Антонюк А.О. Теоретичні основи захисту інформації

Подождите немного. Документ загружается.

201

Інакше кажучи, отри ма но наближене матричне представлення оп ера тор а

(6.11), яке є лінійною матем ати чно ю мод елл ю шу ка ног о взає мо зв’язк у.

Тепер в рамках цієї лінійної математ и чн о ї моделі сфор м у люємо задачу її

ідентифікації, яка на зміст ов н о м у рівн і по л яг ає у наст у пн о м у : ви зн ач и ти

параметри даної моделі, тобто визначити елементи матриці А.

Зазвичай для розв’язку подібних задач використовують певні

експериментальні дані – саме за їх допомогою можли во відшукати конкретні

параметри моделі, тобто розв’язати задачу ідентифікації моделі. У нашому

випадку експериментальними даними є представлений в [4] список – довідник

профілів. Фактично цей перелік профілів представляє собою класифікацію

профілів в залежності від класу ІТС та основних вимог до інформації, що

захищається, які необхідні для забезпечення її основних властивостей

(конфіденційність (К), цілісність (Ц), доступніст ь (Д) та їх комб інацій (КЦ , КД,

ЦД, КЦД)).

Наявність такого переліку можна інтерпретувати наступим чином.

Розробниками-експертами [4] переліку на основі су часних досягнень в області

теорії та практики захисту інформації і п рактичного досвіду встановлена

класифікація ІТС за класами (1, 2, 3), основними вимогами до інформації (К, Ц,

Д, КЦ, КД, ЦД, КЦД) і сферрами застосування ІТС , що дал о можливість

сформувати певну множину наборів характеристик ІТС

D D D

e e

, ⊂

., де – D в

даному випадку множина усіх можливих ІТС. Позначимо через Р множину усіх

можливих прифілів, тоді для кожного набору характеристик ІТС можна

сформувати відповідні їм профілі, які складуть множину

P P P

e e

, ⊂

(тобто

множина

є документальним переліком профілів).

Звичайно, кожному профілю має відповідати якась ІТС. Я к

характеризувати кожну конкретну ІТС? Це можна зробити шляхом визначення

певного набору певних характеристик ІТ С або вектору хара кте рис тик , кожна

компонента якого є певним чином закодована конкретна характеристи ка ІТС.

Дійсно, в якості множини наборів характеристик ІТС

можна взяти їх

202

класифікацію ІТС з [4], а множину профілів

можна сформувати, взявши для

кожного класу ІТС лише один профіль з запропонованого списку (наприклад,

перший).

Це означає, що кожному k–му вектору характеристик ІТС

d d d d D

k k mk k e

= ∈( ,..., ),

, можн а постави т и у відповідність точно визначен ий

профіль – вектор

p p p p P

k k nk k e

= ∈( ,..., ),

, k = 1,...,K, де K – кількість

профілів в

і наборів харак те ри с ти к І Т С в

. Тоді отримаєм о

pAd =

, k = 1,...,K. (6.14)

Тобто бачимо, що визначена певна множина ІТС

D D D

e e

, ⊂

, якій

відповідає певна ж множина профілів

P P P

e e

, ⊂

. Використовуємо тепер

наближене матричне представлення оператора (6.11) (або (6.14)), яке є лінійною

математичною моделлю шуканого взаємозв’язку.

Задача ідентифікації моделі (6.14) (або відшукання матриці А) тепер може

бути сформульована наступним чином. Визначимо функцію f(A) від елементів

матриці А (усього n×m невідомих) наступним чином

)(

∑

−=

pAdAf

, (6.15)

де через

⋅

позначена евклідова норма вектора. Тепер задача ідентифікації

звелася до задачі безумовної мінімізації функції (нев’язки ) (6.5) по елемента х

матриці А

minarg

∑

−=

pAdA

Це задача квадратичного програмування. Проте вона суттєво відрізняється

від класичної задачі своїм формулюванням. Дійсно, для класичної задачі маємо

,c)x,b()x,Ax()x(f ++=

де А – матриця n×n, b, x – векторі розмірності n, с – константа. В різних

задачах при відомих пар аметрах А, b, с і до да тко в и х обмежен н ях необхідно

203

визначати вектор x. В нашо м у випадку заданим и парамет ра м и є векторі d

і р

, а

визначити необхідно матрицю А, тобто вектор розмір н о сті n×m. Це означає, що

матрицю даної квадратичної форми необхідно ще визначити – вона буде мати

специфічну структуру, яка певним чином залежатиме від векторів d

і р

матиме розмірність (n×m)×(n×m).

Зауважимо, що функція (6.15) є невід'ємно, тобто вона завжди має

мінімум, хоча, можливо, не один. Зауважимо також, що для забезпечення

єдиності мінімуму функції (6.15), тобто єдиності м ат риц і А, необхідно , щоби

вектори d були лінійно незалежними або вона повинна бути випуклою. З

властивостей функції (6.15) відзначимо, що вона є неперервною і

диференційованою по елементах матриці А, для її мінімізації може бути

застосований будь-який з відомих методів безумовної мінімізації [59].

Матриця А, щ о надає мінімум функції (6.15), мо же в пода льш о му

використовуватися для вибору нового профілю, який не визначений в переліку

[3]. Дійсно, якщо жоден профіль з довідника не підходить сп ож ива чу для його

ІТС, він формує свій вектор d (як результат аналізу характеристик ІТС) і за

формулою (6.14) просто обчислює необхідний йому профіль.

Замість (6.11) можна розглядати і більш складне відображення, яке

отримується з розкладання (6.11) в ряд до другого члена

)( BdAddF +≈

де, як і раніше, А – перша похидна оператора (6.11), В – друга похидна

(трьохвимірна матриця). При цьому вся схема задачі ідентифікац ії залишається

колишньої, зміниться лише кількість (тепер їх буде (n×m)+(n×m)×m) і вид

шуканих змінних (одна прямокутна матриця А і одна трьохви м ір н а матриця В ),

а також вид функції (6.15), яка тепер виглядатиме так

∑

−+=

kkk

p)BdAd()B,A(f

Проте, як неважко помітити, останнй вираз є суттєво складнішім і

трудомістким виразом для практичної реалізації, хоча і набагато точнішим.

204

РОЗДІЛ 7. МОДЕ Л Ь АНАЛ І З У Б ЕЗПЕКИ ПЗ

Вирішення задачі аналізу інформаційної безп еки програм вимагає також

створення теоретичних основ аналізу безпеки ПЗ, які складаються з

концептуальної моделі обчислювальної системи і узагальн еної моделі

руйнуючих програмних засобів (РПЗ), на підставі чого можна здійснити

формальну постановку задачі аналізу безпеки ПЗ і запропонувати основні

шляхи її розв’язку. Серед різних підходів щодо цієї проблеми найбільш

придатним, на наш погляд, можна вважати підхід, що дозволяє не тільки

коректно поставити задачу аналізу безпеки ПЗ, але і розши ри т и зміст по н ят тя

НСД стосовно до сучасних загроз безпеці обчислювальної системи. Таке

розширення одного з основних понять захисту інформації мож е мати і

самостійне значення для загальної теорії інформаційної безпеки. В

подальшому, аналогічно [47], притримуємось саме такої точки зору.

7.1. Об'єктно-концептуальна модель обчислювальної системи і РПЗ

Можна стверджувати, що організація ефективної системи боротьби з РПЗ

неможлива без розробки конструктивної математичної моделі, яка описує їхню

структуру і принципи функціонування. Тому необхідно провести об’єктно-

орієнтований аналіз предметної області і ввести основні поняття, що необхідні

для дослідження безпеки ПЗ. Ціль такого аналізу полягатиме в ідентифікації

концептуальної сутності таких фундаментальних понять як програма, дані,

ресурси, що складають модель обчислювальної системи і маю ть безпосереднє

відношеня до задачі аналізу безпеки програм. Це дозволить дати форм альне

визначення РПЗ і зрозуміти, чим вони відрізняються від корисних програм.

З погляду практики аналізу безпеки найбільш придатним представляється

об’єктно-орієнтований підхід, який розглядає РПЗ як сутності, що володіють

певною структурою і властивостями, що вступають у взаємодію з іншими

елементами обчислювальної системи, такими як програми і дані. «Об’єктно-

орієнтований аналіз (ОО А) спрямований на створення моделей, близьких до

реальності, це методологія, за якою модель формується на основі понять класів

і об’єктів , що складають словник предметної області» [69]. Будемо розглядати

205

множину елементів, що існують в обчислювальної системи, як множину

об’єктів, приналежних тому чи іншому класу (тут термін «об’єкт» позначає

основне поняття ООА і не має відносини до використовуваного раніше для

опису політики безпеки терміну «об’єкт», що протиставляється терміну

«суб’єкт» при опису їх взаємодії). В ООА клас визначається як множина

об’єктів, що пов’язані між собою спільністю структури і поводження [69].

Кожен клас характеризується наявністю певного набору ознак або

атрибутів, що утворюють його структуру, множиною операцій, визначених над

об’єктами цього класу, і множиною відносин, що зв’язують його з іншими

класами. Звичайно зміст цих відносин залежитиме від предметної області,

однак, існує набір універсальних відносин, головними серед яких слід вважати

відносини спадкування і включення [54].

Означення. Спадкування – це таке відношення між класами, коли один

клас (похідний) повторює структуру і поводження іншого (базового). У цьому

випадку говорять, що похідний клас успадковує від базового його структуру і

поводження.

Означення.. Включення – це таке відношення, коли всі члени одного

класу є водночас членами іншого.

Далі спробуємо застосувати ООА для побудови об’єктної моделі

обчислювальної системи і формальної постановки задачі безпеки програм.

Введемо і опишемо основні поняття, що утворять базові класи для об’єктного

представлення предметної області – дані, алгоритми і ресурси. Опишемо також

основні операції, можна здійснювати над об’єктами кожного з класів.

Означення. Дані – це будь-яке представлення інфор мації в комп’ютерній

системі.

Тобто дані – це послідовність біт, що містять певну інформацію,

наприклад, файли на диску, таблиці файлової системи, сегменти оперативної

пам’яті і т.д. Над даними можна здійснювати тільки дві операції – читання і

запису. Нагад ає м о, що будь-яка програма має де-небудь зберігатися, тобто

бути записаною, і отже, теж може розглядатися як дані.

206

Тут нема необхідності давати точне математичне означення поняття

алгоритму, а доси ть сказати, що алгоритм – це точний сформульований

певною мовою, кінцевий опис того або іншого загального методу, заснованого

на виконанні кінцевого числа елементарних операцій [53]. Для досл ідже ння

безпеки алгоритм програми являє собою її сутність, яка не залежить від

конкретної реалізації програми і способу її представлення, тобто алгоритм – це

абстрактне представлення програми мовою м атематичн их понять. Тут

важливим є те, що будь-яка програма реалізує певний алгоритм, який і

відрізняє її від інших програм. Над алгоритмами визначимо операцію

модифікації, що полягає в перетворенні одного алго р ит м у в інший шляхом

зміни даних, які його представляють (наприклад, файлу, що містить прогр аму).

Під ресурсами будемо розуміти сукуп ність можливостей, наданих

комп’ютерною системою (апаратні ресурси) і операційною системою (ресурси

обчислювальної системи). Прикладом апаратних ресурсів є фізична пам’ять,

тверді диски, обчислювальна потужність процесора, пропускна здатність

каналів зв’язку і т.д. Ресурси, що надані обчислювальній системі, залежать від її

архітектури і п ри з на че н ня – це віртуальна пам’ять, дисковий простір файлової

системи, кванти часу процесора і т.д. Над ресурсами можлива тільки одна

операція – використання, що позначає їхнє споживання прикладним и

програмами, причому таке, що піддається кількісній оцінці.

Отже, ці класи утворюють базовий набір понять, на якому може бути

побудована концептуальна модель РПЗ. Ґрунтуючись на цих класах, можна

побудувати класи, що представляють більш складні об’єкти (операційні

системи, СУБД і т.д.), однак для даного розгляду представляється достанім

розглянути тільки клас програм.

Очевидно, базовими для класу програм повинні бути класи алгоритмів і

даних, тому що програма являє собою сукупність алгоритму, який вона

реалізує, і форми представлення цього алгоритму. Відповідно, клас програм

успадковує властивості даних (програми зберігаються у файлі на диску або в

деякій області оперативної пам’яті і можуть розглядатися й оброблятися як

207

дані) і алгоритмів (у процесі свого виконання програма реалізує послідовність

дій, обумовлену її алгоритмом). Таким чином , клас програм зв’язаний із

класами алгоритмів і даних відношенням спадк ува ння. Отже, до п ро г ра м

застосовуються ті ж операції, що і до даних (читання і запис), і до алгоритмів

(модифікація). Мо диф ікац ія алгоритму можлива в тому випадку, якщо внесення

змін у набір даних, що представляють програму (файл, область пам’яті),

призводить до зміни її алгоритму. Крім того, до програми можна здійснювати

специфічний тип доступу – її виконання. Пр о гр а ми в процесі в и к он а нн я

використовують ресурси обчислювальної системи і здійснюють доступ до

даних, щ о зберігаються у обчислювальної системи . Однак програми , що є

присутніми у обчислювальної системи, не є однотипними. З точки зору аналізу

безпеки можна виділити принаймні два класи, зв’язаних із класом про грам

відношенням включення. Це підкласи – системні та прикладні програми.

Прикладні програми. Це будь-які користувацькі програми, що виконують

ту або іншу конкретну задачу.

Системні програми. Під системними програмами будемо розуміти

програми, що складають операційну систему і використовуються для її

обслуговування. У свою чергу серед системних програм з точки зору аналізу

безпеки можна виділити два підкласи – системні утиліти і системи захисту.

Розглянемо підклас систем захисту більш докладно. Під системами захисту

будемо розуміти програми і фрагменти обчислю вальної си стеми, щ о

забезпечують безпеку і цілісність обчислювальної системи. Тут додати, чому

саме вони??? До н их відносять засоби, що є частиною обчислювальної системи

(засоби ідент ифікації користувачів, засоби, що забезпечують розмежування

доступу і т.д.) і програми, що реалізують додаткові спеціальні заходи

(наприклад, засоби криптог раф ічно го зах ист у, анти вірус ні прод укт и і т.д.).

Неважко зрозуміти, що РПЗ є класом, який базується на класі програм. Цей

факт не викликає сумніву – дійсно всі РПЗ (віруси, троянські коні, програмні

закладки і т.д.} безсумнівно є програмами, тому що володіють їх основними

властивостями – являють собою набір інструкцій деякого інтерпретатора, що

208

реалізує певний алгоритм. Одн ак вони повинні в ідрізнятися від інших програм

наявністю певних специфічних відносин, що зв’язують їх з іншими класами

об'єктної моделі, причому ці відносини повинні бути властивими винятково

РПЗ, інші ж («корисні») програми подібними властивостями не во лодітим уть.

Для того, щоб визначити ці відносини, доцільно увести поняття

нелегітимного доступу, що характеризує всі аспекти існування і

функціонування РПЗ. Дане поняття можна вважати узагальненням поняття

НСД. Навіщо таке узагальнення?

Розширення поняття НСД необхідно тому, що вон о має на увазі лиш е

порушення прийнятої у обчислювальній системі політики безпеки. Однак

дослідження механізмів функціонування РП З показали, що найчастіше РП З не

порушують правил, встановлених прийнятою в багатьох сучасних

обчислювальних системах політики безпеки, тобто в такий спосіб

припускається існування РПЗ. Це означає, що існують дії, які формально не

порушують політику безпеки, але створюють загрозу безпеці і/або цілісності

системи. Прикладом такої політики є ДПБ, яка, як відомо, не може протистояти

атакам тип у «Троянський кінь», які можуть виникнути внаслідок зловмисних

взаємодій групи користувачів. Узагалі, можливість таких ситуацій випливає з

того, що ніяка політика безпеки не може передбачити всі дії програми або

користувача і визначити, чи відбуваються вони в порядку вирішення робочих

задач, чи з метою нанесення збитку.

Означення. Легітимними будемо називати дії програми або користувача,

що не призводять до порушень безпеки і/або цілісності системи.

Означення. Нелегітимними будемо називати дії програми або

користувача, що призводять до порушень безпеки і/або цілісності системи.

Помітимо, що не всі нелегітимні дії є несанкціонованими з погляду

політики безпеки.

Таким чином, легітимними вважаються дії програми або користувача, щ о

не виходять за рамки їхніх функцій у обчислювальній системі. Звичайно, це

означення не дає формальної відповіді на питання, чи є та або інша дія

209

легітимною чи ні, для цього потрібна інформація про функціональне

призначення програми в конкретній обчислювальній системі. На легітимність

впливає ряд факторів, що не піддаються формалізації, наприклад, припустимі

для користувача або програми дії і засоби. Поняття політики безпеки і її

порушень – НСД було введено для того, щоб формалізувати ці фактори.

Відмінність поняття легітимності відносин від політики безпеки полягає в

тому, що політика безпеки служить спрощеною моделлю реального розподілу

ролей користувачів і функцій програм системі, легітимність же відносин

ґрунтується на перевірці п ор ушення основних характеристик обчислювальної

системи – цілісності і безпеки. НСД виникає за наявності конфлікту з

політикою безпеки, у той час як здійснення нелегітимного доступу приводить

до зби тку безпеці і/або цілісності системи. Поняття нелегітимного доступу

дозволяє доповни ти модель порушника політики безп еки (засобу НСД)

моделлю засобів нелегітимного доступу, використовуваних ЗЛ для нанесення

збитку безпеці системи.

З урахуванням уведених понять визначимо відносини, що характеризують

РПЗ як особливий клас, що базується на класі програм.

1. Нелегітимне використання ресурсів. РПЗ, на відміну від корисних

програм, здійснюють нелегітимне споживання ресурсів – захоплення

оперативної пам’яті, дискового простору, будь-який РПЗ, принаймні, витрачає

процесорний час.

2. Нелегітимний доступ до даних. РПЗ здійснює нелегітимний доступ

(читання або запис) до даних. Це одна з ос нов них властивост ей РПЗ, якій вони

зобов’язані своєю назвою.

3. Нелегітимний запуск програм. Ця властивість належить в основному

РПЗ, що функціоную ть в розвинутих мережних опе р ац ій ни х системах (так

називані «хробаки»). У цьому випадку РПЗ існують і поширюються не як

програми на диску, а як процеси в обчислювальній системі.

4. Нелегітимне виконання програм. РПЗ здійснює конкретні негативні дії.

Це властивість, яка є характерною для вірусів.

210

5. Нелегітимна відмова в обслуговування (порушення доступності). Ця

властивість реалізується у випадках, коли виникає можливість ігнорувати

запити легітимних користувачів.

Таким чином, під РПЗ розуміється програма, що здійснює нелегітимний

доступ або до даних, або до ресурсів, або до програм, або здійснює негативні

дії, або відмовляє в обслуговуванні. Наявність хоча б однієї з цих функцій

дозволяє віднести програму, що досліджується, до класу РПЗ.

У конкретних обчислювальних системах може існувати безліч способів

реалізації нелегітимного доступу до об’єктів обчислювальної системи, що

породжує незлічиму розмаїтість типів РПЗ.

Найчастіше виділяють три основних підкласи, зв’язаних із класом РПЗ

відношенням включення, – віруси, троянські коні або «закладки» і програми-

зломщики систем захисту і засобів ро змеж уванн я доступу. Усі ці підкласи РПЗ

характеризуються специфічними відносинами з об’єктами обчислювальної

системи. Помітим о, що різноманіття в идів і типів РПЗ не вичерпується цими

трьома класами, просто вони є найбільш розповсюдженими.

Віруси. Це найбільш відомий клас РПЗ, привернувший до себе увагу

багатьох дослідників. У запропонованій моделі віруси являють собою підклас

РПЗ, що крім відносин, властивих РПЗ, характеризується ще одним

відношенням – зараження програм. П ід зараженням програми розуміється така

модифікація алгоритму програми, у результаті якої програма перетворюється в

РПЗ. Існує безліч систематизацій вірусів [51,76], заснов ани х на різних підходах.

У розглянутій м оделі ці класиф ікації можуть бути задані за допомогою

деталізації відносин з іншими елементами обчислювальної системи.

Троянські коні. Цей клас РПЗ, характеризується ще одним специфічним

типом відноси н із класами даних, ресурсів і програм. Це відношення можна

назвати відношенням дослідження. Тро ян сь кі коні – це РПЗ, що наносять

шкоду після виконання деякої умови спрацьовування. Однак для того, щоб

перевірити цю умову, вони повинні досліджувати своє оточення. Звичайно, як