Информационная безопасность. Защита от несанкционированного доступа

    Контроль  за импортом программ позволяет организации решить следующие задачи:

• Защита от вирусов и троянских программ, их обнаружение и удаление;
• Контроль за интерактивными программами;
• Контроль за соблюдением лицензий на программы.

    При импорте программ на компьютере и  их запуске на нем имеется риск, что эти программы обладают дополнительной функциональностью или их реальные функции отличаются от заявленных. Импорт может происходить в форме непосредственного действия пользователя или являться побочным эффектом других действий и не быть заметен. Примерами явного импорта являются:

• Передача файлов - использование FTP для переноса файла на компьютер.
• Чтение электронной почты - чтение сообщения, загруженного на компьютер, или использование внешней программы (например, MS Word) для чтения приложений к письму.
• Загрузка программ с дискеты или по сети

    Примерами скрытого импорта является чтение веб-страницы, загружающей Java-апплет на ваш компьютер  или открытие файла, зараженного макро-вирусом.

• защиту от вирусов

2.4.1. Вирусы и защита от них.

    Вирус - это размножающаяся программа, которая может находиться в выполняемых файлах, загрузочных записях и макросах (к сожалению, точного ответа не существует!) При своем выполнении вирусы модифицируют программу так, что она делает нечто отличное оттого, что должна была делать. После репликации себя в другие программы вирус может сделать что-либо - от вывода какого-нибудь сообщения до удаления всех данных на диске.

    Классифицировать  вирусы можно по следующим признакам:

• по среде обитания;
• Файловые вирусы
• Загрузочные вирусы
• Макро-вирусы
• Существуют и сочетания - например, файлово-загрузочные вирусы
• по способу заражения среды обитания;

• резидентные
• нерезидентные

• по деструктивным возможностям;

• Безвредные
• Неопасные
• Опасные
• очень опасные

• по особенностям алгоритма вируса. (По особенностям алгоритма вирусы трудно классифицировать из-за большого разнообразия)

• компаньон - вирусы (companion)
• вирусы-«черви» (worm)
• сетевые черви
• «паразитические»
• «студенческие»
• «стелс»
• «полиморфик»
• макро-вирусы
• сетевые вирусы

 Политика безопасности для борьбы с вирусами имеет три составные части:

• Предотвращение - правила, позволяющие предотвратить заражение вирусами
• Обнаружение - как определить, что данный выполняемый файл, загрузочная запись, или файл данных содержит вирус
• Удаление - удаление вируса из зараженной компьютерной системы может потребовать переинсталляции ОС с нуля, удаления файлов, или удаления вируса из зараженного файла.

    Чем больше значение компьютера или данных, находящихся в нем, тем больше надо позаботиться о мерах безопасности против вирусов.

    Важно также помнить, что вирусы обычно появляются в системе из-за действий пользователя (например, установки  приложения, чтения файла по FTP, чтения электронного письма). Политика предотвращения появления вирусов может, поэтому обращать особое внимание на ограничения на загрузку потенциально зараженных программ и файлов. В ней также может быть указано, что в среде с высоким риском проверка на вирусы особенно тщательно должна производиться для новых файлов.

В борьбе с вирусами огромную роль играют антивирусные программы.

    Антивирусная  программа (антивирус) — программа для обнаружения и, возможно, лечения программ, заражённых компьютерным вирусом, а также, возможно, для предотвращения заражения файла вирусом (например, с помощью вакцинации).

    Антивирусное  программное обеспечение состоит  из компьютерных программ которые пытаются обнаружить, предотвратить размножение и удалить компьютерные вирусы и другие вредоносные программы.

Антивирусные  программы  делятся  на: 

• Программы - детекторы; 
• Программы – доктора;
• Программы – ревизоры;
• Программы – фильтры;
• Программы - вакцины.

    Антивирусное  программное обеспечение обычно использует два отличных друг от друга  метода для выполнения своих задач:

• Просмотр (сканирование) файлов для поиска известных вирусов, соответствующих определению в словаре вирусов
• Обнаружение подозрительного поведения любой из программ, похожего на поведение заражённой программы.

   Существует  несколько способов обнаружения  вирусов:

• Метод соответствия определению вирусов в словаре

    Это метод, когда антивирусная программа, просматривая файл, обращается к словарю с известными вирусами, который составлен авторами программы-антивируса. В случае соответствия какого либо участка кода просматриваемой программы известному коду (сигнатуре) вируса в словаре, программа антивирус может заняться выполнением одного из следующих действий:

1. Удалить инфицированный файл.
2. Отправить файл в карантин (то есть сделать его недоступным для выполнения, с целью недопущения дальнейшего распространения вируса).
3. Попытаться восстановить файл, удалив сам вирус из тела файла.

    Хотя  антивирусные программы, созданные  на основе поиска соответствия определению вируса в словаре, при обычных обстоятельствах, могут достаточно эффективно препятствовать вспышкам заражения компьютеров, авторы вирусов стараются держаться на полшага впереди таких программ-антивирусов, создавая «олигоморфические», «полиморфические» и, самые новые, «метаморфические» вирусы, в которых некоторые части шифруются или искажаются так, чтобы невозможно было обнаружить совпадение с определением в словаре вирусов.

• Метод обнаружения странного поведения программ

    Антивирусы, использующие метод обнаружения подозрительного поведения программ не пытаются идентифицировать известные вирусы, вместо этого они прослеживают поведение всех программ. Если программа пытается записать какие-то данные в исполняемый файл (exe-файл), программа-антивирус может пометить этот файл, предупредить пользователя и спросить что следует сделать.

    В отличие от метода соответствия определению  вируса в словаре, метод подозрительного поведения даёт защиту от совершенно новых вирусов, которых ещё нет ни в одном словаре вирусов. Однако, программы, построенные на этом методе, выдают также большое количество ошибочных предупреждений, что делает пользователя мало восприимчивым ко всем предупреждениям.

    Таким образом, в современном антивирусном программном обеспечении этот метод  используется всё меньше и меньше.

• Метод обнаружения при помощи эмуляции

    Некоторые программы-антивирусы пытаются имитировать  начало выполнения кода каждой новой  вызываемой на исполнение программы, перед  тем как передать ей управление. Если программа использует самоизменяющийся код или проявляет себя как вирус (то есть немедленно начинает искать другие exe-файлы, например), такая программа будет считаться вредоносной, способной заразить другие файлы. Однако этот метод тоже изобилует большим количеством ошибочных предупреждений.

• Другие методы обнаружения вирусов

Эвристическое сканирование

    Метод работы антивирусной программы, основанный на сигнатурах и эвристике (def. «совокупность методов поиска решения задачи»), призван улучшить способность сканеров применять сигнатуры и распознавать модифицированные версии вирусов в тех случаях, когда сигнатура совпадает с телом неизвестной программы не на 100 %, но в подозрительной программе налицо более общие признаки вируса. Данная технология, однако, применяется в современных программах очень осторожно, так как может повысить количество ложных срабатываний.

    Наиболее  известная технология эвристического сканирования — Bloodhound — применяется  компанией Symantec в продукте Norton AntiVirus. Эвристика призвана сделать сигнатуры более гибкими, полное совпадение не обязательно. В качестве одной из многочисленных возможных «подсказок» могут рассматриваться даже такие простые признаки, как наличие в подозрительном файле слова virus.

2.5. Электронные подписи и сертификаты

    Цифровые  подписи обеспечивают замечательную возможность узнавать то, было ли сообщение (или иной объект) случайно или преднамеренно изменено. Цифровые сертификаты позволяют установить, было ли сообщение действительно создано конкретным лицом или организацией.

    Цифровая подпись – это значение, которое вычисляется из последовательности байтов с использованием секретного ключа. Она свидетельствует о том, что владелец этого секретного ключа подтвердил корректность и подлинность содержимого сообщения. В методах цифровой подписи часто используются алгоритмы шифрования с открытым ключом, но несколько иначе, чем обычно, а именно: закрытый ключ применяется для шифрования, а открытый – для расшифровки. На практике это выглядит следующим образом:

1. Создается цифровая подпись
1. Вычисляется дайджест сообщения
2. Дайджест сообщения зашифровывается с помощью закрытого ключа из пары “открытый/закрытый ключ”, в результате чего получается цифровая подпись.
2. Производится верификация цифровой подписи
1. Подпись расшифровывается с помощью открытого ключа из вышеупомянутой пары “открытый/закрытый ключ ”, в результате чего восстанавливается дайджест сообщения.
2. Значение расшифрованного дайджеста сообщения расшифровывается и сравнивается со значением дайджеста сообщения вычисленного из исходного сообщения

    Если оба значения дайджеста сообщения совпадают, то подпись подлинная. В противном случае или подпись, или сообщение были изменены.

    Описанный выше подход к созданию и проверке подписей несет в себе как характерные черты реальных подписей, так и другие особенности, которые обеспечивают следующие возможности:

• Подпись нельзя подделать – подписавшее лицо использует для подписи закрытый ключ, а он является секретным.
• Подлинность подписи всегда можно проверить – поскольку открытый ключ подписавшего лица общедоступен, любое лицо, имеющее в руках сообщение и цифровую подпись, может проверить, что сообщение было подписано данным лицом и что ни оно, ни подпись не были изменены.
• Подпись неповторима – каждому сообщению соответствует своя, неповторимая подпись. Невозможно численными методами использовать подписи вместе с другим сообщением.
• Факт подписи невозможно отрицать – после того как сообщение подписано и отослано вместе с подписью, лицо, сделавшее это не может отрицать, что оно сделало это (если только не докажет, это закрытый ключ был похищен)

    Как видно, цифровые подписи – это  прекрасный способ подтверждения того, что сообщение (или объект) было создано или проверено конкретным лицом или организацией. Но есть одна каверза – вам нужно каким-то образом определить, что открытый ключ, который вы получили от имени кого-то, - это действительно его открытый ключ. Вот где в дело вступают цифровые сертификаты.

    Цифровые  сертификаты – это сообщения, подписанные полномочным органом сертификации (Certificate Aythory – CA), который заверяет значение открытого ключа, принадлежащего кому-либо, и использование конкретного алгоритма шифрования. Чтобы получить сертификат полномочного органа сертификации, обычно нужно представить в него документы, подтверждающие личность заявителя.