Методы противодействия информационным атакам в сети

Обеспечение безопасности при работе в сети одинаково актуально как для отдельных пользователей, так и для целых корпораций. И те и другие существенно страдают от атак злоумышленников. Только если в случае частных пользователей объектом атаки являются пароли электронной почты, сетевых мессенджеров и домашние компьютеры, то применительно к организациям под угрозой оказываются целые локальные сети и автоматизированные системы. Для предприятий подобные угрозы составляют большую проблему, поскольку на настоящий момент автоматизированные системы выполняют ключевую роль в обеспечении успешной реализации бизнес-процессов и любое вмешательство в систему или утечка коммерческих данных могут поставить под удар все предприятие. При этом, по наблюдениям специалистов, в последние годы количество информационных атак постоянно увеличивается как в России, так и в зарубежных странах. Информационную атаку можно определить как комплекс действий некоего злоумышленника, направленный на нарушение какого-либо из трех основных свойств информации – целостности, доступности, конфиденциальности.

Как показывает практика, информационные атаки могут подразделяться на внешние и внутренние.

Внешние атаки осуществляются извне локальной сети, с узла, не являющегося ее частью. К этой разновидности относятся все виды информационных атак, которые проводятся в отношении той или иной корпоративной сети из Интернета.

Внутренними называются информационные атаки, которые проводятся с одного из серверов или рабочих станций самой локальной сети. Как пример можно взять утечку конфиденциальной информации.

В качестве метода атаки обычно используется поиск уязвимости автоматизированной системы, позволяющей проникнуть в нее злоумышленнику. Причем уязвимостью, слабым местом системы могут быть самые разные факторы: некорректные настройки и конфигурация сетевых служб, отсутствие необходимых средств защиты, не установленные вовремя модули обновлений, нестойкие пароли и тому подобное. В качестве средств защиты выступают обычные виды технических приемов:

1) межсетевые экраны;

2) средства криптографической защиты;

3) антивирусные программы;

4) средства от спама;

5) программные средства обнаружения атак;

6) разграничение прав доступа для пользователей.

Межсетевой или сетевой экран – комплекс аппаратных или программных средств, осуществляющий контроль и фильтрацию проходящих через него сетевых пакетов в соответствии с заданными правилами. Основной задачей сетевого экрана является защита компьютерных сетей или отдельных узлов от несанкционированного доступа. Также сетевые экраны часто называют фильтрами, так как их основная задача – не пропускать (фильтровать) пакеты, не подходящие под критерии, определённые в конфигурации.

Средства криптографической защиты предназначены для реализации в прикладном программном обеспечении функций криптографической защиты информации – применения электронной подписи и шифрования. Криптографические методы защиты информации – это специальные методы шифрования, кодирования или иного преобразования информации, в результате которого ее содержание становится недоступным без предъявления ключа криптограммы и обратного преобразования. Криптографический метод защиты, безусловно, самый надежный метод защиты, так как охраняется непосредственно сама информация, а не доступ к ней (например, зашифрованный файл нельзя прочесть даже в случае кражи носителя). Данный метод защиты реализуется в виде программ или пакетов программ.

Современная криптография включает в себя четыре крупных раздела:

1. Симметричные криптосистемы. В симметричных криптосистемах и для шифрования, и для дешифрования используется один и тот же ключ. Шифрование – преобразовательный процесс: исходный текст, который носит также название открытого текста, заменяется шифрованным текстом; дешифрование – обратный шифрованию процесс: на основе ключа шифрованный текст преобразуется в исходный;

2. Криптосистемы с открытым ключом. В системах с открытым ключом используются два ключа – открытый и закрытый, которые математически связаны друг с другом. Информация шифруется с помощью открытого ключа, который доступен всем желающим, а расшифровывается с помощью закрытого ключа, известного только получателю сообщения. Ключ – информация, необходимая для беспрепятственного шифрования и дешифрования текстов;

3. Электронная подпись. Системой электронной подписи называется присоединяемое к тексту его криптографическое преобразование, которое позволяет при получении текста другим пользователем проверить авторство и подлинность сообщения.

4. Управление ключами. Это процесс системы обработки информации, содержанием которого являются составление и распределение ключей между пользователями.

Антивирусная программа (антивирус) – любая программа для обнаружения компьютерных вирусов, а также нежелательных (считающихся вредоносными) программ и восстановления зараженных (модифицированных) такими программами файлов, а также для профилактики — предотвращения заражения (модификации) файлов или операционной системы вредоносным кодом.

Антиспам, спам-фильтр – это совокупность настроек программного обеспечения сервера электронной почты для интерактивного анализа полученных писем и определения оных писем в категорию «спам». Программное обеспечение такого типа, как правило, реализует защиту от нежелательной корреспонденции двумя способами. Первый заключается в том, что анализируется содержание письма и делается вывод, спам – это или нет. Письмо, классифицированное как спам, отделяется от прочей корреспонденции: оно может быть помечено, перемещено в другую папку, удалено. Такое ПО может работать как на сервере, так и на компьютере клиента.

Второй подход заключается в том, чтобы, применяя различные методы, опознать отправителя как спамера, не заглядывая в текст письма. Это ПО может работать только на сервере, который непосредственно принимает письма. При таком подходе дополнительный трафик тратится сервером только на общение со спамерскими почтовыми программами (т. е. на отказы принимать письма) и обращения к другим серверам (если таковые нужны) при проверке. Большинство программного обеспечения, ориентированного на работу с электронной почтой, имеет свои собственные спам-фильтры. Критерием эффективности антиспама является прежде всего процентное соотношение выявленного и пропущенного спама.

Система обнаружения вторжений (СОВ) – программное или аппаратное средство, предназначенное для выявления фактов неавторизованного доступа в компьютерную систему или сеть либо несанкционированного управления ими, в основном через Интернет. Соответствующий английский термин – Intrusion Detection System (IDS). Системы обнаружения вторжений обеспечивают дополнительный уровень защиты компьютерных систем. Системы обнаружения вторжений используются для обнаружения некоторых типов вредоносной активности, которая может нарушить безопасность компьютерной системы. К такой активности относятся сетевые атаки против уязвимых сервисов, атаки, направленные на повышение привилегий, неавторизованный доступ к важным файлам, а также действия вредоносного программного обеспечения (компьютерных вирусов, троянов и червей). Обычно архитектура СОВ включает:

– сенсорную подсистему, предназначенную для сбора событий, связанных с безопасностью защищаемой системы;

– подсистему анализа, предназначенную для выявления атак и подозрительных действий на основе данных сенсоров;

– хранилище, обеспечивающее накопление первичных событий и результатов анализа;

– консоль управления, позволяющую конфигурировать СОВ, наблюдать за состоянием защищаемой системы и СОВ, просматривать выявленные подсистемой анализа инциденты.

Существует несколько способов классифицировать СОВ в зависимости от типа и расположения сенсоров, а также методов, используемых подсистемой анализа для выявления подозрительной активности. Во многих простых СОВ все компоненты реализованы в виде одного модуля или устройства. Разграничение прав доступа для пользователей также является важным механизмом по предотвращению несанкционированного доступа к конфиденциальным данным. Разграничение прав доступа позволяет разграничить права доступа к информации для разных людей. Таким образом, конфиденциальная информация никогда не попадет в руки пользователя, который не имеет доступа к этой информации. В свою очередь, отдельные пользователи имеют все полномочия и могут назначать или убирать их для других.

В случае успешно реализованной информационной атаки многое зависит от того, как быстро ее успели обнаружить и как быстро перекрыт доступ для злоумышленника в систему. Так или иначе, в данном случае потребуется полная проверка системы на уязвимость, смена паролей, выявление источника атаки и способа его проникновения в систему.