и конфиденци­ альности записей данных, равно как и для защиты подсистем безопасности и конфиденциальности от любых случайных или преднамеренных действий, которые могут привести к затрудне­ нию, ущербу, неудобствам или несправедливости в отношении лица, о котором хранится соответствующая информация. Защищенная область, зона (protected area) — термин, используемый для определения области, защищенной системой безопасности. Защищенное (доверенное) средство вычислительной техники — защи­ щенная автоматизированная система (trusted computer system) — средство вычислительной техники (автоматизированная систе­ ма), в котором реализован комплекс средств защиты. Злоумышленная активность — это либо атаки, преследующие цель несанкционированного получения привилегий, либо действия, выполняемые в рамках имеющихся привилегий (возможно, по­ лученных незаконно), но нарушающие политику безопасности (злоупотребление полномочиями). Объект систем активного аудита. Идентификатор доступа (access identifier) — уникальный признак субъекта или объекта доступа. Идентификация (identification) — присвоение субъектам и объектам доступа идентификатора и (или) сравнение предъявляемого идентификатора с перечнем присвоенных идентификаторов. Процесс анализа персональных, технических или организаци­ онных характеристик или кодов для получения (предоставле­ ния) доступа к компьютерным ресурсам. Индивидуальный учет (individual accountability) — комплекс мер, за счет которых идентификация пользователя может быть исполь­ зована для определения возможности доступа пользователя к
машинам, материалам и т. п.; правила предоставления пользо­ вателю времени, методов и режимов доступа. Информационная безопасность — состояние защищенности инфор­ мационной среды общества, обеспечивающее ее формирова­ ние, использование и развитие в интересах граждан, организа­ ций, государства. Код рабочей группы (WID) — набор от 4 до 20 алфавитно-цифровых символов (с учетом регистра), который вводится при создании нового файла рабочей группы с помощью администратора ра­ бочих групп. Этот код однозначно определяет группу Admins в файле рабочей группы [MSA]. Компрометация (compromise) — утеря критичной информации либо получение ее неавторизованными для этого субъектами (лица­ ми, программами, процессами и т. д.). Компьютерная безопасность (computer security) — комплекс техно­ логических и административных мер, применяемых в отноше­ нии аппаратных средств, программ, данных и служб с целью обеспечения доступности, целостности и конфиденциальности связанных с компьютерами ресурсов; сюда же относятся и про­ цедуры проверки выполнения системой определенных функ­ ций в строгом соответствии с их запланированным порядком работы. Конфиденциальная информация (sensitive information) — информация, требующая защиты, а именно: критичная информация с раз­ личными грифами секретности; информация для служебного пользования; информация, составляющая коммерческую тайну или тайну фирмы; информация, являющаяся собственностью некоторой организации или частного лица и т. д. Конфиденциальность (confidentiality) — доступность информации только определенному кругу лиц, некоторая классификация данных, получение либо использование которых неавторизо­ ванными для этого лицами может стать причиной серьезного ущерба для организации. Концепция монитора ссылок (reference monitor concept) — концепция управления доступом в информационной системе, предпола­ гающая наличие некоторой абстрактной машины (механизма), через которую осуществляется доступ объектов к субъектам.
Личный код (PID) — комбинация от 4 до 20 алфавитно-цифровых символов (с учетом регистра), которая в MS Access вместе с именем учетной записи однозначно определяет пользователя или группу в рабочей группе MS Access [MSA]. Люк (trap door) — скрытый программный или аппаратный меха­ низм, позволяющий обойти механизмы защиты системы. Обычно это использование недокументированных точек входа (они вставляются в программы на стадиях разработки или на­ ладки, а затем при определенных условиях оказываются лиш ­ ними и неудаленными) для проникновения в систему. Сущест­ вует два основных типа люков: внутренние и внешние. К пер­ вым относятся некоторые внутренние элементы системы (например, дата-временное значение, счетчик и т. д .), опреде­ ляющие требуемые условия; к другому типу относятся внешние элементы (например, удаленный терминал). Макрос — макрокоманда или набор макрокоманд, используемый для автоматического выполнения некоторых операций. М акро­ сы записываются на языке программирования Visual Basic для приложений [MSOF]. Мандатное управление доступом (mandatory access control) — разгра­ ничение доступа субъектов к объектам, основанное на харак­ теризуемой меткой конфиденциальности информации, содер­ жащейся в объектах, и официальном разрешении (допуске) субъектов обращаться к информации такого уровня конфиден­ циальности. Маскарад — выступление одного пользователя от имени другого (присвоение прав и привилегий). Матрица доступа (access matrix) — таблица, отображающая правила разграничения доступа. Межсетевой экран (FireWall) — устройство, программа, которые осуществляют фильтрацию данных на основе заранее заданной базы правил, что позволяет реализовывать гораздо более гиб­ кую политику безопасности по сравнению с традиционными операционными системами. При комплексной фильтрации, охватывающей сетевой, транспортный и прикладной уровни, в правилах могут фигурировать сетевые адреса, количество пере­ данных данных, операции прикладного уровня, параметры о к­ ружения (например, время) и т. п.
Метка конфиденциальности (sensitivity label) — элемент информ а­ ции, который характеризует конфиденциальность информа­ ции, содержащейся в объекте. Методы гаммирования — способы выполнения наложения на исход­ ный текст некоторой последовательности кодов, называемой гаммой. Методы защиты от вирусов — общие средства защиты информации, которые полезны так же, как страховка от физической порчи дисков, неправильно работающих программ или ошибочных действий пользователя; профилактические меры, позволяющие уменьшить вероятность заражения вирусом; специализирован­ ные программы для защиты от вирусов. Многоуровневая защита (multilevel secure) — защита, обеспечиваю­ щая разграничение доступа субъектов с различными правами доступа к объектам различных уровней конфиденциальности. Модификация — осуществление третьей неавторизованной стороной не только доступа к компоненту, но и манипуляций с ним. Н а­ пример, модификациями являются неавторизованное измене­ ние данных в базах данных или вообще в файлах компьютер­ ной системы, изменение алгоритмов используемых программ с целью выполнения некоторой дополнительной незаконной об­ работки. Иногда модификации обнаруживаются достаточно быстро (если не сразу), но более тонкие модификации могут оставаться необнаруженными весьма длительное время. Модуль класса — модуль, содержащий описание нового объекта. Новый объект создается при появлении каждого экземпляра класса. Процедуры, определенные в этом модуле, становятся свойствами и методами объекта. Модули классов могут суще­ ствовать независимо или связываться с формами и отчетами [MSA]. Монопольный доступ — вид доступа к базе данных, совместно и с­ пользуемой в сети. Если база данных открыта данным пользо­ вателем в режиме монопольного доступа, другие пользователи не могут открыть эту базу данных [MSA]. Надстройка — вспомогательная программа, служащая для добавле­ ния в MS Office специальных команд или возможностей (в том числе для мастеров) [MSOF].
Нарушитель ПРД (правил разграничения доступа — security policy violator) — субъект доступа, осуществляющий несанкциониро­ ванный доступ к информации. Некритичная (несекретная) информация (unclassified) — класс дан­ ных, не требующих специальной защиты от НСД. Нетипичная активность — разновидность деятельности субъектов СОИ, которая может напрямую и не нарушать политику безо­ пасности, но, как правило, является следствием либо некор­ ректной (или сознательно измененной) работы аппаратуры или программ, либо действий злоумышленников, маскирующихся под легальных пользователей. Объект систем активного аудита. НСД (несанкционированный доступ к информации — unauthorized access to information) — доступ к информации, нарушающий правила разграничения доступа с использованием штатных средств (совокупность программного, микропрограммного и технического обеспечения средств вычислительной техники или автоматизированных систем). Обнаружение, основанное на сигнатурах, — метод работы антивиру­ сов и систем обнаружения вторжений, при котором программа, просматривая файл или пакет, обращается к словарю с описа­ ниями известных атак, составленному авторами программы. В случае соответствия какого-либо участка кода просматривае­ мой программы известному коду (сигнатуре) вируса в словаре, программа-антивирус может удалить, «вылечить» либо помес­ тить в «карантин» зараженный файл. Объект (object) — сущность, элемент системы (т. е. запись, страни­ ца памяти, программа, принтер и т. д .), связанный с хранением или получением информации. Если субъект имеет доступ к объекту, он (субъект) исходит из того, что объект предоставит ему доступ к хранимой им информации. Объект доступа (access object) — единица информационного ресур­ са автоматизированной системы, доступ к которой регламенти­ руется правилами разграничения доступа. Окно базы данных — окно, которое открывается при открытии базы данных MS Access или проекта MS Access. В окне базы данных выводятся ярлыки для создания новых объектов базы данных и открытия существующих объектов [MSA].
Операционная безопасность данных (operational data security) — защ и­ та данных от модификации, разрушения или разглашения (слу­ чайных, неавторизованных либо преднамеренных) во время выполнения операций ввода, обработки или вывода. «Оранжевая» книга (orange book) — полное название «Department of Defence Trusted Computer System Evaluation Criteria» DOD 5200.28-STD («Критерии безопасности доверенных/надежных компьютерных систем министерства обороны США») — госу­ дарственный стандарт оценивания безопасности компьютерных систем, устанавливающий четыре иерархических класса — А, В, С и D — определенных уровней доверенности (иными словами, уверенности в безопасности) для конкретных приложений, раз­ рабатываемых и используемых в интересах правительства. Отслеживаемость (accountability) — возможность для ответствен­ ных лиц восстанавливать ход нарушения или попытки наруше­ ния безопасности информационной системы. Оценка риска (risk assessment) — методы анализа угроз и слабых сто­ рон, известных и предполагаемых, позволяющие определить размер ожидаемого ущерба и степень его приемлемости для ра­ боты системы. Пароль (password) — идентификатор субъекта доступа, который яв­ ляется его (субъекта) секретом. Перехват — доступ некоторой третьей неавторизованной стороны к компоненту. Примерами перехвата являются незаконное копи­ рование программ и данных, неавторизованное чтение данных из линий связи компьютерной сети и т. д. Период доступа (access period) — временной интервал, в течение ко­ торого действуют права доступа. В основном этот период опре­ деляется в днях или неделях. Персональные данные — информация (зафиксированная на любом ма­ териальном носителе) о конкретном человеке, которая отождест­ влена или может быть отождествлена с ним. К персональным данным могут быть отнесены сведения, использование которых без согласия субъекта персональных данных может нанести вред его чести, достоинству, деловой репутации, доброму имени, иным нематериальным благам и имущественным интересам. Персональный идентификационный номер (Personal Identification Number — PIN) — персональный код некоторого лица, обеспе­
чивающий ему возможность входа в систему с управляемым доступом. Подделка — добавление нарушителем некоторого фальшивого про­ цесса в систему для выполнения нужных ему, но не учитывае­ мых системой, действий, либо подложные записи в файлы сис­ темы или других пользователей. Например, зная формат запи­ си в файле, на основании которого в некоторой организации начисляется зарплата, вполне можно занести в этот файл под­ дельную запись. При начислении зарплаты эта запись будет об­ рабатываться (если все сделано достаточно тонко) наравне с за­ конными записями, при этом деньги могут переводиться на счет злоумышленника. Показатель защищенности средств вычислительной техники (pro­ tection criterion of computer systems) — характеристика средств вычислительной техники, влияющая на защищенность и опи­ сываемая определенной группой требований, варьируемых по уровню, глубине в зависимости от класса защищенности средств вычислительной техники. Полиморфизм (греч. — много + греч. цортгпа — форма) — тех­ нология, затрудняющая обнаружение компьютерного вируса. Полиморфизм заключается в формировании кода вируса «на лету» — уже во время исполнения, при этом сама процедура, формирующая код, также может изменяться при каждом новом заражении. Полиморфные вирусы модифицируют свой код в зараженных программах таким образом, что два экземпляра од­ ного и того же вируса могут не совпадать ни в одном бите. ПРД (правила разграничения доступа — security policy) — совокуп­ ность правил, регламентирующих права доступа субъектов дос­ тупа к объектам доступа. Принудительное/мандатное управление доступом (mandatory access control) — ограничение доступа к определенным объектам, ус­ тановленное на основании выявленной степени критичности информации, содержащейся в данном объекте. При этом обес­ печивается «прозрачность» данного объекта для всех неавтори­ зованных лиц, т. е. объект как бы невидим для них. Управление является полномочным, поскольку субъект с конкретными пра­ вами доступа не может передавать эти права другому субъекту. Проактивная защита — технология обнаружения вирусов, базирую­ щаяся на анализе действий программ.
Проверка подлинности — процесс проверки источника сертификата, предоставленного Web-узлом или использованного для подпи­ сания макроса. Если выбранный на компьютере уровень безо­ пасности не предусматривает проверку подлинности цифровой подписи, сертификат игнорируется либо пользователю выво­ дится приглашение решить вопрос о доверии [MSOF]. Программы доктора-ревизоры не только обнаруживают изменения в файлах и системных областях дисков, но и могут в случае из­ менений автоматически вернуть их в исходное состояние. Та­ кие программы могут быть гораздо более универсальными, чем программы-доктора, поскольку при лечении они используют заранее сохраненную информацию о состоянии файлов и об­ ластей дисков. Это позволяет им вылечивать файлы даже от тех вирусов, которые не были созданы на момент написания про­ граммы. Но они могут лечить не от всех вирусов, а только от тех, которые используют «стандартные», известные на момент написания программы, механизмы заражения файлов. Программы-вакцины, или иммунизаторы, модифицируют программы и диски таким образом, что это не отражается на работе про­ грамм, но тот вирус, от которого производится вакцинация, считает эти программы или диски уже зараженными. Программы-детекторы позволяют обнаруживать файлы, заражен­ ные одним из нескольких известных вирусов. Эти программы проверяют, имеется ли в файлах на указанном пользователем диске специфическая для данного вируса комбинация байтов. При ее обнаружении в каком-либо файле на экран выводится соответствующее сообщение. Многие детекторы имеют режи­ мы лечения или уничтожения зараженных файлов. Программы-ревизоры реализуют две стадии работы — сначала они запоминают сведения о состоянии программ и системных об­ ластей дисков (загрузочного сектора и сектора с таблицей раз­ биения жесткого диска). Предполагается, что в этот момент программы и системные области дисков не заражены. После этого с помощью программы-ревизора можно в любой момент сравнить состояние программ и системных областей дисков с исходным. О выявленных несоответствиях сообщается пользо­ вателю. Программы-фильтры располагаются резидентно в оперативной па­ мяти компьютера и перехватывают те обращения к операцион­
ной системе, которые используются вирусами для размножения и нанесения вреда, и сообщают о них пользователя. Пользова­ тель может разрешить или запретить выполнение соответствую­ щей операции. Некоторые программы-фильтры не «ловят» по­ дозрительные действия, а проверяют вызываемые на выполне­ ние программы на наличие вирусов. Это вызывает замедление работы компьютера. Однако преимущества использования про­ грамм-фильтров весьма значительны — они позволяют обнару­ жить многие вирусы на самой ранней стадии, когда вирус еще не успел размножиться и что-либо испортить. Тем самым мож­ но свести убытки от вируса к минимуму. Проект макроса — совокупность компонентов, в том числе форм, текста программы и модулей классов, которые составляют мак­ рос. Проекты макросов, созданные в редакторе MS Visual Basic для приложений, можно включать в надстройки и большинст­ во приложений MS Office [MSOF]. Профессиональная тайна — защищаемая по закону информация, до ­ веренная или ставшая известной лицу (держателю) исключи­ тельно в силу исполнения им своих профессиональных обязан­ ностей, не связанных с государственной или муниципальной службой, распространение которой может нанести ущерб пра­ вам и законным интересам другого лица (доверителя), доверив­ шего эти сведения, и не являющаяся государственной или ком ­ мерческой тайной. Процедурная безопасность (procedural security) — ограничения со стороны управляющих органов; операционные, администра­ тивные и учетные процедуры; соответствующие способы управления, используемые с целью обеспечения требуемого уровня безопасности для критичных к защите информации данных. Рабочая группа — группа пользователей сети, которые работают с данными в режиме общего доступа и имеют общий файл рабо­ чей группы [MSA]. Радужная серия (rainbow series) — опубликованные стандарты безо­ пасности, используемые Министерством обороны США, на­ званные каждый по цвету обложки. Например, «Красная кн и­ га» описывает вопросы безопасности в сетях, «Желтая кни­ га» — безопасность паролей, «Оранжевая книга» — доверенные компьютерные системы, и т. д.
Разрешение — правило (или набор атрибутов), связанное с объектом и используемое для управления доступом пользователей к это­ му объекту (данные или объекты в базе данных). Разрешения предоставляются и аннулируются владельцем объекта [MSW]. Редактор Visual Basic — среда разработки новых и редактирования существующих программ и процедур Visual Basic для приложе­ ний, которая включает полный набор средств отладки, обеспе­ чивающих обнаружение ошибок синтаксиса, ошибок выполне­ ния и логических ошибок в программах [MSOF]. Режим конструктора — окно, в котором отображается макет сле­ дующих объектов базы данных: таблицы, запросы, формы, от­ четы, макросы и страницы доступа к данным. В режиме конст­ руктора пользователь создает новые объекты базы данных или изменяет макеты существующих [MSA]. Резервное копирование (backup) — процесс создания копии данных на внешнем носителе, что позволяет осуществлять быстрое и недорогое восстановление информации (документов, про­ грамм, настроек и т. д.) в случае утери рабочей копии инфор­ мации по какой-либо причине. Кроме этого решаются смеж­ ные проблемы — дублирование данных, передача данных и р а­ бота с общими документами и т. д. Резидентный вирус при заражении (инфицировании) компьютера оставляет в оперативной памяти свою резидентную часть, ко­ торая потом перехватывает обращение операционной системы к объектам заражения (файлам, загрузочным секторам дисков и т. п.) и внедряется в них. Резидентные вирусы находятся в памяти и являются активными вплоть до выключения или пе­ резагрузки компьютера. Нерезидентные вирусы не за­ ражают память компьютера и являются активными ограничен­ ное время. Репликация — процесс создания копий баз данных (реплик), кото­ рые могут обмениваться обновляемыми данными или реплици­ рованными формами, отчетами или другими объектами) базы данных. Репликация позволяет пользователям создавать копию общей базы данных, а также добавлять поля и вносить другие изменения в текущую базу данных [MSA]. Репликация базы данных — процесс создания двух или нескольких копий (реплик) одной базы данных Access. В репликах возмож­ на синхронизация изменений, внесенных в данные одной из
реплик, или синхронизация изменений макета, выполненных в основной реплике [MSA]. Риск (risk) — возможность проведения злоумышленником успешной атаки в отношении конкретной слабой стороны системы. Санкционированный доступ к информации (authorized access to information) — доступ к информации, не нарушающий правила разграничения доступа. Сборка мусора, повторное использование объекта (object reuse) — пре­ доставление некоторому субъекту доступа к магнитной среде памяти, содержащей один и более объектов. Будучи доступной для субъекта, магнитная среда может в то же время содержать остаточные следы данных от объекта, содержавшегося на этом месте ранее. Связывание (таблиц) — установление связи с данными из другого приложения, что позволяет просматривать и изменять данные и в исходном приложении, и в MS Access [MSA]. СЗИ НСД (система защиты информации от несанкционированного доступа — system of protection from unauthorized access to information) — комплекс организационных мер и программ­ но-технических (в том числе криптографических) средств за­ щиты от несанкционированного доступа к информации в авто­ матизированных системах. Сигнатура атаки (вируса) — характерные признаки атаки (вируса), используемые для их обнаружения. Это либо «синтаксические» сигнатуры, взятые непосредственно из тела атаки (файла виру­ са и пр.), либо сигнатуры, основанные на аномалиях поведения программы, например, слишком активное обращение к како­ му-либо сетевому порту на компьютере. Скрытый канал (covert channel) — канал коммуникации, позволяю­ щий процессу передавать информацию путем, нарушающим политику безопасности, реализуемую в данной системе. След контроля (audit trail) — журнал записей о транзакциях, выпол­ няемых в системе, которые (записи) в совокупности докумен­ тируют ход обработки информации в системе, что в свою оче­ редь позволяет проследить (провести трассировку) его вперед — от исходных транзакций до создаваемых в процессе их работы записей и/или отчетов, а также назад — от конечных запи­ сей/отчетов до исходных транзакций. Последовательность за­
писей, составляющих след контроля, позволяет определить ис­ точники возникновения транзакций в системе и последователь­ ность их выполнения системой. Служебная тайна — защищаемая по закону конфиденциальная ин­ формация, ставшая известной в государственных органах и ор­ ганах местного самоуправления только на законных основани­ ях и в силу исполнения их представителями служебных обязан­ ностей, а также служебная информация о деятельности государственных органов, доступ к которой ограничен феде­ ральным законом или в силу служебной необходимости. Специальные разрешения на доступ — специальный набор разреше­ ний для томов NTFS. Пользователь имеет возможность изме­ нять разрешения на файлы и каталоги, выбирая отдельные компоненты стандартного набора разрешений [MSW]. СРД (система разграничения доступа — security policy realization) — совокупность реализуемых правил разграничения доступа в средствах вычислительной техники или автоматизированных системах. Страница доступа к данным — опубликованная с помощью MS Access Web-страница, имеющая подключение к базе данных. С помощью страниц доступа к данным можно просматривать, добавлять, изменять и обрабатывать данные, хранящиеся в базе данных. Страницы доступа к данным могут также содержать данные из других источников, таких как MS Excel [MSAJ. Субъект (subject) — активная сущность (процесс, пользователь, уст­ ройство и т. д.), вызывающая образование информационного потока между объектами или изменения состояния системы. Субъект доступа (access subject) — лицо или процесс, действия ко­ торого регламентируются правилами разграничения доступа. Сценарий — именованный набор входных значений, которые можно подставить в электронную таблицу. Терапия — дезактивация конкретного вируса в зараженных програм­ мах специальной программой-фагом или восстановление пер­ воначального состояния программ путем «выкусывания» всех экземпляров вируса из каждого зараженного файла или диска с помощью этой программы. Троянский конь (trojan horse) — компьютерная программа, имити ­ рующая выполнение или реально выполняющая некоторую по­
лезную функцию, но в то же время выполняющая и некоторую дополнительную (скрытую) функцию, позволяющую обойти систему защиты за счет скрытого использования законной ав­ торизации вызывающего процесса. В ней содержится недоку­ ментированный (скрытый) модуль, который не вызывает по­ дозрения и в дальнейшем выполняет недопустимые действия. Угроза (threat) — характеристики, свойства, условия системы и о к­ ружающей ее среды, которые в соответствующих условиях мо­ гут вызвать появление опасного события. Для компьютерной системы — это условия, представляющие потенциальную воз­ можность нанесения ущерба компьютерной системе. Атаки — частный вид угроз так же, как и стихийные бедствия, человече­ ские ошибки, программные сбои и т. д. Угроза доступа к остаточным данным в оперативной и внешней па­ мяти компьютера является одной из основных угроз хищения информации. Под остаточной информацией понимаются дан­ ные, оставшиеся в освободившихся участках оперативной и внешней памяти компьютера. Управление — в терминологии безопасности называется защитный механизм (действие, устройство, процедура, технология и т. д .), уменьшающий уязвимость компьютерной системы. Управление доступом (access control) — в сетях или их компонен­ тах — задачи, выполняемые аппаратурой, программным обес­ печением и администрацией с целью отслеживания выполняе­ мых в системе операций, целостности данных, доступа и моди­ фикаций системных записей, выполнения пользователями идентификации и предоставление пользователям доступа. Уровень полномочий субъекта доступа (subject privilege) — совокуп­ ность прав доступа субъекта доступа. Учетная запись Admin — стандартная учетная запись пользователя. При установке MS Access учетная запись пользователя Admin автоматически включается в создаваемый файл рабочей группы [MSA]. Учетная запись группы — совокупность учетных записей пользовате­ лей, входящих в рабочую группу, имеющая собственные груп­ повое имя и личный код (PID). Разрешения, назначенные группе, автоматически получает каждый пользователь, входя­ щий в группу [MSA].
Ущерб — не только явное повреждение какого-либо из компонентов компьютерной системы, но и приведение компонентов систе­ мы в неработоспособное состояние (например, обесточивание помещения, в котором находятся аппаратные средства), и р аз­ личного рода утечки информации (например, незаконное к о ­ пирование программ, получение конфиденциальных данных), и изменение некоторых физических и логических характери­ стик компьютерной системы (например, неавторизованное д о ­ бавление записей в системные файлы, повышение загрузки системы за счет запуска дополнительного неучтенного процес­ са/программы и т. д.) . Определение возможного ущерба компь­ ютерной системы — дело весьма сложное, зависящее от многих условий. Следует понимать, что ущерб компьютерной систе­ мы — понятие также достаточно широкое. Уязвимость (vulnerability) — любая ошибка или слабая проработка (например, неопределенность условий обработки), существую­ щая в системе. Уязвимость создает предпосылки для наруше­ ния безопасности системы. При этом уязвимость существует независимо от того, известны какие-либо угрозы или нет. Уяз­ вимость может существовать либо только теоретически, либо иметь известный эксплойт. Файл рабочей группы — файл, который MS Access читает при запус­ ке, содержащий сведения о пользователях, входящих в рабочую группу. Эти сведения включают имена учетных записей поль­ зователей, их пароли и имена групп, в которые входят пользо­ ватели [MSA]. Файл MS Access — файл базы данных MS Access или проекта MS Access. В базе данных MS Access объекты и данные сохраняют­ ся в файле . mdb. Файл проекта не содержит данные и подклю­ чается к базе данных MS SQL Server [MSA]. Физическая безопасность (physical security) — совокупность охраны, замков, пропусков и других средств управления физическим доступом к компьютеру и периферии. Термин употребляется также в отношении средств защиты помещений, в которых на­ ходится оборудование, от пожара, стихийных бедствий и ката­ строф. Физическая целостность информации — отсутствие искажений или уничтожения элементов информации.
Целостность (integrity) — состояние, в котором данные или про­ граммы используются установленным образом, обеспечиваю­ щим устойчивую работу системы; автоматическое восстановле­ ние в случае обнаружения системой потенциальной ошибки; автоматическое использование альтернативных компонентов вместо вышедших из строя. Примером является дублирование важных файлов с тем, чтобы в случае обнаружения ошибки или утери оригинального файла использовать его копию. Другим примером является поддержание двух и более путей доступа к устройству хранения. Целостность данных (data integrity) — состояние, при котором дан­ ные, представленные в компьютере, в точности соответствуют данным в исходных документах и при этом не могут быть под­ вержены неумышленным или умышленным искажениям или разрушениям. Целостность информации (information integrity) — способность сред­ ства вычислительной техники или автоматизированной систе­ мы обеспечивать неизменность информации в условиях слу­ чайного и (или) преднамеренного искажения (разрушения). Целостность системы (system integrity) — состояние системы, в котором существует полная гарантия того, что при любых ус­ ловиях компьютерная система базируется на логически за­ вершенных аппаратных и программных средствах, обеспечи­ вающих работу защитных механизмов, логическую коррект­ ность и достоверность операционной системы и целостность данных. Цифровая подпись — шифрованная электронная подпись, подтвер­ ждающая подлинность макроса или документа. Наличие циф­ ровой подписи подтверждает, что макрос или документ был получен от владельца подписи и не был изменен [MSOF]. Цифровой сертификат — вложение в файл, проект макроса или со­ общение электронной почты, подтверждающее его подлин­ ность, обеспечивающее шифрование или предоставляющее поддающуюся проверке подпись. Для цифрового подписыва­ ния проектов макросов необходимо установить цифровой сер­ тификат [MSOF]. Червь (worm) — программа, внедряемая в систему, часто злонаме­ ренно, и прерывающая ход обработки информации в системе. Это программы, которые распространяются через сеть, вычис­
ляют адреса сетевых компьютеров и записывают по этим адре­ сам свои копии. В отличие от вирусов червь обычно не иска­ жает файлы данных или программы. Обычно червь выполняет­ ся, оставаясь необнаруженным, и затем самоуничтожается. Шаблон — файл или файлы, содержащие структуру и инструменты для создания таких элементов законченных файлов, как стиль и макет страницы. Например, шаблоны MS Word позволяют создавать отдельные документы, а шаблоны MS FrontPage — целые Web-узлы [MSOF]. Эвристическое сканирование — метод работы антивирусной програм­ мы, основанный на сигнатурах и эвристике, призван улучшить способность сканеров применять сигнатуры и распознавать мо­ дифицированные версии вирусов в тех случаях, когда сигнату­ ра совпадает с телом неизвестной программы не на 100 %, но в подозрительной программе налицо более общие признаки ви­ руса. Данная технология, однако, может повысить количество ложных срабатываний. Экранирование — сервис безопасности, выполняющий следующие функции: разграничение межсетевого доступа путем фильтра­ ции передаваемых данных; преобразование передаваемых д ан­ ных. Эксплойт (англ. exploit — использовать) — общий термин для обо­ значения фрагмента программного кода, который, используя возможности, предоставляемые ошибкой, отказом или уязви­ мостью, приводит к повышению привилегий или отказу в об­ служивании компьютерной системы. Экспозиция — форма возможной потери или ущерба для компьютер­ ной системы. Например, экспозициями считаются неавторизо­ ванный доступ к данным или противодействие авторизованно­ му использованию компьютерной системы. Электронная цифровая подпись (ЭЦП) — реквизит электронного до­ кумента, предназначенный для защиты данного электронного документа от подделки, полученный в результате криптографи­ ческого преобразования информации с использованием закры­ того ключа электронной цифровой подписи и позволяющий идентифицировать владельца сертификата ключа подписи, а также установить отсутствие искажения информации в элек­ тронном документе.
Adware (иногда — Adbot) — программы назойливого рекламирова­ ния. Они демонстрируют рекламные объявления, обычно в виде всплывающих окон. Технология выполнения этой про­ стой задачи может изменяться в самых широких пределах, а степень воздействия на систему пользователя может варьиро­ ваться от приемлемого уровня рекламы до отказа в обслужива­ нии из-за множества открывающихся окон и переадресовок браузера. Browser hijacker (налетчик, перехватчик браузера) — разновидность шпионских программ, которая изменяет домашнюю страницу и другие настройки браузера так, чтобы в дальнейшем установить на компьютере шпионские программы для несанкционирован­ ного съема и передачи информации. Некоторые разновидности таких программ перехватывают запросы и переадресуют их на посторонние страницы. Таким образом, пользователь может попасть на сайт, который он никогда бы не стал посещать по доброй воле. Computer surveillance — технические и программные средства наблю­ дения за компьютерами (отслеживания деятельности пользова­ теля, информационного трафика и пр.), а также использование компьютера для наблюдения за обстановкой и несанкциониро­ ванной передачи собранной информации «на сторону». Разно­ видности — keylogger, tracking software. Deface (англ. deface — уродовать, искажать) — тип хакерской атаки, при которой содержание страницы Web-сайта (обычно это главная страница) заменяется на другое (это может быть рекла­ ма, предупреждение, угроза и т. д.), а доступ ко всему осталь­ ному сайту блокируется или же исходное содержимое сайта удаляется. DOD Guidelines for Computer Security — совокупность правил, уста­ новленных Министерством Обороны США (DOD — Department of Defence) для определения степени безопасности узлового программного обеспечения — операционных систем, узловых средств контроля доступа и т. д. DoS-атака (от англ. Denial of Service — отказ в обслуживании) — атака злоумышленника на компьютерные системы, целью ко­ торой является создание таких условий, при которых легитим­ ные пользователи системы не смогут получить доступ к пре­ доставляемым системой ресурсам либо этот доступ будет за-
трудней. Разновидность — DDoS-атака (Distributed Denial of Service — «распределенный» отказ в обслуживании). Formal securiy policy model — формальная модель политики безопас­ ности — политика безопасности, выраженная точным матема­ тическим образом, включающим начальное состояние систе­ мы, способы перехода системы из одного состояния в другое и определение «безопасного» состояния системы. Hacking — неавторизованная попытка доступа к базе данных узла. Часто этот термин используется в отношении лиц, пытающих­ ся получить доступ к узловой базе данных с удаленного узла за счет обхода (обмана) средств контроля доступа в сети. Hosts file (указатель хостов, серверов) — текстовый файл, отражаю­ щий связь между именем сервера и его IP-адресом (например, rhino.acme .com - 102.54.94.97), что позволяет осуществ­ лять доступ к серверам, даже если система доменных имен (DNS) не функционирует. Файл размещается в служебных ка­ талогах ОС (например, для Windows ХР это c:\windows\ system32\drivers\etc). Атака шпионских программ может привести к замещению содержания файла и установке ссылок на нежелательные Web-сайты. HTTP cookies — индексы навигации, иногда именуемые web cookies, tracking cookies или просто cookies, представляют собой неболь­ шие (до 4 Кбайт) текстовые файлы, посылаемые с сервера на Web-браузер пользователя, а затем передаваемые обратно при каждом обращении к серверу. Используются для аутентифика­ ции и персонализации пользователей, отслеживания навигации и сохранения специфической для пользователя информации (в частности, для формирования «электронной корзины заку­ пок», куда пользователь «складывает» свои приобретения в Internet-магазинах). Intrusion Detection System (IDS) — система обнаружения вторжений (СОВ) — программное средство, предназначенное для выявле­ ния фактов неавторизованного доступа в компьютерную систе­ му или сеть. Различают хостовые, сетевые, гибридные, а также пассивные и активные СОВ в зависимости от того, какие сен­ соры используются для получения первичной информации, и от способности систем предпринимать действия в ответ на вы­ явленные нарушения безопасности.
Keylogger (клавиатурный шпион) — программная закладка (или аппа­ ратный «жучок»), которая записывает нажатия клавиш на компь­ ютере, фиксируя пароли, переписку по электронной почте и т. д. Malware (сокращение от malicious software — вредоносное про­ граммное средство). Этот термин может относиться к конкрет­ ной программе (наподобие вируса или червя), наносящей ре­ альный ущерб, или обозначать любое нежелательное про­ граммное обеспечение. ОМВА-123 — директива федерального правительства США, опреде­ ляющая, что при выполнении любыми правительственными органами или любыми компаниями работ для правительства с использованием компьютеров подрядчики должны составить краткий план идентификации и защиты ресурсов их информ а­ ционной системы. Privacy Act of 1974 — закон о защите персональной информации 1974 г. (США), касается прав лица управлять или влиять на тип и объем информации, которая может быть о нем собрана и сохранена, а также на то, кому эта информация может быть передана. Rootkit (руткит, от англ. root kit, т. е. «набор root'a», корневого ката­ лога НЖМД) — программа или набор программ для скрытия следов присутствия злоумышленника или вредоносной про­ граммы в системе. Scumware (программы переадресации/«переманивания») — про ­ граммное средство, которое тайком проникает на компьютер пользователя и при открытии определенных Web-сайтов де­ монстрирует всплывающие окна с рекламой в попытке переад­ ресовать пользователя на другой (конкурирующий или связан­ ный) сайт. Фактически Scumware позволяет диверсионными методами воровать трафик с часто посещаемых сайтов. Spy Ware — шпионское программное обеспечение, которое атакует компьютеры с целью кражи личной информации, а также для получения доступа к идентификационным данным. Исследова­ ние IDC показало, что на 2/з компьютеров установлены про­ граммы-шпионы, а в 2003 г. на приобретение антишпионского программного обеспечения (AntiSpyWare) было потрачено 12 млн долл. SQL injection (инъекция SQL) — способ взлома сайтов и программ, работающих с базами данных, основанный на внедрении в за­
прос произвольного SQL-кода, который может дать возмож­ ность атакующему выполнить произвольный запрос к базе дан­ ных (например, прочитать содержимое любых таблиц, удалить, изменить или добавить данные), а также получить возможность выполнения произвольных команд на атакуемом сервере. Stopbadware.org — некоммерческая организация, целью которой яв­ ляется борьба с вредоносными программами (известными как malicious software/malware или badware). Учредителями органи­ зации являются Гарвардская юридическая школа и Оксфорд­ ский Internet-институт, поддержку осуществляют такие струк­ туры, как Google, Sun Microsystems и пр. Trackers — элементы программных средств, которые собирают све­ дения о пользователе. Опасны, поскольку среди собранной ими информации может оказаться конфиденциальная или со­ ставляющая факт вторжения в частную жизнь (privacy violation, privacy invasion). Visual Basic для приложений (VBA) — макроверсия языка программи­ рования MS Visual Basic, используемая для программирования приложений MS Windows и поставляемая с некоторыми прило­ жениями корпорации Майкрософт [MSOF].
Оглавление Введение 3 Глава 1. ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ И ЗАЩИТА ИНФОРМАЦИИ. ОБЩИЕ ПРОБЛЕМЫ И ОСНОВНЫЕ ПРИНЦИПЫ 9 1.1. Национальные интересы и безопасность 9 1.2. Информационная безопасность 19 1.3. Защита информации 47 Глава 2. УГРОЗЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ СИСТЕМ ОБРАБОТКИ ИНФОРМАЦИИ И МЕТОДЫ БОРЬБЫ С НИМИ 75 2.1. Преднамеренные угрозы безопасности СОИ и направления защиты 75 2.2. Программно-технические угрозы информационной безопасности ПК 87 2.3. Средства борьбы с угрозами. Управление доступом 125 2.4. Криптографическое закрытие 137 2.5. Протоколирование, аудит и прочие направления обеспечения безопасности 157 Глава 3. ЗАЩИТА ИНФОРМАЦИИ В ОПЕРАЦИОННЫХ СИСТЕМАХ И ПРИЛОЖЕНИЯХ 181 3.1. Обеспечение информационной безопасности в ОС 181 3.2. Обеспечение безопасности в приложениях MS Word и Excel 208 3.3. Защита информации в БД на примере MS Access 224
Глава 4. НЕКОТОРЫЕ ПРОГРАММНО -ТЕХНИЧЕСКИЕ СРЕДСТВА ЗАЩИТЫ ИНФОРМАЦИИ В ПК 243 4.1. Средство программной защиты ПК — Ad-Aware 243 4.2. Антивирусная система Dr.Web для Windows 253 4.3. Антивирус-ревизор диска ADinf 265 4.4. ESET Smart Security 278 4.5. Антивирус Касперского 291 4.6. Symantec AntiVirus 309 4.7. Аппаратные средства защиты 319 Заключение 333 Литература 335 Глоссарий (терминологический словарь) 338
Емельянова Наталия Захаровна Партыка Татьяна Леонидовна Попов Игорь Иванович Защита информации в персональном компьютере Учебное пособие Редактор А. В. Волковицкая Корректор А. В. Алешина Компьютерная верстка И. В. Кондратьевой Оформление серии П. Родькина Сдано в набор 10.11.2008. Под писано в печать 10.12.2008. Формат 60x90/16. Гарнитура «Таймс». Уел. печ. л. 23,0. Уч. - изд. л. 23,6. Бумага офсетная. Тираж 2000 экз. Заказ No 5325 Издательство «ФОРУМ» 101000, Москва — Центр, Колпачный пер., д. 9а Тел./факс: (495) 625-32 -07, 625-52 -43 E-mail: mail@forum-books.ru По вопросам приобретения книг обращайтесь: Отдел продаж издательства «ФОРУМ» 101000, Москва — Центр, Колпачный пер., д. 9а Тел./факс: (495) 625-32 -07, 625 -52 -43 E-mail: natali@forum-books.ru Отдел продаж «ИНФРА-М» 127282, Москва, ул. Полярная, д. 31в Тел.: (495) 380-05-40 (доб. 252) Факс: (495) 363-92 -12 E-mail: ati@infra-m.ru Центр комплектования библиотек 119019, Москва, ул. Моховая, д. 16 (Российская государственная библиотека, кор. К) Тел.: (495) 202-93 -15 Магазин «Библиосфера» (розничная продажа) 109147, Москва, ул. Марксистская, д. 9 Тел .:(495) 670-52 -18, (495) 670-52 -19 Отпечатано с элек тронных носи телей издательства. ОАО "Тверской по ли графическ ий комбинат" 170024, г. Тверь, п р-т Ленина, 5. Телефон: (4822) 44-52-ЮЗ, 44 -50 -34 , Телеф он/факс: (4822)44-42 -15 Home page - www .tverpk.ru Элек тронна я почта (E-m ail) - sales@tverpk.ru *