ГОСТ Р 53113.2—2009
ценного
доступа 2 злоумышленнику 1 либо по команде злоумышленника 1 оказать воздействие на
критически важную функцию 2. Скрытность канала взаимодействия между злоумышленником 1 и аген
том 3 заключается в том. что субъект 3, инспектор 4 и субъект 5 не обнаруживают факт передачи
информации или команды.
СК позволяют злоумышленнику регулярно интерактивно осуществлять взаимодействие со своим
агентом, внедренным в АС.
5.4 В АС взаимодействие между агентом 3 исубъектом 5 может быть как сетевым, так и происхо
дить внутри однойАС (см. 5.6).
5.5 Классификация СК поразличным признакам приведена в ГОСТ Р53113.1.
5.6 Примеры СК. поясняющие механизм их функционирования, представлены ниже.
Пример 1 — Нарушитель безопасности (злоумышленник), сот рудничающ ий с конкурирующ ей
организацией, в процессе внедрения (ввода в эксплуат ацию) уст ановил в АБС программного агента.
Взаимодействуя с АБС в качестве клиента этого банка, злоумыш ленник передает программному аген
ту команды, закодированные в последовательностях его действий, каждое из кот орых не вызывает
подозрений (проверка сост ояния счета, управление счетом, временные интервалы между операциями
и др.). В ответ на команды, полученные по СК. агент по тем же СК возвращает злоумыш леннику интере
сующ ие конкурента сведения об атакуемом банке (инф ормацию о счетах других клиентов, объемах
активов банков, лю бую другую инсайдерскую информацию, к которой агент имеет дост уп) либо вно
сит изменения в базу данных о счетах клиентов или лю бую другую информацию, к которой он имеет
доступ. Выявление сущ ествования такого агента может произойт и т олько по косвенным признакам,
которые могут возникнут ь в результате появления измененийв базахданных. Скрытая утечка инф ор
мации из базы данных, происходящ ая по такому СК. будет оставаться незамеченной. В этом случае в
соответст вии со схемой на рисунке 1: 3’ — программный агент, 3 — АБС. 2 — база данных. 4 — служба
безопасности банка, 1 — злоумышленник, дейст вующ ий в интересах конкурента, 5 — клиент банка.
Пример 2 — Злоумышленник, имеющий целью получение служебной информации с компьютера
сотрудника, может действовать по следующ ему сценарию. Пусть ПК. защ ищ енный межсетевым экра
ном. заражен т роянской программой. Троянская программа получает от злоумышленника команды
и отправляет в ответ на них информацию о зараженном ПК и хранящ уюся на нем информацию
ограничен ного доступа, маскируя обмен как протокол HTTP, разрешенный межсетевым экраном. В
этом случае в соответст вии со схемой на рисунке 1:3 — троянская программа. 3 — программа,
имеющая санкциони рованный доступ в Интернет, 2 — документ ограниченного распространения. 4
— межсетевой экран. 5 — узел сети Интернет, 1 — промежут очный узел сети, конт ролируемый
злоумышленником.
Пример 3 — При использовании VPN также возможно построение СК взаимодействия агента со
злоумышленником. Пусть пользоват ель использует свое рабочее место в качестве терминала удален
ного доступа к серверу АС, т.е. информация о каждом нажатии клавиши от правляется т ерминалом на
сервер. Злоумыш ленник уст ановил на рабочее место пользователя атакуемой АС клавиатуру, содер
жащую агента. Агент перехватывает нажатия клавиш, а затем передает их по СК по времени, задержи
вая срабатывание некоторых клавиш по схеме, известной злоумышленнику. Злоумышленник,
наблюдая пот ок пакетов между терминалом и сервером, выделяет из него информацию, передаваемую
агентом по СК. Выделение скрыт ой информации возможно даже в случае использования крипт ограф и
чески защищенного канала между терминалом и сервером, так как для работы СК важно не содержимое
пакетов, кот орыми терминал и сервер обменивают ся друг с другом, а длит ельность временных
интервалов между соседними пакетами.
В данном случае в соот вет ст вии со схемой на рисунке 1:3’ — аппаратный агент, 3 — клавиатура,
2 — информация, вводимая с клавиатуры (например, пароль). 4 — лю бы е средства обеспечения безо
пасности АС. не обнаруживающ ие закономерностей в потоках сет евых пакетов: 5 —
терминальный сервер, 1 — злоумышленник.
Пример 4 — Генерация искусст венных сбоев и ограничений на дост упност ь может проводит ься
по СК. Например, агент, внедренный в один из ключевы х компонентов АС. ожидает получения от злоу
мышленника некоторого условного сигнала. Получив этот сигнал, агент нарушает работу компонен
та АС. в кот орой он расположен. В результате происходит временная потеря работ оспособност и АС
или ослабление ее защиты (если агент внедрен в средст во обеспечения ИБ). Например, условны м сигна
лом для активизации агента в общ едоступном сетевом ресурсе может являт ься попытка
аутенти фикации с некоторым ф иксированным именем пользоват еля и паролем. Система
разграничения доступа к сетевому ресурсу 4 не обнаружит данную атаку, поскольку попытка
аутентификации явля ется разрешенным действием. В данном случае в соот вет ст вии со схемой на
рисунке 1:2 — критически важная функция, выполняемая компонентом АС (3). в который встроен
агент 3’; 1 — злоумышленник.
3