Удаленное несанкционированное проникновение в систему

Развитие информационно-вычислительных сетей.

Теорией показано, а практикой подтверждено, что эффективное решение задач самого разнообразного характера и любого уровня возможно только путем широкого и оперативного обмена информацией между руководителями и исполнителями. Поэтому стержнем любой информационной системы и всего процесса информатизации является создание распределенных архитектур на основе информационно-вычислительных сетей и их последующая модернизация и расширение.

Конечно, оборудование рабочих мест изолированными средствами вычислительной техники также позволило значительно повысить эффективность труда каждого отдельно взятого пользователя и исполнителя, и работы в этом направлении продолжаются. Однако такая замкнутая система ограничена в дальнейшем развитии огромными затратами на создание информационных услуг для каждого рабочего места.

Говоря о больших преимуществах ИВС по сравнению с изолированными средствами вычислительной техники, необходимо особо подчеркнуть, что на современном этапе развития информационной сферы даже создание отдельных сетей не позволяет в полной мере использовать возможности автоматизированной обработки информации. В первую очередь это касается таких сфер деятельности, как государственное или военное управление, в которых для поддержания баланса сил и средств, не говоря уже о достижении превосходства, требуется обеспечить максимально оперативную и автоматическую обработку и передачу информации через все уровни управления. В качестве примера можно привести циркулярную передачу оповещения о воздушном нападении или ядерной угрозе, запрос артиллерийской или авиационной поддержки, вызов противотанкового резерва или спасательной команды.

Для решения такой сложной и крупномасштабной задачи уже недостаточно применения отдельных узковедомственных ИВС, а требуется решать проблему межсетевого обмена информацией. Идеальным решением могло быть создание глобальной, гетерогенной, сквозной системы, обеспечивающей передачу информации, представленной в любой форме, по всем направлениям в национальном или даже мировом масштабе в реальном времени.

Суммируя все эти доводы, можно с уверенностью сказать, что развитие ИВС и, следовательно, средств удаленного доступа к информационным ресурсам будет прогрессировать и эта тенденция сохранится на отдаленную перспективу.

Несмотря на ряд несомненно положительных сторон, развитие распределенных архитектур создает и широкие возможности для проведения акций по удаленному и автономному проникновению в информационные ресурсы неуполномоченными на то лицами с разведывательными или диверсионными целями. На первоначальном этапе появления ИВС этими возможностями пользовались лишь частные лица, сначала для развлечения, затем с целью наживы. В дальнейшем удаленным несанкционированным доступом стали пользоваться и спецслужбы для решения стратегических разведывательных задач.

Несанкционированное проникновение в информационные системы приобрело такой широкий размах, что появившийся на заре развития вычислительной техники термин “хакеризм” прочно вошел почти во все языки мира.

Анализ явления “хакеризм”.

Деятельность по удаленному несанкционированному проникновению в информационные системы с целью хищения, уничтожения или изменения содержащейся в них информации исходно получило название “хакеризм” [58]. В настоящее время эта деятельность стала эффективным и часто применяемым средством противоборства в информационной сфере.

Считается, что из безобидного увлечения, каковым “хакеризм” был первоначально, в конце 80-х годов он окончательно превратился в опасную деятельность. Так, в 1987 году осведомитель контрразведки ФРГ, внедренный в компьютерный клуб “Chaos Computer Club” (CCC), сообщил, что группе членов клуба удалось ввести в автоматизированную сеть НАСА SPANet “диверсионную программу” типа “троянский конь”. В результате данной акции под контролем этой группы оказалось более 130 компьютеров космического агентства США. Уже тогда контрразведка ФРГ активно включилась в расследование, поскольку в Федеральной криминальной полиции полагали, что имеют дело с фактом шпионажа, однако в конечном итоге доказать это не удалось.

Начало такого вида деятельности как средства информационного противоборства специалисты также относят к концу 80-х годов и считается, что впервые целенаправленно, планомерно и в широком масштабе оно было применено советскими разведывательными службами. В частности, в марте 1989 года Федеральная криминальная полиция ФРГ во взаимодействии с контрразведкой страны выявила группу западногерманских специалистов, занимавшихся хищением секретной информации в пользу СССР из автоматизированных информационных систем в США, ФРГ и во Франции методом удаленного доступа.

На данном случае стоит остановиться более подробно, поскольку он является в некотором смысле классическим и его уроки полезны для изучения. Это была организованная группа во главе с руководителем, в которой обязанности распределялись в соответствии с возможностями каждого ее члена. Успешная деятельность группы на протяжении трех лет (с 1986 по 1989 год) стала возможной благодаря правильному и продуманному сочетанию агентурных и технических методов добывания информации.

Как всегда в таких случаях, факт незаконной деятельности был выявлен органами безопасности благодаря совершенно незначительной детали. Все началось с того, что при сведении балансов оплаты по счетам за пользование информационными услугами вычислительного центра лаборатории имени Лоуренса в Беркли (США) управляющий компьютерными системами Клиффорд Столл обнаружил недостачу в 75 центов. В дальнейшем из Национального центра компьютерной безопасности, относящегося к ведению Агентства национальной безопасности (АНБ), пришла информация о том, что кто-то из лаборатории в Беркли пытается проникнуть в один из многочисленных компьютеров этого агентства. После этого Столл при поддержке ФБР начал серьезно заниматься расследованием. Он установил, что незаконный пользователь применяет для поиска информации такие ключевые слова, как атомная энергия, вооружения, системы оружия и тому подобные, что, конечно, сразу же наталкивало на мысль о шпионаже. Используя эту информацию, нарушителю устроили ловушку – подставили объемный фальшивый файл с материалами якобы по современным системам оружия – и пока он копировал этот файл, удалось проследить его сетевой адрес в Бремене.

В то же время хакеры действовали аккуратно и всю извлеченную информацию переписывали первоначально в центральный компьютер университета Бремена, а затем по частям пересылали в домашние компьютеры в Ганновере. Это, во-первых, значительно усложняло расследование, а во-вторых, мешало выдвинуть законные обвинения. Окончательно раскрыть эту группу и привлечь к ответственности удалось лишь только потому, что двое соучастников добровольно пришли в полицию и сознались в содеянном.

Оценка возможностей по удаленному проникновению.

Несмотря на ряд случаев успешного несанкционированного проникновения в информационные системы, в том числе и военные, эта деятельность связана со многими трудностями и опасностями. Привлекаться к ней могут только квалифицированные специалисты, причем исключительно под руководством и контролем оперативных работников, имеющих хорошую подготовку по вопросам информатики и вычислительной техники. С каждым годом работа по получению несанкционированного удаленного доступа становится более сложной и опасной, что связано, в первую очередь, с совершенствованием систем защиты и безопасности. Это особенно наглядно видно при подробном рассмотрении общей картины развития систем обеспечения ИБ.

В начале 1980-х годов резко возросла потребность в создании и развитии связей между информационными системами, а также каналов доступа к ним потребителей информации. Однако в тот период еще не были широко распространены специальные национальные и международные телекоммуникационные сети, и для доступа к центральному компьютеру (серверу) использовались, как правило, телефонные линии.

Большая часть программных средств, которыми были оснащены информационные системы для обеспечения удаленного доступа к ним, позволяла осуществлять автоматический набор пароля с терминала. Входными параметрами для получения доступа к центральному компьютеру в тот период были лишь имя пользователя и пароль, причем длина слова пароля редко превышала четыре символа. Администрация информационных систем не имела опыта в вопросах безопасности, и в целом отсутствовал единый комплексный подход к решению этой задачи.

В таких условиях получение удаленного несанкционированного доступа к информационным системам не представляло труда даже для начинающего. Так, например, подбор пароля можно было выполнять в автоматическом режиме, циклически с помощью простой самодельной программы. Таким образом, злоумышленник имел в своем распоряжении неограниченное количество попыток и при относительно небольших расходах за пользование телефонной линией шансы на успешный подбор пароля были достаточно высоки. При этом для злоумышленника практически отсутствовал риск быть пойманным.

В конце 1980-х годов после многочисленных случаев несанкционированного доступа к информационным ресурсам ситуация резко изменилась. В большинстве систем были введены жесткие нормы безопасности, доступ к ним стал возможен только через специальные телекоммуникационные линии и службы с контролем и регистрацией сведений о пользователях в специальных узлах, что позволяет при необходимости найти нарушителя. Была исключена возможность циклического запроса паролей: после нескольких попыток выбранный вход в систему блокируется. В большинстве стандартов минимальная длина пароля была определена в восемь символов.

Такие жесткие меры защиты стали применяться в подавляющем большинстве современных информационных систем и, в первую очередь, в военных, правительственных и банковских АС.

Тем не менее существуют возможности по получению удаленного несанкционированного доступа в данные системы без агентурного проникновения на сами объекты, связанные с конкретными недостатками архитектур и ошибками в их эксплуатации. Наиболее характерными из них являются следующие: 1) использование пароля, введенного в систему изготовителем при ее поставке заказчику; 2) обход идентификации конечного пользователя, т.е. создание условий, когда запрос допуска исходит от какого-то промежуточного и при этом уполномоченного звена (информационная система, телекоммуникационный узел), которым манипулирует нарушитель; 3) использование информации “электронных досок объявлений”.

Наглядным примером использования пароля, введенного изготовителем, является случай проникновения в Федеральное ведомство здравоохранения (ФВЗ) Швейцарии в 1989 году. При этом двум специалистам-хакерам удалось получить удаленный несанкционированный доступ в два регистра с наивысшей степенью секретности автоматизированной информационной системы ФВЗ: список лиц с положительной реакцией на вирус СПИДа и учет сотрудников атомных объектов страны, получивших те или иные дозы радиации. Примечательным в этой истории является то, что самым сложным для нарушителей оказалось найти сетевой адрес информационной системы ФВЗ, для чего они через домашний компьютер с модемом организовали в автоматическом режиме циклический просмотр-запрос возможных адресов. Доступ же к секретным регистрам им удалось получить с помощью пароля, который был введен в систему на предприятии-изготовителе при ее поставке заказчику. Несмотря на инструкции и предписания, этот пароль не был изъят из системы, причем он имел высшую степень приоритета, что позволяло нарушителям выполнять в системе любые операции, вплоть до полного уничтожения всей информации.

Поразительным является беспечность администрации системы, не обнаружившей никаких нарушений на протяжении недели, хотя нарушители несколько раз оставляли заметные следы о своих визитах. Детали этого происшествия стали известны благодаря тому что, хакеры пригласили корреспондента одной из национальных газет и дали подробное интервью, которое и было затем опубликовано.

Для демонстрации метода обхода идентификации конечного пользователя можно привести факт незаконного доступа в центральный компьютер Высшей технической школы (ВТШ) города Цюриха для бесплатного пользования телекоммуникационными услугами. Это стало возможным благодаря тому, что для доступа в информационную систему ВТШ “Kometh” с домашнего компьютера через модем по телефонной сети не требуется предоставлять пароль. Сама же сеть “Kometh” имеет выход на территорию США через национальную информационную сеть “Telepac” и подводный кабель между Европой и Северной Америкой. При этом система контроля паролей в компьютерных центрах телефонных компаний США оказалась весьма слабой и легко раскрываемой. Подобрав несколько паролей, швейцарские хакеры в течение длительного времени бесплатно пользовались линиями связи для доступа в “электронные почтовые ящики” как в США, так и в Швейцарии через американские телекоммуникационные системы. Этот факт был вскрыт примерно через полгода, когда несколько телекоммуникационных компаний США предъявили ВТШ счета на общую сумму в несколько тысяч долларов. Руководство школы вынуждено было оплатить счета, но ни одного нарушителя найдено не было.

Использование информации “электронных досок объявлений” заключается в регулярном анализе помещаемой на них информации. Наряду с массой мелких и малозначимых сведений их хозяева помещают также пароли различных информационных систем, подобранные ими самими или известные им как бывшим сотрудникам каких-либо учреждений. Имели место случаи, когда хакеры через “электронные доски” предлагали пароли военных и государственных информационных систем в обмен на регистрационные параметры каких-либо фирм или банков [71].

В настоящее время наиболее дешевым и быстрым способом получения доступа в информационные системы считается агентурное внедрение на объект с тем, чтобы либо непосредственно приобрести копию требуемого информационного массива, либо получить через агентуру необходимые регистрационные данные (пароль, идентификационный номер) для удаленного доступа в соответствующую базу данных. Сам удаленный доступ также целесообразно осуществлять с помощью агентуры [37, 56].

Возможные направления применения “хакеризма”.

Наряду с добыванием военно-технических сведений “хакеризм” открывает большие возможности и по сбору коммерческой, страховой и тому подобной информации. Так, интересным представляется, например, анализ коммерческой деятельности цементно-бетонных предприятий (данная информация, как правило, не является закрытой), выполняющих заказы по строительству шахтных пусковых установок, аэродромов и командных пунктов. Проникновение в информационные системы социальных служб и органов страхования дает оперативную информацию в интересах проверки и поиска определенных групп лиц. Одним из направлений деятельности в области “хакеризма” считается систематический сбор паролей и прочих атрибутов допуска в информационные системы с целью планомерной подготовки их массированного вывода из строя, например, путем внедрения в эти системы компьютерных вирусов.