новения вирусов в сеть, можно детализировать вирусные угрозы.
1.Для хоста:
-искажение (разрушение) файлов и системных областей DOS;
-уменьшение скорости работы, неадекватная реакция на команды оператора и т. д.;
-вмешательство в процесс обмена сообщениями по сети путем непрерывной посылки хаотических сообщений;
-блокирование принимаемых или передаваемых сообщений, их искажение;
-имитация физических сбоев;
-имитация пользовательского интерфейса или приглашений ввода пароля (ключа) с целью запоминания этих паролей (ключей);
-накопление обрабатываемой конфиденциальной информации в скрытых областях внешней памяти;
-дампирование оперативной памяти с целью выявления ключевых таблиц или фрагментов ценной информации;
-искажение программ и данных в оперативной памяти хоста.
2. Для серверов сетей:
-искажение проходящей через сервер информации (при обмене между хостами);
-сохранение проходящей информации в скрытых областях внешней памяти;
-искажение или уничтожение собственной информации сервера (в частности, идентификационных таблиц) и тем самым нарушение работы локальной сети;
-внедрение вирусов в файлы, пересылаемые внутри локальной сети или на удаленные хосты.
133
3. Для коммутатора:
-разрушение собственного программного обеспечения коммутатора и вывод из строя коммутационного узла вместе со всеми присоединенными хостами;
-засылка пакетов не по адресу, потеря пакетов, неверная сборка пакетов, подмена пакетов;
-внедрение вирусов в пакеты, коммутируемые коммутаторами;
-контроль активности абонентов коммутатором для получения данных о характере информации, которой обмениваются абоненты сети.
Меры защиты от вредоносных программ можно подразделить на две основные группы:
1. Меры защиты от НСД, создаваемые на этапе разработки программного обеспечения.
2. Меры защиты от НСД, формируемые и применяемые на этапе эксплуатации защищаемого объекта.
Группа 1 включает в себя:
1. Меры защиты на этапе разработки прикладного программного обеспечения, содержащего внутреннюю защиту от НСД.
Эти меры направлены на выявление в исходных текстах программ коммуникации и доступа некоторых фрагментов или подпрограмм, облегчающих или не регистрирующих доступ разработчиков программ (вход по фиксированным паролям, беспарольный доступ по нажатию некоторых клавиш, обход регистрации пользователей
сфиксированными именами и т.д.). Наличие таких фрагментов фактически сведет "на нет" весь комплекс информационной безопасности, поскольку доступ через них возможен как человеком, так и программой-вирусом или закладкой. Присутствие таких фрагментов не всегда является результатом злого умысла и зачастую используется для
134
тестирования программного обеспечения. Для выявления подобных фрагментов может быть произведено:
а) сквозное тестирование исходных текстов программного обеспечения независимыми экспертами по стандартным методикам, известным из переводной литературы;
б) тестирование готового программного обеспечения в критических режимах эксплуатации (например, в период испытаний сети) с фиксацией и устранением выявленных слабостей и отклонений от нормальной работы.
Необходимо также обратить внимание на возможные конфликты прикладного программного обеспечения и средств защиты, связанные с конкуренцией по ресурсам (захват прерываний, памяти, блокировка клавиатуры и т.д.). Эти моменты, как правило, можно выявить лишь в период испытаний.
2.Специальные меры защиты при разработке программного обеспечения защиты от НСД (должны быть предусмотрены меры по проверке целостности хранимых на внешних носителях программных средств защиты, контроль целостности их в оперативной памяти и т. д.).
Группа 2 включает в себя:
1.Регулярные меры защиты и контроля, применяемые постоянно с фиксированными временными интервалами.
2.Эпизодические защитные мероприятия в период повышения опасности информационного нападения.
3.Локализационно - восстановительные меры, применяемые в случае проникновения и обнаружения вредоносных программ и причинения ими негативных последствий.
Кроме того, можно выделить:
135
1. Средства и меры защиты, общие для всей сети (хостов, серверов и коммутаторов). К ним относятся:
а) ограничение физического доступа к хосту, серверу и коммутатору путем установления соответствующего организационного режима и применения аппаратных или программных средств ограничения доступа к ПЭВМ;
б) при активизации коммуникационного программного обеспечения контроль его целостности, целостности областей DOS, BIOS и CMOS путем просчета контрольных сумм (вычисления хеш-функций) и сравнения их с эталонными значениями для каждой ПЭВМ;
в) максимальное ограничение и контроль за передачей по сети исполняемых файлов (типа .ЕХЕ и .СОМ),
.SYS- и .BIN файлов в целях предотвращения распространения файловых вирусов, вирусов типа Driver и загрузоч- но-файловых вирусов по сети;
г) организация выборочного и внезапного контроля работы операторов коммутаторов и серверов с целью выявления фактов использования нерегламентированного программного обеспечения;
д) хранение архивных копий применяемого программного обеспечения на защищенных от записи магнитных носителях (дискетах), учет и надежное хранение архивных копий;
е) немедленное уничтожение ценной информации сразу по истечении потребности в ней;
ж) периодическая оптимизация внешних носителей (винчестеров) на предмет выявления сбойных или псевдосбойных кластеров и затирания фрагментов конфиденциальной информации при помощи средств типа
SPEEDDISK.
2. Средства защиты, учитывающие специфику работы фрагментов сети:
136
а) для коммутаторов средства и меры повышения общей надежности коммутаторов (программное или аппаратное дублирование, использование и т. д.);
б) для серверов:
-контроль состава и порядка использования программного обеспечения, находящегося на сервере;
-дублирование стандартных средств защиты от НСД в программном обеспечении сети и других разновидностей сетевого ПО дополнительными средствами защиты;
-запрет записи на общий диск файл-сервера локальной сети исполняемых файлов, не имеющих отношения к обработке информации на сети.
Что же касается мер защиты от вредоносных программ в процессе разработки самих программ защиты, то
вданном случае необходимо предусмотреть:
-встроенный самоконтроль программного обеспечения системы защиты, установленной в сети, путем просчета контрольных сумм по файлам и по коду программ в оперативной памяти;
-переопределение существенно важных прерыва-
ний (int 01h, 03h, 08h, 1Ch, 13h, 21h) для предотвращения перехвата ввода ключей и паролей и их сохранения на внешнем носителе, а также блокирование проникновения
влогику работы программ защиты при помощи стандартных отладочных средств;
-защиту от переноса установленного на хост программного обеспечения защиты и коммуникации на другую ПЭВМ, проводимого с целью детального изучения программного обеспечения и поиска обходных путей для преодоления защиты.
137