Организация защиты информации от утечки, возникающей при работе вычислительной техники, за счет пэмин. Технический канал утечки информации. Выявление технических каналов утечки информации

РАЗДЕЛ 4. Вопрос 35 (Радаев). Защищаемое помещение, информативный сигнал (определения). Защита от утечки речевой информации (подробно: организационные и технические (пассивные и активные) методы по всем (8-ми каналам) утечки)

Защищаемое помещение, информативный сигнал (определения)

Защищаемые помещения (ЗП) - помещения (служебные кабинеты, актовые, конференц-залы и т.д.), специально предназначенные для проведения конфиденциальных мероприятий (совещаний, обсуждений, конференций, переговоров и т.п.). (СТР-К).

Информативный сигнал - электрические сигналы, акустические, электромагнитные и другие физические поля, по параметрам которых может быть раскрыта конфиденциальная информация, передаваемая, хранимая или обрабатываемая в основных технических средствах и системах и обсуждаемая в ЗП. (СТР-К).

Информативный сигнал - электрические сигналы, акустические, электромагнитные и другие физические поля, по параметрам которых может быть раскрыта конфиденциальная информация (персональные данные), обрабатываемая в ИСПДн. (Базовая модель угроз безопасности).

Защита от утечки речевой информации (подробно: организационные и технические (пассивные и активные) методы по всем (8-ми каналам) утечки)

Существуют пассивные и активные способы защиты речи от несанкционированного прослушивания. Пассивные предполагают ослабление непосредственно акустических сигналов, циркулирующих в помещении, а также продуктов электроакустических преобразований в соединительных линиях ВТСС, возникающих как естественным путем, так и в результате ВЧ навязывания. Активные предусматривают создание маскирующих помех, подавление аппаратов звукозаписи и подслушивающих устройств, а также уничтожение последних.

Ослабление акустических сигналов осуществляется путем звукоизоляции помещений. Прохождению информационных электрических сигналов и сигналов высокочастотного навязывания препятствуют фильтры. Активная защита реализуется различного рода генераторами помех, устройствами подавления и уничтожения.

Пассивные средства защиты выделенных помещений

Пассивные архитектурно-строительные средства защиты выделенных помещений

Основная идея пассивных средств защиты информации - это снижение соотношения сигнал/шум в возможных точках перехвата информации за счет снижения информативного сигнала.

При выборе ограждающих конструкций выделенных помещений в процессе проектирования необходимо руководствоваться следующими правилами:

§ в качестве перекрытий рекомендуется использовать акустически неоднородные конструкции;

§ в качестве полов целесообразно использовать конструкции на упругом основании или конструкции, установленные на виброизоляторы;

§ потолки целесообразно выполнять подвесными, звукопоглощающими со звукоизолирующим слоем;

§ в качестве стен и перегородок предпочтительно использование многослойных акустически неоднородных конструкций с упругими прокладками (резина, пробка, ДВП, МВП и т.п.).

Если стены и перегородки выполнены однослойными, акустически однородными, то их целесообразно усиливать конструкцией типа «плита на относе», устанавливаемой со стороны помещения.

Оконные стекла желательно виброизолировать от рам с помощью резиновых прокладок. Целесообразно применение тройного остекления окон на двух рамах, закрепленных на отдельных коробках. При этом на внешней раме устанавливаются сближенные стекла, а между коробками укладывается звукопоглощающий материал.

В качестве дверей целесообразно использовать двойные двери с тамбуром, при этом дверные коробки должны иметь вибрационную развязку друг от друга.

Звукоизоляция помещений

Выделение акустического сигнала на фоне естественных шумов происходит при определенных соотношениях сигнал/шум. Производя звукоизоляцию, добиваются его снижения до предела, затрудняющего (исключающего) возможность выделения речевых сигналов, проникающих за пределы контролируемой зоны по акустическому или виброакустическому (ограждающие конструкции, трубопроводы) каналам.

Аппаратура и способы активной защиты помещений от утечки речевой информации

Виброакустический канал утечки образуют: источники конфиденциальной информации (люди, технические устройства), среда распространения (воздух, ограждающие конструкции помещений, трубопроводы), средства съема (микрофоны, стетоскопы).

Для защиты помещений применяют генераторы белого или розового шума и системы вибрационного зашумления, укомплектованные, как правило, электромагнитными и пьезоэлектрическими вибропреобразователями.

Известно, что наилучшие результаты дает применение маскирующих колебаний, близких по спектральному составу информационному сигналу. Шум таковым сигналом не является, кроме того, развитие методов шумоочистки в некоторых случаях позволяет восстанавливать разборчивость речи до приемлемого уровня при значительном (20 дБ и выше) превышении шумовой помехи над сигналом. Следовательно, для эффективного маскирования помеха должна иметь структуру речевого сообщения. Следует также отметить, что из-за психофизиологических особенностей восприятия звуковых колебаний человеком наблюдается асимметричное влияние маскирующих колебаний. Оно проявляется в том, что помеха оказывает относительно небольшое влияние на маскируемые звуки, частота которых ниже ее собственной частоты, но сильно затрудняет разборчивость более высоких по тону звуков. Поэтому для маскировки наиболее эффективны низкочастотные шумовые сигналы.

Эффективность систем и устройств виброакустического зашумления определяется свойствами применяемых электроакустических преобразователей (вибродатчиков), трансформирующих электрические колебания в упругие колебания (вибрации) твердых сред. Качество преобразования зависит от реализуемого физического принципа, конструктивно-технологического решения и условий согласования вибродатчика со средой.

Как было отмечено, источники маскирующих воздействий должны иметь частотный диапазон, соответствующий ширине спектра речевого сигнала (200...5000 Гц), поэтому особую важность приобретает выполнение условий согласования преобразователя в широкой полосе частот. Условия широкополосного согласования с ограждающими конструкциями, имеющими высокое акустическое сопротивление (кирпичная стена, бетонное перекрытие) наилучшим образом выполняются при использовании вибродатчиков с высоким механическим импендансом подвижной части, каковыми на сегодняшний день являются пьезокерамические преобразователи.

Оптимальные параметры помех

При применении активных средств необходимая для обеспечения защиты информации величина соотношения сигнал/шум достигается за счет увеличения уровня шумов в возможных точках перехвата информации при помощи генерации искусственных акустических и вибрационных помех. Частотный диапазон помехи должен соответствовать среднестатистическому спектру речи в соответствии с требованиями руководящих документов.

В связи с тем, что речь - шумоподобный процесс со сложной (в общем случае случайной) амплитудной и частотной модуляцией, наилучшей формой маскирующего помехового сигнала является также шумовой процесс с нормальным законом распределения плотности вероятности мгновенных значений (т.е. белый или розовый шум).

Особенности постановки акустических помех

Основную опасность, с точки зрения возможности утечки информации по акустическому каналу, представляют различные строительные тоннели и короба, предназначенные для осуществления вентиляции и размещения различных коммуникаций, так как они представляют собой акустические волноводы. Контрольные точки при оценке защищенности таких объектов выбираются непосредственно на границе их выхода в выделенное помещение. Акустические излучатели системы постановки помех размещаются в объеме короба на расстоянии от выходного отверстия, равном диагонали сечения короба.

Дверные проемы, в том числе и оборудованные тамбурами, также являются источниками повышенной опасности и в случае недостаточной звукоизоляции также нуждаются в применении активных методов защиты. Акустические излучатели систем зашумления в этом случае желательно располагать в двух углах, расположенных по диагонали объема тамбура. Контроль выполнения норм защиты информации в этом случае, проводится на внешней поверхности внешней двери тамбура.

Подавление диктофонов

Для подавления портативных диктофонов используют устройства представляющие собой генераторы мощных шумовых сигналов дециметрового диапазона частот. Импульсные помеховые сигналы воздействуют на микрофонные цепи и усилительные устройства диктофонов, в результате чего оказываются записанными вместе с полезными сигналами, вызывая сильные искажения информации. Зона подавления, определяемая мощностью излучения, направленными свойствами антенны, а также типом зашумляющего сигнала обычно представляет собой сектор шириной от 30 до 80 градусов и радиусом до 5 м.

По типу применения подавители диктофонов подразделяются на портативные и стационарные. Портативные подавители («Шумо-трон-3», «Шторм», «Штурм»), как правило, изготавливаются в виде кейсов, имеют устройство дистанционного управления, а некоторые («Шумотрон-3») и устройства дистанционного контроля. Стационарные («Буран-4, «Рамзес-Дубль») чаще всего, выполняются в виде отдельных модулей: модуль генератора, модуль блока питания, антенный модуль.

При попадании диктофона в зону действия подавителя в его слаботочных цепях (микрофон, кабель выносного микрофона, микрофонный усилитель) наводится шумовой сигнал, которым модулируется несущая частота подавителя диктофона. Величина этих наводок находится в прямой зависимости от геометрических размеров этих цепей. Чем меньше габариты диктофона, тем меньше эффективность подавления.

В настоящее время появились устройства подавления диктофонов, представляющие собой генераторы ВЧ сигнала со специальным видом модуляции. Воздействуя на цепи записывающего устройства, сигнал, после навязывания, обрабатывается в цепях АРУ совместно с полезным сигналом, значительно превосходя его по уровню и, соответственно, искажает его. Одним из таких устройств является подавитель диктофонов «Сапфир».

Нейтрализация радиомикрофонов

Нейтрализация радиомикрофонов как средств съема речевой информации целесообразна при их обнаружении в момент проведения поисковых мероприятий и отсутствия возможностей их изъятия или по тактической необходимости.

Нейтрализация радиозакладки может быть осуществлена постановкой прицельной помехи на частоте работы нелегального передатчика. Подобный комплекс содержит широкополосную антенну и передатчик помех.

Аппаратура функционирует под управлением ПЭВМ и позволяет создать помехи одновременно или поочередно на четырех частотах в диапазоне от 65"до 1000 МГц. Помеха представляет собой высокочастотный сигнал, модулированный тональным сигналом или фразой.

Для воздействия на радиомикрофоны с мощностью излучения менее 5 мВт могут использоваться генераторы пространственного электромагнитного зашумления типа SP-21/B1, до 20 мВт - SP-21/B2 «Спектр».

Защита электросети

Акустические закладки, транслирующие информацию по электросети, нейтрализуются фильтрованием и маскированием. Для фильтрации применяются разделительные трансформаторы и помехоподавляющие фильтры.

Разделительные трансформаторы предотвращают проникновение сигналов, появляющихся в первичной обмотке, во вторичную. Нежелательные резистивные и емкостные связи между обмотками устраняют с помощью внутренних экранов и элементов, имеющих высокое сопротивление изоляции. Степень снижения уровня наводок достигает 40 дБ.

Основное назначение помехоподавляющих фильтров - пропускать без ослабления сигналы, частоты которых находятся в пределах рабочего диапазона, и подавлять сигналы, частоты которых находятся вне этих пределов.

Фильтры нижних частот пропускают сигналы с частотами ниже его граничной частоты. Рабочее напряжение конденсаторов фильтра не должно превышать максимальных значений допускаемых скачков напряжения цепи питания, а ток через фильтр вызывать насыщения катушек индуктивности.

За счет микрофонного эффекта или ВЧ-навязывания практически все оконечные устройства телефонии, систем пожарно-охранной сигнализации, трансляционного вещания и оповещения, содержащие акустопреобразующие элементы, создают в подводящих линиях электрические сигналы, уровень которых сможет составлять от единиц нановольт до десятков милливольт. Так элементы звонковой цепи телефонного аппарата ASCER под действием акустических колебаний амплитудой 65 дБ подают в линию преобразованный сигнал напряжением 10 мВ. При тех же условиях подобный сигнал электродинамического громкоговорителя имеет уровень до 3 мВ. Трансформированный он может возрасти до 50 мВ и стать доступным для перехвата на расстоянии до 100 м. Облучающий сигнал навязывания благодаря высокой частоте проникает в гальванически отключенную микрофонную цепь положенной телефонной трубки и модулируется информационным сигналом.

Пассивная защита от микрофонного эффекта и ВЧ-навязывания осуществляется путем ограничения и фильтрации или отключением источников опасных сигналов.

В схемах ограничителей используют встречно включенные полупроводниковые диоды, сопротивление которых для малых (преобразованных) сигналов, составляющее сотни килоом, препятствует их прохождению в слаботочную линию. Для токов большой амплитуды, соответствующих полезным сигналам, сопротивление оказывается равным сотням ом и они свободно проходят в линию.

Фильтрация является средством борьбы с ВЧ-навязыванием. Роль простейших фильтров выполняют конденсаторы, включаемые в микрофонную и звонковую цепи. Шунтируя высокочастотные сигналы навязывания, они не воздействуют на полезные сигналы.

Защита абонентского участка телефонной линии

Телефонная линия может использоваться в качестве источника питания или канала передачи информации акустической закладки (A3), установленной в помещении.

Пассивная защита абонентской линии (АЛ) предполагает блокирование акустических закладок, питающихся от линии, при положенной телефонной трубке. Активная защита производится путем зашумления абонентской линии и уничтожения акустических закладок или их блоков питания высоковольтными разрядами.

К числу основных способов защиты абонентской линии относятся:

Подача в линию во время разговора маскирующих низкочастотных сигналов звукового диапазона, или ультразвуковых колебаний;

Поднятие напряжения в линии во время разговора или компенсация постоянной составляющей телефонного сигнала постоянным напряжением обратной полярности;

Подача в линию маскирующего низкочастотного сигнала при положенной телефонной трубке;

Генерация в линию с последующей компенсацией на определенном участке абонентской линии сигнала речевого диапазона с известным спектром;

Подача в линию импульсов напряжением до 1500 В для выжигания электронных устройств и блоков их питания.

Подробное описание устройств активной защиты абонентской линии дано в специальном пособии.

Защита информации, обрабатываемой техническими средствами

Электрические токи различных частот, протекающие по элементам функционирующего средства обработки информации, создают побочные магнитные и электрические поля, являющиеся причиной возникновения электромагнитных и параметрических каналов утечки, а также наводок информационных сигналов в посторонних токоведущих линиях и конструкциях.

Ослабление побочных электромагнитных излучений ТСПИ и их наводок осуществляется экранированием и заземлением средств и их соединительных линий, просачивание в цепи электропитания предотвращается фильтрацией информационных сигналов, а для маскирования ПЭМИН используются системы зашумления, подробно рассмотренные в специальном пособии.

Экранирование

Различают электростатическое, магнитостатическое и электромагнитное экранирования.

Основная задача электростатического экранирования состоит в уменьшении емкостных связей между защищаемыми элементами и сводится к обеспечению накопления статического электричества на экране с последующим отводом зарядов на землю. Применение металлических экранов позволяет полностью устранить влияние электростатического поля.

Эффективность магнитного экранирования зависит от частоты и электрических свойств материала экрана. Начиная со средневолнового диапазона эффективен экран из любого металла толщиной от 0,5 до 1,5 мм, для частот свыше 10 МГц подобный же результат дает металлическая пленка толщиной около 0,1 мм. Заземление экрана не влияет на эффективность экранирования.

Высокочастотное электромагнитное поле ослабляется полем обратного направления, создаваемым вихревыми токами, наведенными в металлическом сплошном или сетчатом экране. Экран из медной сетки 2 х 2 мм ослабляет сигнал на 30...35 дБ, двойной экран на 50...60 дБ.

Наряду с узлами приборов экранируются монтажные провода и соединительные линии. Длина экранированного монтажного провода не должна превышать четверти длины самой короткой волны в составе спектра сигнала, передаваемого по проводу. Высокую степень защиты обеспечивают витая пара в экранированной оболочке и высокочастотные коаксиальные кабели. Наилучшую защиту как от электрического, так и от магнитного полей гарантируют линии типа бифиляра, трифиляра, изолированного коаксиального кабеля в электрическом экране, металлизированного плоского многопроводного кабеля.

В помещении экранируют стены, двери, окна. Двери оборудуют пружинной гребенкой, обеспечивающей надежный электрический контакт со стенами помещения. Окна затягивают медной сеткой с ячейкой 2x2 мм, обеспечивая надежный электрический контакт съемной рамки со стенами помещения.

Заземление

Экранирование эффективно только при правильном заземлении аппаратуры ТСПИ и соединительных линий. Система заземления должна состоять из общего заземления, заземляющего кабеля, шин и проводов, соединяющих заземлитель с объектами. Качество электрических соединений должно обеспечивать минимальное сопротивление контактов, их надежность и механическую прочность в условиях вибраций и жестких климатических условиях. В качестве заземляющих устройств запрещается использовать «нулевые» провода электросетей, металлоконструкции зданий, оболочки подземных кабелей, трубы систем отопления, водоснабжения, сигнализации.

Сопротивление заземления ТСПИ не должно превышать 4 Ом, и для достижения этой величины применяют многоэлементное заземление из ряда одиночных, симметрично расположенных заземлителей, соединенных между собой шинами при помощи сварки. Магистрали заземления вне здания прокладывают на глубине 1,5 м, а внутри здания таким образом, чтобы их можно было проверять внешним осмотром. Устройства ТСПИ подключают к магистрали болтовым соединением в одной точке.

Защищенная информация является объектом собственности и находится в защите относительно правовых документов. При проведении мероприятий по защите негосударственных информационных ресурсов, являющихся банковской тайной или коммерческой, требования нормативных документов имеют рекомендательный характер. На негосударственную тайну режимы защиты информации устанавливаются собственником данных.

Действия по защите конфиденциальных данных от утечки по техническим каналам являются одной из частей мероприятий на предприятии по обеспечении информационной безопасности. Организационные действия по защите информации от утечек по техническим каналам основаны на ряде рекомендаций при выборе помещений где будут вестись работы по сохранении и обработки конфиденциальной информации. Также при выборе технических средств защиты, нужно основываться в первую очередь на сертифицированную продукцию.

При организации мероприятий по защите утечки техническим каналам информации на защищаемом объекте можно рассмотреть следующие этапы:

• Подготовительный, предпроектный
• Проектирование СТЗИ
• Этап ввода в эксплуатацию защищаемого объекта и системы технической защиты информации

Первый этап подразумевает подготовку к созданию системы технической защиты информации на защищаемых объектах. При осмотре возможных технических потоков утечки на объекте изучаются:

• План прилегающей зоны к зданию в радиусе 300 м.
• План каждого этажа здания с изучением характеристик стен, отделок, окон, дверей и тд
• План-схема систем заземления электронных объектов
• План-схема коммуникаций всего здания, вместе с системой вентиляции
• План-схема электропитания здания с указанием всех щитов и место расположения трансформатора
• План-схема
• План-схема пожарной и охранной сигнализации с указанием всех датчиков

Узнав утечку информации как не контролированный выход конфиденциальных данных за границы круга лиц или организации, рассмотрим, как именно реализуется такая утечка. В основе такой утечки есть неконтролируемый вынос конфиденциальных даны путем световых, акустических, электромагнитных или других полей или материальных носителей. Какие бы не были разные причины утечек, они имеют много общего. Как правило, причины связаны с прогрехах в нормах сохранении информации и нарушений этих норм.

Информация может передаваться или веществом или полем. Человек не рассматривается как носитель, он есть источником или субъектом отношений. На рис.1 показаны средства переноса информации. Человек использует в своих интересах разные физические поля, которые создают системы связи. Любая такая система имеет составляющие: источник, передатчик, линия передачи, приемник и получателя. Такие системы юзают каждый день в соответствии с предназначением и есть официальными средствами обмена данными. Такие каналы обеспечивают и контролируют с целью безопасным обменом информации. Но есть и каналы которые скрыты от посторонних глаз, и по ним могут передавать данные которые не должны быть переданы третьим лицам. Такие каналы называет каналом утечки. На рис.2 показана схема канала утечки.

Рисунок — 1

Рисунок — 2

Для создания канала утечки нужны определенные временные, энергетические и пространственные условия которые способствуют приему данных на стороне злоумышленника. Каналы утечки можно поделить на:

• акустические
• визуально-оптические
• электромагнитные
• материальные

Визуально-оптические каналы

Такие каналы это как правило, это удаленное наблюдение. Информация выступает как свет который исходит от источника информации. Классификация таких каналов показана на рис.3. Методы защиты от визуальных каналов утечки:

• уменьшить отражательные характеристики объекта защиты
• располагать объекты так, что бы исключить отражение в стороны потенциального расположения злоумышленника
• уменьшить освещенность объекта
• применять методы маскирования и другие для введения в заблуждения злоумышленника
• использовать преграды

Рисунок — 3

Акустические каналы

В таких каналах переносчиком есть звук, которые лежит в диапазоне ультра (более 20000 Гц). Канал реализуется посредством распространения акустической волны во все стороны. Как только на пути волны будет преграда, она задействует колебательные режим преграды, и с преграды можно будет считать звук. В разных средах распространения звук по разному распространяется. Отличия показаны на рис.4. На рис.5. показана схема вибрационных и акустических каналов утечки информации.

Рисунок — 4

Рисунок — 5

Защита от акустических каналов прежде всего это организационные меры. Они подразумевают реализацию архитектурно-планировочных, режимных и пространственных мероприятий, а также организационно-технические активные и пассивные мероприятия. Такие методы показаны на рис.6. Архитектурно-планировочные меры реализуют определенные требования на этапе проектирования зданий. Организационно-технические методы подразумевают реализацию звукопоглощающих средств. К примеры материалы типа ваты, ковры, пенобетон, и тд. В них очень много пористых промежутков которые проводит к многому отражению и поглощению звуковых волн. Также используют специальные герметические акустические панели. Величина звукопоглощения А определяется коэффициентов звукопоглощения и размерами поверхности которой звукопоглощение: A = Σα * S. Значения коэффициентов известны, для пористых материалов это — 0,2 — 0,8. Для бетона или кирпича это — 0,01 — 0,03. К примеру при обработке стен α = 0,03 пористой штукатуркой α = 0,3 звуковое давление уменьшается на 10 дБ.

Рисунок — 6

Для точного определения эффективности защиты звукоизоляции используют шумомеры. Шумомер — это прибор, которые изменяют колебания звукового давления в показания. Схема работы показана на рис.7. Для проведения оценочных характеристик защищенности зданий от утечек по вибрационным и акустическим каналам используют электронные стетоскопы. Они прослушивают звук через полы, стены, системы отопления, потолки и тд. Чувствительность стетоскопа в диапазоне от 0,3 до 1,5 v/дБ. При уровне звука в 34 — 60 дБ такие стетоскопы могут слушать через конструкции толщиной до 1,5 м. Если же пассивные меры защиты не помогают, можно использовать генераторы шума. Они ставятся по периметру помещения, что бы создавать свои вибрационные волны на конструкции.

Рисунок — 7

Электромагнитные каналы

Для таких каналов переносчиком есть электромагнитные волны в диапазоне 10 000 м (частота < 30 Гц) до волн длиной 1 — 0,1 мм (частота 300 — 3000 Гц). Классификация электромагнитных каналов утечек информации показана на рис.8.

Рисунок — 8

Известны электромагнитные каналы утечки:

С помощью конструкторский-технилогическим мероприятиям можно локализовать некоторые каналы утечки с помощью:

• ослабление индуктивной,электромагнитной связи между элементами
• экранирование узлов и элементов аппаратуры
• фильтрация сигналов в цепях питания или заземления

Организационные меры по устранению электромагнитных каналов утечки показаны на рис.9.

Рисунок — 9

Любое электронный агрегат под воздействием высокочастотного электромагнитного поля становится переизлучателем, вторичным источником излучения. Такое действие называют интермодуляционным излучением. Для защиты от такого канала утечки нужно воспретить прохождения высокочастотного тока через микрофон. Реализуется путем подключения к микрофону параллельно конденсатора емкостью 0,01 — 0,05 мкФ.

Материально-вещественные каналы

Такие каналы создаются в твердом, газообразном или жидком состоянии. Зачастую это отходы предприятия. Классификация материально-вещественных каналов показана на рис.10.

Рисунок — 10

Защита от таких каналов это целый комплекс мероприятий, по контролю выхода конфиденциальной информации в виде промышленных или производственных отходов.

Выводы

Утечка данных — это бесконтрольный выход информации за пределы физических границ или круга лиц. Для выявления утечек данных нужен систематический контроль. Локализация каналов утечки реализуется организационными и техническими средствами.

Вопросы:

1. Методы и средства защиты от утечки конфиденциальной информации по техническим каналам.

2. Особенности программно-математического воздействия в сетях общего пользования.

3. Защита информации в локальных вычислительных сетях.

Литература:

1. Будников С.А., Паршин Н.В. Информационная безопасность автоматизированных систем: Учебн. пособие – Воронеж, ЦПКС ТЗИ, 2009.

2. Белов Е.Б. и др. Основы информационной безопасности: Учебное пособие. – М.: Горячая линия – Телеком, 2005.

3. Запечников С.В. и др. Информационная безопасность открытых систем. Часть 1: Учебник для вузов. – М.: Горячая линия – Телеком, 2006.

4. Малюк А.А. Информационная безопасность: концептуальные и методологические основы защиты информации: Учебное пособие для ВУЗов. – М.: Горячая линия – Телеком, 2004.

5. Малюк А.А., Пазизин С.В., Погожин Н.С. Введение в защиту информации в автоматизированных системах: Учебное пособие для ВУЗов. – М.: Горячая линия – Телеком, 2004.

6. Хорев А.А. Защита информации от утечки по техническим каналам. – Учебн. пособие. – М.: МО РФ, 2006.

7. Закон Российской Федерации от 28.12.2010 № 390 «О безопасности».

8. Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации».

9. Указ Президента Российской Федерации от 6 марта 1997 г. № 188 «Об утверждении Перечня сведений конфиденциального характера».

Интернет-ресурсы:

1. http://ict.edu.ru

1. Методы и средства защиты от утечки конфиденциальной информации по техническим каналам

Защита информации от утечки по техническим каналам – это комплекс организационных, организационно-технических и технических мероприятий, исключающих или ослабляющих бесконтрольный выход конфиденциальной информации за пределы контролируемой зоны.

1.1. Защита информации от утечки по визуально-оптическим каналам

С целью защиты информации от утечки по визуально-оптическому каналу рекомендуется:

· располагать объекты защиты так, чтобы исключить отражение света в сторону возможного расположения злоумышленника (пространственные отражения);

· уменьшить отражающие свойства объекта защиты;

· уменьшить освещенность объекта защиты (энергетические ограничения);

· использовать средства преграждения или значительного ослабления отраженного света: ширмы, экраны, шторы, ставни, темные стекла и другие преграждающие среды, преграды;

· применять средства маскирования, имитации и другие с целью защиты и введения в заблуждение злоумышленника;

· использовать средства пассивной и активной защиты источника от неконтролируемого распространения отраженного или излученного света и других излучений;

· осуществлять маскировку объектов защиты, варьируя отражательными свойствами и контрастом фона;

· применять маскирующие средства сокрытия объектов можно в виде аэрозольных завес и маскирующих сеток, красок, укрытий.

1.2. Защита информации от утечки по акустическим каналам

Основными мероприятиями в этом виде защиты выступают организационные и организационно-технические меры.

Организационные меры предполагают проведение архитектурно-планировочных, пространственных и режимных мероприятий. Архитектурно-планировочные меры предусматривают предъявление определенных требований на этапе проектирования зданий и помещений или их реконструкцию и приспособление с целью исключения или ослабления неконтролируемого распространения звуковых полей непосредственно в воздушном пространстве или в строительных конструкциях в виде 1/10 структурного звука.

Пространственные требования могут предусматривать как выбор расположения помещений в пространственном плане, так и их оборудование необходимыми для для акустической безопасности элементами, исключающими прямое или отраженное в сторону возможного расположения злоумышленника распространение звука. В этих целях двери оборудуются тамбурами, окна ориентируются в сторону охраняемой (контролируемой) от присутствия посторонних лиц территории и пр.

Режимные меры предусматривают строгий контроль пребывания в контролируемой зоне сотрудников и посетителей.

Организационно-технические меры предполагают пассивные (звукоизоляция, звукопоглощение) и активные (звукоподавление) мероприятия.

Не исключается применение и технических мер за счет применения специальных защищенных средств ведения конфиденциальных переговоров (защищенные акустические системы).

Для определения эффективности защиты при использовании звукоизоляции применяются шумомеры – измерительные приборы, преобразующие колебания звукового давления в показания, соответствующие уровню звукового давления.

В тех случаях, когда пассивные меры не обеспечивают необходимого уровня безопасности, используются активные средства. К активным средствам относятся генераторы шума – технические устройства, вырабатывающие шумоподобные электронные сигналы. Эти сигналы подаются на соответствующие датчики акустического или вибрационного преобразования. Акустические датчики предназначены для создания акустического шума в помещениях или вне их, а вибрационные – для маскирующего шума в ограждающих конструкциях.

Таким образом, защита от утечки по акустическим каналам реализуется:

· применением звукопоглощающих облицовок, специальных дополнительных тамбуров дверных проемов, двойных оконных переплетов;

· использованием средств акустического зашумления объемов и поверхностей;

· закрытием вентиляционных каналов, систем ввода в помещения отопления, электропитания, телефонных и радиокоммуникаций;

· использованием специальных аттестованных помещений, исключающих появление каналов утечки информации.

1.3. Защита информации от утечки по электромагнитным каналам

Для защиты информации от утечки по электромагнитным каналам применяются как общие методы защиты от утечки, так и специфические, ориентированные на известные электромагнитные каналы утечки информации. Кроме того, защитные действия можно классифицировать на конструкторско-технологические решения, ориентированные на исключение возможности возникновения таких каналов, и эксплуатационные, связанные с обеспечением условий использования тех или иных технических средств в условиях производственной и трудовой деятельности.

Конструкторско-технологические мероприятия по локализации возможности образования условий возникновения каналов утечки информации за счет побочных электромагнитных излучений и наводок (ПЭМИН) в технических средствах обработки и передачи информации сводятся к рациональным конструкторско-технологическим решениям, к числу которых относятся:

· экранирование элементов и узлов аппаратуры;

· ослабление электромагнитной, емкостной, индуктивной связи между элементами и токонесущими проводами;

· фильтрация сигналов в цепях питания и заземления и др. меры, связанные с использование ограничителей, развязывающих цепей, систем взаимной компенсации, ослабителей по ослаблению или уничтожению ПЭМИН.

Схемно-конструкторские способы защиты информации:

· экранирование;

· заземление;

· фильтрация;

· развязка.

Фильтры различного назначения служат для подавления или ослабления сигналов при их возникновении или распространении, а также для защиты систем питания аппаратуры обработки информации.

Эксплуатационные меры ориентированы на выбор мест установки технических средств с учетом особенностей их электромагнитных полей с таким расчетом, чтобы исключить их выход за пределы контролируемой зоны. В этих целях возможно осуществлять экранирование помещений, в которых находятся средства с большим уровнем ПЭМИ.

Организационные меры защиты информации от утечки за счет электромагнитного излучения:

1. Воспрещение

1.1. Исключение излучения

1.2. Использование экранированных помещений

2. Уменьшение доступности

2.1. Расширение контролируемой зоны

2.2. Уменьшение дальности распространения:

Уменьшение мощности

Снижение высоты

2.3. Использование пространственной ориентации:

Выбор безопасных районов расположения

Безопасная ориентация основного лепестка ДН

Использование остронаправленных антенн

Подавление боковых и заднего лепестков ДН

2.4. Выбор режимов работы:

Сокращение времени работы

Использование известных режимов работы

Использование расчетных методов.

1.4. Защита информации от утечки по материально-вещественным каналам

Меры защиты этого канала в особых комментариях не нуждаются.

В заключении следует отметить, что при защите информации от утечки по любому из рассмотренных целесообразно придерживаться следующего порядка действий:

1. Выявление возможных каналов утечки.

2. Обнаружение реальных каналов.

3. Оценка опасности реальных каналов.

4. Локализация опасных каналов утечки информации.

5. Систематический контроль за наличием каналов и качеством их защиты.

2. Особенности программно-математического воздействия в сетях общего пользования

Программно-математическое воздействие – это воздействие на защищаемую информацию с помощью вредоносных программ.

Вредоносная программа - программа, предназначенная для осуществления несанкционированного доступа к информации и (или) воздействия на информацию или ресурсы информационной системы. Иными словами вредоносной программой называют некоторый самостоятельный набор инструкций, который способен выполнять следующее:

· скрывать свое присутствие в компьютере;

· обладать способностью к самоуничтожению, маскировкой под легальные программы и копирования себя в другие области оперативной или внешней памяти;

· модифицировать (разрушать, искажать) код других программ;

· самостоятельно выполнять деструктивные функции – копирование, модификацию, уничтожение, блокирование и т.п.

· искажать, блокировать или подменять выводимую во внешний канал связи или на внешний носитель информацию.

Основными путями проникновения вредоносных программ в ИС, в частности, на компьютер, являются сетевое взаимодействие и съемные носители информации (флешки, диски и т.п.). При этом внедрение в систему может носить случайный характер.

Основными видами вредоносных программ являются:

• программные закладки;
• программные вирусы;
• сетевые черви;
• другие вредоносные программы, предназначенные для осуществления НСД.

К программным закладкам относятся программы и фрагменты программного кода, предназначенные для формирования недекларированных возможностей легального программного обеспечения.

Недекларированные возможности программного обеспечения – функциональные возможности программного обеспечения, не описанные в документации. Программная закладка часто служит проводником для других вирусов и, как правило, не обнаруживаются стандартными средствами антивирусного контроля.

Программные закладки различают в зависимости от метода их внедрения в систему:

• программно-аппаратные. Это закладки, интегрированные в программно-аппаратные средства ПК (BIOS , прошивки периферийного оборудования);
• загрузочные. Это закладки, интегрированные в программы начальной загрузки (программы-загрузчики), располагающиеся в загрузочных секторах;
• драйверные. Это закладки, интегрированные в драйверы (файлы, необходимые операционной системе для управления подключенными к компьютеру периферийными устройствами);
• прикладные. Это закладки, интегрированные в прикладное программное обеспечение (текстовые редакторы, графические редакторы, различные утилиты и т.п.);
• исполняемые. Это закладки, интегрированные в исполняемые программные модули. Программные модули чаще всего представляют собой пакетные файлы;
• закладки-имитаторы. Это закладки, которые с помощью похожего интерфейса имитируют программы, в ходе работы которых требуется вводить конфиденциальную информацию;

Для выявления программных закладок часто используется качественный подход, заключающийся в наблюдении за функционированием системы, а именно:

• снижение быстродействия;
• изменение состава и длины файлов;
• частичное или полное блокирование работы системы и ее компонентов;
• имитация физических (аппаратных) сбоев работы вычислительных средств и периферийных устройств;
• переадресация сообщений;
• обход программно-аппаратных средств криптографического преобразования информации;
• обеспечение доступа в систему с несанкционированных устройств.

Существуют также диагностические методы обнаружения закладок. Так, например, антивирусы успешно находят загрузочные закладки. С инициированием статической ошибки на дисках хорошо справляется Disk Doctor, входящий в распространенный комплекс утилит Norton Utilities. К наиболее распространенным программным закладкам относится "троянский конь".

Троянским конем называется:

• программа, которая, являясь частью другой программы с известными пользователю функциями, способна втайне от него выполнять некоторые дополнительные действия с целью причинения ему определенного ущерба;
• программа с известными ее пользователю функциями, в которую были внесены изменения, чтобы, помимо этих функций, она могла втайне от него выполнять некоторые другие (разрушительные) действия.

Основные виды троянских программ и их возможности:

• Trojan-Notifier – Оповещение об успешной атаке. Троянцы данного типа предназначены для сообщения своему "хозяину" о зараженном компьютере. При этом на адрес "хозяина" отправляется информация о компьютере, например, IP-адрес компьютера, номер открытого порта, адрес электронной почты и т. п.
• Trojan-PSW – Воровство паролей. Они похищают конфиденциальные данные с компьютера и передают их хозяину по электронной почте.
• Trojan-Clicker - интернет-кликеры – Семейство троянских программ, основная функция которых - организация несанкционированных обращений к интернет-ресурсам (обычно к веб-страницам). Методы для этого используются разные, например установка злонамеренной страницы в качестве домашней в браузере.
• Trojan-DDoS – Trojan -DDoS превращают зараженный компьютер в так называемый бот, который используется для организации атак отказа в доступе на определенный сайт. Далее от владельца сайта требуют заплатить деньги за прекращение атаки.
• Trojan-Proxy – Троянские прокси-сервера . Семейство троянских программ, скрытно осуществляющих анонимный доступ к различным Интернет-ресурсам. Обычно используются для рассылки спама.
• Trojan-Spy – Шпионские программы. Они способны отслеживать все ваши действия на зараженном компьютере и передавать данные своему хозяину. В число этих данных могут попасть пароли, аудио и видео файлы с микрофона и видеокамеры, подключенных к компьютеру.
• Backdoor – Способны выполнять удаленное управление зараженным компьютером. Его возможности безграничны, весь ваш компьютер будет в распоряжении хозяина программы. Он сможет рассылать от вашего имени сообщения, знакомиться со всей информацией на компьютере, или просто разрушить систему и данные без вашего ведома.
• Trojan-Dropper – Инсталляторы прочих вредоносных программ. Очень похожи на Trojan -Downloader, но они устанавливают злонамеренные программы, которые содержатся в них самих.
• Rootkit – способны прятаться в системе путем подмены собой различных объектов. Такие трояны весьма неприятны, поскольку способны заменить своим программным кодом исходный код операционной системы, что не дает антивирусу возможности выявить наличие вируса.

Абсолютно все программные закладки, независимо от метода их внедрения в компьютерную систему, срока их пребывания в оперативной памяти и назначения, имеют одну общую черту: обязательное выполнение операции записи в оперативную или внешнюю память системы. При отсутствии данной операции никакого негативного влияния программная закладка оказать не может.

Вирус (компьютерный, программный) – исполняемый программный код или интерпретируемый набор инструкций, обладающий свойствами несанкционированного распространения и самовоспроизведения. Созданные дубликаты компьютерного вируса не всегда совпадают с оригиналом, но сохраняют способность к дальнейшему распространению и самовоспроизведению. Таким образом, обязательным свойством программного вируса является способность создавать свои копии и внедрять их в вычислительные сети и/или файлы, системные области компьютера и прочие выполняемые объекты. При этом дубликаты сохраняют способность к дальнейшему распространению.

Жизненный цикл вируса состоит из следующих этапов:

• проникновение на компьютер
• активация вируса
• поиск объектов для заражения
• подготовка вирусных копий
• внедрение вирусных копий

Классификация вирусов и сетевых червей представлена на рисунке 1.

Рис.1. Классификация вирусов и сетевых червей

Вирусный код загрузочного типа позволяет взять управление компьютером на этапе инициализации, еще до запуска самой системы. Загрузочные вирусы записывают себя либо в в boot-сектор, либо в сектор, содержащий системный загрузчик винчестера, либо меняют указатель на активный boot-сектор. Принцип действия загрузочных вирусов основан на алгоритмах запуска ОС при включении или перезагрузке компьютера: после необходимых тестов установленного оборудования (памяти, дисков и т. д.) программа системной загрузки считывает первый физический сектор загрузочного диска и передает управление на А:, С: или CD-ROM, в зависимости от параметров, установленных в BIOS Setup .

В случае дискеты или CD-диска управление получает boot-сектор диска, который анализирует таблицу параметров диска (ВРВ - BIOS Parameter Block ), высчитывает адреса системных файлов ОС, считывает их в память и запускает на выполнение. Системными файлами обычно являются MSDOS.SYS и IO.SYS, либо IBMDOS.COM и IBMBIO.COM, либо другие в зависимости от установленной версии DOS, и/или Windows, или других ОС. Если же на загрузочном диске отсутствуют файлы операционной системы, программа, расположенная в boot-секторе диска, выдает сообщение об ошибке и предлагает заменить загрузочный диск.

В случае винчестера управление получает программа, расположенная в MBR винчестера. Она анализирует таблицу разбиения диска (Disk Partition Table), вычисляет адрес активного boot-сектора (обычно этим сектором является boot-сектор диска С:), загружает его в память и передает на него управление. Получив управление, активный boot-сектор винчестера проделывает те же действия, что и boot-сектор дискеты.

При заражении дисков загрузочные вирусы подставляют свой код вместо какой-либо программы, получающей управление при загрузке системы. Принцип заражения, таким образом, одинаков во всех описанных выше способах: вирус "заставляет" систему при ее перезапуске считать в память и отдать управление не оригинальному коду загрузчика, а коду вируса.

Пример: Вредоносная программа Virus.Boot.Snow.a записывает свой код в MBR жесткого диска или в загрузочные сектора дискет. При этом оригинальные загрузочные сектора шифруются вирусом. После получения управления вирус остается в памяти компьютера (резидентность) и перехватывает прерывания. Иногда вирус проявляет себя визуальным эффектом – на экране компьютера начинает падать снег.

Файловые вирусы – вирусы, которые заражают непосредственно файлы. Файловые вирусы можно разделить на три группы в зависимости от среды, в которой распространяется вирус:

1. Файловые вирусы – работают непосредственно с ресурсами операционной системы. Пример: один из самых известных вирусов получил название "Чернобыль". Благодаря своему небольшому размеру (1 Кб) вирус заражал PE-файлы таким образом, что их размер не менялся. Для достижения этого эффекта вирус ищет в файлах "пустые" участки, возникающие из-за выравнивания начала каждой секции файла под кратные значения байт. После получения управления вирус перехватывает IFS API, отслеживая вызовы функции обращения к файлам и заражая исполняемые файлы. 26 апреля срабатывает деструктивная функция вируса, которая заключается в стирании Flash BIOS и начальных секторов жестких дисков. Результатом является неспособность компьютера загружаться вообще (в случае успешной попытки стереть Flash BIOS) либо потеря данных на всех жестких дисках компьютера.

2. Макровирусы – вирусы, написанные на макроязыках, встроенных в некоторые системы обработки данных (текстовые редакторы, электронные таблицы и т.п.). Самыми распространенными являются вирусы для программ Microsoft Office. Для своего размножения такие вирусы используют возможности макроязыков и при их помощи переносят себя (свои копии) из одного документа в другой.

Для существования макровирсуов в конкретном редакторе встроенный в него макроязык должен обладать следующими возможностями:

• привязка программы на макроязыке к конкретному файлу;
• копирование макропрограмм из одного файла в другой;
• получение управления макропрограммой без вмешательства пользователя (автоматические или стандартные макросы).

Данным условиям удовлетворяют прикладные программы Microsoft Word, Excel и Microsoft Access. Они содержат в себе макроязыки: Word Basic, Visual Basic for Applications. Современные макроязыки обладают вышеперечисленными особенностями с целью предоставления возможности автоматической обработки данных.

Большинство макровирусов активны не только в момент открытия (закрытия) файла, но до тех пор, пока активен сам редактор. Они содержат все свои функции в виде стандартных макросов Word/Excel/Office. Существуют, однако, вирусы, использующие приемы скрытия своего кода и хранящие свой код в виде не макросов. Известно три подобных приема, все они используют возможность макросов создавать, редактировать и исполнять другие макросы. Как правило, подобные вирусы имеют небольшой макрос-загрузчик вируса, который вызывает встроенный редактор макросов, создает новый макрос, заполняет его основным кодом вируса, выполняет и затем, как правило, уничтожает (чтобы скрыть следы присутствия вируса). Основной код таких вирусов присутствует либо в самом макросе вируса в виде текстовых строк (иногда – зашифрованных), либо хранится в области переменных документа.

3. Сетевые вирусы – вирусы, которые для своего распространения используют протоколы и возможности локальных и глобальных сетей. Основным свойством сетевого вируса является возможность самостоятельно тиражировать себя по сети. При этом существуют сетевые вирусы, способные запустить себя на удаленной станции или сервере.

Основные деструктивные действия, выполняемые вирусами и червями:

атаки "отказ в обслуживании"

потеря данных

хищение информации.

Помимо всего вышеописанного, существуют вирусы комбинированного типа, которые объединяют в себе свойства разных типов вирусов, например, файлового и загрузочного. В виде примера приведем популярный в минувшие годы файловый загрузочный вирус под названием "OneHalf". Этот вирусный код, оказавшись в компьютерной среде операционной системы "MS-DOS" заражал основную запись загрузки. В процессе инициализации компьютера он шифровал секторы основного диска, начиная с конечных. Когда вирус оказывается в памяти, он начинает контролировать любые обращения к шифровальным секторам и может расшифровать их таким образом, что все программы будут работать в штатном режиме. Если вирус "OneHalf" просто стереть из памяти и сектора загрузки, то информация, записанная в шифровальном секторе диска, станет недоступной. Когда вирус зашифровывает часть диска, он предупреждает об этом следующей надписью: "Dis is one half, Press any key to continue…". После этих действий он ждет, когда вы нажмете на любую кнопку и продолжите работать. В вирусе "OneHalf" использованы разные маскировочные механизмы. Он считается невидимым вирусом и выполняет полиморфные алгоритмические функции. Обнаружить и удалить вирусный код "OneHalf" весьма проблематично, потому что, его могут увидеть не все антивирусные программы.

На этапе подготовки вирусных копий современные вирусы часто используют методы маскировки копий с целью затруднения их нахождения антивирусными средствами:

• Шифрование - вирус состоит из двух функциональных кусков: собственно вирус и шифратор. Каждая копия вируса состоит из шифратора, случайного ключа и собственно вируса, зашифрованного этим ключом.
• Метаморфизм - создание различных копий вируса путем замены блоков команд на эквивалентные, перестановки местами кусков кода, вставки между значащими кусками кода "мусорных" команд, которые практически ничего не делают.

Сочетание этих двух технологий приводит к появлению следующих типов вирусов:

• Шифрованный вирус - вирус, использующий простое шифрование со случайным ключом и неизменный шифратор. Такие вирусы легко обнаруживаются по сигнатуре шифратора.
• Метаморфный вирус - вирус, применяющий метаморфизм ко всему своему телу для создания новых копий.
• Полиморфный вирус - вирус, использующий метаморфный шифратор для шифрования основного тела вируса со случайным ключом. При этом часть информации, используемой для получения новых копий шифратора также может быть зашифрована. Например, вирус может реализовывать несколько алгоритмов шифрования и при создании новой копии менять не только команды шифратора, но и сам алгоритм.

Червь - тип вредоносных программ, распространяющихся по сетевым каналам, способных к автономному преодолению систем защиты автоматизированных и компьютерных сетей, а также к созданию и дальнейшему распространению своих копий, не всегда совпадающих с оригиналом, и осуществлению иного вредоносного воздействия. Самым знаменитым червем является червь Moriss, механизмы работы которого подробно описаны в литературе. Червь появился в 1988 году и в течение короткого промежутка времени парализовал работу многих компьютеров в Интернете. Данный червь является "классикой" вредоносных программ, а механизмы нападения, разработанные автором при его написании, до сих пор используются злоумышленниками. Moriss являлся самораспространяющейся программой, которая распространяла свои копии по сети, получая привилегированные права доступа на хостах сети за счет использования уязвимостей в операционной системе. Одной из уязвимостей, использованных червем, была уязвимая версия программы sendmail (функция "debug" программы sendmail, которая устанавливала отладочный режим для текущего сеанса связи), а другой – программа fingerd (в ней содержалась ошибка переполнения буфера). Для поражения систем червь использовал также уязвимость команд rexec и rsh, а также неверно выбранные пользовательские пароли.

На этапе проникновения в систему черви делятся преимущественно по типам используемых протоколов:

• Сетевые черви - черви, использующие для распространения протоколы Интернет и локальных сетей. Обычно этот тип червей распространяется с использованием неправильной обработки некоторыми приложениями базовых пакетов стека протоколов TCP/IP.
• Почтовые черви - черви, распространяющиеся в формате сообщений электронной почты. Как правило, в письме содержится тело кода или ссылка на зараженный ресурс. Когда вы запускаете прикрепленный файл, червь активизируется; когда вы щелкаете на ссылке, загружаете, а затем открываете файл, червь также начинает выполнять свое вредоносное действие. После этого он продолжает распространять свои копии, разыскивая другие электронные адреса и отправляя по ним зараженные сообщения. Для отправки сообщений червями используются следующие способы: прямое подключение к SMTP-серверу, используя встроенную в код червя почтовую библиотеку; использование сервисов MS Outlook; использование функций Windows MAPI. Для поиска адресов жертв чаще всего используется адресная книга MS Outlook, но может использоваться также адресная база WAB. Червь может просканировать файлы, хранящиеся на дисках, и выделить из них строки, относящиеся к адресам электронной почты. Черви могут отсылать свои копии по всем адресам, обнаруженным в почтовом ящике (некоторые обладают способностью отвечать на письма в ящике). Встречаются экземпляры, которые могут комбинировать способы.
• IRC-черви - черви, распространяющиеся по каналам IRC (Internet Relay Chat). Черви этого класса используют два вида распространения: пересылка пользователю URL-ссылки на файл-тело; отсылка пользователю файла (при этом пользователь должен подтвердить прием).
• P2P-черви - черви, распространяющиеся при помощи пиринговых (peer-to-peer) файлообменных сетей. Механизм работы большинства подобных червей достаточно прост: для внедрения в P2P-сеть червю достаточно скопировать себя в каталог обмена файлами, который обычно расположен на локальной машине. Всю остальную работу по его распространению P2P-сеть берет на себя – при поиске файлов в сети она сообщит удаленным пользователям о данном файле и предоставит весь необходимый сервис для его скачивания с зараженного компьютера. Существуют более сложные P2P-черви, которые имитируют сетевой протокол конкретной файлообменной системы и положительно отвечают на поисковые запросы (при этом червь предлагает для скачивания свою копию).
• IM-черви - черви, использующие для распространения системы мгновенного обмена сообщениями (IM, Instant Messenger – ICQ, MSN Messenger, AIM и др.). Известные компьютерные черви данного типа используют единственный способ распространения – рассылку на обнаруженные контакты (из контакт-листа) сообщений, содержащих URL на файл, расположенный на каком-либо веб – сервере. Данный прием практически полностью повторяет аналогичный способ рассылки, использующийся почтовыми червями.

В настоящее время всё большую "популярность" приобретают мобильные черви и черви, распространяющие свои копии через общие сетевые ресурсы. Последние используют функции операционной системы, в частности, перебирают доступные сетевые папки, подключаются к компьютерам в глобальной сети и пытаются открыть их диски на полный доступ. Отличаются от стандартных сетевых червей тем, что пользователю нужно открыть файл с копией червя, чтобы активизировать его.

По деструктивным возможностям вирусы и сетевые черви различают:

• безвредные, т. е. никак не влияющие на работу компьютера (кроме уменьшения свободной памяти на диске в результате своего распространения);
• неопасные, влияние которых ограничивается уменьшением свободной памяти на диске и графическими, звуковыми и прочими эффектами;
• опасные вирусы, которые могут привести к серьезным сбоям в работе компьютера;
• очень опасные - в алгоритм их работы заведомо заложены процедуры, которые могут вызвать потерю программ, уничтожить данные, стереть необходимую для работы компьютера информацию, записанную в системных областях памяти.

Но даже если в алгоритме вируса не найдено ветвей, наносящих ущерб системе, этот вирус нельзя с полной уверенностью назвать безвредным, так как проникновение его в компьютер может вызвать непредсказуемые и порой катастрофические последствия. Ведь вирус, как и всякая программа, имеет ошибки, в результате которых могут быть испорчены как файлы, так и сектора дисков (например, вполне безобидный на первый взгляд вирус DenZuk довольно корректно работает с 360-килобайтовыми дискетами, но может уничтожить информацию на дискетах большего объема ). До сих пор попадаются вирусы, определяющие СОМ или ЕХЕ не по внутреннему формату файла, а по его расширению. Естественно, что при несовпадении формата и расширения имени файл после заражения оказывается неработоспособным. Возможно также "заклинивание" резидентного вируса и системы при использовании новых версий DOS, при работе в Windows или с другими мощными программными системами.

Если проанализировать всё вышесказанное, то можно заметить схожесть сетевых червей и компьютерных вирусов, в частности, полное совпадение жизненного цикла и самотиражирование. Основным отличием червей от программных вирусов является способность к распространению по сети без участия человека. Иногда сетевых червей относят к подклассу компьютерных вирусов.

В связи с бурным развитием Интернета и информационных технологий количество вредоносных программ и вариантов их внедрения в информационную систему неустанно растет. Наибольшую опасность представляют новые формы вирусов и сетевых червей, сигнатуры которых не известны производителям средств защиты информации. В настоящее время всё большую популярность получают такие методы борьбы, как анализ аномального поведения системы и искусственные иммунные системы, позволяющие обнаруживать новые формы вирусов.

Согласно аналитическому отчету о вирусной активности компании Panda Security за 3 квартал 2011 года соотношение созданных вредоносных программ имело вид, представленный на рисунке 2.

Рис. 2. Соотношение вредоносного программного обеспечения, созданного в 3 квартале 2011 года

То есть три из четырех новых образцов программного обеспечения оказались троянами, на втором месте – вирусы. Если раньше вредоносное программное обеспечение создавалось чаще всего в экспериментальных или "шуточных" целях и являлось скорее актом кибервандализма, то теперь это мощное оружие для получения материальной или иной выгоды, приобретающее скорее характер киберпреступности.

В любом случае вредоносные программы способны наносить значительный ущерб, реализуя угрозы целостности, конфиденциальности и доступности информации. Наиболее популярным методом борьбы с ними является установка средств антивирусной защиты.

3. Защита информации в локальных вычислительных сетях

3.1. Антивирусы

Антивирусные программы на сегодняшний день смело можно назвать самым популярным средством защиты информации. Антивирусные программы – программы, предназначенные для борьбы с вредоносным программным обеспечением (вирусами).

Для обнаружения вирусов антивирусные программы используют два метода – сигнатурный и эвристический.

Сигнатурный метод основан на сравнении подозрительного файла с сигнатурами известных вирусов. Сигнатура – это некий образец известного вируса, то есть набор характеристик, позволяющих идентифицировать данный вирус или наличие вируса в файле. Каждый антивирус хранит антивирусную базу, содержащую сигнатуры вирусов. Естественно, каждый день появляются новые вирусы, поэтому антивирусная база нуждается в регулярном обновлении. В противном случае антивирус не будет находить новые вирусы. Раньше все антивирусные программы использовали только сигнатурный метод для обнаружения вирусов ввиду его простоты реализации и точности обнаружения известных вирусов. Тем не менее, данный метод обладает очевидными минусами – если вирус новый и сигнатура его неизвестна, антивирус "пропустит" его. Поэтому современные антивирусы используют также эвристические методы.

Эвристический метод представляет собой совокупность приблизительных методов обнаружения вирусов, основанных на тех или иных предположениях. Как правило, выделяют следующие эвристические методы:

• поиск вирусов, похожих на известные (часто именно этот метод называют эвристическим). В принципе метод похож на сигнатурный, только в данном случае он более гибкий. Сигнатурный метод требует точного совпадения, здесь же файл исследуется на наличие модификаций известных сигнатур, то есть не обязательно полное совпадение. Это помогает обнаруживать гибриды вирусов и модификации уже известных вирусов;
• аномальный метод – метод основан на отслеживании аномальных событий в системе и выделении основных вредоносных действий: удаления, запись в определенные области реестра, рассылка писем и пр. Понятно, что выполнение каждого такого действия по отдельности не является поводом считать программу вредоносной. Но если программа последовательно выполняет несколько таких действий, например, записывает себя в ключ автозапуска системного реестра, перехватывает данные вводимые с клавиатуры и с определенной частотой пересылает эти данные на какой-то адрес в Интернет, значит эта программа, по меньшей мере, подозрительна. Поведенческие анализаторы не используют для работы дополнительных объектов, подобных вирусным базам и, как следствие, неспособны различать известные и неизвестные вирусы – все подозрительные программы априори считаются неизвестными вирусами. Аналогично, особенности работы средств, реализующих технологии поведенческого анализа, не предполагают лечения;
• анализ контрольных сумм – это способ отслеживания изменений в объектах компьютерной системы. На основании анализа характера изменений – одновременность, массовость, идентичные изменения длин файлов – можно делать вывод о заражении системы. Анализаторы контрольных сумм, как и анализаторы аномального поведения, не используют в работе антивирусные базы и принимают решение о наличии вируса в системе исключительно методом экспертной оценки. Большая популярность анализа контрольных сумм связана с воспоминаниями об однозадачных операционных системах, когда количество вирусов было относительно небольшим, файлов было немного и менялись они редко. Сегодня ревизоры изменений утратили свои позиции и используются в антивирусах достаточно редко. Чаще подобные технологии применяются в сканерах при доступе – при первой проверке с файла снимается контрольная сумма и помещается в кэше, перед следующей проверкой того же файла сумма снимается еще раз, сравнивается, и в случае отсутствия изменений файл считается незараженным.

Эвристические методы также обладают недостатками и достоинствами. К достоинствам можно отнести способность обнаруживать новые вирусы. То есть если вирус новый и его сигнатура неизвестна, антивирус с сигнатурным обнаружением "пропустит" его при проверке, а с эвристическим – возможно найдет. Из последнего предложения вытекает и основной недостаток эвристического метода – его вероятностный характер. То есть такой антивирус может найти вирус, не найти его или принять легитимный файл за вирус.

В современных антивирусных комплексах производители стараются совмещать сигнатурный метод и эвристические. Перспективным направлением в данной области является разработка антивирусов с искусственной иммунной системой – аналогом иммунной системы человека, которая может обнаруживать "инородные" тела.

В составе антивируса обязательно должны присутствовать следующие модули:

• модуль обновления – доставляет обновленные базы сигнатур пользователю антивируса. Модуль обновления обращается к серверам производителя и скачивает обновленные антивирусные базы.
• модуль планирования – предназначен для планирования действий, которые регулярно должен выполнять антивирус. Например, проверять компьютер на наличие вирусов и обновлять антивирусные базы. Пользователь может выбрать расписание выполнения данных действий.
• модуль управления – предназначен для администраторов крупных сетей. Данные модули содержат интерфейс, позволяющий удаленно настраивать антивирусы на узлах сети, а также способы ограничения доступа локальных пользователей к настройкам антивируса.
• модуль карантина – предназначен для изолирования подозрительных файлов в специальное место – карантин. Лечение или удаление подозрительного файла не всегда является возможным, особенно если учесть ложные срабатывания эвристического метода. В этих случаях файл помещается в карантин и не может выполнять какие-либо действия оттуда.

В больших организациях с разветвленной внутренней сетью и выходом в Интернет для защиты информации применяются антивирусные комплексы.

Антивирусное ядро – реализация механизма сигнатурного сканирования на основе имеющихся сигнатур вирусов и эвристического анализа.

Антивирусный комплекс – набор антивирусов, использующих одинаковое антивирусное ядро или ядра, предназначенный для решения практических проблем по обеспечению антивирусной безопасности компьютерных систем.

Выделяют следующие типы антивирусных комплексов в зависимости от того, где они применяются:

• антивирусный комплекс для защиты рабочих станций
• антивирусный комплекс для защиты файловых серверов
• антивирусный комплекс для защиты почтовых систем
• антивирусный комплекс для защиты шлюзов

Антивирусный комплекс для защиты рабочих станций , как правило, состоит из следующих компонентов:

• антивирусный сканер при доступе – проверяет файлы, к которым обращается ОС;
• антивирусный сканер локальной почты – для проверки входящих и исходящих писем;
• антивирусный сканер по требованию – проверяет указанные области дисков или файлы по запросу либо пользователя, либо в соответствии с установленным в модуле планирования расписанием.

Антивирусный комплекс для защиты почтовых систем предназначен для защиты почтового сервера и включает:

• фильтр почтового потока – осуществляет проверку на наличие вирусов входящего и исходящего трафика сервера, на котором установлен комплекс;
• сканер общих папок (баз данных) – осуществляет проверку на наличие вирусов баз данных и общих папок пользователей в режиме реального времени (в момент обращения к этим папкам или базам). Может составлять единое целое с фильтром почтового потока в зависимости от реализации технологии перехвата сообщений/обращений к папкам и передачи на проверку.
• антивирусный сканер по требованию – осуществляет проверку на наличие вирусов почтовых ящиков пользователей и общих папок в случае использования таковых на почтовом сервере. Проверка осуществляется по требованию администратора антивирусной безопасности либо в фоновом режиме.

Антивирусный комплекс для защиты файловых серверов – предназначен для защиты сервера, на котором установлен. Обычно состоит из двух ярко выраженных компонентов:

• антивирусного сканера при доступе – аналогичен сканеру при доступе для рабочей станции;
• антивирусного сканера по требованию – аналогичен сканеру по требованию для рабочей станции.

Антивирусный комплекс для защиты шлюзов, как следует из названия, предназначен для проверки на вирусы данных, передаваемых через шлюз. Так как данные через шлюз передаются практически постоянно, на нем устанавливаются компоненты, работающие в непрерывном режиме:

• сканер HTTP-потока - проверяет данные, передаваемые по протоколу HTTP;
• сканер FTP-потока - проверяет данные, передаваемые по протоколу FTP;
• сканер SMTP-потока - проверяет данные, передаваемые через шлюз по SMTP.

Обязательным компонентом всех рассмотренных комплексов является модуль обновления антивирусных баз.

Антивирусные средства широко представлены на рынке сегодня. При этом они обладают различными возможностями, ценой и требованиям к ресурсам. Для того чтобы правильно выбрать антивирусное ПО необходимо следить за публикуемой в сети статистикой тестирования антивирусных средств. Одним из первых тестировать антивирусные продукты начал британский журнал Virus Bulletin еще в далеком 1998 году. Основу теста составляет коллекция вредоносных программ WildList, которую можно при желании найти в Интернете. Для успешного прохождения теста антивирусной программе нужно выявить все вирусы из этого списка и продемонстрировать нулевой уровень ложных срабатываний на коллекции "чистых" файлов журнала. Тестирование проводится на различных операционных системах (Windows, Linux и т.п.), а успешно прошедшие тест продукты получают награду VB100%. Посмотреть список программ, прошедших последнюю проверку можно на странице http://www.virusbtn.com/vb100/archive/summary .

Помимо Virus Bulletin тестирование проводят такие независимые лаборатории как AV-Comparatives и AV-Tests. Только их "коллекция" вирусов может содержать до миллиона вредоносных программ. В Интернете можно найти отчеты об этих исследованиях, правда, на английском языке. Более того, на сайте Virus Bulletin можно сравнить производителей (вендоров) антивирусов между собой на следующей страницы http://www.virusbtn.com/vb100/archive/compare?nocache .

3.2. Межсетевой экран

Межсетевой экран (МЭ)– это программное или программно-аппаратное средство, которое разграничивает информационные потоки на границе защищаемой системы.

Межсетевой экран пропускает через себя весь трафик, принимая относительно каждого проходящего пакета решение: дать ему возможность пройти или нет. Для того чтобы межсетевой экран мог осуществить эту операцию, ему необходимо определить набор правил фильтрации.

Применение МЭ позволяет:

• повысить безопасность объектов внутри системы за счет игнорирования неавторизированных запросов из внешней среды;
• контролировать информационные потоки во внешнюю среду;
• обеспечить регистрацию процессов информационного обмена.

В основе принятия решения МЭ о том, пропускать трафик или нет, лежит фильтрация по тем или иным правилам. Существует два метода настройки МЭ:

• изначально "запретить всё", а затем определить то, что следует разрешить;
• изначально "разрешить всё", а затем определить то, что следует запретить.

Очевидно, что первый вариант является более безопасным, так как запрещает всё и, в отличие от второго, не может пропустить нежелательный трафик.

В зависимости от принципов функционирования выделяют несколько классов МЭ. Основным признаком классификации является уровень модели ISO/OSI, на котором функционирует МЭ.

1. Фильтры пакетов

Простейший класс межсетевых экранов, работающих на сетевом и транспортном уровнях модели ISO/OSI. Фильтрация пакетов обычно осуществляется по следующим критериям:

• IP-адрес источника;
• IP-адрес получателя;
• порт источника;
• порт получателя;
• специфические параметры заголовков сетевых пакетов.

Фильтрация реализуется путём сравнения перечисленных параметров заголовков сетевых пакетов с базой правил фильтрации.

2. Шлюзы сеансового уровня

Данные межсетевые экраны работают на сеансовом уровне модели ISO/OSI. В отличие от фильтров пакетов, они могут контролировать допустимость сеанса связи, анализируя параметры протоколов сеансового уровня. К положительным качествам фильтров пакетов можно отнести следующие:

• невысокая стоимость;
• возможность гибко настраивать правила фильтрации;
• небольшая задержка при прохождении пакетов.

К недостаткам можно отнести следующее:

• правила фильтрации пакетов трудны в описании и требуют очень хороших знаний технологий TCP и UDP. Зачастую такие МЭ требуют многочасовой ручной настройки высококвалифицированных специалистов;
• при нарушении работоспособности межсетевого экрана с фильтрацией пакетов все компьютеры за ним становятся полностью незащищенными либо недоступными;
• отсутствует аутентификация на пользовательском уровне.

3. Шлюзы прикладного уровня

Межсетевые экраны данного класса позволяют фильтровать отдельные виды команд или наборы данных в протоколах прикладного уровня. Для этого используются прокси-сервисы – программы специального назначения, управляющие трафиком через межсетевой экран для определённых высокоуровневых протоколов (http, ftp, telnet и т.д.). Если без использования прокси-сервисов сетевое соединение устанавливается между взаимодействующими сторонами A и B напрямую, то в случае использования прокси-сервиса появляется посредник – прокси-сервер, который самостоятельно взаимодействует со вторым участником информационного обмена. Такая схема позволяет контролировать допустимость использования отдельных команд протоколов высокого уровня, а также фильтровать данные, получаемые прокси-сервером извне; при этом прокси-сервер на основании установленных политик может принимать решение о возможности или невозможности передачи этих данных клиенту A.

4. Межсетевые экраны экспертного уровня

Наиболее сложные межсетевые экраны, сочетающие в себе элементы всех трёх приведённых выше категорий. Вместо прокси-сервисов в таких экранах используются алгоритмы распознавания и обработки данных на уровне приложений.

Помимо функции фильтрации МЭ позволяет скрыть реальные адреса узлов в защищаемой сети с помощью трансляции сетевых адресов – NAT (Network Address Translation). При поступлении пакета в МЭ, он заменяет реальный адрес отправителя на виртуальный. При получении ответа МЭ выполняет обратную процедуру.

Большинство используемых в настоящее время межсетевых экранов относятся к категории экспертных. Наиболее известные и распространённые МЭ – CISCO PIX и CheckPoint FireWall-1.

3.3. Система обнаружения вторжений

Обнаружение вторжений представляет собой процесс выявления несанкционированного доступа (или попыток несанкционированного доступа) к ресурсам информационной системы. Система обнаружения вторжений (Intrusion Detection System, IDS) в общем случае представляет собой программно-аппаратный комплекс, решающий данную задачу. Системы обнаружения вторжений (IDS) работают наподобие сигнализации здания. Структура IDS представлена на рисунке 3.

Рис. 3. Структурная схема IDS

Схема работы IDS представлена на рисунке 4.

Как видно из рисунка, функционирование систем IDS во многом аналогично межсетевым экранам: сенсоры получают сетевой трафик, а ядро путём сравнения полученного трафика с записями имеющейся базы сигнатур атак пытается выявить следы попыток несанкционированного доступа. Модуль ответного реагирования представляет собой опциональный компонент, который может быть использован для оперативного блокирования угрозы: например, может быть сформировано правило для межсетевого экрана, блокирующее источник нападения.

Существует два типа IDS – узловые (HIDS) и сетевые (NIDS). HIDS располагается на отдельном узле и отслеживает признаки атак на этот узел.

Рис. 4. Схема работы IDS

Узловые IDS представляют собой систему датчиков, которые отслеживают различные события в системе на предмет аномальной активности. Существуют следующие типы датчиков:

• анализаторы журналов – чаще всего контролируются записи системного журнала и журнала безопасности;
• датчики признаков – сопоставляют между собой признаки определенных событий, связанных либо со входящим трафиком, либо с журналами;
• анализаторы системных вызовов – анализируют вызовы между приложениями и операционной системой на предмет соответствия атаке. Данные датчики носят превентивный характер, то есть могут предотвратить атаку в отличие от предыдущих двух типов;
• анализаторы поведения приложений – анализируют вызовы между приложениями и операционной системой на предмет того, разрешено ли приложению то или иное действие;
• контролеры целостности файлов – отслеживают изменения в файлах с помощью контрольных сумм или ЭЦП.

NIDS располагается на отдельной системе и анализирует весь трафик сети на признаки атак. В данные систем встроена база данных признаков атак, на которые система анализирует сетевой трафик.

Каждый из типов IDS имеет свои достоинства и недостатки. IDS уровня сети не снижают общую производительность системы, однако IDS уровня хоста более эффективно выявляют атаки и позволяют анализировать активность, связанную с отдельным хостом. На практике целесообразно использовать системы, совмещающие оба описанных подхода.

Следует отметить, что перспективными направлением в области создания IDS является применение эвристических методов по аналогии с антивирусами – это системы искусственного интеллекта, искусственные иммунные системы, анализ аномального поведения и т.п.

Статья размещена с разрешения редакции журнала "Специальная техника" ,
в котором она была опубликована в № 5 за 2005 год (стр. 54-59).

Хорев Анатолий Анатольевич,
доктор технических наук, профессор

Способы и средства защиты речевой (акустической) информации от утечки по техническим каналам

Классификация способов и средств защиты речевой (акустической) информации от утечки по тех-ническим каналам
К защищаемой речевой (акустической) информации относится информация, являющаяся предметом соб-ственности и подлежащая защите в соответствии с требо-ваниями правовых документов или требованиями, уста-навливаемыми собственником информации. Это, как пра-вило, информация ограниченного доступа , содержа-щая сведения, отнесенные к государственной тайне, а также сведения конфиденциального характера.
Для обсуждения информации ограниченного доступа (со-вещаний, обсуждений, конференций, переговоров и т.п.) используются специальные помещения (служебные каби-неты, актовые залы, конференц-залы и т.д.), которые на-зываются выделенными помещениями (ВП) . Для предотвращения перехвата информации из данных помеще-ний, как правило, используются специальные средства защиты, поэтому выделенные помещения в ряде случаев называют защищаемыми помещениями (ЗП) .
В выделенных помещениях, как правило, устанавливают-ся вспомогательные технические средства и системы (ВТСС) :
городской автоматической телефонной связи;
передачи данных в системе радиосвязи;
охранной и пожарной сигнализации;
оповещения и сигнализации;
кондиционирования;
проводной радиотрансляционной сети и приема про-грамм радиовещания и телевидения (абонентские громкоговорители, средства радиовещания, телевизо-ры и радиоприемники и т.д.);
средства электронной оргтехники;
средства электрочасофикации;
контрольно-измерительная аппаратура и др.
Выделенные помещения располагаются в пределах контролируемой зоны (КЗ) , под которой понимается пространство (территория, здание, часть здания), в кото-ром исключено неконтроли-
руемое пребывание посторон-них лиц (в т.ч. посетителей организации), а также транс-портных средств. Границей контролируемой зоны могут являться периметр охраняемой территории организации, ограждающие конструкции охраняемого здания или ох-раняемой части здания, если оно размещено на неохра-няемой территории. В некоторых случаях границей конт-ролируемой зоны могут быть ограждающие конструкции (стены, пол, потолок) выделенного помещения.
Защита речевой (акустической) информации от утечки по техническим каналам достигается проведением органи-зационных и технических мероприятий , а также выяв-лением портативных электронных устройств перехвата информации (закладных устройств ), внедренных в вы-деленные помещения.
Организационное мероприятие - это мероприятие по защите информации, проведение которого не требует применения специально разработанных технических средств защиты.
К основным организационным мероприятиям по защите речевой информации от утечки по техническим каналам относятся:
выбор помещений для ведения конфиденциальных пе-реговоров (выделенных помещений);
категорирование ВП;
использование в ВП сертифицированных вспомога-тельных технических средств и систем (ВТСС);
установление контролируемой зоны вокруг ВП;
демонтаж в ВП незадействованных ВТСС, их соедини-тельных линий и посторонних проводников;
организация режима и контроля доступа в ВП;
отключение при ведении конфиденциальных перегово-ров незащищенных ВТСС.
Помещения, в которых предполагается ведение конфи-денциальных переговоров, должны выбираться с учетом их звукоизоляции, а также возможностей противника по перехвату речевой информации по акустовибрационному и акустооптическому каналам.
В качестве выделенных целесообразно выбирать поме-щения, которые не имеют общих ограждающих конструк-ций с помещениями, принадлежащими другим организа-циям, или с помещениями, в которые имеется неконтро-лируемый доступ посторонних лиц. По возможности окна выделенных помещений не должны выходить на места стоянки автомашин, а также близлежащие здания, из ко-торых возможно ведение разведки с использованием ла-зерных акустических систем.
Не рекомендуется распола-гать выделенные помещения на первом и последнем эта-жах здания.
В случае если границей контролируемой зоны являются ограждающие конструкции (стены, пол, потолок) выде-ленного помещения, на период проведения конфиденци-альных мероприятий может устанавливаться временная контролируемая зона, исключающая или существенно затрудняющая возможность перехвата речевой информа-ции.
В выделенных помещениях должны использоваться толь-ко сертифицированные технические средства и системы, т.е. прошедшие специальные технические проверки на возможное наличие внедренных закладных устройств, специальные исследования на наличие акустоэлектрических каналов утечки информации и имеющие сертифи-каты соответствия требованиям по безопасности инфор-мации в соответствии с нормативными документами ФСТЭК России.
Все незадействованные для обеспечения конфиденциаль-ных переговоров вспомогательные технические средства, а также посторонние кабели и провода, проходящие через выделенное помещение, должны быть демонтированы.
Несертифицированные технические средства, установ-ленные в выделенных помещениях, при ведении конфи-денциальных переговоров должны отключаться от соеди-нительных линий и источников электропитания.
Выделенные помещения во внеслужебное время должны закрываться, опечатываться и сдаваться под охрану. В служебное время доступ сотрудников в эти помещения должен быть ограничен (по спискам) и контролироваться (учет посещения). При необходимости данные помещения могут быть оборудованы системами контроля и управле-ния доступом.
Все работы по защите ВП (на этапах проектирования, строительства или реконструкции, монтажу оборудования и аппаратуры защиты информации, аттестации ВП) осу-ществляют организации, имеющие лицензию на деятель-ность в области защиты информации.
При вводе ВП в эксплуатацию, а затем периодически должна проводиться его аттестация по требованиям безо-пасности информации в соответствии с нормативными документами ФСТЭК России. Периодически также долж-но проводиться его специальное обследование.
В большинстве случаев только организационными меро-приятиями не удается обеспечить требуемую эффектив-ность защиты информации и необходимо проведение тех-нических мероприятий по защите информации. Техни-ческое мероприятие - это мероприятие по защите ин-формации, предусматривающее применение специаль-ных технических средств, а также реализацию техничес-ких решений. Технические мероприятия направлены на закрытие каналов утечки информации путем уменьшения отношения сигнал/шум в местах возможного размещения портативных средств акустической разведки или их дат-чиков до величин, обеспечивающих невозможность выде-ления информационного сигнала средством разведки. В зависимости от используемых средств технические спо-собы защиты информации подразделяются на пассив-ные и активные . Пассивные способы защиты информа-ции направлены на:
ослабление акустических и вибрационных сигналов до величин, обеспечивающих невозможность их выделе-ния средством акустической разведки на фоне естест-венных шумов в местах их возможной установки;
ослабление информационных электрических сигналов в соединительных линиях вспомогательных техничес-ких средств и систем, возникших вследствие акусто-электрических преобразований акустических сигналов, до величин, обеспечивающих невозможность их выде-ления средством разведки на фоне естественных шу-мов;
исключение (ослабление) прохождения сигналов «вы-сокочастотного навязывания» в ВТСС, имеющих в сво-ем составе электроакустические преобразователи (об-ладающие микрофонным эффектом);
ослабление радиосигналов, передаваемых закладны-ми устройствами, до величин, обеспечивающих невоз-можность их приема в местах возможной установки приемных устройств;
ослабление сигналов, передаваемых закладными уст-ройствами по электросети 220 В, до величин, обеспе-чивающих невозможность их приема в местах возмож-ной установки приемных устройств.
Классификация пассивных способов защиты речевой ин-формации представлена на рис. 1.

Рис. 1. Классификация пассивных способов защиты
речевой информации в выделенных помещениях

Ослабление речевых (акустических) сигналов осущес-твляется путем звукоизоляции помещений, которая направлена на локализацию источников акустических сиг-налов внутри них.
Специальные вставки и прокладки используются для виб-рационной развязки труб тепло-, газо-, водоснабжения и канализации, выходящих за пределы контролируемой зо-ны (рис. 2).

Рис. 2. Установка специальных резиновых вставок в трубы тепло-, газо-,
водоснабжения и канализации, выходящие за пределы контролируемой зоны

В целях закрытия акустоэлектромагнитных каналов утеч-ки речевой информации, а также каналов утечки инфор-мации, создаваемых путем скрытой установки в помеще-ниях закладных устройств с передачей информации по радиоканалу, используются различные способы экрани-рования выделенных помещений, которые подробно рас-смотрены в .
Установка специальных фильтров низкой частоты и огра-ничителей в соединительные линии ВТСС, выходящие за пределы контролируемой зоны, используется для исклю-чения возможности перехвата речевой информации из выделенных помещений по пассивному и активному акустоэлектрическим каналам утечки информации (рис. 3).

Рис. 3. Установка специальных фильтров низкой частоты типа «Гранит-8»
в телефонные линии, имеющие выход за пределы контролируемой зоны

Специальные фильтры низкой частоты типа ФП устанав-ливаются в линии электропитания (розеточной и освети-тельной сети) выделенного помещения в целях исключе-ния возможной передачи по ним информации, перехваченной сетевыми закладками (рис. 4). Для этих целей исполь-зуются фильтры с граничной частотой f гp ≤ 20...40 кГц и ослаблением не менее 60 - 80 дБ. Фильтры необходимо устанавливать в пределах контролируемой зоны.

Рис. 4. Установка специальных фильтров низкой частоты типа ФП в линии

В случае технической невозможности использования пас-сивных средств защиты помещений или если они не обес-печивают требуемых норм по звукоизоляции, используют-ся активные способы защиты речевой информации, ко-торые направлены на:
создание маскирующих акустических и вибрационных шумов в целях уменьшения отношения сигнал/шум до величин, обеспечивающих невозможность выделения средством акустической разведки речевой информа-ции в местах их возможной установки;
создание маскирующих электромагнитных помех в со-единительных линиях ВТСС в целях уменьшения отно-шения сигнал/шум до величин, обеспечивающих невоз-можность выделения информационного сигнала сред-ством разведки в возможных местах их подключения;
подавление устройств звукозаписи (диктофонов) в ре-жиме записи;
подавление приемных устройств, осуществляющих при-ем информации с закладных устройств по радиоканалу;
подавление приемных устройств, осуществляющих прием информации с закладных устройств по электро-сети 220 В.
Классификация активных способов защиты речевой ин-формации представлена на рис. 5.

Рис. 5. Классификация активных способов защиты речевой информации

Акустическая маскировка эффективно используется для защиты речевой информации от утечки по прямому акус-тическому каналу путем подавления акустическими поме-хами (шумами) микрофонов средств разведки, установ-ленных в таких элементах конструкций защищаемых по-мещений, как дверной тамбур, вентиляционный канал, пространство за подвесным потолком и т.п.
Виброакустическая маскировка используется для защиты речевой информации от утечки по акустовибрационному (рис. 6) и акустооптическому (оптико-электронному) кана-лам (рис. 7) и заключается в создании вибрационных шу-мов в элементах строительных конструкций, оконных стеклах, инженерных коммуникациях и т.п. Виброакусти-ческая маскировка эффективно используется для подав-ления электронных и радиостетоскопов, а также лазер-ных акустических систем разведки.

Рис. 6. Создание вибрационных помех системой виброакустической
маскировки в инженерных коммуникациях

Рис. 7. Создание вибрационных помех системой виброакустической
маскировки в оконных стеклах

Создание маскирующих электромагнитных низкочастот-ных помех (метод низкочастотной маскирующей поме-хи ) используется для исключения возможности перехвата речевой информации из выделенных помещений по пас-сивному и активному акустоэлектрическим каналам утеч-ки информации, подавления проводных микрофонных систем, использующих соединительные линии ВТСС для передачи информации на низкой частоте, и подавления акустических закладок типа «телефонного уха».
Наиболее часто данный метод используется для защиты телефонных аппаратов, имеющих в своем составе элемен-ты, обладающие «микрофонным эффектом», и заключается в подаче в линию при положенной телефонной трубке маскирующего сигнала (наиболее часто - типа «белого шу-ма») речевого диапазона частот (как правило, основная мощность помехи сосредоточена в диапазоне частот стан-дартного телефонного канала: 300 - 3400 Гц) (рис. 8).

Рис. 8. Создание маскирующих электромагнитных
низкочастотных помех в телефонной линии связи

Создание маскирующих высокочастотных (диапазон час-тот от 20 - 40 кГц до 10 - 30 МГц) электромагнитных по-мех в линиях электропитания (розеточной и осветитель-ной сети) выделенного помещения используется для по-давления устройств приема информации от сетевых за-кладок (рис. 9).

Рис. 9. Создание маскирующих высокочастотных электромагнитных помех в линиях
электропитания (розеточной и осветительной сети) выделенного помещения

Создание пространственных маскирующих высокочастот-ных (диапазон частот от 20 - 50 кГц до 1,5 - 2,5 МГц)* электромагнитных помех в основном используется для подавления устройств приема информации от радиоза-кладок (рис. 10).

Рис. 10. Создание пространственных маскирующих
высокочастотных электромагнитных помех

Литература
1. Хорев А.А. Способы и средства защиты информации, обрабатываемой ТСПИ, от утечки
по техническим каналам / Специальная техника, 2005, № 2, с. 46-51.

Array ( => Y => Y => Y => Y => presscenter => 23 => Array () => Array ( => Otype => linked_products => linked_service => linked_solutions) => /press-center/article/#ELEMENT_ID#/ => - => - => - => => 1 => N => 1 => 1 => d.m.Y => A => 3600 => Y => => Array ( => 1) => => 1 => Страница => => => 1 => 1 => 4761 => => /press-center/article/ => N => => => => => => /press-center/article/ => ACTIVE_FROM => DESC => ID => DESC [~DISPLAY_DATE] => Y [~DISPLAY_NAME] => Y [~DISPLAY_PICTURE] => Y [~DISPLAY_PREVIEW_TEXT] => Y [~IBLOCK_TYPE] => presscenter [~IBLOCK_ID] => 23 [~FIELD_CODE] => Array ( => =>) [~PROPERTY_CODE] => Array ( => Otype => linked_products => linked_service => linked_solutions) [~DETAIL_URL] => /press-center/article/#ELEMENT_ID#/ [~META_KEYWORDS] => - [~META_DESCRIPTION] => - [~BROWSER_TITLE] => - [~DISPLAY_PANEL] => [~SET_TITLE] => Y [~SET_STATUS_404] => N [~INCLUDE_IBLOCK_INTO_CHAIN] => Y [~ADD_SECTIONS_CHAIN] => Y [~ACTIVE_DATE_FORMAT] => d.m.Y [~CACHE_TYPE] => A [~CACHE_TIME] => 3600 [~CACHE_GROUPS] => Y [~USE_PERMISSIONS] => N [~GROUP_PERMISSIONS] => [~DISPLAY_TOP_PAGER] => N [~DISPLAY_BOTTOM_PAGER] => Y [~PAGER_TITLE] => Страница [~PAGER_SHOW_ALWAYS] => N [~PAGER_TEMPLATE] => [~PAGER_SHOW_ALL] => Y [~CHECK_DATES] => Y [~ELEMENT_ID] => 4761 [~ELEMENT_CODE] => [~IBLOCK_URL] => /press-center/article/ [~USE_SHARE] => N [~SHARE_HIDE] => [~SHARE_TEMPLATE] => [~SHARE_HANDLERS] => [~SHARE_SHORTEN_URL_LOGIN] => [~SHARE_SHORTEN_URL_KEY] => [~SEF_FOLDER] => /press-center/article/ [~SORT_BY1] => ACTIVE_FROM [~SORT_ORDER1] => DESC [~SORT_BY2] => ID [~SORT_ORDER2] => DESC =>)

Современные технологии защиты от утечки конфиденциальной информации

На сегодняшний день автоматизированные системы (АС) являются основой обеспечения практически любых бизнес-процессов, как в коммерческих, так и в государственных организациях. Вместе с тем повсеместное использование АС для хранения, обработки и передачи информации приводит к обострению проблем, связанных с их защитой. Подтверждением этому служит тот факт, что за последние несколько лет, как в России, так и в ведущих зарубежных странах имеет место тенденция увеличения числа информационных атак, приводящих к значительным финансовым и материальным потерям. Так, по данным Министерства Внутренних Дел РФ количество компьютерных преступлений, связанных с несанкционированным доступом к конфиденциальной информации увеличилось с шестиста в 2000-м году до семи тысяч в 2003-м .

При этом, как отмечают многие исследовательские центры, более 80% всех инцидентов, связанных с нарушением информационной безопасности вызваны внутренними угрозами, источниками которых являются легальные пользователи системы. Считается, что одной из наиболее опасных угроз является утечка хранящейся и обрабатываемой внутри АС конфиденциальной информации. Как правило, источниками таких угроз являются недобросовестные или ущемлённые в том или ином аспекте сотрудники компаний, которые своими действиями стремятся нанести организации финансовый или материальный ущерб. Всё это заставляет более пристально рассмотреть как возможные каналы утечки конфиденциальной информации, так и дать возможность читателю ознакомиться со спектром технических решений, позволяющих предотвратить утечку данных.

Модель нарушителя, которая используется в этой статье, предполагает, что в качестве потенциальных злоумышленников могут выступать сотрудники компании, которые для выполнения своих функциональных обязанностей имеют легальный доступ к конфиденциальной информации. Целью такого рода нарушителей является передача информации за пределы АС с целью её последующего несанкционированного использования – продажи, опубликования её в открытом доступе и т.д. В этом случае можно выделить следующие возможные каналы утечки конфиденциальной информации (рис. 1):

несанкционированное копирование конфиденциальной информации на внешние носители и вынос её за пределы контролируемой территории предприятия. Примерами таких носителей являются флоппи-диски, компакт-диски CD-ROM, Flash-диски и др.;

вывод на печать конфиденциальной информации и вынос распечатанных документов за пределы контролируемой территории. Необходимо отметить, что в данном случае могут использоваться как локальные принтеры, которые непосредственно подключены к компьютеру злоумышленника, так и удалённые, взаимодействие с которыми осуществляется по сети;

несанкционированная передача конфиденциальной информации по сети на внешние серверы, расположенные вне контролируемой территории предприятия. Так, например, злоумышленник может передать конфиденциальную информацию на внешние почтовые или файловые серверы сети Интернет, а затем загрузить её оттуда, находясь в дома или в любом другом месте. Для передачи информации нарушитель может использовать протоколы SMTP, HTTP, FTP или любой другой протокол в зависимости от настроек фильтрации исходящих пакетов данных, применяемых в АС. При этом с целью маскирования своих действий нарушитель может предварительно зашифровать отправляемую информацию или передать её под видом стандартных графических или видео-файлов при помощи методов стеганографии ;

хищение носителей, содержащих конфиденциальную информацию – жёстких дисков, магнитных лент, компакт-дисков CD-ROM и др.

Рис. 1. Каналы утечки конфиденциальной информации

Считается, что в основе любой системы защиты от атак, связанных с утечкой конфиденциальной информации, должны лежать организационные меры обеспечения безопасности. В рамках этих мер на предприятии должны быть разработаны и внедрены организационно-распорядительные документы, определяющие список конфиденциальных информационных ресурсов, возможные угрозы, которые с ними связаны, а также перечень тех мероприятий, которые должны быть реализованы для противодействия указанным угрозам. Примерами таких организационных документов могут являться концепция и политика информационной безопасности, должностные инструкции сотрудников компании и др. В дополнении к организационным средствам защиты должны применяться и технические решения, предназначенные для блокирования перечисленных выше каналов утечки конфиденциальной информации. Ниже приводится описание различных способов защиты информации с учётом их преимуществ и недостатков.

Изолированная автоматизированная система для работы с конфиденциальной информацией

Сущность одного из первых способов, который начал применяться для защиты от утечки конфиденциальной информации, состоит в создании выделенной автономной АС, состоящей из средств вычислительной техники, необходимых для работы с конфиденциальной информацией (рис. 2). При этом такая АС полностью изолируется от любых внешних систем, что даёт возможность исключить возможную утечку информации по сети.

Рис. 2. Выделенная изолированная АС, предназначенная
для обработки конфиденциальной информации

АС этого типа оснащаются системами контроля доступа, а также системами видеонаблюдения. Доступ в помещения, в которых находится АС, осуществляется по специальным пропускам, при этом обычно производится личный досмотр сотрудников с целью контроля электронных и бумажных носителей информации. Для блокирования возможности утечки информации путём её копирования на внешние носители, из компьютеров АС, как правило, удаляются все устройства, при помощи которых можно записать информацию на такие носители. Кроме того, опечатываются все системные блоки и порты компьютеров для исключения возможности несанкционированного подключения новых устройств. При необходимости передать информацию за пределы выделенного помещения данная процедура проводится одним или несколькими сотрудниками по строго оговоренному регламенту при помощи соответствующего оборудования. В этом случае для работы с открытой информацией, а также для доступа к Интернет-ресурсам используется отдельная система, которая физически никак не связана с АС, обрабатывающей конфиденциальную информацию.

Как правило, описанный подход применяется в государственных структурах для защиты секретной информации. Он позволяет обеспечить защиту от всех вышеперечисленных каналов утечки конфиденциальной информации. Однако на практике во многих коммерческих организациях большинство сотрудников должно одновременно иметь доступ к конфиденциальной и открытой информации, а также работать с Интернет-ресурсами. В такой ситуации создание изолированной среды обработки конфиденциальной информации потребовало бы создание двух эквивалентных АС, одна из которых предназначалась только для обработки конфиденциальной информации, а другая – для работы с открытыми данными и ресурсами Интернет. Такой подход, как правило, невозможно реализовать из-за его очевидной избыточности и высокой стоимости.

Системы активного мониторинга рабочих станций пользователей

Системы активного мониторинга представляют собой специализированные программные комплексы, предназначенные для выявления несанкционированных действий пользователей, связанных, в частности, с попыткой передачи конфиденциальной информации за пределы контролируемой территории предприятия. Системы мониторинга состоят из следующих компонентов (рис. 3):

модули-датчики, устанавливаемые на рабочие станции пользователей и обеспечивающие сбор информации о событиях, регистрируемых на этих станциях;

модуль анализа данных, собранных датчиками, с целью выявления несанкционированных действий пользователей, связанных с утечкой конфиденциальной информации;

модуль реагирования на выявленные несанкционированные действия пользователей;

модуль хранения результатов работы системы;

модуль централизованного управления компонентами системы мониторинга.

Датчики систем мониторинга устанавливаются на те рабочие станции, на которых пользователи работают с конфиденциальной информацией. На основе настроек, заданных администратором безопасности, датчики системы позволяют контролировать доступ приложений пользователей к конфиденциальной информации, а также накладывать ограничения на те действия, которые пользователь может выполнить с этой информацией. Так, например, системы активного мониторинга позволяют запретить запись конфиденциальной информации на внешние носители, заблокировать передачу информации на внешние сетевые адреса, а также вывод данных на печать.

Рис. 3. Типовая архитектура систем активного мониторинга рабочих станций пользователей

Примерами коммерческих программных продуктов, которые могут быть отнесены к классу систем активного мониторинга, являются - система управления политикой безопасности «Урядник» (www.rnt.ru), система разграничения доступа «DeviceLock» (www.devicelock.ru) и система мониторинга «InfoWatch» (www.infowatch.ru).

Преимуществом использования систем мониторинга является возможность создания виртуальной изолированной среды обработки конфиденциальной информации без физического выделения отдельной АС для работы с данными ограниченного доступа. Кроме того, системы этого типа позволяют программно ограничить вывод информации на внешние носители, что избавляет от необходимости физического удаления из компьютеров устройств записи информации, а также опечатывания портов и системных блоков. Однако, применение систем активного мониторинга влечёт за собой установку дополнительного ПО на каждую рабочую станцию, что потенциально может привести к увеличению сложности администрирования АС, а также к возможным конфликтам в работе программ системы.

Выделенный сегмент терминального доступа к конфиденциальной информации

Ещё один способ защиты от утечки конфиденциальной информации заключается в организации доступа к конфиденциальной информации АС через промежуточные терминальные серверы. При такой схеме доступа пользователь сначала подключается к терминальному серверу, на котором установлены все приложения, необходимые для работы с конфиденциальной информацией. После этого пользователь в терминальной сессии запускает эти приложения и начинает работать с ними так, как будто они установлены на его рабочей станции (рис. 4).

Рис. 4. Схема установки терминального сервера доступа к конфиденциальным данным

В процессе работы в терминальной сессии пользователю отсылается только графическое изображение рабочей области экрана, в то время как вся конфиденциальная информация, с которой он работает, сохраняется лишь на терминальном сервере. Один такой терминальный сервер, в зависимости от аппаратной и программной конфигурации, может одновременно обслуживать сотни пользователей. Примерами терминальных серверов являются продукты Microsoft Terminal Services (www.microsoft.com) и Citrix MetaFrame (www.citrix.com).

Практическое использование технического решения на основе терминального сервера позволяет обеспечить защиту от несанкционированного копирования конфиденциальной информации на внешние носители за счёт того, что вся информация хранится не на рабочих станциях, а на терминальном сервере. Аналогичным образом обеспечивается защита и от несанкционированного вывода документов на печать. Распечатать документ пользователь может только при помощи принтера, установленного в сегменте терминального доступа. При этом все документы, выводимые на этот принтер, могут регистрироваться в установленном порядке.

Использование терминального сервера позволяет также обеспечить защиту от несанкционированной передачи конфиденциальной информации по сети на внешние серверы вне пределов контролируемой территории предприятия. Достигается это путём фильтрации всех пакетов данных, направленных вовне сегмента терминального доступа, за исключением тех пакетов, которые обеспечивают передачу графического изображения рабочей области экрана на станции пользователей. Такая фильтрация может быть реализована при помощи межсетевого экрана, установленного в точке сопряжения сегмента терминального доступа с остальной частью АС. В этом случае все попытки установить соединения с терминального сервера на узлы сети Интернет будут заблокированы. При этом сама рабочая станция может иметь беспрепятственный доступ к Интернет-ресурсам. Для обмена информацией между пользователями, работающими в терминальных сессиях, может использоваться выделенный файловый сервер, расположенный в терминальном сегменте доступа.

Средства контентного анализа исходящих пакетов данных

Средства контентного анализа обеспечивают возможность обработки сетевого трафика, отправляемого за пределы контролируемой территории с целью выявления возможной утечки конфиденциальной информации. Используются они, как правило, для анализа исходящего почтового и web-трафика, отправляемого в сеть Интернет. Примерами средств контентного анализа этого типа являются системы «Дозор-Джет» (www.jetinfo.ru), «Mail Sweeper» (www.infosec.ru) и «InfoWatch Web Monitor» (www.infowatch.com).
Такие средства защиты устанавливаются в разрыв канала связи между сетью Интернет и АС предприятия, таким образом, чтобы через них проходили все исходящие пакеты данных (рис. 5).

Рис. 5. Схема установки средств контентного анализа в АС

В процессе анализа исходящих сообщений последние разбиваются на служебные поля, которые обрабатываются по критериям, заданным администратором безопасности. Так, например, средства контентного анализа позволяют блокировать пакеты данных, которые содержат такие ключевые слова, как – «секретно», «конфиденциально» и др. Эти средства также предоставляют возможность фильтровать сообщения, которые направляются на внешние адреса, не входящие в систему корпоративного электронного документооборота.

Преимуществом систем защиты данного типа является возможность мониторинга и накладывания ограничений, как на входящий, так и исходящий поток трафика. Однако, эти системы не позволяют гарантировать стопроцентное выявление сообщений, содержащих конфиденциальную информацию. В частности, если нарушитель перед отправкой сообщения зашифрует его или замаскирует под видом графического или музыкального файла при помощи методов стеганографии, то средства контентного анализа в этом случае окажутся практически бессильными.

Средства криптографической защиты конфиденциальной информации

Для защиты от утечки информации могут использоваться и криптографические средства, обеспечивающие шифрование конфиденциальных данных, хранящихся на жёстких дисках или других носителях. При этом ключ, необходимый для декодирования зашифрованной информации, должен храниться отдельно от данных. Как правило, он располагается на внешнем отчуждаемом носителе, таком как дискета, ключ Touch Memory или USB-носитель. В случае, если нарушителю и удастся украсть носитель с конфиденциальной информацией, он не сможет её расшифровать, не имея соответствующего ключа.

Рассмотренный вариант криптографической защиты не позволяет заблокировать другие каналы утечки конфиденциальной информации, особенно если они совершаются пользователем после того, как он получил доступ к данным. С учётом этого недостатка компанией Microsoft была разработана технология управления правами доступа RMS (Windows Rights Management Services) на основе операционной системы Windows Server 2003. Согласно этой технологии вся конфиденциальная информация хранится и передаётся в зашифрованном виде, а её дешифрование возможно только на тех компьютерах и теми пользователями, которые имеют на это права. Вместе с конфиденциальными данными также передаётся специальный XML-файл, содержащий категории пользователей, которым разрешён доступ к информации, а также список тех действий, которые эти пользователи могут выполнять. Так, например, при помощи такого XML-файла, можно запретить пользователю копировать конфиденциальную информацию на внешние носители или выводить её на печать. В этом случае, даже если пользователь скопирует информацию на внешний носитель, она останется в зашифрованном виде и он не сможет получить к ней доступ на другом компьютере. Кроме того, собственник информации может определить временной период, в течение которого пользователь сможет иметь доступ к информации. По истечении этого периода доступ пользователя автоматически блокируется. Управление криптографическими ключами, при помощи которых возможна расшифровка конфиденциальных данных, осуществляется RMS-серверами, установленными в АС.

Необходимо отметить, что для использования технологии RMS на рабочих станциях АС должно быть установлено клиентское ПО с интегрированной поддержкой этой технологии. Так, например, компания Microsoft встроила функции RMS в собственные клиентские программные продукты – Microsoft Office 2003 и Internet Explorer. Технология RMS является открытой и может быть интегрирована в любые программные продукты на основе набора инструментальных средств разработки RMS SDK.

Ниже приводится обобщённый алгоритм использования технология RMS для формирования конфиденциальной информации пользователем «А» и последующего получения к ней доступа пользователем «Б» (рис. 6):

На первом этапе пользователь «А» загружает с RMS-сервера открытый ключ, который в последствии будет использоваться для шифрования конфиденциальной информации.

Далее пользователь «А» формирует документ с конфиденциальной информацией при помощи одного из приложений, поддерживающих функции RMS (например, при помощи Microsoft Word 2003). После этого пользователь составляет список субъектов, имеющих права доступа к документу, а также операции, которые они могут выполнять. Эта служебная информация записывается приложением в XML-файл, составленный на основе расширенного языка разметки прав доступа – eXtensible rights Markup Language (XrML).

На третьем этапе приложение пользователя «А» зашифровывает документ с конфиденциальной информацией при помощи случайным образом сгенерированного симметричного сеансового ключа, который в свою очередь зашифровывается на основе открытого ключа RMS-сервера. С учётом свойств асимметричной криптографии расшифровать этот документ сможет только RMS-сервер, поскольку только он располагает соответствующим секретным ключом. Зашифрованный сеансовый ключ также добавляется к XML-файлу, связанному с документом.

Пользователь отправляет получателю «Б» зашифрованный документ вместе с XML-файлом, содержащим служебную информацию.

После получения документа пользователь «Б» открывает его при помощи приложения с функциями RMS.

Поскольку адресат «Б» не обладает ключом, необходимым для его расшифровки, приложение отправляет запрос к RMS-серверу, в который включается XML-файл и сертификат открытого ключа пользователя «Б».

Получив запрос, RMS-сервер проверяет права доступа пользователя «Б» к документу в соответствии с информацией, содержащейся в XML-файле. Если пользователю доступ разрешён, то тогда RMS-сервер извлекает из XML-файла зашифрованный сеансовый ключ, дешифрует его на основе своего секретного ключа и заново зашифровывает ключ на основе открытого ключа пользователя «Б». Использование открытого ключа пользователя позволяет гарантировать, что только он сможет расшифровать ключ.

На восьмом этапе RMS-сервер отправляет пользователю «Б» новый XML-файл, содержащий зашифрованный сеансовый ключ, полученный на предыдущем шаге.

На последнем этапе приложение пользователя «Б» расшифровывает сеансовый ключ на основе своего закрытого ключа и использует его для открытия документа с конфиденциальной информацией. При этом приложение ограничивает возможные действия пользователя только теми операциями, которые перечислены в XML-файле, сформированном пользователем «А».

Рис. 6. Схема взаимодействия узлов на основе технологии RMS

В настоящее время технология RMS является одним из наиболее перспективных способов защиты конфиденциальной информации. В качестве недостатка этой технологии необходимо отметить тот факт, что она может быть реализована лишь в рамках платформы Microsoft Windows и только на основе тех приложений, в которых используются функции RMS SDK.

Заключение

В настоящее время одной из наиболее актуальных проблем в области информационной безопасности является проблема защиты от утечки конфиденциальной информации. Технические варианты решения данной проблемы, рассмотренные в статье, могут быть сгруппированы в два типа. Первый тип предполагает изменение топологии защищаемой АС путём создания изолированной системы обработки конфиденциальной информации, либо выделения в составе АС сегмента терминального доступа к конфиденциальным данным. Второй вариант технических решений заключается в применении различных средств защиты АС, включая средства активного мониторинга, контентного анализа, а также средства криптографической защиты информации. Результаты анализа этих двух типов технических решений показали, что каждое из них характеризуется своими недостатками и преимуществами. Выбор конкретного средства защиты зависит от множества факторов, включая особенности топологии защищаемой АС, тип прикладного и общесистемного ПО, установленного в системе, количество пользователей, работающих с конфиденциальной информацией и многих других. При этом необходимо подчеркнуть, что наибольшая эффективность может быть получена при комплексном подходе, предусматривающим применение как организационных, так и технических мер защиты информационных ресурсов от утечки.

Список литературы

1. Официальная статистика компьютерных преступлений, совершенных в Российской Федерации по данным ГИЦ МВД России, 2004 (http://www.cyberpol.ru/statcrime.shtml).
2. Technical Overview of Windows Rights Management Services for Windows Server 2003. Microsoft Corporation. November 2003. (http://www.microsoft.com/windowsserver2003/ technologies/rightsmgmt/default.mspx).
3. В.Г. Грибунин, И.Н. Оков, И.В. Туринцев, Цифровая стеганография, М: Солон-Пресс, 2002 г.
4. В.А. Сердюк, А.Е. Шарков, Защита информационных систем от угроз «пятой колонны» //PCWeek, №34, 2003.

Защита от утечки информации – решение ЗАО «ДиалогНаука»