5. УГРОЗЫ ПРОГРАММНО-МАТЕМАТИЧЕСКОГО ВОЗДЕЙСТВИЯ И СПОСОБЫ ЗАЩИТЫ ОТ НИХ
Программно-математическое воздействие – это воздействие на компьютерные системы с помощью вредоносных программ. Очевидно, что ПМВ является несанкционированным воздействием на систему.
Если компьютерная система содержит механизмы защиты от НСД, то несанкционированные действия – это, прежде всего:
отключение или видоизменение защитных механизмов нелегальным пользователем;
вход в систему под именем и с полномочиями реального пользователя.
Впервом случае злоумышленник должен видоизменить защитные механизмы в системе (например, отключить программу запросов паролей пользователей), во втором - каким-либо образом выяснить или подделать идентификатор реального пользователя (например, подсмотреть пароль, вводимый с клавиатуры).
Вобоих случаях НСД осуществляется на основе некоторого воздействия, произведенного предварительно внедренной в систему программой или несколькими программами.
Программой с потенциально опасными последствиями или вредоносной программой назовем некоторую самостоятельную программу (набор инструкций), которая способна выполнять любое непустое подмножество следующих функций:
скрывать признаки своего присутствия в программной среде ПЭВМ;
обладать способностью к самодублированию, ассоциированию себя с другими программами и/или переносу
123
своих фрагментов в иные области оперативной или внешней памяти;
разрушать (искажать произвольным образом) код программ в оперативной памяти;
сохранять фрагменты информации из оперативной памяти в некоторых областях внешней памяти прямого доступа (локальных или удаленных);
искажать произвольным образом, блокировать и/или подменять выводимый во внешнюю память или в канал связи массив информации, образовавшийся в результате работы прикладных программ, или уже находящиеся во внешней памяти массивы данных.
Самодублирование вредоносной программы - процесс воспроизведения своего собственного кода в оперативной или внешней памяти ПЭВМ. Ассоциирование с другой программой - внедрение своего кода, либо его части в код другой программы таким образом, чтобы при некоторых условиях управление передавалось на код вредоносной программы.
Вредоносные программы можно условно разделить на следующие классы:
-классические программы - вирусы (термин применен в 1984 году Ф. Коэном, профессором Лехайского университета [6])- специально созданная программа, которая наряду с выполнением какой-либо функции (возможно вредящей) обладает способностью к скрытому размножению в компьютерной среде путем включения в выполняемые или хранящиеся программы своей, возможно модифицированной копии, которая в свою очередь сохранять способность к дальнейшему размножению;
-программные закладки специально создаваемые разработчиками программного обеспечения фрагмента программного продукта, реализующие недекларированные
124
функции (программы типа "троянский конь", "логическая бомба", "логический или программный люк");
-программы типа программный червь – специально созданные программы, которые наряду с выполнением функций захвата и удержания ресурсов вычислительной системы обладает способностью к скрытому перемещению своего кода (тела программы) путем включения в исполняемые или хранящиеся программы копий и удаления старых.
Рассмотрим основные принципы работы вредоносных программ.
Вредоносные программы можно классифицировать по методу и месту их внедрения и применения (то есть, по способу доставки в систему):
-программы, ассоциированные с программноаппаратной средой (BIOS);
-программы, ассоциированные с программами пер-
вичной загрузки (находящиеся в MASTER BOOT RECORD или ВООТ-секторах активных разделов);
-программы, ассоциированные с загрузкой драйверов операционной системы, командного интерпретатора, сетевых драйверов, т. е. с загрузкой операционной среды;
-программы, ассоциированные с прикладным программным обеспечением общего назначения (встроенные
вклавиатурные и экранные драйверы, программы тестирования ПЭВМ, утилиты и оболочки типа NORTON),
-исполняемые модули, содержащие только код программы (как правило, внедряемые в пакетные файлы типа .ВАТ);
-модули-имитаторы, совпадающие по внешнему виду с некоторыми программами, требующими ввода конфиденциальной информации;
125
-программы, маскируемые под программные средства оптимизационного назначения (архиваторы, ускорители и т. д.);
-программы, маскируемые под программные средства игрового и развлекательного назначения.
Кроме того, вредоносные программы, например многие известные вирусы классического типа, имеют развитые средства борьбы с отладчиками и дисассемблерами.
Рассмотрим способы реализации функций вредоносных программ. Для того чтобы вредоносная программа смогла выполнить какие-либо функции по отношении к прикладной программе, она должна получить управление на себя, то есть процессор должен начать выполнять инструкции (команды), относящиеся к коду вредоносной программы. Это возможно только при одновременном выполнении 2-х условий:
-вредоносная программа должна находиться в оперативной памяти до начала работы программы, которая является целью воздействия вредоносной программы, следовательно, она должна быть загружена раньше или одновременно с этой прикладной программой;
-вредоносная программа должна активизироваться по некоторому общему с прикладной программой событию, т. е. при выполнении ряда условий в программноаппаратной среде управление должно быть передано на вредоносную программу.
Это достигается путем анализа и обработки вредоносной программой общих с прикладной программой воздействий (как правило, так называемых прерываний). Причем прерывания должны сопровождать работу прикладной программы или работу всей ПЭВМ. В качестве таких прерываний можно выделить:
126
-прерывания от таймера ПЭВМ;
-прерывания от внешних устройств;
-прерывания от клавиатуры;
-прерывания при работе с диском;
-прерывания операционной среды (в том числе прерывания при работе с файлами и запуск исполняемых модулей).
В противном случае активизации кода вредоносной программы не произойдет, и он не сможет оказать какоголибо воздействия на работу программы защиты информации. Кроме того, возможен случай, когда при запуске программы (в этом случае активизирующим событием является запуск программы) вредоносная программа разрушает некоторую часть кода программы, уже загруженной в оперативную память, и, возможно, систему контроля целостности кода или контроля иных событий и на этом заканчивает свою работу.
Таким образом, можно выделить вредоносные программы:
1. Резидентного типа - которые находятся в памяти
постоянно с некоторого момента времени до окончания сеанса работы персонального компьютера (выключения питания или перезагрузки). Вредоносная программа может быть загружена в память при начальной загрузке ПЭВМ, загрузке операционной среды или запуске некоторой программы (которая по традиции называется вирусоносителем), а также запущена отдельно.
2. Нерезидентного типа - которые начинают работу по аналогичному событию, но заканчивают ее самостоятельно по истечении некоторого промежутка времени или некоторому событию, при этом выгружая себя из памяти целиком.
127