 |
Защита от явных угроз
|
|
|
|
Явная угроза предполагает, что за ней последуют определенные действия, наносящие информационной системе ущерб. Но раз последуют реальные физические действия, то это означает, что существует потенциальная возможность препятствовать этим действиям и защищаться от них, используя различные направления организации защиты.
Проанализируем, что чисто теоретически возможно сделать, чтобы защититься от агрессора в соответствии с ранее сформулированными способами защиты:
1) поставить барьер между собой и источником опасности;
2) скрыться от опасности за пределы ее достигаемости;
3) уничтожить источник опасности;
4) спрятаться или видоизмениться до неузнаваемости; стать другим.
Насколько данное множество полно? И каким образом может быть доказана полнота? Ответы на эти вопросы, безусловно, представляют теоретический интерес, но что касается практики, то информационная система применяет весь комплекс способов защиты, да и сами способы взаимно дополняют друг друга.
Безусловно, в идеале было бы полезно определить влияние каждого из способов на защищенность или на качество функционирования защитного механизма. Понятно, что для каждого набора входных данных существует своя оптимальная стратегия защиты. Проблема в том, чтобы узнать, каким именно будет этот входной набор данных.
Поэтому, защищающемуся субъекту, для того чтобы уцелеть, недостаточно владеть всеми названными способами. Ему надо уметь грамотно сочетать эти способы с теми событиями, которые на него обрушиваются или способны обрушиться. Таким образом, мы выходим на постановку задачи по организации защиты со следующими входными данными:
1) множество способов защиты;
|
|
|
2) методы прогнозирования;
3) механизм принятия решения, использующий результаты прогнозирования и имеющиеся способы защиты.
Система защиты включает в себя методы прогнозирования и способы защиты. Чем хуже работает механизм прогнозирования, тем более развитыми должны быть способы защиты и наоборот.
Схематично алгоритм функционирования системы защиты можно попытаться представить в виде рис.7.
Рис. 7. Алгоритм работы системы защиты (здесь, пунктирная линия отражает потоки данных, сплошная линия – потоки команд).
По алгоритму рис. №7 от явных угроз защищается любая система: отдельно взятый человек, государство, мафиозная структура, банк и т.п.. При этом, безусловно, что полнота реализации блоков и наполненность баз данных для каждой системы свои.
Спроецировать приведенную схему в практические системы защиты государства, фирмы, человека достаточно просто, аналогии напрашиваются сами собой.
Для государства:
| Прогнозирование внешних событий | разведка |
| Прогнозирование внутренних событий | министерство внутренних дел |
| Первый способ защиты (броня) | граница (пограничные войска) |
| Второй способ защиты (изменение места) | исход народа на другую землю |
| Третий способ защиты (уничтожение) | армия |
| Четвертый способ защиты (внесение изменений) | пропаганда, диверсии, террор (МИД, СМИ, спецслужбы и т.п.) |
| Блок принятия решений | правительство |
| Блок занесения информации в БД | аналитические службы |
Для фирмы:
| Прогнозирование внешних событий | информационная служба |
| Прогнозирование внутренних событий | режимная служба |
| Первый способ защиты (броня) | территориальные ограждения, охрана, сейфы, замки и т.п. |
| Второй способ защиты (изменение места) | наличие параллельных центров для управления и хранения информации, капиталов и т.п. |
| Третий способ защиты (уничтожение) | административные меры: увольнение собственных сотрудников; экономические: уничтожение конкурентов (ценовая политика и т.п.) |
| Четвертый способ защиты (внесение изменений) | идеологическая служба: психологическая обработка собственных сотрудников, создание нужного имиджа через СМИ и т.п. |
| Блок принятия решений | руководство фирмы |
| Блок занесения информации в БД | аналитические службы |
|
|
|
В приложении к проектированию программной системы защиты сказанное означает, что данная система должна состоять из следующих блоков.
1) Блок контроля окружающей среды и самой системы защиты. Контроль должен быть направлен не только на текущее состояние системы, типа подсчета контрольных сумм и т.п. Контролироваться должны команды, выполнение которых предполагается в ближайшем будущем, т.е. речь идет о контроле опасных событий будущего (контроль должен осуществляться в режиме эмуляции команд, на которые предполагается передать управление).
2) Блок парольной защиты всей системы и отдельных ее элементов, включая криптографические способы защиты (способ 1), а также контроля целостности.
3) Блок периодического изменения месторасположения элементов защитного механизма в АИС (способ 2). Предполагается, что основные исполняемые файлы, ответственные за реализацию механизма прогнозирования и всех способов защиты, должны самостоятельно мигрировать в вычислительной среде (менять диски, директории, компьютеры) и изменять свои имена.
4) Блок уничтожения «незнакомых» программных объектов, «уборка мусора». Тем самым осуществляется восстановление заданной среды (способ 3 — «убить незнакомца»). Вырожденный вариант этого способа — всем хорошо известные механизмы принудительного восстановления целостности среды.
5) Блок самомодификации исполняемого алгоритма и кода.
Что же касается практических механизмов реализации сказанного, то они, как ни странно, уже есть. Это:
n приемы создания самомодифицирующегося кода, что характерно для компьютерных вирусов последних поколений, которые не содержат неизменных байтовых цепочек, позволяющих идентифицировать исполняемый код. Полное изменение кода становится возможным благодаря наличию в командах процессора взаимозаменяемых команд или их последовательностей;
|
|
|
n госты шифрования и способы их программной реализации, широко освещенные в периодических изданиях;
n всевозможные электронные ключи (Touch Memory), рекламируемые чуть ли не в каждом компьютерном издании, и другие средства идентификации и аутентификации.
И все же главное — средства прогнозирования, алгоритмы выявления опасных функциональных зависимостей во входном материале, заставляющем систему переходить из одного состояния в другое.
Чтобы обосновать неизбежность включения в систему защиты АИС средств прогнозирования, напомним читателю историю развития программных средств контроля за работой ПЭВМ. Толчком к появлению первых программ из рассматриваемой области, безусловно, стал вирусный бум. Как средство защиты от вирусов на рынок программных средств в свое время было поставлено множество программ, перехватывающих соответствующие прерывания и анализирующих входные параметры функций: «открытие файла», «запись». При этом в случае выявления намерения осуществить запись в любой исполняемый модуль на диске (файлы EXE и COM форматов), вычислительный процесс программами-стражниками прерывался, на экран выдавалось сообщение типа: «Попытка записи в файл... Разрешить — да. Запретить — любая клавиша». После этого пользователь лично принимал решение.
Подобные средства защиты, несмотря на излишнюю надоедливость, не умерли, а продолжали совершенствоваться, правда, в основном по линии информирования своего хозяина. Чтобы не «фонить» на экране, все сообщения скидывались в файл. Считалось, что программист на досуге имел возможность их просмотреть.
На этом этапе был получен следующий результат: если средства контроля отвлекают пользователя от основной работы, то такие средства ему не только не нужны, но и порой вредны.
Преодоление указанного недостатка виделось в «интеллектуализации» программного продукта, включения в него механизмов принятия решения с элементами искусственного интеллекта. Одним из вариантов практической реализации подобного подхода являются экспертные и самообучающиеся системы.
|
|
|
В изложенном материале, исследуя подходы к организации защиты информационной системы от явных угроз, основной упор сделан на прогнозирование опасности и приведение в действие одного из первых трех названных выше способов защиты:
1) постановка барьера между собой и источником опасности;
2) уход от опасности за пределы ее достигаемости;
3) уничтожение источника опасности;
4) видоизменение до неузнаваемости.
Что же касается четвертого, то этот способ вызывает аргументированное возражение: можно ли считать видоизменение способом защиты?
Действительно, представим, что некая система А постоянно применяет четвертый способ для защиты от опасности. Тогда возникают резонные вопросы: после k-ого применения этого способа к самой себе, что останется от системы А? Сохранится ли система А? Или теперь следует вести речь совсем о другой системе?
В свете сказанного интересно вспомнить, что у представителей некоторых первобытных племен после достижения ими определенного возраста происходит смена имени. Выглядит подобное переименование вполне логично: человек достиг совершеннолетия, изменились его функции и возможности, по сути своей он стал другим, поэтому ему следует поменять имя.
Обычай изменять имя при перемене среды обитания или функциональных обязанностей сохранился и до наших дней. Смена фамилии происходит у женщины, когда она выходит замуж или меняет мужа. Уход человека от мира в монастырские кельи также требует изменения имени, потому что система стала по иному функционировать.
Даже смена должности в производственной структуре предполагает, что у индивидуума, ее занимающего, будут изменены функции в соответствии с требованием должностных инструкций.
Более того, порой бывает, что новая личина, одетая на информационную систему, и, как следствие, новые ее действия полностью перечеркивают все то, чему данная система служила ранее.
Так можно ли считать видоизменение способом защиты?
Сохраняется ли в этом бесконечном изменении преемственность? И что считать преемственностью, когда система сегодняшняя готова растоптать себя вчерашнюю, а вчерашняя еще вчера клялась сражаться с подобными себе сегодня до конца своей жизни?
Если требования внешней среды сводятся к гибели системы, то реакция системы на эти требования в виде ее полного видоизменения разве не является разновидностью той же самой гибели?
Отсюда, кстати, можно придти к парадоксальному выводу о том, что видоизменение это не способ самозащиты, а способ самоуничтожения.
|
|
|
Может быть, поэтому в нормальном человеческом обществе принято с неуважением относиться к людям, изменившим своим принципам. Ситуация здесь выглядит примерно так: изначальный человек уже мертв, но кто-то другой продолжает пользоваться отставленным им физическим телом. А кто он этот другой и что можно от него ждать?
С другой стороны, самообучающаяся информационная система потому и самообучающаяся, что постоянно живет в тонусе перемен, постоянно изменяется. Постоянные изменения — это частичный отказ от себя вчерашнего, что часто обозначается термином умирание по отношению к себе исходному. Новые знания в силу неизбежного изменения структуры системы, их принимающей, несут смерть этой системе.
В виду спорности вопроса об отношении самомодификации к способам защиты системы, наверное, нецелесообразно рассматривать полную самомодификацию как защиту, по крайней мере, от внешних явных угроз, ибо в этой ситуации четко просматривается, что именно внешние явные угрозы и осуществляют модификацию, т.е. по существу осуществляют замену системы, их не устраивающей, на другую, с которой можно иметь дело.
Но сказанное не означает, что видоизменение не может выступать в качестве способа защиты от скрытых угроз. О том, каким образом подобное возможно, пойдет речь в дальнейшем.
|
|
|
