Жанр: Учеба
Большой справочник по компьютерным вирусам
...сь присвоить несколько миллионов.
Но и здесь удалось проследить путь денег и разоблачить
преступника. Правда, до ареста пришлось сделать несколько (не
вполне легальных) шагов, но в конечном счете справедливость(?)
восторжествовала. Многим эапомнилась фраза преступника, в которой
он выразил удивление, как просто все случилось.
С тех пор в сфере защиты ЭВМ было сделано многое, но тем не
менее компьютерные системы все еще подвержены манипуляциям, причем
несущественно, вызваны ли эти манипуляции вирусами или другими
способами. И хотя кажется очень легко и просто применить для
этой цели вирусы, принципиальная структура системы расчетов остается
непоколебимой. Поэтому того, кто надеется легко набить себе
карман с помощью компьютерных вирусов, ждет жестокое разочарование.
7.8 Шантаж
Особенно неприятный аспект - необычайно простая возможность.
Пользователи, которые зависят от своей компьютерной системы и к
тому же располагают, значительными финансовыми средствами легко
становятся жертвой шантажа, поскольку эти лица благодаря применению
ЭВМ сами подвергли себя риску. Наибольшей опасности подвергаются
банки, страховые общества или большие торговые фирмы. Эти
пользователи опасаются финансового ущерба не столько за счет
потери машинного времени, сколько из-за потери доверия у своих
клиентов.
Стали известны многочисленные случаи вымогательства - требования
выкупа за похищенные носители данных, за отказ от публикации
незаконно добытых сведений из архива данных. Правда, подроб-
- 121 -
ности этих случаев едва ли удается узнать, поскольку пострадавшие
стараются не обращаться в полицию из опасения потерять престиж.
Если преступнику описанным в разделе 3 способом удалось привести
в негодность данные какого-либо предприятия, то это предприятие
так или иначе вынуждено потратить немалые денежные средства на
восстановление этих данных. Даже если эти деньги не попадут к
преступнику, сумма, которую придется выплатить инженерам-системотехеникам
за реконструкцию данных, также оказывается значительной.
Сюда же добавляются потери из-за простоя ЭВМ.
По официальным данным, во всех этих случаях компьютерные
вирусы не использовались. Поскольку крупные пользователи очень
хорошо осознают опасность потери носителей данных, резервные
копии находятся за толстыми стенками бронированных сейфов, часто
под защитой вооруженной охраны. Но от нападения компьютерных
вирусов не может защитить даже вооруженный охранник.
7.9 Промышленный и прочий шпионаж
В предыдущих рассуждениях, собственно говоря, преследовалась
цель показать в доступной форме, что программы-вирусы - это особо
тонкий способ внедрения в чужие программы. А начав говорить о
внедрении, о тайной деятельности, легко выйти на разведслужбы.
Едва ли можно себе преставить, что БНД или ЦРУ упустят такую
фантастически заманчивую возможность внедрения чужих программ во
вражеские ЭВМ. Эти предположения лишь подтверждают заявления из,
как обычно говорят, хорошо информированных источников :"... давно
имеются подробные сведения о различных типах вирусов, о технике
изготовления и заброски в компьютерные системы любого порядка
сложности".
Такое высказывание нельзя истолковать иначе, как подтверждение
использования вирусов. Так как эти давно известные сведения "
до сих пор хранятся в тайне от общественности, можно сделать
вывод об их военном применении. Разумеется (?!), никто из собеседников
автора никто не внушал ему этой мысли. Весьма вероятно,
что вирусы уже используются в военной сфере. Но можно быть уверенным
в том, что любое "компьютеризированное" государство мира
занимается этим в тайне от общественности.
Вполне естественно предположение :"Что годится военным, то
подходит и промышленности". Общеизвестно, что промышленным шпио-
нажем занимаются во всем мире. По сведениям БНД, восточные разведслужбы
круглый год получают информацию почти из первых рук -
за счет использования "компьюмитирующего излучения". Здесь указывают
паразитное излучение терминала: в котором естественно,
содержится информация о программах и данных. Эта информация принимается
и обрабатывается. Если такие же методы используются для
промышленного шпионажа, то почему бы не включить в арсенал промышленных
шпионов и компьютерные вирусы? "Преимущества" по сравнению
с традиционными средствами разведки очевидны. А разве организации,
занимающиеся промышленным шпионажем, не имеют у себя квалифицированных
программистов, способных создавать вирусы?
7.10 Преимущества и недостатки паролей
Для защиты файла или программы от несанкционированного доступа
обычно используются пароли. Если как в старых программах
пароли в кодах ASCII еще можно было найти где-либо в кодах программы,
пользуясь командой DEBUG, в последнее время методы защиты
с помощью паролей стали намного совершенней. Чтобы сегодня найти
пароль в ЭВМ, нужно затратить немало труда, тем более, что пользователь
старается усложнить задачу, используя в качестве пароля
имя жены или ребенка. Но поскольку пароли приходится вводить с
клавиатуры, можно легко догадаться, что резидентная программа
поддержки клавиатуры поможет овладеть паролем. Проблема состоит
лишь в том, чтобы поставить эту программу на ЭВМ. Часто практикуется
внедрение, например, с помощью "троянского коня" (см. 7.1).
Здесь вирусы дают хакеру новые возможности проникновения. Сказанное
относится не столько к отдельным ПЭВМ, сколько к ЭВМ коллективного
пользования, так как здесь существует множество приоритетных
уровней. В то время как в ПЭВМ однажды введенная программа
может контролировать ОЗУ целиком, в больших ЭВМ и вычислительных
сетях существуют программные и/или аппаратные барьеры, разделяющие
отдельных пользователей друг от друга. Так как вирус распространяется
легально, не пытаясь прорвать эти барьеры, риск его
обнаружения невелик.
Если вирус с целью выполнения каких-либо манипуляций проник в
область высшего приоритета, единственная для него проблема - не
быть обнаруженным. Этого достаточно легко достичь в ЭВМ с большим
объемом памяти. В то время, как пользователь уверен, что работает
в защищенной системе, что все его секретные данные в полной сохранности,
вирус прилежно старается записать все вводимые команды
в файл, недоступный пользователям, но в любой момент открытый для
инициатора вирусного нападения.
Полагаясь на надежную защиту системы, пользователь доверят
ей данные и сведения, которые он хранил бы в бронированном сейфе.
Даже если где-то однажды обнаружится, что пароли ЭВМ стали доступными
благодаря применению вируса, едва ли можно установить, с
каких пор вирусы находятся в системе. Соответственно нельзя произвести
оценку утечки информации и причиненного ущерба. Иногда
достаточно лишь подозрения в возможности доступа к данным, чтобы
обесценить весь архив. Например, достаточно подозрения, что потенциальный
противник расшифровал структуру криптографических
программ, чтобы полностью обесценить работу программистов трудоемкостью
несколько сотен человеко-лет.
Отсюда можно сделать вывод, что защита с паролями не обеспечивает
эффективной изоляции данных. Вполне возможно, что более
надежный способ защиты - разрешение доступа после проверки неизменных
признаков пользователя, например отпечатков пальцев. Можно
представить себе систему, для входа в которую требуется снятие
отпечатка на пульте обслуживания. В качестве признака могут также
служить определенные, практически невоспроизводимые характеристики
пользователя, например ритм ввода с клавиатуры. Но все эти
проверки должны выполняться отдельными защитными устройствами на
аппаратном уровне. Только таким путем можно было бы защититься от
манипуляций с помощью программ-вирусов.
7.11 Вирусы для защиты от копирования
В заключение данной главы, после рассмотрения всех нелегальных
возможностей внедрения вирусов, опишем один легальный и,
может быть даже, полезный вариант.
Почти каждый разработчик программ задумывался, как эффективно
и незаметно защитить свои программы от пиратского копирования.
Вполне естественно подумать об использовании вирусов в качестве
средства защиты от копирования. Программист, несомненно, испытал
бы удовлетворение, если внедренный в его программу вирус начал бы
действовать сразу же после запуска полученной незаконно копии.
Но как ни привлекательна такая возможность, она запрещена
законом. Защита от копирования позволяет в лучшем случае уничтожить
копию собственной программы, но непозволительно оказывать
какого-либо влияния на чужие файлы. Следователь, пользователь
может не опасаться, что в приобретенном им у изготовителя пакете
программ скрывается вирус, который только и ждет подходящего
момента, чтобы начать действовать при изготовлении резервной
копии (некоторые говорят о пиратской копии).
И все же существует возможность легального применения вирусов.
Многие разработчики программ и участники ярмарок опасаются,
что в подходящий момент может быть скопирована важная программная
новинка. Хотя с помощью вирусов нельзя предотвратить копирования,
но, несомненно, можно отбить у вора вкус к таким проделкам, если
предварительно заразить программу вирусом, который, например,
обращается по определенному адресу ПЗУ или к системной дате. Если
программное окружение не согласуется с предусмотренным для разработанной
программы, вирус становится активным и поражает программные
архивы вора. Кроме того, вирус может перенести определенную
метку в инфицированную программу, по которой можно без труда
идентифицировать злоумышленника, если одна из зараженных программ
где-то обнаружится. Но, оценивая эти возможности, не следует
упускать из виду, что подобная вирусная защита лежит на грани
правонарушения и что существуют другие эффективные методы защиты
от копирования и кражи программ, не связанные с кодами пораженных
вирусом программ.
8. Возможности защиты пользователя
Теперь, получив первое представление об опасности вирусов,
рассмотрим в данной главе стратегии защиты, которые могут использоваться
любым пользователем, не обязательно обладающим специальными
знаниями по аппаратным и программным средствам. Следовательно,
нужно обсудить, как с помощью целенаправленного преобразования
ЭВМ по возможности предотвратить распространение вирусов,
либо свести к минимуму причиняемый ими ущерб.
Для реализации этих мер не требуется особая техническая
подготовка. Описанные средства защиты касаются программного обеспечения,
архивов данных, операционных систем, обслуживающего
персонала и (для снижения ущерба) - страхования.
8.1 Программное обеспечение
Каждый пользователь при приобретении ЭВМ стремится за приемлемую
цену получить программное обеспечение с наилучшими характеристиками.
При этом недостаточное внимание уделяют проблемам
техники безопасности.
С точки зрения "риска вирусного заражения" существует, собственно
говоря, единственная альтернатива максимальной безопасности
- разрабатывать программное обеспечение самому!
Хотя этот способ защиты и эффективен, его вряд ли можно
применять на практике, а потому каждый пользователь должен попытаться
по возможности надежно защитить свои программы соответствующим
способом. Существует несколько альтернатив приобретения
программного продукта на свободном рынке, которые можно разбить
на следующие группы:
1. Собственные разработки
Они обеспечивают оптимальную защиту, но требуют хорошей
подготовки в области программирования, так как в противном случае
преимущества в отношении безопасности программ могут быть сведены
на нет ошибками в них. При самостоятельной разработке следует
вводить механизмы защиты различного рода, как описано в разделе
15 и далее. Наличие и принцип действия этих механизмов защиты
должны охраняться как важнейшие производственные секреты.
2. Разработки силами собственных служащих
Сравнительно немногие пользователи или предприятия могут
себе позволить разработку программного обеспечения собственными
силами. Хорошие программисты, как правило дорого стоят, либо вообще
стараются не связывать себя постоянными трудовыми соглашениями.
Для плохих программистов, разумеется справедливо высказанное
в п 1. Дополнительная сложность - необходимость тщательного контроля
программного продукта или безусловное доверие к
исполнителю.
3. Свободные программисты
В области индивидуальных решений значительную роль играют
свободные программисты, которых можно найти почти в любом городе.
Такие поставщики программного обеспечения, действующие чаще всего
как единоличники, предлагают свои услуги на довольно приемлемых
условиях. Правда пользователю приходится считаться с тем, что он
не становится владельцем исходного кода программы, даже если он
готов за это хорошо заплатить. Надежной гарантией для пользователя
может оказаться хранение исходного текста программы, у доверенного
лица, лучше всего у нотариуса. Таким образом пользователь
и программист будут застрахованы на случай манипуляции, так как
при любом правовом споре можно обратиться к депонированным программам
для верификации или выявления фальсификации. Кроме того, в
случае конкурса или смерти поставщика ПО пользователь меньше
рискует попасть в неприятное положение, когда приходится заново
разрабатывать все программное обеспечение целиком.
5. Поставщики программного обеспечения
Из-за высокого уровня зарплаты программистов продукция таких
фирм обычно сама дорогая. Эти фирмы, начиная с некоторого уровня,
уверены в своем твердом положении на рынке и поэтому менее расположены
к уступкам, чем свободные программисты. Тем не менее пользователь
должен настаивать на совместной поставке исходного текста
программ или на депонировании его у нотариуса.
6. Стандартное программное обеспечение
При поверхностном рассмотрении приобретения стандартного
программное обеспечение вначале кажется наиболее выгодным. Однако,
покупка комплексных программ малоперспективна для пользователя.
Это напоминает покупку автомобиля, когда базовая модель привлекает
низкой ценой, но даже за прикуриватель нужно доплачивать.
Точно также стоимость комплексного пакета быстро выходит за первоначально
предусмотренный диапазон. При приобретении стандартного
программное обеспечения возникают еще две проблемы. Во-первых,
пользователь не может требовать детальной адаптации таких программ
по индивидуальному запросу, во-вторых, ни при каких условиях,
даже в случае правового спора, он не может стать владельцем исходного
кода. Дополнительное неудобство для пользователя состоит в
том, что большая часть стандартных пакетов программ была разработана
за границей и лишь переводится в немецко-язычную форму. Это
служит причиной дополнительных, типично переводческих ошибок.
На что еще нужно обращать внимание при приобретении программного
обеспечения?
Обязательно предусмотреть возможность введения защиты от
записи на всех приобретаемых носителях данных. Программы, работающие
с защитой от копирования, для которых требуется записывать
исходный код, следует решительно отвергать, так как носитель
оригинальных данных не защищен от манипуляций. Кроме того, сразу
же после приобретения программного обеспечения, лучше всего в
присутствии свидетелей, нужно изготовить копию программы и депонировать
ее у нотариуса. Благодаря этому, при разрушении программы
можно выйти на источник манипуляции.
Далее, необходимо ввести дополнительные программы защиты,
которые затрудняют несанкционированый доступ в ЭВМ.
Здесь может оказаться полезным ведение файла ориентации,
который протоколирует все события в системе, правда, уже только
после нанесения ущерба. Но это справедливо лишь в том случае,
если файл регистрации непрерывно записывается на устройство WORM
(нестираемый носитель данных), поскольку стертый или измененный
файл регистрации бесполезен.
Еще одна возможность - применение контрольных программ,
которые обнаруживаю изменение однажды зафиксированного состояния
программного обеспечения. Достоинство этой системы в том, что она
обеспечивает соответствие системы промышленному стандарту и не
накладывает на пользователя никаких ограничений.
В заключение следует отметить, что программам любого изготовителя
следует доверять лишь в той мере, в какой вообще можно
доверять программисту.
8.2 Массивы данных
Описанные здесь меры служат скорее средством защиты не от
вирусов, а от манипуляций, выполняемых программами-вирусами.
Иногда можно записать программу-вирус в массив данных, а затем
вызвать в нужный момент. В этой связи еще раз отошлем читателя к
термину "ЭВМ фон-Немана (см.15.8)". В соответствии с принципом
работы такой ЭВМ записанную на носителе информацию можно интерпретировать
как данные, и как программы, что подтверждает возможность
указанной выше опасности. В самом деле, идет ли речь о
внедренном в данные вирусе или только" о нежелательных изменениях
данных, результат вряд ли доставит радость пользователю.
Меры защиты аналогичны используемым для защиты программного
обеспечения.
1. Установка защитных программ
Использование одной или нескольких программ, которые или
затрудняют обращение к данным с целью их изменения, или предупреждают
о таком обращении. Некоторые решения описаны в гл. 15.
2. Контроль
Через произвольные промежутки времени производится проверка
массивов данных. Эту операцию можно реализовать различными способами,
которые, в частности, зависят от структуры данных. Известны
следующие возможности:
а) Применение программ проверки (см. гл.15).
б) При небольшом объеме данных - визуальный контроль с помо-
щью команд "TYPE" или "DEBUG".
в) Использование стандартных функций сравнения.
3. Наглядные структуры данных
При описании структуры данных в программном обеспечении
следует предусматривать возможность простой проверки этих структур.
Во многих случаях это может привести к увеличению потребности
в памяти. Но для большинства систем объем памяти, благодаря
низкой стоимости носителей, не является проблемой. Так, например,
массивы данных в коде АSCII легко контролировать выборочно визуально,
пользуясь не требующим большого объема памяти форматом с
плавающей запятой: при этом поля фиксированной длины проверяются
визуально быстрее, чем поля переменной длины и т.д.
4. Малонаглядные структуры данных
Это полная противоположность структурам, описанным в п. 3.
Правда, использование таких структур затрудняет визуальный контроль.
Но если документация по структуре данных хранится в надежном
месте, то любителям манипулировать чужими данными сложно
расшифровывать структуру и внести изменения, которые нельзя было
бы быстро обнаружить.
5. Криптография
Кодирование данных, конечно, еще больше затрудняет расшифровку
структуры (см. п.4). Но одновременно исключается и возможность
визуального контроля, так как пользователь больше не сможет
работать непосредственно с данными, даже если алгоритм кодирования
ему известен.
В качестве последней возможности упомянем прием, который
скорее относится к п.4 и достаточно эффективен, если речь идет о
снижении ущерба и распозновании вируса. В дополнении к обычным
пользовательским программам закладываются множество файлов с
именами пользовательских программ. Критерии выбора имени в разных
системах различны. Например, в операционной системе VS-DOS расширение
СОМ или ЕХЕ является идентификатором исполняемой
программы. Такие "пустые" файлы, разумеется, нельзя вызвать. Но
содержимое фалов должно регулярно проверяться. Естественно, вирусы
могут внедриться и в пустые файлы. Но здесь можно быстрее обнаружить
инфекцию и принять контрмеры, не доведя дела до больших
убытков. Пустые файлы практически играют роль буфера.
Следующая рекомендация принадлежит А.Г. Бухмайеру, который
пришел к аналогичной идее - с помощью команды RENAME "внушить"
вирусам, что программы-жертвы отсутствуют. Программа-вирус, как и
операционная система, должна ориентироваться на идентификатор
файлов, чтобы различать программы и данные (в MS_DOS такими идентификаторами
являются расширения имени файла .СОМ или .ЕХЕ). Если
файл .СОМ переименовать в .DUM, для вируса он в качестве программы
перестает существовать. Для запуска переименованной таким
образом программы пользователь вначале должен вновь переименовать
ее в .СОМ. Разумеется, этот метод работает лишь до тех пор, пока
не раскрыт секрет используемого решения.
Успешно использовавшиеся для такого применения BATCH файлы
представлены и описаны в гл. 14.
Выбор возможной защиты или сочетания таких средств защиты
для собственной ЭВМ остается за пользователем. Разумеется, нужно
помнить : гарантировать абсолютную безопасность невозможно.
8.3 Операционная система
При выборе операционной системы пользователь, к сожалению,
"привязан к системам, совместимым как с аппаратными средствами,
так и с используемым программным обеспечением. Относительно свободным
чувствует себя пользователь ПЭВМ, располагающий только
дисководами. В этом случае он может защитить дискеты от вирусов
путем заклейки просечки защиты от записи.
Тот, кто не считается с любыми затратами на ПЭВМ, несомненно,
выберет конфигурацию, которая, по-видимому, представляет
непреодолимое препятствие на пути вирусов. Здесь предлагается
использовать метод дубликатных файлов, достаточно часто используемый
в мини-ЭВМ. При этом имеется удвоенное число файлов, а все
операции записи повторяются дважды. Различия между двумя массивами
данных указывает на ошибку или на заражение вирусами. Но,
разумеется, нельзя исключать, что вирусы поразят и дубликатный
файл. что будет препятствовать выявлению различий.
Правда, самая безопасная из описанных конфигураций требует
определенного знакомства с аппаратными средствами. Система оснащена
двумя жесткими дисками, один из которых может быть защищен
от записи путем установки специального ключа. Этот ключ защиты о
записи должен блокировать на дисководе саму команду "HeadLoad"("установить
головку"), а не только сигнал контроллеру WP
("Write Protect"-защита от записи"). Без прямой блокировки линии
"Head-Load" запись на такой носитель все же возможна. На этот
диск переписывают безупречно отлаженные программы. Затем путем
установки ключа защиты от записи (разумеется, кодового) среда
вновь блокируется для дальнейших попыток записи. Данные находятся
на втором, не защищенном от записи жестком диске. На этот диск
можно записывать для отладки и тестирования чужие программы.
Распространение вирусов при наличии защиты от записи программного
диска теперь невозможно.
Аналогичная проблема для пользователей больших вычислительных
систем решается проще. Здесь жесткие диски большой емкости
обычно снабжены изготовителем легкодоступным ключом защиты от
записи. К сожалению, с недавнего времени изготовители отказываются
от такого дополнения, которое может быть исключительно полезным
при тестировании программного обеспечения.
Другие способы защиты на системном уровне, хотя и затрудняют
распространение вирусов, но не в состоянии его полностью предотвратить.
Специалисты не исключают даже возможности распространения
вирусов через различные пакеты защиты от вирусов, например,
такие как RACF или TOPSECRET. Правда, для этого требуются специальные
знания системотехники, но с такими знаниями можно преодолеть
любой способ защиты программного обеспечения.
8.4 Оператор
В качестве потенциальных виновников вирусного заражения
можно, разумеется, рассматривать всех лиц, имеющих доступ к ЭВМ.
Сюда логично отнести всех, работающих на ЭВМ и, следовательно,
достаточно хорошо с ней знакомых.
Работодатель здесь стоит перед дилеммой : при поверхностной
проверке служащих возрастает риск манипуляции над ПО и данными, а
слишком дотошная проверка быстро вызывает недовольство, иногда
даже протест. Так как сфера контроля и проверки подробно рассмотрена
в разделе 16.2, ограничимся здесь лишь общими положениями.
Операторам больших ЭВМ известно, что даже с помощью самых хитроумных
блокировок нельзя предотвратить манипуляции. И самым слабым
звеном в цепочке безопасности, как всегда, является человек. В
данном случае системный программист, которому ЭВМ отдается в полное
распоряжение.
Фактором риска меньше всего является обычные программисты
или операторы, так как эти лица не имеют права доступа для вмешательства
в работу операционной системы. Создание программного
модуля незарегистрированным пользователем скорее всего будет
обнаружено. Но совершенно по-иному обстоит дело с системными
программистами. На них держится система в целом. Нельзя ограничит
привилегии доступа системного программиста, так как в противном
случае он не сможет выполнять свои задачи. Это противоречие стало
понятным владельцам ВЦ. Поэтому стараются поддерживать "хорошее
настроение" этих лиц, например, с помощью мотивационных бесед.
Установлено, что довольные служащие не только более работоспособны,
но и более надежны.
8.5 Страхование на случай неправомерного использования ЭВМ
Одним из процветающих разделов страхования является так
называемое страховани
...Закладка в соц.сетях
