Авто/Мото Бизнес и финансы Дом и семья Интернет Компьютеры Культура и искусство Медицина и Здоровье Наука и образование Туризм и путешествия Спорт Строительство и ремонт Дети и их родители

     Компьютеры » Безопасность » Некоторые мифы компьютерной безопасности    

Некоторые мифы компьютерной безопасности

Главная




Актуальность задачи защиты информации, хранимой в компьютерных системах (КС), в настоящее время не вызывает сомнений. Многочисленные примеры атак КС как хакерами-одиночками, так и преступными группами, наглядно доказывают, что современная КС должна быть надежно защищена от вторжения извне.

Однако по поводу того, как конкретно должна быть организована защита КС, единого мнения до сих пор не существует. Это и неудивительно: наука о защите информации в КС еще очень молода, и необходимая теоретическая база просто не успела сформироваться. В своей массе администраторы КС при определении оптимальной конфигурации подсистемы защиты ориентируются не на единый научный подход, а на многочисленные, зачастую противоречащие друг другу рекомендации, которыми изобилует литература по компьютерной безопасности и страницы Интернета. Некоторые из этих рекомендаций весьма полезны, другие же являются явными "суевериями", и данная статья посвящена развенчанию некоторых из таких "суеверий" в области компьютерной безопасности.

Миф 1: Чем сильнее защита, тем лучше для всех

На самом деле верно следующее утверждение: чем лучше система защищена от несанкционированного доступа (НСД), тем труднее с ней работать пользователям и администраторам. Система защиты, не обладающая интеллектом, не всегда способна определить, является ли некоторое действие пользователя злонамеренным, а потому она либо не пресекает некоторые виды НСД, либо запрещает некоторые вполне легальные действия пользователей.

Кроме того, любая система, в которой предусмотрены функции защиты информации, требует от администраторов определенных усилий, направленных на поддержание адекватной политики безопасности, и чем больше в системе защитных функций, тем больше времени и средств нужно тратить на поддержание защиты.

Наконец, следует иметь в виду, что если уровень защищенности системы превышает уровень C2 по "Оранжевой книге", ее подсистема защиты потребляет значительную часть ресурсов системы (для систем уровня B1 эта доля составляет 20-50%, а уровня B2 она может превышать 90%).

Таким образом, не следует делать защиту системы чрезмерно мощной. Для каждой системы существует оптимальный уровень защищенности, который и нужно поддерживать.

Миф 2: Если программное обеспечение системы защиты сертифицировано по классу C2 "Оранжевой книги" или выше, значит, защита достаточно эффективна и надежна

Утверждение, вынесенное в заголовок, кажется вполне правдоподобным. Действительно, разве может такая уважаемая организация, как NCSC, выдать сертификат на слабозащищенную систему? Конечно же, нет. Однако следует иметь в виду следующие соображения:
    Защищенность системы определяется не только установленным в ней программным обеспечением, но и политикой безопасности. Фактически сертификат NCSC описывает максимальный уровень защищенности, который может быть достигнут при использовании данного программного продукта. Например то, что ОС SCO UNIX сертифицирована по уровню C2, означает, что, вообще говоря, существует политика безопасности, при неукоснительном соблюдении которой уровень защищенности ОС будет соответствовать указанному (это утверждение верно только при использовании той же аппаратной платформы и в той же ее конфигурации, при которой проводились соответствующие сертификационные испытания - Прим. ред.). К каждому сертификату NCSC обязательно прилагается документ, описывающий требования к политике безопасности, при которой может быть достигнут уровень защищенности, соответствующий сертификату. Например, для ОС Windows NT некоторые (далеко не все) требования безопасности по уровню C2 выглядят следующим образом:


Миф 3: Если программное обеспечение и политика безопасности КС соответствуют классу защиты C2, значит, защита системы надежна

Этот миф является несколько более "продвинутой" версией предыдущего. Выше уже говорилось, что стандарты защиты КС подразумевают, что не только программное обеспечение, но и политика безопасности удовлетворяет их требованиям. Но достаточно ли соответствия подсистемы защиты КС стандарту C2 для обеспечения надежной защиты? На этот вопрос ответом будет однозначное "нет".

Дело даже не столько в том, что стандарт C2 (как и большинство других стандартов компьютерной безопасности) уже во многом устарел, а в том, что невозможно построить эффективную и надежную защиту КС, основываясь только на руководящих документах, - ведь хакера не интересует, каким стандартам удовлетворяет конфигурация подсистемы защиты КС, для него важно только то, сможет ли он взломать эту защиту. А защитить систему от хакера и добиться соответствия конфигурации системы некоторому стандарту - это совсем разные вещи.

Очевидно, что к защите разных КС предъявляются разные требования. Защитить автоматизированную банковскую систему (АБС) - это совсем не то же самое, что защитить Web-сервер. Но стандарт C2 никак не учитывает особенности конкретных систем.

Кроме того, ни один документ не может охватить все ситуации, которые могут возникнуть в процессе функционирования КС. Ни в "Оранжевой книге", ни в документах Гостехкомиссии РФ нет ни слова про SYN flood, а ведь это - один из опаснейших типов атак для IP-сервера. Хакеры изобретают новые атаки на защищенные КС практически каждый день, а новые стандарты защиты КС появляются гораздо реже.

Таким образом, при организации защиты КС нужно ориентироваться не только на стандарты компьютерной безопасности, но и на конкретного хакера. Надежно защищена не та КС, которая удовлетворяет требованиям какого-то стандарта, а та, защиту которой хакер не может взломать.

Впрочем, из сказанного вовсе не следует вывод, что стандарты защиты КС не нужны. Оно означает только то, что эти стандарты нельзя воспринимать как догму.

Миф 4: Хакер всегда атакует систему через глобальные сети

Рассуждая о хакерах, авторы научных книг и статей очень часто "зацикливаются" на защите от злоумышленника, атакующего защищенную КС из Интернета, и совершенно не учитывают, что существует множество других методов проникновения в защищенные системы.

Например, известный американский хакер Кевин Митник взломал защищенный сервер одной компании, поковырявшись в мусорном ящике, стоявшем рядом с ее зданием: после долгих поисков он нашел обрывок бумаги, на котором был записан пароль для доступа на сервер. В другой раз Митник позвонил администратору КС и ввел его в заблуждение, убедив в том, что он является легальным пользователем системы, забывшим свой пароль. Администратор сменил пароль тому пользователю, за которого Митник выдавал себя, и сообщил его Митнику.

Таким образом, защищая КС, нельзя ограничиваться только программно-аппаратными средствами и пренебрегать административными, организационными и оперативными мерами защиты.

Миф 5: Хакеры всемогущи

Распространенность этого мифа, видимо, объясняется определенным "благоговением" среднего обывателя перед "всемогущим" хакером. Большую роль в развитии такого отношения к хакерам сыграли художественные фильмы, где они являются одними из персонажей. Действия, предпринимаемые ими на экране, как правило, не имеют вообще никакого отношения к реальности. Чего стоит, например, "Парк юрского периода", где в ответ на неправильно введенный пароль на экране компьютера появляется бесконечно зацикленный мультфильм (!), изображающий администратора сети (!), который грозит нарушителю пальцем с экрана и говорит через динамики компьютера "Пароль неправильный"! Какой нормальный администратор допустит, чтобы сервер тратил столько своих ресурсов только на то, чтобы выдать пользователю сообщение об отказе в доступе? Чуть позже в том же фильме состоялся характерный диалог между двумя юными "хакерами":

- Мы не знаем пароль!

- Зато я знаю эту систему защиты (в англоязычном варианте фильма вместо этой фразы девочка-хакер говорит: - It"s UNIX). Через несколько минут мы ее вскроем!

И действительно, через несколько минут система защиты была вскрыта, причем то, что в этот промежуток времени появлялось на экране компьютера, вообще не поддается никакому описанию.

Ажиотаж вокруг хакеров создает в сознании людей, далеких от проблем компьютерной безопасности, их культивируемый СМИ, а также художественной литературой и искусством образ, не имеющий с действительностью практически ничего общего: они считают, что хакер - это своего рода волшебник, который запускает одну из своих "волшебных" программ, указывает имя сервера, который надо взломать, и уже через несколько секунд его защита оказывается взломанной.

Для того чтобы понять, насколько это представление неправильно, достаточно почитать любой из информационных бюллетеней в Интернете, посвященных проблемам хакерства. Например, согласно бюллетеню "Информационная безопасность - 1996", в 1996 г. во всем мире было зафиксировано всего 18 успешных случаев взлома КС в целях обогащения или шпионажа с суммарным ущербом 35,7 млн долл. США (для сравнения: суммарный ущерб от телефонного мошенничества за тот же период времени составил более 80 млн долл. США, а от ошибок в программном обеспечении - более 700 млрд долл. США), причем за этот год было арестовано более 200 криминальных хакеров (т. е. хакеров, имеющих целью нанесение финансового или иного ущерба - Прим. ред). Все это как-то не вяжется с представлением о всемогуществе хакеров.

Однако не стоит и недооценивать угрозу защищенным КС, исходящую от хакеров. Криминальные хакеры опасны не более, но и не менее, чем другие преступники. Все-таки 18 успешных краж со средним ущербом почти 2 млн долл. США - это не та опасность, от которой можно отмахнуться. Да и неизвестно, сколько успешных атак хакеров остались не замеченными и не фигурируют в приведенной статистике.

Миф 6: Стать хакером очень просто

Многие считают, что для того, чтобы стать хакером, достаточно выйти в Интернет и зайти на один из хакерских серверов. Действительно, в Интернете имеется множество серверов, владельцы которых громогласно объявляют себя хакерами. Например, поисковая служба Infoseek на запрос "hacker" выдает список из 131 тыс. страниц, а AltaVista - из 425,5 тыс. Однако мне так и не удалось найти ни одного сервера, который содержал бы хоть сколько-нибудь полезную информацию. Как правило, все, что находится на "хакерских" серверах - это "философские" статьи о хакерстве, пропаганда хакерских идеалов и реклама достижений отдельных хакеров. Характерно, что спонсорами многих "хакерских" серверов являются фирмы, зарабатывающие деньги распространением в Интернете порнографии.

Та же ситуация имеет место в отношении хакерских телеконференций. Например из 100 последних на 18:00 30 июня 1998 г. сообщений в конференции alt.hacker 26 составили шутки, жалобы и оскорбления в адрес других участников конференции, 63 - дискуссии на общекомпьютерные темы, в том числе выражение неудовольствия качеством программных продуктов фирмы Microsoft, а также реклама Интернет-серверов и откровенные глупости, написанные людьми, чья квалификация, мягко говоря, оставляет желать лучшего. И только 11 сообщений с большой натяжкой можно хоть как-то отнести к "хакерству":