Дина Погонышева - Безопасность информационных систем. Учебное пособие

Модификация информации

Одной из особенностей любой системы воздействия, построенной по принципу ложного сервера, является то, что она способна модифицировать перехваченную информацию.

Рассмотрим два вида модификации информации:

1) модификация передаваемых данных;

2) модификация передаваемого кода.

Модификация передаваемых данных . В результате селекции потока перехваченной информации и его анализа система может распознавать тип передаваемых файлов (исполняемый или текстовый). При обнаружении текстового файла или файла данных появляется возможность модифицировать данные, проходящие через ложный сервер. Особую угрозу эта функция представляет для сетей обработки конфиденциальной информации.

Модификация передаваемого кода . Ложный сервер, проводя семантический анализ проходящей через него информации, может выделять из потока данных исполняемый код. Чтобы определить, что передается код или данные по сети необходимо использовать определенные особенности, свойственные реализации сетевого обмена в конкретной сетевой операционной системе или некоторые особенности, присущие конкретным типам исполняемых файлов локальной операционной системе.

Выделяют два различных по цели вида модификации кода:

1) внедрение вредоносных программ;

2) изменение логики работы исполняемого файла. При внедрении вредоносных программ исполняемый файл модифицируется по вирусной технологии. К исполняемому файлу дописывается тело вредоносной программы и изменяется точка входа так, чтобы она указывала на внедренный код вредоносной программы. Файл поражен вирусом или вредоносной программой в момент передачи его по сети. Такое возможно лишь при использовании системы воздействия, построенной по принципу ложный сервер.

Модификация исполняемого кода с целью изменения логики его работы требует предварительного исследования работы исполняемого файла и в случае его проведения может принести негативные результаты. Например, при запуске на сервере программы идентификации пользователей распределенной базы данных ложный сервер может так модифицировать код этой программы, что появится возможность беспарольного входа с наивысшими привилегиями в базу данных.

Подмена информации

Ложный сервер позволяет не только модифицировать, но подменять перехваченную им информацию. Если модификация информации приводит к ее частичному изменению, то подмена – к ее полному изменению. При этом дезинформация в зависимости от контролируемого события может быть воспринята либо как исполняемый код, либо как данные.

Допустим, что ложный сервер контролирует событие, которое заключается в подключении пользователя к серверу. В этом случае он ожидает, например, запуска соответствующей программы входа в систему. В случае, если эта программа находится на сервере, то при ее запуске исполняемый файл передается на рабочую станцию. Вместо того чтобы выполнить данное действие, ложный сервер передает на рабочую станцию код заранее написанной специальной программы – захватчика паролей. Эта программа выполняет визуально те же действия, что и настоящая программа входа в систему, например, спрашивается имя и пароль пользователя, после чего полученные сведения посылаются на ложный сервер, а пользователю выводится сообщение о ошибке. При этом пользователь, посчитав, что он неправильно ввел пароль (пароль обычно не отображается на экране), снова запустит программу подключения к системе и со второго раза войдет в нее. Результат такой атаки – имя и пароль пользователя, сохраненные на ложном сервере.

Сетевой шпион или удаленный контроль над станцией в сети

Сетевой шпион – это программная закладка или компьютерный вирус, функционирующий в сети ЭВМ, основная цель которого получение удаленного контроля над рабочей станцией в сети. Данный вид вредоносных программ добавляет еще один тип атак на сетевые операционные системы – удаленный съем информации и получение удаленного контроля над рабочей станцией в сети.

Основные этапы работы сетевого шпиона:

1) инсталляция в памяти;

2) ожидание запроса с удаленного атакующего компьютера, на котором запущена головная сервер-программа, и обмен с ней сообщениями о готовности;

3) передача перехваченной информации на головную сервер-программу или предоставление ей контроля над зараженным компьютером.

Основные функции сетевых шпионов:

1) перехват и передача вводимой с клавиатуры формации на головную сервер-программу;

2) перехват и передача экранной информации на головную сервер-программу;

3) перехват и передача на головную сервер-программу системной информации об ЭВМ (тип операционной системы, параметры ЭВМ, загруженные программы и т. д.);

4) получение контроля сервер-программой над зараженным удаленным компьютером (удаленный запуск программ, копирование данных, удаление данных и т. д.).

Сетевой шпион – активная атака по запросу, совершаемая с целью перехвата и искажения информации. Сетевой шпион это внутрисегментная и межсегментная удаленная атака, осуществляемая на сетевом уровне модели OSI.

Сетевой червь (WORM)

В сетях ЭВМ существует вид вирусов, называемый сетевыми червями (worm), распространяющийся в ней. Основная цель и задача сетевого червя – получение управления в операционной системе удаленного компьютера.

Основные этапы работы сетевого червя: 1. Поиск в сети цели атаки – удаленных ЭВМ.

2. Передача по сети своего кода на цель атаки.

3. Получение управления в операционной системе цели атаки.

4. Переход к п. 1. Основной проблемой для сетевого червя является получение управления на удаленном компьютере. Решение этой задачи на практике чрезвычайно затруднено, так как для ее решения необходимо либо знать имя и пароль пользователя для входа в компьютер, либо обладать информацией о люках или дырах в программном обеспечении, через которое осуществляется удаленный доступ, либо использовать ошибки администрирования служб предоставления удаленного доступа. Сетевой червь – активное воздействие, совершаемое с целью перехвата и искажения информации, начало которого безусловно по отношению к цели атаки. Сетевой червь – это внутрисегментная и межсегментная удаленная атака, осуществляемая на сетевом уровне модели OSI.

Межсетевой экран – инструмент реализации политики безопасности

Так как компьютерные системы разнородны (даже компьютеры одного типа и с одной операционной системой могут в соответствии с их назначением иметь различные конфигурации), то не имеет смысла осуществлять защиту каждого элемента системы в отдельности. Необходимо обеспечивать информационную безопасность для локальной сети в целом. Для этого используют межсетевые экраны (firewall или Брандма ́уэр).