Активное воздействие всегда связано с выполнением пользователем каких-либо действий, выходящих за рамки его обязанностей и нарушающих существующую политику безопасности. Это может быть доступ к определенным наборам данных, программам, вскрытие пароля и т.д. Активное воздействие ведет к изменению состояния системы и может осуществляться либо с использованием доступа (например, к наборам данных), либо как с использованием доступа, так и с использованием скрытых каналов.
Пассивное воздействие осуществляется путем наблюдения пользователем каких-либо побочных эффектов (от работы программы, например) и их анализе. На основе такого рода анализа можно иногда получить довольно интересную информацию. Примером пассивного воздействия может служить прослушивание линии связи между двумя узлами сети. Пассивное воздействие всегда связано только с нарушением конфиденциальности информации в АСОИБ, так как при нем никаких действий с объектами и субъектами не производится. Пассивное воздействие не ведет к изменению состояния системы.
4. По причине появления используемой ошибки защиты.
Реализация любой угрозы возможна только в том случае, если в данной конкретной системе есть какая-либо ошибка или брешь защиты.
Такая ошибка может быть обусловлена одной из следующих причин:
а. Неадекватностью политики безопасности реальной АСОИБ. Это означает, что разработанная для данной АСОИБ политика безопасности настолько не отражает реальные аспекты обработки информации, что становится возможным использование этого несоответствия для выполнения несанкционированных действий. Все системы в той или иной степени имеют несоответствия подобного рода (модель никогда не может точно соответствовать реальной системе), но в одних случаях это не может привести к нарушениям, а в других — может. С другой стороны такие действия нельзя назвать несанкционированными, поскольку защита от них не предусмотрена политикой безопасности и система защиты в принципе не способна их предотвратить. Если такое несоответствие является опасным, то необходимо разработать новую политику безопасности, в которой оно будет не столь явным и сменить средства защиты для реализации новой политики безопасности.
б. Ошибками административного управления, под которыми понимается некорректная реализация или поддержка принятой политики безопасности в данной АСОИБ. Например, согласно политике безопасности, в АСОИБ должен быть запрещен доступ пользователей к определенному набору данных, а на самом деле (по невнимательности администратора безопасности) этот набор данных доступен всем пользователям. Обычно на исправление такой ошибки требуется очень мало времени, как и на ее обнаружение, но ущерб от нее может быть огромен.
в. Ошибками в алгоритмах программ, в связях между ними и т.д., которые возникают на этапе проектирования программы или комплекса программ и благодаря которым их можно использовать совсем не так, как описано в документации. Примером такой ошибки может служить ошибка в программе аутентификации пользователя системой VAX/VMS версии 4.4, когда при помощи определенных действий пользователь имел возможность войти в систему без пароля. В последующих версиях ОС VAX/VMS эта ошибка была исправлена. Такие ошибки могут быть очень опасны, но их трудно найти; чтобы их устранить надо менять программу или комплекс программ.
г. Ошибками реализации алгоритмов программ (ошибки кодирования), связей между ними и т.д., которые возникают на этапе реализации или отладки и которые также могут служить источником недокументированных свойств. Подобные ошибки обнаружить труднее всего.
5. По способу воздействия на объект атаки (при активном воздействии):
- непосредственное воздействие на объект атаки (в том числе с использованием привилегий), например, непосредственный доступ к набору данных, программе, службе, каналу связи и т.д., воспользовавшись какой-либо ошибкой. Такие действия обычно легко предотвратить с помощью средств контроля доступа.
- воздействие на систему разрешений (в том числе захват привилегий). При этом способе несанкционированные действия выполняются относительно прав пользователей на объект атаки, а сам доступ к объекту осуществляется потом законным образом. Примером может служить захват привилегий, что позволяет затем беспрепятственно получить доступ к любому набору данных ил и программе.
- опосредованное воздействие (через других пользователей):
- «маскарад». В этом случае пользователь присваивает себе каким-либо образом полномочия другого пользователя выдавая себя за него;
- «использование вслепую». При таком способе воздействия один пользователь заставляет другого выполнить необходимые действия (которые для системы защиты не выглядят несанкционированными, ведь их выполняет пользователь, имеющий на это право), причем последний о них может и не подозревать. Для реализации этой угрозы может использоваться вирус (вирус выполняет необходимые действия и сообщает тому, кто его внедрил о результате).
Больше по теме:
Антикризисные меры, осуществленные Банком России и Правительством РФ
7 сентября представители МОСТ-банка, Промстройбанка РФ, Мосбизнесбанка, Инкомбанка, МЕНАТЕПа и СБС-АГРО подписали двусторонние соглашения со Сбербанком России о порядке передачи ему обязательств по вкладам населения. Вкладчики (физические ...
Проблемы Банковских холдингов
Банковский холдинг (БХ) состоит из главного банка и дочерних компаний. В главном банке содержится контрольный пакет акций этих компаний. Через контрольный пакет акций главный банк контролирует деятельность своих отделений. Каждое отдел ...
Виды ссудных операций
Коммерческий банк, привлекая свободные денежные средства, высвобожденные в хозяйственном процессе, и предоставляет их во временное пользование контрагентам. При этом, коммерческий банк выступает в качестве финансового посредника, выполняя ...