Белов Е.Б., Лось В.П и др. Основы информационной безопасности

Подождите немного. Документ загружается.

5. Прочие расходы и потери, в частности, связаны с моральной от-

ветственностью.

Эта категория потерь по своему содержанию довольно разнообразна:

травмы, телесные повреждения, моральный ущерб, судебные издержки,

штрафы, расходы на обучение и различные эксперименты, другие виды

гражданской ответственности. Сюда же можно отнести качественные по-

тери и другие издержки.

Ущерб может быть прямой (расходы, связанные с восстановлением

системы) и косвенный (потери информации, клиентуры).

В отдельных монографиях и статьях отечественных и зарубежных

ученых излагаются некоторые результаты практических исследований по

определению количественных значений различных угроз информацион-

ным системам. Не умаляя значения других авторов, исследовавших это

направление, рассмотрим подход к оценке убытков информационным

системам, проведенный Ж. Ламером [34]. В своей работе Ж. Ламер так

оценивает убытки ИС. Размеры ущерба, нанесенного ИС за время с 1989-го

по 1990 г., характеризуются количественными показателями, приведен-

ными в табл. 2.7.

Таблица 2. 7. Размеры ущерба информационным системам

от различных видов угроз

Вид

угрозы

Содержание

угрозы

Виды ущерба

Размеры ущерба,

млн. фр.

Вид

угрозы

Содержание

угрозы

Е Ж Всего

Процент

к 1986 г.

420

940

1080

100

Итого 470

2065

100

2635

+21

350

210

650

160

200

600

250

300

-8

-17

Итого

1250 150

390

1750 -19

650

570

1250

1850

110

150

Итого

2650 1860 260

4670

Всего

470

5775

-6

2010

+5,5

750

9005

+0,5

Примечания:

А - происшествия. Это угроза материальным средствам информаци-

онной системы. Охватывает: 1 - материальный ущерб; 2 - кражи, хище-

ния и другие виды действий; 3 - аварии, поломки, отказы, выход из строя

аппаратных и программных средств и баз данных.

Б - ошибки и непредвиденные действия. Охватывает: 4 - ошибки

ввода, хранения, обработки и передачи информации; 5 - ошибки функ-

ционирования системы; 6 - концептуальные ошибки и ошибки внедрения

(реализации).

В - вредительство: 7 - экономический шпионаж; 8 болтливость и

разглашение информации; 9 - копирование программ и операционных

систем; 10 - саботаж, забастовки, уход (увольнение) сотрудников.

Виды ущерба: Г - материальный ущерб различного характера; Д -

дополнительные расходы на возмещение убытков; Е - финансовые убыт-

ки; Ж - моральный ущерб и др.

Убытки от злонамеренных действий непрерывно возрастают и явля-

ются наиболее значительными.

Приведенные в таблице данные обладают определенной погрешно-

стью (порядка 20 %), что связано в основном со сбором статистических

данных.

В общем, 1990 г. отличался некоторым замедлением всех видов по-

терь, хотя ситуация в зависимости от различных причин довольно разно-

образна (происшествия - +4,8 %, ошибки - -2,6 %, злоупотребления -

+8,6

%).

Следует отменить, что ущерб, превышающий 10 млн. фр., увеличился

(46 против 44), при этом зарегистрирован только один случай, сумма ко-

торого превышает 100 млн. франков (против четырех в 1989 г.).

Убытки, связанные с происшествиями (2-я строка), зависят от разви-

тия парка, в частности от увеличения техники и рабочих мест, а также от

разнообразия причин: пожары - 42 %; задымления, коррозия, неисправ-

ности - 11 %; ущерб от подтоплений - 12%; выход из строя машин -

8 %; возгорание электросетей и приборов (от грозовых разрядов и пере-

напряжения) - 9 %; неполадки во внешней среде - 10 %; другие случаи -

8%.

Что касается 3-й строки, различие также довольно значительное. Ти-

пичные аварии оборудования - 18 %; неполадки во внешней среде - 9 %;

специфические неисправности оборудования - 15 %; выход из строя опе-

рационной системы - 10 %; неисправности сетей - 11 %; перебои в снаб-

жении водой - 5 %, перебои в электроснабжении - 3 %; перебои различ-

ного рода снабжения - 8 %; другие причины - 21 %.

Убытки, связанные с ошибками, несколько уменьшились. Это, в ча-

стности, относится к 4-й строке (несмотря на еще многочисленные ошиб-

ки маршрутизации потоков и ошибки, связанные с использованием сетей)

и к 5-й сроке (здесь за счет увеличения доли автоматизации повысилось

качество продукции). Вместе с тем можно отметить, что если увеличение

обмена по каналам привело к улучшению показателей 4-й строки,

то функциональные ошибки, которые не отражаются в этой таблице, ско-

рее всего имеют тенденцию к росту.

Концептуальные и внедренческие ошибки (6-я строка). Причины но-

сят одновременно структурный (привлечение к разработке сторонних ор-

ганизаций, абонементное обслуживание) и технический характер (физи-

ческий износ постоянно растущего числа действующих систем, обуслов-

ливающий проблемы восстановления или адаптации новых, более

сложных систем и т. д.).

Убытки, связанные со злоупотреблениями (7-я строка). Здесь доволь-

но высокие показатели. По состоянию на 1989 г. они составляли: мошен-

ничество - 67 % и саботаж - 33 %. В свою очередь, мошенничество под-

разделяется: на хищение фондов - 70 %, хищение материальных ценно-

стей - 30 %. Последние могут быть проанализированы по отношению

к социально-экономическому сектору: I - банки, страхование, социальное

обеспечение, финансы - 38 %; II - промышленность, сельское хозяйст-

во - 28 %; III - транспорт, торговля, другие услуги - 34 %. Саботаж под-

разделяется, в свою очередь: на фальсификацию данных или программ -

20 %; частичный вывод из строя или частичное блокирование - 49 %;

полный вывод из строя или полное блокирование - 31 %. Убытки, свя-

занные с вирусами, трудно поддаются оценке. В общем, они меньше

100 млн. фр. Хотя случаи их появления увеличиваются как в сетях мини-

ЭВМ, так и в больших системах.

Убытки от разглашения и промышленного шпионажа (8-я строка)

весьма значительны. Сегодня шпионаж не ограничивается только обла-

стью промышленности, а становится преимущественно экономическим.

Особенно прогрессируют секторы торговли и финансов.

Показатели 9-й строки вновь увеличились после их падения в 1988 г.

Это объясняется увеличением пиратских действий и в особенности рос-

том числа случаев подделки.

10-я строка имеет явную тенденцию к уменьшению приносимого

ущерба.

В [4] анализируются угрозы автоматизированным информационным

системам коммерческих банков. Результаты исследований, проведенных

Datapro Information Service Group на основе анкетирования 1153 банков,

приведены в табл. 2.8. (В 1991, 1992, и 2001 гг. в опросе участвовало со-

ответственно 1102, 1153 и 1121 респондент.)

Таблица 2.8. Угрозы автоматизированным информационным системам, %

Вид угрозы

Содержание угрозы 1991 1992 2001

Потеря связи

Стихийные бедствия

8 8

Потеря связи

Небрежность

пользователей

Потеря связи

Неисправность

учрежденческих АТС

21 25

Потеря связи

Неисправность в сетях

передачи данных

Потеря связи

Ошибки программных

средств

Потеря связи

Другие причины

Компьютерные

преступления

Программными средства-

ми (включая вирусы)

22 44 64

Компьютерные

преступления

Раскрытие пароля

28 30

Компьютерные

преступления

Внутренние угрозы

системе

Компьютерные

преступления

Внешние угрозы системе 2 2 2

Компьютерные

преступления

Возгорание компьютера 2

1 1

Компьютерные

преступления

Утечка информации

9 11 17

Несанкциони-

рованный

доступ

19 22 34

Стихийные

бедствия

Подтопление и другие

причины

3 3

Угрозы данным информационным системам, выраженные как причи-

ны потери данных в ИС [3], приведены на рис. 2.12. Анализ крупных

убытков^ особенно тех, которые могут поставить под угрозу само суще-

ствование предприятия, показывает, что, кроме основных причин, нане-

сению ущерба способствовали и такие факторы, как:

• отсутствие взаимодействия между ответственными за безопасность

лицами;

• несоответствие технических средств реальным потребностям безо-

пасности;

• установка средств безопасности без глубокого изучения конкретных

условий и особенностей.

Рис. 2.12. Причины потери данных

Понять это, кроме технических аспектов, часто второстепенных

и не представляющих собой значительных проблем на практике, - значит

ОВЛАДЕТЬ основами управления безопасностью.

Основные причины убытков связаны не столько с недостаточностью

средств безопасности как таковых, сколько с отсутствием взаимосвязи

между ними.

4.5. Информационные инфекции

В течение последнего времени множатся примеры систем, подверг-

нувшихся информационным инфекциям. Все говорят о том, что в буду-

щем логические бомбы, вирусы, черви и другие инфекции явятся главной

причиной компьютерных преступлений. Совсем недавно речь шла в ос-

новном о случаях с малыми системами. Между тем отмечаются случаи

прямых атак и на большие системы со стороны сети или перехода виру-

сов от микроЭВМ к центральным («переходящий» вирус, поддерживае-

мый совместимостью операционных систем и унификацией наборов дан-

ных).

В настоящее время инфекции в информационных системах становят-

ся обычными и имеют неодинаковые последствия в каждом конкретном

случае. В основном это потери рабочего времени.

Число атак больших систем (по сети и реже через магнитные носите-

ли) растет. Речь идет, в частности, о логических бомбах, разрушающих

набор данных (в том числе и тех, которые считаются защищенными, по-

скольку инфекция сохраняется долгое время) или парализующих систему.

Участились случаи, когда предприятие полностью лишается одного

или нескольких наборов данных, а иногда даже программ, что может

в самом худшем случае привести к катастрофическим потерям.

Угроза таких атак может быть реальной или выражаться в виде шан-

тажа или вымогательства фондов. Мотивы при этом могут быть самые

различные: от личных интересов до преступной конкуренции (случаи

уже ординарные).

Угрозы информационных инфекций опасны не только персональным

ЭВМ. Они не менее опасны большим системам и информационным сетям

самого различного уровня.

Различные виды злонамеренных действий в нематериальной сфере

(разрушение или изменение данных или программ) могут быть подразде-

лены на два крупных класса:

• физический саботаж (фальсификация данных, изменение логики об-

работки или защиты);

• информационные инфекции (троянский конь, логическая бомба, чер-

ви и вирусы), являющиеся программами, далекими от того, чтобы

принести полезные результаты пользователю; они предназначены

для того, чтобы расстроить, изменить или разрушить полностью или

частично элементы, обеспечивающие нормальное функционирование

системы.

Информационные инфекции специфически ориентированы и обла-

дают определенными чертами: противоправны (незаконны), способны

самовостанавливаться и размножаться; а также имеют определенный ин-

кубационный период - замедленное время начала действия.

Информационные инфекции имеют злонамеренный характер: их дей-

ствия могут иметь разрушительный результат (например, уничтожение

набора данных), реже физическое уничтожение (например, резкое вклю-

чение и выключение дисковода), сдерживающее действие (переполнение

канала ввода-вывода, памяти) или просто видоизменяющее влияние

на работу программ.

Самовосстановление и размножение приводит к заражению других

программ и распространению по линиям связи. Это влияние трудно огра-

ничить, так как недостаточно выявить только один экземпляр вируса: за-

раженными могут быть не только копии, но и любые другие программы,

вступившие в связь с ней.

Замедленное действие проявляется в том, что работа программы на-

чинается при определенных условиях: дата, час, продолжительность, на-

ступление события и т. д. Такое действие называют логической бомбой.

Логические бомбы могут быть «запрятаны» служащим, например

программистом; обычно бомба представляет собой часть программы, ко-

торая запускается всякий раз, когда вводится определенная информация.

Такая ловушка может сработать не сразу. Например, она может сработать

от ввода данных, вызывающих отработку секции программы, которая

портит или уничтожает информацию [10].

Логические бомбы, как вытекает из их названия, используются для

искажения или уничтожения информации, реже с их помощью соверша-

ется кража или мошенничество. Манипуляциями с логическими бомбами

обычно занимаются чем-то недовольные служащие, собирающиеся поки-

нуть данную организацию, но это могут быть и консультанты, служащие

с определенными политическими убеждениями, инженеры, которые при

повторных обращениях могут попытаться вывести систему из строя.

Реальный пример логической бомбы: программист, предвидя свое

увольнение, вносит в программу заработной платы определенные изме-

нения, работа которых начнется, если его фамилия исчезнет из набора

данных о персонале фирмы.

Троянский конь - это часть программы, которая при обращении спо-

собна, например, вмешаться в инструкцию передачи денежных средств

или в движение акций, а затем уничтожить все улики. Ее можно приме-

нить также в случае, когда один пользователь работает с программой, ко-

торая предоставляет ресурсы другому пользователю. Известен случай,

когда преступная группа смогла договориться с программистом торговой

фирмы, работающим над банковским программным обеспечением, о том,

чтобы он ввел подпрограмму, которая предоставит этим преступникам

доступ в систему после ее установки с целью переместить денежные

вклады.

Известен также случай, когда фирма, разрабатывающая программное

обеспечение для банковских систем, стала объектов домогательств дру-

гой фирмы, которая хотела выкупить программы и имела тесную связь

с преступным миром. Преступная группа, если она удачно определит ме-

сто для внедрения троянского коня (например, включит его в систему

очистки с автоматизированным контролем, выдающую денежные средст-

ва), может безмерно обогатиться.

Червь представляет собой паразитный процесс, который потребляет

(истощает) ресурсы системы. Программа обладает свойством перевопло-

щаться и воспроизводиться в диспетчерах терминалов. Она может также

приводить к разрушению программ.

Вирус представляет собой программу, которая обладает способно-

стью размножаться и самовосстанавливаться. Некоторые вирусы поме-

чают программы, которые они заразили, с помощью пометы с тем, чтобы

не заражать несколько раз одну и ту же программу. Эта помета использу-

ется некоторыми антивирусными средствами. Другие средства исполь-

зуют последовательность характерных для вирусов кодов.

Большинство известных вирусов обладают замедленным действием.

Они различаются между собой способами заражать программы и своей

эффективностью. Существует три основные категории вирусов:

• Системные вирусы, объектом заражения которых являются исключи-

тельно загрузочные секторы (BOOT).

• Почтовые вирусы, объектом заражения которых являются электрон-

ные сообщения.

• Программные вирусы, заражающие различные программы функцио-

нального назначения. Программные вирусы можно подразделить

на две категории в соответствии с воздействием, которое они оказы-

вают на информационные программы. Эта классификация позволяет

разработать процедуры обеспечения безопасности применительно

к каждому виду вирусов.

Восстанавливающийся вирус внедряется внутрь программы, которую

он частично разрушает. Объем инфицированной программы при этом не

изменяется. Это не позволяет использовать этот параметр для обнаруже-

ния заражения программы. Однако инфицированная программа не может

больше нормально работать. Это довольно быстро обнаруживает пользо-

ватель.

Вирус, внедряемый путем вставки, изменяет программу не разрушая

ее. Всякий раз, когда задействуется программа, вирус проявляет себя

позже, после окончания работы программы. Программа кажется нор-

мально работающей, что может затруднить своевременное обнаружение

вируса. Однако увеличение объема программы позволяет довольно быст-

ро обнаружить инфицированную программу (табл. 2.9).

Таблица 2.9. Анализ проявления каждого из видов инфекций

Вид инфекции

Характер действия

Вид инфекции

незаконный с замедлением

с самовосста-

новлением

Троянский конь

Всегда

Редко, но возможно

Никогда

Логическая

бомба Всегда

Часто, но необязательно

Никогда

Червь

Всегда

Возможно

Всегда

Вирус Всегда

Очень часто

Всегда

Строки в табл. 2.9 следуют в хронологическом порядке: первые логи-

ческие инфекции имели место на основе троянских коней, затем идут ло-

гические бомбы и, наконец, черви и вирусы. Хронологический порядок

довольно хорошо отражает, кроме того, степень сложности: в то время

как знание одного из распространенных языков программирования, на-

пример Си или Паскаля, достаточно для написания троянского коня или

логической бомбы, знание Ассемблера почти всегда необходимо для на-

писания червя или вируса.

Табл. 2.10 иллюстрирует уровни заражения, создаваемого информа-

ционными инфекциями.

Таблица 2.10. Уровни заражения, создаваемого червем и вирусом

Объект заражения Червь Вирус

Оперативная память

Да

Оперативная память ЭВМ в составе сети

Да

Возможно

Накопитель на жестком магнитном диске (НЖМД)

Нет

Да

Накопитель на гибком магнитном диске (НГМД)

Нет

Да

Внешние накопители ЭВМ в составе сети

Исключено Возможно

Убытки в системе обмена данными могут иметь внешние и внутрен-

ние причины, часто взаимосвязанные и взаимообусловливаемые, причи-

ненные теми или иными угрозами, покушениями или другими факторами.

На рис. 2.13 представлена обобщенная схема злонамеренных действий.

4.6.1. Остановки или выходы из строя

Речь идет о простой остановке или выходе из строя системы (физиче-

ская поломка, отказ или авария оборудования или программных средств,

случайные или более или менее частые в течение определенного време-

ни). Причины могут быть многочисленными.

4.6. Убытки, связанные с информационным обменом

Установить информационный обмен между несколькими партнера-

ми - это значит договориться о технических (нормализация функций

и используемых данных, интеграция и автоматизация процессов, специ-

фикация станций и сетей и т. д.) и юридических (ответственность сторон,

право проверки передаваемой информации и др.) условиях передачи дан-

ных. К этому следует добавить еще и требования сокращения времени

передачи документов, снижение стоимости, улучшение качества инфор-

мационного обслуживания.

Рис. 2.13. Обобщенная схема злонамеренных действий

1. Происшествия, аварии, отказы системы, случайные или преднаме-

ренные, могут нарушить готовность системы передачи данных.

2. Перерывы в работе узлов или магистральных линий связи. Речь идет

о собственных средствах или о сетях передачи данных или центра

вашего абонента. Причины могут быть разные: забастовки, случай-

ное повреждение оборудования, происшествия (стихийные бедст-

вия), физическое стирание информации и др. Продолжительность

прерывания работы зависит от многих причин и от возможностей

защиты и организации восстановления.

3. Помехи. Помехи в системе связи могут значительно затруднить ин-

формационный обмен и привести к ошибкам и потере информации.

4.6.2. Потери информации

В процессе передачи данные могут быть утрачены, что создает про-

блему готовности (полная утрата), целостности (частичная утрата) или

направлены не по адресу (ошибки маршрутизации), что приводит к на-

рушению конфиденциальности. Причины могут корениться в сетях пере-

дачи данных или в узлах связи. В данном случае источниками могут быть

оборудование, протоколы обмена или люди (ошибки или злонамеренные

действия). В числе последних могут быть, в частности, логические бом-

бы, вирусы, которые наносят удар прежде всего по целостности, а затем

уже по готовности системы.

Злонамеренные действия

Мошенничество

Саботаж

Болтливость

Хищение

Информационные

инфекции

Физический

саботаж

Простые

программы

Самовосстанавли-

вающиеся

программы

Логическая

бомба

Троянский

конь

Червь

Вирус

Системный Программный

Логическая ошибка:

необходима также

линия от "мошенничества"

и "хищения" к "информа-

ционным инфекциям"