Зерттеудің басқа бөліктеріне сілтемелер
- (Сіз осындасыз ба)
Бұл мақала банктік қолма-қол ақшасыз төлемдердің ақпараттық қауіпсіздігін қамтамасыз етуге арналған жарияланымдар сериясын аяқтайды. Мұнда біз аталған қауіптердің типтік үлгілерін қарастырамыз :
- .
- .
- .
- .
ЕСКЕРТУ!!! Құрметті хабровиттер, бұл қызықты пост емес.
Кесу астында жасырылған материалдардың 40+ беттері арналған жұмысқа немесе оқуға көмектесу банктік немесе ақпараттық қауіпсіздік саласында маманданған адамдар. Бұл материалдар зерттеудің соңғы өнімі болып табылады және құрғақ, ресми реңкте жазылған. Негізінде бұл ішкі ақпараттық қауіпсіздік құжаттарына арналған бланкілер.Ал, дәстүрлі - «баптағы ақпаратты заңсыз мақсатта пайдалану заң бойынша жауапкершілікке тартылады». Өнімді оқу!
Зерттеумен танысқан оқырмандарға арналған ақпарат осы жарияланымнан басталады.
Зерттеу не туралы?
Сіз банктегі төлемдердің ақпараттық қауіпсіздігін қамтамасыз етуге жауапты маманға арналған нұсқаулықты оқып жатырсыз.
Презентация логикасы
Басында и қорғалатын объектінің сипаттамасы берілген. Содан кейін қауіпсіздік жүйесін құру жолын сипаттайды және қауіп үлгісін жасау қажеттілігі туралы айтады. IN қандай қауіп үлгілері бар және олардың қалай құрылғаны туралы әңгімелейді. IN и Нақты шабуылдардың талдауы берілген. и барлық алдыңғы бөліктердегі ақпаратты ескере отырып құрастырылған қауіп үлгісінің сипаттамасын қамтиды.
ҚАУІПТІҢ ТІПТІ МОДЕЛІ. ЖЕЛІГЕ ҚОСЫЛУ
Қауіп үлгісі (ауқымы) қолданылатын қорғау нысаны
Қорғау объектісі TCP/IP стек негізінде құрылған деректер желілерінде жұмыс істейтін желілік қосылым арқылы берілетін деректер болып табылады.
сәулет
Сәулет элементтеріне сипаттама:
- «Соңғы түйіндер» — қорғалған ақпаратпен алмасу түйіндері.
- «Аралық түйіндер» — деректерді беру желісінің элементтері: маршрутизаторлар, коммутаторлар, кіру серверлері, прокси-серверлер және басқа жабдық — олар арқылы желілік қосылым трафигі беріледі. Жалпы, желілік қосылым аралық түйіндерсіз жұмыс істей алады (тікелей соңғы түйіндер арасында).
Жоғары деңгейдегі қауіпсіздік қатерлері
Ыдырау
U1. Берілген деректерге рұқсатсыз кіру.
U2. Берілген деректерді рұқсатсыз өзгерту.
U3. Берілген деректердің авторлық құқығын бұзу.
U1. Берілген деректерге рұқсатсыз кіру
Ыдырау
U1.1. <…>, соңғы немесе аралық түйіндерде орындалады:
U1.1.1. <…> деректерді негізгі сақтау құрылғыларында болған кезде оқу арқылы:
U1.1.1.1. ЖЖҚ-да <…>.
U1.1.1.1 үшін түсіндірмелер.
Мысалы, хосттың желі стекімен деректерді өңдеу кезінде.
U1.1.1.2. <…> тұрақты жадта.
U1.1.1.2 үшін түсіндірмелер.
Мысалы, берілген деректерді кэште сақтау кезінде уақытша файлдар немесе файлдарды ауыстыру.
U1.2. <…>, деректер желісінің үшінші тарап түйіндерінде орындалады:
U1.2.1. <…> хосттың желілік интерфейсіне келген барлық пакеттерді түсіру әдісімен:
U1.2.1 үшін түсіндірмелер.
Барлық пакеттерді түсіру желілік картаны промискую режиміне ауыстыру арқылы жүзеге асырылады (сымды адаптерлер үшін промискуздық режим немесе Wi-Fi адаптерлері үшін монитор режимі).
U1.2.2. <…> адам-in-the-middle (MiTM) шабуылдарын жүзеге асыру арқылы, бірақ жіберілетін деректерді өзгертусіз (желілік протокол қызметінің деректерін есепке алмағанда).
U1.2.2.1. Сілтеме: .
U1.3. <…>, физикалық түйіндерден немесе байланыс желілерінен техникалық арналар (TKUI) арқылы ақпараттың ағып кетуіне байланысты жүзеге асырылады.
U1.4. <…>, ақпаратты жасырын жинауға арналған соңғы немесе аралық түйіндерге арнайы техникалық құралдарды (СТС) орнату арқылы жүзеге асырылады.
U2. Берілген деректерді рұқсатсыз өзгерту
Ыдырау
U2.1. <…>, соңғы немесе аралық түйіндерде орындалады:
U2.1.1. <…> түйіндердің сақтау құрылғыларында болған кезде деректерді оқу және өзгертулер енгізу арқылы:
U2.1.1.1. <…> оперативті жадта:
U2.1.1.2. <…> тұрақты жадта:
U2.2. <…>, деректерді беру желісінің үшінші тарап түйіндерінде орындалады:
U2.2.1. <…> ортадағы адам (MiTM) шабуылдарын орындау және трафикті шабуылдаушылардың түйініне қайта бағыттау арқылы:
U2.2.1.1. Шабуыл жасаушылардың жабдығының физикалық қосылымы желі қосылымының үзілуіне әкеледі.
U2.2.1.2. Желілік протоколдарға шабуыл жасау:
U2.2.1.2.1. <…> виртуалды жергілікті желілерді басқару (VLAN):
U2.2.1.2.1.1. .
U2.2.1.2.1.2. Коммутаторлардағы немесе маршрутизаторлардағы VLAN параметрлерін рұқсатсыз өзгерту.
U2.2.1.2.2. <…> трафикті маршруттау:
U2.2.1.2.2.1. Маршрутизаторлардың статикалық маршруттау кестелерін рұқсатсыз өзгерту.
U2.2.1.2.2.2. Динамикалық маршруттау хаттамалары арқылы шабуылдаушылардың жалған маршруттар туралы хабарландыруы.
U2.2.1.2.3. <…> автоматты конфигурация:
U2.2.1.2.3.1. .
U2.2.1.2.3.2. .
U2.2.1.2.4. <…> адрестеу және атауды шешу:
U2.2.1.2.4.1. .
U2.2.1.2.4.2. .
U2.2.1.2.4.3. Жергілікті хост атауы файлдарына рұқсатсыз өзгертулер енгізу (хосттар, lmhosts, т.б.)
U3. Берілген деректердің авторлық құқықтарын бұзу
Ыдырау
U3.1. Автор немесе деректер көзі туралы жалған мәліметтерді көрсету арқылы ақпараттың авторлығын анықтау тетіктерін бейтараптандыру:
U3.1.1. Жіберілген ақпараттағы автор туралы мәліметтерді өзгерту.
U3.1.1.1. Берілетін деректердің тұтастығы мен авторлығын криптографиялық қорғауды бейтараптандыру:
U3.1.1.1.1. Сілтеме: .
U3.1.1.2. Бір реттік растау кодтарын қолдану арқылы жүзеге асырылатын берілген деректердің авторлық құқықтарын қорғауды бейтараптандыру:
U3.1.1.2.1. .
U3.1.2. Берілетін ақпарат көзі туралы ақпаратты өзгерту:
U3.1.2.1. .
U3.1.2.2. .
ҚАУІПТІҢ ТІПТІ МОДЕЛІ. КЛИЕНТ-СЕРВЕР АРХИТЕКТУРА НЕГІЗІНДЕ ҚҰРЫЛҒАН АҚПАРАТТЫҚ ЖҮЙЕ
Қауіп үлгісі (ауқымы) қолданылатын қорғау нысаны
Қорғау объектісі – клиент-сервер архитектурасы негізінде құрылған ақпараттық жүйе.
сәулет
Сәулет элементтеріне сипаттама:
- «Клиент» – ақпараттық жүйенің клиенттік бөлігі жұмыс істейтін құрылғы.
- «Сервер» – ақпараттық жүйенің серверлік бөлігі жұмыс істейтін құрылғы.
- «Деректер қоймасы» — ақпараттық жүйемен өңделетін деректерді сақтауға арналған ақпараттық жүйенің серверлік инфрақұрылымының бөлігі.
- «Желіге қосылу» — деректер желісі арқылы өтетін Клиент пен Сервер арасындағы ақпарат алмасу арнасы. Элемент моделінің толығырақ сипаттамасы бөлімде берілген .
Шектеулер
Объектіні модельдеу кезінде келесі шектеулер қойылады:
- Пайдаланушы ақпараттық жүйемен жұмыс сеанстары деп аталатын шектеулі уақыт аралығында әрекеттеседі.
- Әрбір жұмыс сессиясының басында пайдаланушы сәйкестендіріліп, аутентификацияланады және авторизацияланады.
- Барлық қорғалған ақпарат ақпараттық жүйенің серверлік бөлігінде сақталады.
Жоғары деңгейдегі қауіпсіздік қатерлері
Ыдырау
U1. Заңды пайдаланушы атынан шабуылдаушылардың рұқсат етілмеген әрекеттерін орындау.
U2. Қорғалған ақпаратты ақпараттық жүйенің серверлік бөлігімен өңдеу кезінде оны рұқсатсыз өзгерту.
U1. Заңды пайдаланушы атынан шабуылдаушылардың рұқсат етілмеген әрекеттерін орындау
Түсіндірмелер
Әдетте ақпараттық жүйелерде әрекеттер оларды орындаған пайдаланушымен байланысты:
- жүйе жұмысының журналдары (журналдары).
- оларды жасаған немесе өзгерткен пайдаланушы туралы ақпаратты қамтитын деректер объектілерінің арнайы атрибуттары.
Жұмыс сеансына қатысты бұл қауіп келесіге бөлінуі мүмкін:
- <…> пайдаланушы сеансында орындалады.
- <…> пайдаланушы сеансынан тыс орындалады.
Пайдаланушы сеансын бастауға болады:
- Пайдаланушының өзі.
- Зиянды факторлар.
Осы кезеңде бұл қауіптің аралық ыдырауы келесідей болады:
U1.1. Пайдаланушы сеансында рұқсат етілмеген әрекеттер орындалды:
U1.1.1. <…> шабуыл жасалған пайдаланушы орнатқан.
U1.1.2. <…> шабуылдаушылар орнатқан.
U1.2. Рұқсат етілмеген әрекеттер пайдаланушы сеансынан тыс орындалды.
Шабуылшылар әсер етуі мүмкін ақпараттық инфрақұрылым объектілері тұрғысынан аралық қауіптердің ыдырауы келесідей болады:
Элементтер
Қауіптің ыдырауы
U1.1.1.
U1.1.2.
U1.2.
Клиент
U1.1.1.1.
U1.1.2.1.
Желі қосылымы
U1.1.1.2.
Сервер
U1.2.1.
Ыдырау
U1.1. Пайдаланушы сеансында рұқсат етілмеген әрекеттер орындалды:
U1.1.1. <…> шабуыл жасалған пайдаланушы орнатқан:
U1.1.1.1. Шабуыл жасаушылар Клиенттен тәуелсіз әрекет етті:
U1.1.1.1.1 Қауіптілер ақпараттық жүйеге кірудің стандартты құралдарын пайдаланды:
У1.1.1.1.1.1. Шабуыл жасаушылар Клиенттің физикалық енгізу/шығару құрылғыларын (пернетақта, тінтуір, монитор немесе мобильді құрылғының сенсорлық экраны) пайдаланды:
U1.1.1.1.1.1.1. Шабуыл жасаушылар сеанс белсенді, енгізу/шығару құралдары қол жетімді және пайдаланушы болмаған уақыт кезеңдерінде жұмыс істеді.
У1.1.1.1.1.2. Қауіптілер Клиентті басқару үшін қашықтан басқару құралдарын (стандартты немесе зиянды кодпен қамтамасыз етілген) пайдаланды:
U1.1.1.1.1.2.1. Шабуыл жасаушылар сеанс белсенді, енгізу/шығару құралдары қол жетімді және пайдаланушы болмаған уақыт кезеңдерінде жұмыс істеді.
У1.1.1.1.1.2.2. Шабуыл жасаушылар қашықтан басқару құралдарын пайдаланды, олардың жұмысы шабуылға ұшыраған пайдаланушыға көрінбейді.
U1.1.1.2. Шабуыл жасаушылар Клиент пен Сервер арасындағы желілік қосылымдағы деректерді ауыстырып, оны заңды пайдаланушының әрекеті ретінде қабылданатындай етіп өзгертті:
U1.1.1.2.1. Сілтеме: .
U1.1.1.3. Шабуыл жасаушылар пайдаланушыны әлеуметтік инженерия әдістерін қолдана отырып, өздері көрсеткен әрекеттерді орындауға мәжбүрледі.
У1.1.2 <…> шабуылдаушылар орнатқан:
U1.1.2.1. Шабуыл жасаушылар Клиенттен әрекет етті (И):
U1.1.2.1.1. Шабуылшылар ақпараттық жүйенің қол жеткізуді басқару жүйесін бейтараптандырды:
U1.1.2.1.1.1. Сілтеме: .
У1.1.2.1.2. Шабуыл жасаушылар ақпараттық жүйеге кірудің стандартты құралдарын пайдаланды
U1.1.2.2. Шабуылшылар серверге желілік қосылым орнатуға болатын деректер желісінің басқа түйіндерінен әрекет етті (И):
U1.1.2.2.1. Шабуылшылар ақпараттық жүйенің қол жеткізуді басқару жүйесін бейтараптандырды:
U1.1.2.2.1.1. Сілтеме: .
U1.1.2.2.2. Шабуыл жасаушылар ақпараттық жүйеге кірудің стандартты емес құралдарын пайдаланған.
Түсініктемелер U1.1.2.2.2.
Қауіптілер ақпараттық жүйенің стандартты клиентін үшінші тарап түйініне орната алады немесе Клиент пен Сервер арасында стандартты алмасу хаттамаларын жүзеге асыратын стандартты емес бағдарламалық құралды пайдалана алады.
U1.2 Рұқсат етілмеген әрекеттер пайдаланушы сеансынан тыс орындалды.
U1.2.1 Шабуыл жасаушылар рұқсат етілмеген әрекеттерді орындады, содан кейін ақпараттық жүйенің жұмыс журналдарына немесе деректер нысандарының арнайы атрибуттарына рұқсатсыз өзгертулер енгізді, бұл олар орындаған әрекеттерді заңды пайдаланушы орындағанын көрсетеді.
U2. Қорғалған ақпаратты ақпараттық жүйенің серверлік бөлігімен өңдеу кезінде оны рұқсатсыз өзгерту
Ыдырау
U2.1. Шабуыл жасаушылар стандартты ақпараттық жүйе құралдарын пайдаланып қорғалған ақпаратты өзгертеді және мұны заңды пайдаланушы атынан жасайды.
U2.1.1. Сілтеме: .
U2.2. Шабуыл жасаушылар қорғалған ақпаратты ақпараттық жүйенің қалыпты жұмысында қарастырылмаған деректерге қол жеткізу механизмдерін пайдалану арқылы өзгертеді.
U2.2.1. Шабуылшылар қорғалған ақпаратты қамтитын файлдарды өзгертеді:
U2.2.1.1. <…>, операциялық жүйе қамтамасыз ететін файлдарды өңдеу механизмдерін пайдалана отырып.
U2.2.1.2. <…> рұқсат етілмеген өзгертілген сақтық көшірмеден файлдарды қалпына келтіруді қоздыру арқылы.
U2.2.2. Шабуыл жасаушылар дерекқорда сақталған қорғалған ақпаратты өзгертеді (И):
U2.2.2.1. Шабуыл жасаушылар ДҚБЖ қол жеткізуді басқару жүйесін бейтараптайды:
U2.2.2.1.1. Сілтеме: .
U2.2.2.2. Шабуылшылар деректерге қол жеткізу үшін стандартты ДҚБЖ интерфейстерін пайдаланып ақпаратты өзгертеді.
U2.3. Шабуыл жасаушылар қорғалған ақпаратты өңдейтін бағдарламалық құралдың жұмыс алгоритмдерін рұқсатсыз өзгерту арқылы өзгертеді.
U2.3.1. Бағдарламалық құралдың бастапқы коды өзгертуге жатады.
U2.3.1. Бағдарламалық құралдың машина коды өзгертуге жатады.
U2.4. Шабуыл жасаушылар ақпараттық жүйенің бағдарламалық жасақтамасындағы осалдықтарды пайдалану арқылы қорғалған ақпаратты өзгертеді.
U2.5. Ақпараттық жүйенің серверлік бөлігінің құрамдас бөліктері (мысалы, дерекқор сервері және қолданбалы сервер) арасында тасымалданған кезде шабуылдаушылар қорғалған ақпаратты өзгертеді:
U2.5.1. Сілтеме: .
ҚАУІПТІҢ ТІПТІ МОДЕЛІ. ҚОСУДЫ БАСҚАРУ ЖҮЙЕСІ
Қауіп үлгісі (ауқымы) қолданылатын қорғау нысаны
Бұл қауіп үлгісі қолданылатын қорғау нысаны қауіп үлгісінің қорғау нысанына сәйкес келеді: «Типтік қауіп үлгісі. Клиент-сервер архитектурасына құрылған ақпараттық жүйе».
Бұл қауіп үлгісінде пайдаланушының қол жеткізуін басқару жүйесі келесі функцияларды жүзеге асыратын ақпараттық жүйенің құрамдас бөлігін білдіреді:
- Пайдаланушы идентификациясы.
- Пайдаланушының аутентификациясы.
- Пайдаланушы рұқсаттары.
- Пайдаланушы әрекеттерін тіркеу.
Жоғары деңгейдегі қауіпсіздік қатерлері
Ыдырау
U1. Заңды пайдаланушы атынан сеансты рұқсатсыз орнату.
U2. Ақпараттық жүйеде пайдаланушының құқықтарын рұқсатсыз арттыру.
U1. Заңды пайдаланушы атынан сеансты рұқсатсыз орнату
Түсіндірмелер
Бұл қауіптің ыдырауы әдетте пайдаланылатын пайдаланушы сәйкестендіру және аутентификация жүйелерінің түріне байланысты болады.
Бұл модельде тек мәтіндік логин мен құпия сөзді пайдаланатын пайдаланушыны сәйкестендіру және аутентификация жүйесі қарастырылады. Бұл жағдайда біз пайдаланушы логинін шабуылдаушыларға белгілі жалпыға қолжетімді ақпарат деп есептейміз.
Ыдырау
U1.1. <…> тіркелгі деректерінің бұзылуына байланысты:
U1.1.1. Шабуыл жасаушылар пайдаланушының тіркелгі деректерін сақтау кезінде бұзды.
Түсініктемелер U1.1.1.
Мысалы, тіркелгі деректерін мониторға жабыстырылған қағазға жазуға болады.
U1.1.2. Пайдаланушы кездейсоқ немесе қасақана кіру мәліметтерін шабуылдаушыларға жіберді.
U1.1.2.1. Пайдаланушы тіркелгі деректерін кірген кезде дауыстап айтты.
U1.1.2.2. Пайдаланушы өзінің тіркелгі деректерін әдейі бөлісті:
U1.1.2.2.1. <…> жұмыстағы әріптестеріне.
Түсініктемелер U1.1.2.2.1.
Мысалы, олар ауру кезінде оны алмастыра алатындай етіп.
U1.1.2.2.2. <…> ақпараттық инфрақұрылым объектілерінде жұмыстарды орындайтын жұмыс берушінің мердігерлеріне.
U1.1.2.2.3. <…> үшінші тұлғаларға.
Түсініктемелер U1.1.2.2.3.
Бұл қауіпті жүзеге асырудың жалғыз нұсқасы емес, шабуылдаушылардың әлеуметтік инженерия әдістерін қолдануы.
U1.1.3. Шабуыл жасаушылар тіркелгі деректерін дөрекі күш әдістері арқылы таңдады:
U1.1.3.1. <…> стандартты қол жеткізу механизмдерін пайдалану.
U1.1.3.2. <…> тіркелгі деректерін сақтау үшін бұрын ұсталған кодтарды (мысалы, құпия сөз хэштерін) пайдалану.
U1.1.4. Зиянкестер пайдаланушының тіркелгі деректерін ұстау үшін зиянды кодты пайдаланды.
U1.1.5. Зиянкестер Клиент пен Сервер арасындағы желілік қосылымнан тіркелгі деректерін шығарып алды:
U1.1.5.1. Сілтеме: .
U1.1.6. Шабуыл жасаушылар жұмыс бақылау жүйелерінің жазбаларынан тіркелгі деректерін шығарып алды:
U1.1.6.1. <…> бейнебақылау жүйелері (егер пернетақтадағы пернелерді басу жұмыс кезінде жазылған болса).
U1.1.6.2. <…> компьютердегі қызметкерлердің әрекеттерін бақылау жүйелері
Түсініктемелер U1.1.6.2.
Мұндай жүйенің мысалы болып табылады .
U1.1.7. Шабуыл жасаушылар жіберу процесіндегі кемшіліктерге байланысты пайдаланушының тіркелгі деректерін бұзды.
Түсініктемелер U1.1.7.
Мысалы, құпия сөздерді электрондық пошта арқылы анық мәтінмен жіберу.
U1.1.8. Шабуыл жасаушылар тіркелгі деректерін қашықтан басқару жүйелері арқылы пайдаланушы сеансын бақылау арқылы алды.
U1.1.9. Шабуыл жасаушылар тіркелгі деректерін техникалық арналар (TCUI) арқылы ағып кету нәтижесінде алды:
U1.1.9.1. Шабуылшылар пайдаланушының тіркелгі деректерін пернетақтадан қалай енгізгенін бақылады:
U1.1.9.1.1 Шабуыл жасаушылар пайдаланушыға жақын жерде орналасқан және тіркелгі деректерінің енгізілгенін өз көздерімен көрді.
Түсініктемелер U1.1.9.1.1
Мұндай жағдайларға жұмыстағы әріптестердің әрекеттері немесе пайдаланушының пернетақтасы ұйымға келушілерге көрінетін жағдай жатады.
U1.1.9.1.2 Шабуыл жасаушылар дүрбі немесе ұшқышсыз ұшатын аппарат сияқты қосымша техникалық құралдарды пайдаланды және терезе арқылы тіркелгі деректерінің енгізілгенін көрді.
U1.1.9.2. Шабуылшылар радио интерфейсі (мысалы, Bluetooth) арқылы қосылған кезде пернетақта мен компьютердің жүйелік блогы арасындағы радио байланысынан тіркелгі деректерін шығарып алды.
U1.1.9.3. Шабуыл жасаушылар тіркелгі деректерін жалған электромагниттік сәулелену және кедергі (PEMIN) арнасы арқылы ағып кету арқылы ұстады.
Түсініктемелер U1.1.9.3.
Шабуылдардың мысалдары и .
U1.1.9.4. Шабуыл жасаушы ақпаратты құпия түрде алуға арналған арнайы техникалық құралдарды (STS) қолдану арқылы пернетақтадан тіркелгі деректерін енгізуді ұстады.
Түсініктемелер U1.1.9.4.
мысалдар .
U1.1.9.5. Зиянкестер пернетақтадан тіркелгі деректерін енгізуді қолданып ұстады
пайдаланушының пернені басу процесі арқылы модуляцияланған Wi-Fi сигналын талдау.
Түсініктемелер U1.1.9.5.
Мысал: .
U1.1.9.6. Шабуыл жасаушылар пернелерді басу дыбыстарын талдау арқылы пернетақтадан тіркелгі деректерін енгізуді ұстады.
Түсініктемелер U1.1.9.6.
Мысал: .
U1.1.9.7. Шабуылшылар акселерометр көрсеткіштерін талдау арқылы мобильді құрылғының пернетақтасынан тіркелгі деректерін енгізуді ұстады.
Түсініктемелер U1.1.9.7.
Мысал: .
U1.1.10. <…>, бұрын Клиентте сақталған.
Түсініктемелер U1.1.10.
Мысалы, пайдаланушы белгілі бір сайтқа кіру үшін браузерде логин мен құпия сөзді сақтай алады.
U1.1.11. Қауіптілер пайдаланушы рұқсатын жою процесіндегі кемшіліктерге байланысты тіркелгі деректерін бұзды.
Түсініктемелер U1.1.11.
Мысалы, пайдаланушы жұмыстан шығарылғаннан кейін оның тіркелгілері бұғатсыз қалды.
U1.2. <…> қол жеткізуді басқару жүйесіндегі осалдықтарды пайдалану арқылы.
U2. Ақпараттық жүйеде пайдаланушының құқықтарын рұқсатсыз арттыру
Ыдырау
U2.1 <…> пайдаланушы артықшылықтары туралы ақпаратты қамтитын деректерге рұқсатсыз өзгертулер енгізу арқылы.
U2.2 <…> қол жеткізуді басқару жүйесіндегі осалдықтарды пайдалану арқылы.
U2.3. <…> пайдаланушы рұқсатын басқару процесіндегі кемшіліктерге байланысты.
Түсініктемелер U2.3.
1-мысал. Пайдаланушыға іскерлік себептермен талап етілетіннен гөрі жұмысқа көбірек рұқсат берілді.
2-мысал: Пайдаланушы басқа позицияға ауыстырылғаннан кейін, бұрын берілген рұқсат құқығы жойылмады.
ТІПТІ ҚАУІПТІҢ МОДЕЛІ. ИНТЕГРАЦИЯЛЫҚ МОДУЛЬ
Қауіп үлгісі (ауқымы) қолданылатын қорғау нысаны
Интеграциялық модуль – ақпараттық жүйелер арасындағы ақпарат алмасуды ұйымдастыруға арналған ақпараттық инфрақұрылым объектілерінің жиынтығы.
Корпоративтік желілерде бір ақпараттық жүйені екіншісінен біржақты ажырату әрқашан мүмкін болмайтынын ескере отырып, интеграциялық модульді бір ақпараттық жүйенің құрамдас бөліктері арасындағы байланыстырушы буын ретінде де қарастыруға болады.
сәулет
Интеграциялық модульдің жалпыланған диаграммасы келесідей:
Сәулет элементтеріне сипаттама:
- "Exchange сервері (SO)" – басқа ақпараттық жүйемен мәліметтер алмасу қызметін атқаратын ақпараттық жүйенің түйіні/қызметі/құрамдас бөлігі.
- «Медиатор» – ақпараттық жүйелер арасындағы өзара әрекеттесуді ұйымдастыруға арналған, бірақ олардың бөлігі емес түйін/қызмет.
Мысалдар «Делдалдар» электрондық пошта қызметтері, кәсіпорынның сервистік автобустары (кәсіпорынның сервистік автобусы / SoA архитектурасы), үшінші тарап файл серверлері және т.б. болуы мүмкін. Жалпы, интеграциялық модульде «Делдалдар» болмауы мүмкін. - «Деректерді өңдеуге арналған бағдарламалық қамтамасыз ету» – деректер алмасу протоколдарын және форматты түрлендіруді жүзеге асыратын бағдарламалар жиынтығы.
Мысалы, деректерді UFEBS пішімінен ABS пішіміне түрлендіру, жіберу кезінде хабарлама күйлерін өзгерту және т.б. - «Желіге қосылу» стандартты «Желілік қосылым» қауіп үлгісінде сипатталған нысанға сәйкес келеді. Жоғарыдағы диаграммада көрсетілген кейбір желілік қосылымдар болмауы мүмкін.
Интеграциялық модульдердің мысалдары
Схема 1. Үшінші тарап файл сервері арқылы ABS және AWS KBR интеграциясы
Төлемдерді жүзеге асыру үшін уәкілетті банк қызметкері негізгі банк жүйесінен электрондық төлем құжаттарын жүктеп алып, оларды файлдық сервердегі желілік қалтада (...SHARE) файлға (өз форматында, мысалы, SQL демпінде) сақтайды. Содан кейін бұл файл түрлендіргіш сценарийі арқылы UFEBS пішіміндегі файлдар жинағына түрлендіріледі, содан кейін оларды CBD жұмыс станциясы оқиды.
Осыдан кейін уәкілетті қызметкер - KBR автоматтандырылған жұмыс орнын пайдаланушы - алынған файлдарды шифрлайды және қол қояды және оларды Ресей Банкінің төлем жүйесіне жібереді.
Төлемдер Ресей Банкінен алынған кезде, КБР автоматтандырылған жұмыс орны олардың шифрын ашады және электрондық қолтаңбаны тексереді, содан кейін оларды файлдық серверде UFEBS форматындағы файлдар жиынтығы түрінде жазады. Төлем құжаттарын ABS жүйесіне импорттамас бұрын, олар UFEBS пішімінен ABS пішіміне түрлендіргіш сценарий арқылы түрлендіріледі.
Бұл схемада ABS бір физикалық серверде, KBR жұмыс станциясы бөлінген компьютерде, ал түрлендіргіш сценарийі файлдық серверде жұмыс істейді деп болжаймыз.
Қарастырылған диаграмма объектілерінің интеграциялық модуль моделінің элементтеріне сәйкестігі:
«АБС жағынан алмасу сервері» – ABS сервері.
«AWS KBR жағынан алмасу сервері» – компьютерлік жұмыс станциясы KBR.
«Медиатор» – үшінші тарап файл сервері.
«Деректерді өңдеуге арналған бағдарламалық қамтамасыз ету» – түрлендіргіш сценарий.
Схема 2. AWS KBR жүйесінде төлемдері бар ортақ желілік қалтаны орналастыру кезінде ABS және AWS KBR интеграциясы
Барлығы 1-схемаға ұқсас, бірақ жеке файлдық сервер пайдаланылмайды, оның орнына CBD жұмыс станциясы бар компьютерде электрондық төлем құжаттары бар желілік қалта (...SHARE) орналастырылған. Түрлендіргіш сценарийі CBD жұмыс станциясында да жұмыс істейді.
Қарастырылған диаграмма объектілерінің интеграциялық модуль моделінің элементтеріне сәйкестігі:
1 схемаға ұқсас, бірақ «Медиатор» қолданылмайды.
Схема 3. IBM WebSphera MQ арқылы ABS және автоматтандырылған жұмыс орны KBR-N интеграциясы және «ABS жағында» электрондық құжаттарға қол қою
ABS CIPF SCAD қолтаңбасы қолдамайтын платформада жұмыс істейді. Шығыс электрондық құжаттарға қол қою арнайы электрондық қолтаңба серверінде (ES Server) жүзеге асырылады. Сол сервер Ресей Банкінен келіп түсетін құжаттардағы электронды қолтаңбаны тексереді.
ABS төлем құжаттары бар файлды ES серверіне өз форматында жүктейді.
ES сервері түрлендіргіш сценарийін пайдалана отырып, файлды UFEBS пішіміндегі электрондық хабарларға түрлендіреді, содан кейін электрондық хабарламалар IBM WebSphere MQ жүйесіне қол қойылады және жіберіледі.
KBR-N жұмыс станциясы IBM WebSphere MQ жүйесіне қатынасады және сол жерден қол қойылған төлем хабарламаларын алады, содан кейін уәкілетті қызметкер - KBR жұмыс станциясының пайдаланушысы оларды шифрлайды және Ресей Банкінің төлем жүйесіне жібереді.
Төлемдер Ресей Банкінен алынған кезде, KBR-N автоматтандырылған жұмыс орны оларды шифрдан шығарады және электрондық қолтаңбаны тексереді. UFEBS пішіміндегі шифры шешілген және қол қойылған электрондық хабарламалар түріндегі сәтті өңделген төлемдер IBM WebSphere MQ жүйесіне тасымалданады, ол жерден оларды Электрондық қолтаңба сервері қабылдайды.
Электрондық қолтаңба сервері қабылданған төлемдердің электрондық қолтаңбасын тексереді және оларды ABS форматындағы файлда сақтайды. Осыдан кейін уәкілетті қызметкер - ABS пайдаланушысы алынған файлды ABS-ке белгіленген тәртіппен жүктейді.
Қарастырылған диаграмма объектілерінің интеграциялық модуль моделінің элементтеріне сәйкестігі:
«АБС жағынан алмасу сервері» – ABS сервері.
«AWS KBR жағынан алмасу сервері» — компьютерлік жұмыс станциясы KBR.
«Медиатор» – ES сервері және IBM WebSphere MQ.
«Деректерді өңдеуге арналған бағдарламалық қамтамасыз ету» – сценарий түрлендіргіші, ES серверіндегі CIPF SCAD қолтаңбасы.
Схема 4. Арнайы алмасу сервері қамтамасыз ететін API арқылы RBS сервері мен негізгі банк жүйесін біріктіру
Банк бірнеше қашықтағы банктік жүйелерді (RBS) пайдаланады деп болжаймыз:
- Жеке тұлғаларға арналған «Интернет Клиент-Банк» (IKB FL);
- Заңды тұлғаларға арналған «Интернет Клиент-Банк» (IKB LE).
Ақпараттық қауіпсіздікті қамтамасыз ету мақсатында ABS және қашықтағы банктік жүйелер арасындағы барлық өзара іс-қимыл ABS ақпараттық жүйесі шеңберінде жұмыс істейтін арнайы алмасу сервері арқылы жүзеге асырылады.
Әрі қарай, IKB LE RBS жүйесі мен ABS арасындағы өзара әрекеттесу процесін қарастырамыз.
RBS сервері клиенттен тиісті түрде сертификатталған төлем тапсырмасын алған соң, оның негізінде ABS жүйесінде сәйкес құжатты құруы керек. Ол үшін API көмегімен ол ақпаратты алмасу серверіне жібереді, ол өз кезегінде деректерді ABS жүйесіне енгізеді.
Клиенттің шотындағы теңгерім өзгерген кезде, ABS электрондық хабарламаларды жасайды, олар алмасу сервері арқылы қашықтағы банктік серверге жіберіледі.
Қарастырылған диаграмма объектілерінің интеграциялық модуль моделінің элементтеріне сәйкестігі:
«RBS жағынан алмасу сервері» – IKB YUL RBS сервері.
«АБС жағынан алмасу сервері» – алмасу сервері.
«Медиатор» - жоқ.
«Деректерді өңдеуге арналған бағдарламалық қамтамасыз ету» – Exchange серверінің API пайдалануға жауапты RBS серверінің құрамдастары, негізгі банкинг API пайдалануға жауапты алмасу серверінің құрамдастары.
Жоғары деңгейдегі қауіпсіздік қатерлері
Ыдырау
U1. Интеграциялық модуль арқылы шабуылдаушылардың жалған ақпаратты енгізуі.
U1. Интеграциялық модуль арқылы шабуылдаушылардың жалған ақпаратты енгізуі
Ыдырау
U1.1. Желілік қосылымдар арқылы жіберілген кезде заңды деректерді рұқсатсыз өзгерту:
U1.1.1 Сілтеме: .
U1.2. Биржаның заңды қатысушысының атынан жалған мәліметтерді байланыс арналары арқылы жіберу:
U1.1.2 Сілтеме: .
U1.3. Exchange серверлерінде немесе делдалда өңдеу кезінде заңды деректерді рұқсатсыз өзгерту:
U1.3.1. Сілтеме: .
U1.4. Биржаның заңды қатысушысы атынан Exchange серверлерінде немесе делдалында жалған деректер жасау:
U1.4.1. Сілтеме:
U1.5. Деректерді өңдеу бағдарламалық құралын пайдалану арқылы өңдеу кезінде деректерді рұқсатсыз өзгерту:
U1.5.1. <…> шабуылдаушылардың деректерді өңдеу бағдарламалық құралының параметрлеріне (конфигурациясына) рұқсатсыз өзгертулер енгізуіне байланысты.
U1.5.2. <…> шабуылдаушылардың деректерді өңдеу бағдарламалық құралының орындалатын файлдарына рұқсатсыз өзгертулер енгізуіне байланысты.
U1.5.3. <…> шабуылдаушылардың деректерді өңдеу бағдарламалық құралын интерактивті басқаруына байланысты.
ҚАУІПТІҢ ТІПТІ МОДЕЛІ. КРИПТОГРАФИЯЛЫҚ АҚПАРАТТЫ ҚОРҒАУ ЖҮЙЕСІ
Қауіп үлгісі (ауқымы) қолданылатын қорғау нысаны
Қорғау объектісі ақпараттық жүйенің қауіпсіздігін қамтамасыз ету үшін қолданылатын ақпаратты криптографиялық қорғау жүйесі болып табылады.
сәулет
Кез келген ақпараттық жүйенің негізі оның мақсатты функционалдығын жүзеге асыратын қолданбалы бағдарламалық қамтамасыз ету болып табылады.
Криптографиялық қорғау әдетте арнайы кітапханаларда – криптографиялық ядроларда орналасқан қолданбалы бағдарламалық жасақтаманың бизнес логикасынан криптографиялық примитивтерді шақыру арқылы жүзеге асырылады.
Криптографиялық примитивтерге төменгі деңгейлі криптографиялық функциялар кіреді, мысалы:
- деректер блогын шифрлау/шифрын шешу;
- деректер блогының электрондық қолтаңбасын жасау/тексеру;
- деректер блогының хэш-функциясын есептеу;
- негізгі ақпаратты құру / жүктеу / жүктеп салу;
- және т.б.
Қолданбалы бағдарламалық жасақтаманың бизнес логикасы криптографиялық примитивтерді пайдалана отырып, жоғары деңгейлі функционалдылықты жүзеге асырады:
- таңдалған алушылардың кілттері арқылы файлды шифрлау;
- қауіпсіз желі қосылымын орнату;
- электрондық қолтаңбаны тексеру нәтижелері туралы хабарлауға;
- және т.б.
Бизнес логикасы мен криптографиялық ядроның өзара әрекеттесуі жүзеге асырылуы мүмкін:
- тікелей, крипто ядросының динамикалық кітапханаларынан криптографиялық примитивтерді шақыратын бизнес логикасы арқылы (Windows үшін .DLL, Linux үшін .SO);
- тікелей, криптографиялық интерфейстер арқылы - орауыштар, мысалы, MS Crypto API, Java Cryptography Architecture, PKCS#11 және т.б. Бұл жағдайда бизнес логикасы криптографиялық интерфейске қол жеткізеді және ол қоңырауды сәйкес криптографиялық ядроға аударады, ол бұл жағдай криптопровайдер деп аталады. Криптографиялық интерфейстерді пайдалану қолданбалы бағдарламалық жасақтамаға нақты криптографиялық алгоритмдерден абстракциялауға және икемді болуға мүмкіндік береді.
Криптографиялық ядроны ұйымдастырудың екі типтік схемасы бар:
Схема 1 – Монолитті криптографиялық ядро
2-схема – Криптографиялық ядроны бөлу
Жоғарыдағы диаграммалардағы элементтер бір компьютерде жұмыс істейтін жеке бағдарламалық модульдер немесе компьютерлік желі ішінде өзара әрекеттесетін желілік қызметтер болуы мүмкін.
1-схема бойынша құрастырылған жүйелерді пайдаланған кезде қолданбалы бағдарламалық құрал мен криптографиялық ядро криптографиялық құралға (SFC) арналған бір операциялық ортада, мысалы, бір компьютерде, бір операциялық жүйеде жұмыс істейді. Жүйе пайдаланушысы, әдетте, бір операциялық ортада басқа бағдарламаларды, соның ішінде зиянды кодты қамтитын бағдарламаларды іске қоса алады. Мұндай жағдайларда жеке криптографиялық кілттердің ағып кету қаупі бар.
Тәуекелді азайту үшін криптографиялық ядро екі бөлікке бөлінген 2-схема қолданылады:
- Бірінші бөлім қолданбалы бағдарламалық жасақтамамен бірге зиянды кодты жұқтыру қаупі бар сенімсіз ортада жұмыс істейді. Біз бұл бөлікті «бағдарламалық қамтамасыз ету бөлігі» деп атаймыз.
- Екінші бөлік жеке кілт қоймасын қамтитын арнайы құрылғыда сенімді ортада жұмыс істейді. Енді біз бұл бөлікті «аппараттық құрал» деп атайтын боламыз.
Криптографиялық ядроны бағдарламалық және аппараттық бөліктерге бөлу өте ерікті. Нарықта бөлінген криптографиялық ядросы бар схемаға сәйкес салынған жүйелер бар, бірақ оның «аппараттық» бөлігі виртуалды машина кескіні түрінде ұсынылған - виртуалды HSM ().
Криптографиялық ядроның екі бөлігінің өзара әрекеттесуі жеке криптографиялық кілттер ешқашан бағдарламалық жасақтама бөлігіне берілмейтін және тиісінше зиянды кодты пайдаланып ұрланбайтын етіп жүзеге асады.
Өзара әрекеттесу интерфейсі (API) және қолданбалы бағдарламалық жасақтамаға криптографиялық ядро беретін криптографиялық примитивтер жиынтығы екі жағдайда да бірдей. Айырмашылық олардың жүзеге асырылуында.
Осылайша, бөлінген криптографиялық ядросы бар схеманы пайдаланған кезде бағдарламалық және аппараттық құралдардың өзара әрекеттесуі келесі принцип бойынша жүзеге асырылады:
- Жеке кілтті пайдалануды қажет етпейтін криптографиялық примитивтер (мысалы, хэш-функцияны есептеу, электрондық қолтаңбаны тексеру және т.б.) бағдарламалық қамтамасыз ету арқылы орындалады.
- Жеке кілтті пайдаланатын криптографиялық примитивтер (электрондық қолтаңбаны жасау, мәліметтерді шифрлау және т.б.) аппараттық құралдармен орындалады.
Бөлінген криптографиялық ядроның жұмысын электронды қолтаңбаны құру мысалы арқылы көрсетейік:
- Бағдарламалық қамтамасыз ету бөлігі қол қойылған деректердің хэш функциясын есептейді және бұл мәнді криптографиялық ядролар арасындағы алмасу арнасы арқылы аппараттық құралға жібереді.
- Аппараттық бөлік жабық кілт пен хэшті пайдалана отырып, электрондық қолтаңбаның мәнін жасайды және оны алмасу арнасы арқылы бағдарламалық қамтамасыз ету бөлігіне жібереді.
- Бағдарламалық құрал бөлігі қабылданған мәнді қолданбалы бағдарламалық құралға қайтарады.
Электрондық қолтаңбаның дұрыстығын тексеру ерекшеліктері
Қабылдаушы тарап электрондық қол қойылған деректерді алған кезде, ол бірнеше тексеру қадамдарын орындауы керек. Электрондық қолтаңбаны тексерудің оң нәтижесіне тексерудің барлық кезеңдері сәтті өткен жағдайда ғана қол жеткізіледі.
1-кезең. Деректердің тұтастығын және деректердің авторлығын бақылау.
Сахна мазмұны. Мәліметтердің электрондық қолтаңбасы сәйкес криптографиялық алгоритм арқылы тексеріледі. Бұл кезеңнің сәтті аяқталуы деректердің қол қойылған сәттен бастап өзгертілмегенін, сондай-ақ қол қоюдың электрондық қолтаңбаны тексерудің ашық кілтіне сәйкес келетін жабық кілтпен жасалғанын көрсетеді.
Сахнаның орналасқан жері: криптографиялық ядро.
2-кезең. Қол қоюшының ашық кілтіне сенімді бақылау және электрондық қолтаңбаның жабық кілтінің әрекет ету мерзімін бақылау.
Сахна мазмұны. Кезең екі аралық қосалқы сатыдан тұрады. Біріншісі, деректерге қол қою кезінде электрондық қолтаңбаны тексеруге арналған ашық кілтке сенімді болғанын анықтау. Екіншісі деректерге қол қою кезінде электрондық қолтаңбаның жабық кілті жарамды болғанын анықтайды. Жалпы, бұл кілттердің әрекет ету мерзімдері сәйкес келмеуі мүмкін (мысалы, электрондық қолтаңбаны тексеру кілттерінің білікті сертификаттары үшін). Қол қоюшының ашық кілтіне сенім орнату әдістері өзара әрекеттесуші тараптар қабылдаған электрондық құжат айналымы ережелерімен айқындалады.
Сахнаның орналасқан жері: қолданбалы бағдарламалық қамтамасыз ету / криптографиялық ядро.
3-кезең. Қол қоюшының өкілеттігін бақылау.
Сахна мазмұны. Электрондық құжат айналымының белгіленген ережелеріне сәйкес қол қоюшының қорғалатын деректерді куәландыруға құқығы бар-жоғы тексеріледі. Мысал ретінде билікті бұзу жағдайын келтірейік. Барлық қызметкерлердің электронды қолтаңбасы бар ұйым бар делік. Ішкі электрондық құжат айналымы жүйесі басшыдан бұйрық алады, бірақ қойма меңгерушісінің электрондық қолтаңбасымен қол қойылады. Тиісінше, мұндай құжатты заңды деп санауға болмайды.
Сахнаның орналасқан жері: қолданбалы бағдарламалық қамтамасыз ету.
Қорғау объектісін сипаттау кезінде жасалған болжамдар
- Ақпаратты беру арналары, кілт алмасу арналарын қоспағанда, қолданбалы бағдарламалық қамтамасыз ету, API және криптографиялық ядро арқылы да өтеді.
- Ашық кілттерге және (немесе) сертификаттарға сенім туралы ақпарат, сондай-ақ ашық кілт иелерінің өкілеттіктері туралы ақпарат ашық кілттер қоймасында орналастырылады.
- Қолданбалы бағдарламалық құрал криптографиялық ядро арқылы ашық кілттер қоймасымен жұмыс істейді.
CIPF көмегімен қорғалған ақпараттық жүйенің мысалы
Бұрын ұсынылған диаграммаларды суреттеу үшін гипотетикалық ақпараттық жүйені қарастырайық және ондағы барлық құрылымдық элементтерді бөліп көрсетейік.
Ақпараттық жүйенің сипаттамасы
Екі ұйым өзара заңды маңызды электрондық құжат айналымын (ЭҚҚ) енгізу туралы шешім қабылдады. Бұл үшін олар құжаттардың электрондық пошта арқылы жіберілетінін және сонымен бірге олар шифрланған және білікті электронды қолтаңбамен қол қойылған болуы керек деп шарттастырылған келісім жасады. Құжаттарды жасау және өңдеу құралдары ретінде Microsoft Office 2016 бумасының кеңсе бағдарламаларын, ал криптографиялық қорғау құралы ретінде CIPF CryptoPRO және CryptoARM шифрлау бағдарламалық құралын пайдалану керек.
Ұйымның инфрақұрылымының сипаттамасы 1
1-ұйым CIPF CryptoPRO және CryptoARM бағдарламалық жасақтамасын пайдаланушының жұмыс станциясына – физикалық компьютерге орнатуды шешті. Шифрлау және электрондық қолтаңба кілттері қайтарылатын кілт режимінде жұмыс істейтін ruToken кілт тасымалдауышында сақталады. Пайдаланушы электронды құжаттарды өз компьютерінде жергілікті түрде дайындайды, содан кейін жергілікті орнатылған электрондық пошта клиенті арқылы шифрлайды, қол қояды және жібереді.
Ұйымның инфрақұрылымының сипаттамасы 2
2-ұйым шифрлау және электрондық қолтаңба функцияларын арнайы виртуалды машинаға көшіруге шешім қабылдады. Бұл жағдайда барлық криптографиялық операциялар автоматты түрде орындалады.
Ол үшін арнайы виртуалды машинада екі желілік қалта ұйымдастырылған: “...In”, “...Out”. Контрагенттен ашық түрде алынған файлдар автоматты түрде «...In» желілік қалтасына орналастырылады. Бұл файлдар шифры шешіледі және электрондық қолтаңба тексеріледі.
Пайдаланушы шифрлауды, қол қоюды және контрагентке жіберуді қажет ететін файлдарды «...Out» қалтасына орналастырады. Пайдаланушы файлдарды жұмыс станциясында өзі дайындайды.
Шифрлау және электрондық қолтаңба функцияларын орындау үшін виртуалды машинада CIPF CryptoPRO, CryptoARM бағдарламалық құралы және электрондық пошта клиенті орнатылған. Виртуалды машинаның барлық элементтерін автоматты түрде басқару жүйелік әкімшілер әзірлеген сценарийлер арқылы жүзеге асырылады. Сценарийлердің жұмысы журнал файлдарында тіркеледі.
Электрондық қолтаңбаның криптографиялық кілттері пайдаланушы өзінің жергілікті компьютеріне қосылатын алынбайтын JaCarta GOST кілті бар токенге орналастырылады.
Токен пайдаланушының жұмыс станциясында және виртуалды машинада орнатылған мамандандырылған USB-over-IP бағдарламалық құралы арқылы виртуалды машинаға жіберіледі.
1-ұйымдағы пайдаланушының жұмыс станциясындағы жүйелік сағат қолмен реттеледі. 2-ұйымдағы арнайы виртуалды машинаның жүйелік сағаты гипервизордың жүйелік сағатымен синхрондалады, ол өз кезегінде Интернет арқылы жалпы уақыт серверлерімен синхрондалады.
CIPF құрылымдық элементтерін анықтау
АТ-инфрақұрылымының жоғарыдағы сипаттамасына сүйене отырып, біз CIPF құрылымдық элементтерін ерекшелеп, кестеге жазамыз.
Кесте – CIPF моделінің элементтерінің ақпараттық жүйе элементтеріне сәйкестігі
Элемент атауы
Ұйымдастыру 1
Ұйымдастыру 2
Қолданбалы бағдарламалық қамтамасыз ету
CryptoARM бағдарламалық құралы
CryptoARM бағдарламалық құралы
Криптографиялық ядроның бағдарламалық бөлігі
CIPF CryptoPRO CSP
CIPF CryptoPRO CSP
Криптографиялық негізгі аппараттық құрал
жоқ
JaCarta ГОСТ
API
MS CryptoAPI
MS CryptoAPI
Ашық кілт дүкені
Пайдаланушының жұмыс станциясы:
- қатты диск;
- стандартты Windows сертификаттар қоймасы.
Гипервайзер:
- қатты диск.
Виртуалды машина:
- қатты диск;
- стандартты Windows сертификаттар қоймасы.
Жеке кілт қоймасы
қайтарылатын кілт режимінде жұмыс істейтін ruToken кілт тасымалдаушысы
Алынбайтын кілт режимінде жұмыс істейтін JaCarta ГОСТ кілт тасымалдаушысы
Ашық кілт алмасу арнасы
Пайдаланушының жұмыс станциясы:
- жедел жад.
Гипервайзер:
- жедел жад.
Виртуалды машина:
- жедел жад.
Жеке кілт алмасу арнасы
Пайдаланушының жұмыс станциясы:
— USB шинасы;
- жедел жад.
жоқ
Криптографиялық ядролар арасындағы алмасу арнасы
жоқ (криптографиялық негізгі жабдық жоқ)
Пайдаланушының жұмыс станциясы:
— USB шинасы;
- жедел жад;
— USB-over-IP бағдарламалық модулі;
- желілік интерфейс.
Ұйымның корпоративтік желісі 2.
Гипервайзер:
- жедел жад;
- желілік интерфейс.
Виртуалды машина:
— желілік интерфейс;
- жедел жад;
— USB-over-IP бағдарламалық модулі.
Деректер арнасын ашыңыз
Пайдаланушының жұмыс станциясы:
— енгізу-шығару құралдары;
- жедел жад;
- қатты диск.
Пайдаланушының жұмыс станциясы:
— енгізу-шығару құралдары;
- жедел жад;
- қатты диск;
- желілік интерфейс.
Ұйымның корпоративтік желісі 2.
Гипервайзер:
— желілік интерфейс;
- жедел жад;
- қатты диск.
Виртуалды машина:
— желілік интерфейс;
- жедел жад;
- қатты диск.
Қауіпсіз деректер алмасу арнасы
Интернет.
Ұйымның корпоративтік желісі 1.
Пайдаланушының жұмыс станциясы:
- қатты диск;
- жедел жад;
- желілік интерфейс.
Интернет.
Ұйымның корпоративтік желісі 2.
Гипервайзер:
— желілік интерфейс;
- жедел жад;
- қатты диск.
Виртуалды машина:
— желілік интерфейс;
- жедел жад;
- қатты диск.
Уақыт арнасы
Пайдаланушының жұмыс станциясы:
— енгізу-шығару құралдары;
- жедел жад;
- жүйелік таймер.
Интернет.
Ұйымның корпоративтік желісі 2,
Гипервайзер:
— желілік интерфейс;
- жедел жад;
- жүйелік таймер.
Виртуалды машина:
- жедел жад;
- жүйелік таймер.
Пәрменді беру арнасын басқару
Пайдаланушының жұмыс станциясы:
— енгізу-шығару құралдары;
- жедел жад.
(CryptoARM бағдарламалық құралының графикалық пайдаланушы интерфейсі)
Виртуалды машина:
- жедел жад;
- қатты диск.
(Автоматтандыру сценарийлері)
Жұмыс нәтижелерін алатын арна
Пайдаланушының жұмыс станциясы:
— енгізу-шығару құралдары;
- жедел жад.
(CryptoARM бағдарламалық құралының графикалық пайдаланушы интерфейсі)
Виртуалды машина:
- жедел жад;
- қатты диск.
(Автоматтандыру сценарийлерінің журнал файлдары)
Жоғары деңгейдегі қауіпсіздік қатерлері
Түсіндірмелер
Қауіптерді декомпозициялау кезінде жасалған болжамдар:
- Күшті криптографиялық алгоритмдер қолданылады.
- Криптографиялық алгоритмдер дұрыс жұмыс режимдерінде қауіпсіз қолданылады (мысалы, деректердің үлкен көлемін шифрлау үшін пайдаланылмайды, кілтке рұқсат етілген жүктеме есепке алынады және т.б.).
- Шабуылшылар қолданылатын барлық алгоритмдерді, хаттамаларды және ашық кілттерді біледі.
- Шабуылшылар барлық шифрланған деректерді оқи алады.
- Шабуыл жасаушылар жүйедегі кез келген бағдарламалық құрал элементтерін ойната алады.
Ыдырау
U1. Жеке криптографиялық кілттердің бұзылуы.
U2. Заңды жіберушінің атынан жалған деректерді шифрлау.
U3. Мәліметтерді заңды алушы болып табылмайтын тұлғалардың (шабуылдаушылар) шифрланған деректердің шифрын шешуі.
U4. Жалған деректер бойынша заңды қол қоюшының электрондық қолтаңбасын жасау.
U5. Жалған деректердің электрондық қолтаңбасын тексеруден оң нәтиже алу.
U6. Электрондық құжат айналымын ұйымдастырудағы ақауларға байланысты электрондық құжаттарды орындауға қате қабылдау.
U7. CIPF өңдеу кезінде қорғалған деректерге рұқсатсыз қол жеткізу.
U1. Жеке криптографиялық кілттердің бұзылуы
U1.1. Жеке кілт қоймасынан жеке кілт шығарылуда.
U1.2. Криптоқұралдың уақытша тұруы мүмкін жұмыс ортасындағы нысандардан жеке кілтті алу.
Түсініктемелер U1.2.
Жеке кілтті уақытша сақтай алатын нысандар мыналарды қамтиды:
- жедел жад,
- уақытша файлдар,
- файлдарды ауыстыру,
- күту файлдары,
- виртуалды машиналардың «ыстық» күйінің сурет файлдары, соның ішінде уақытша тоқтатылған виртуалды машиналардың ЖЖҚ мазмұнының файлдары.
U1.2.1. ЖЖҚ модульдерін қатыру, оларды жою, содан кейін деректерді оқу (қаттыру шабуылы) арқылы жұмыс істейтін ЖЖҚ жеке кілттерді шығару.
Түсініктемелер U1.2.1.
Мысал: .
U1.3. Жеке кілт алмасу арнасынан жеке кілтті алу.
Түсініктемелер U1.3.
Бұл қауіпті жүзеге асырудың мысалы келтіріледі .
U1.4. Криптографиялық ядроның рұқсатсыз модификациясы, нәтижесінде жеке кілттер шабуылдаушыларға белгілі болады.
U1.5. Техникалық ақпараттың ағып кету арналарын (TCIL) пайдалану нәтижесінде жабық кілттің бұзылуы.
Түсініктемелер U1.5.
Мысал: .
U1.6. Ақпаратты жасырын алуға арналған арнайы техникалық құралдарды (STS) пайдалану нәтижесінде жабық кілттің бұзылуы («қателер»).
U1.7. CIPF сыртында сақтау кезінде жеке кілттердің бұзылуы.
Түсініктемелер U1.7.
Мысалы, пайдаланушы өзінің негізгі медиасын жұмыс үстелінің жәшігінде сақтайды, оны шабуылдаушылар оңай шығарып алады.
U2. Заңды жіберушінің атынан жалған деректерді шифрлау
Түсіндірмелер
Бұл қауіп жіберушінің аутентификациясы бар деректерді шифрлау схемалары үшін ғана қарастырылады. Мұндай схемалардың мысалдары стандарттау бойынша ұсыныстарда көрсетілген . Басқа криптографиялық схемалар үшін бұл қауіп жоқ, өйткені шифрлау алушының ашық кілттерінде орындалады және олар әдетте шабуылдаушыларға белгілі.
Ыдырау
U2.1. Жіберушінің жеке кілтін бұзу:
U2.1.1. Сілтеме: .
U2.2. Ашық деректер алмасу арнасында енгізілген деректерді ауыстыру.
Ескертулер U2.2.
Бұл қауіпті іске асыру мысалдары төменде келтірілген. и .
U3. Мәліметтерді заңды алушы болып табылмайтын тұлғалардың (шабуылдаушылар) шифрланған деректердің шифрын шешуі
Ыдырау
U3.1. Шифрланған мәліметтерді алушының жеке кілттерінің бұзылуы.
U3.1.1 Сілтеме: .
U3.2. Қауіпсіз деректер алмасу арнасында шифрланған деректерді ауыстыру.
U4. Жалған деректер бойынша заңды қол қоюшының электрондық қолтаңбасын жасау
Ыдырау
U4.1. Заңды қол қоюшының электрондық қолтаңбасының жабық кілттерінің бұзылуы.
U4.1.1 Сілтеме: .
U4.2. Ашық деректер алмасу арнасында қол қойылған деректерді ауыстыру.
Ескерту U4.2.
Бұл қауіпті іске асыру мысалдары төменде келтірілген. и .
U5. Жалған деректердің электрондық қолтаңбасын тексеруден оң нәтиже алу
Ыдырау
U5.1. Шабуыл жасаушылар электрондық қолтаңбаны тексерудің теріс нәтижесі туралы жұмыс нәтижелерін беру арнасындағы хабарламаны ұстайды және оны оң нәтиже бар хабарламамен ауыстырады.
U5.2. Шабуылшылар сертификаттарға қол қоюдағы сенімге шабуыл жасайды (SCRIPT - барлық элементтер қажет):
U5.2.1. Шабуыл жасаушылар электрондық қолтаңба үшін ашық және жабық кілтті жасайды. Жүйе электрондық қолтаңба кілтінің сертификаттарын пайдаланатын болса, олар хабарламасын қолдан жасағысы келетін мәліметтерді жіберушінің сертификатына мүмкіндігінше ұқсас электрондық қолтаңба сертификатын жасайды.
U5.2.2. Шабуылшылар ашық кілт қоймасына рұқсатсыз өзгертулер енгізіп, ашық кілтті береді, олар қажетті сенім мен өкілеттік деңгейін жасайды.
U5.2.3. Шабуылшылар бұрын жасалған электрондық қолтаңба кілтімен жалған деректерге қол қояды және оны қауіпсіз деректер алмасу арнасына енгізеді.
U5.3. Шабуыл жасаушылар заңды қол қоюшының мерзімі өткен электрондық қолтаңба кілттерін пайдаланып шабуыл жасайды (SCRIPT - барлық элементтер қажет):
U5.3.1. Шабуылшылар заңды жіберушінің электрондық қолтаңбасының мерзімі өткен (қазіргі уақытта жарамсыз) жабық кілттерін бұзады.
U5.3.2. Шабуыл жасаушылар уақытты жіберу арнасындағы уақытты бұзылған кілттер әлі жарамды болған уақытпен ауыстырады.
U5.3.3. Шабуылшылар бұрын бұзылған электрондық қолтаңба кілтімен жалған деректерге қол қояды және оны қауіпсіз деректер алмасу арнасына енгізеді.
U5.4. Шабуыл жасаушылар заңды қол қоюшының бұзылған электрондық қолтаңба кілттерін пайдаланып шабуыл жасайды (SCRIPT - барлық элементтер қажет):
U5.4.1. Шабуылдаушы ашық кілттер қоймасының көшірмесін жасайды.
U5.4.2. Шабуылшылар заңды жіберушілердің бірінің жеке кілттерін бұзады. Ол ымыраға келуді байқайды, кілттерді қайтарып алады және кілтті қайтарып алу туралы ақпарат ашық кілттер қоймасында орналастырылады.
U5.4.3. Шабуылшылар ашық кілт қоймасын бұрын көшірілгенмен ауыстырады.
U5.4.4. Шабуылшылар бұрын бұзылған электрондық қолтаңба кілтімен жалған деректерге қол қояды және оны қауіпсіз деректер алмасу арнасына енгізеді.
U5.5. <…> электрондық қолтаңбаны тексерудің 2-ші және 3-ші кезеңдерін жүзеге асыруда қателердің болуына байланысты:
Түсініктемелер U5.5.
Бұл қауіпті жүзеге асырудың мысалы келтірілген .
U5.5.1. Электрондық қолтаңба кілтінің сертификатына сенімділікті CRL немесе OCSP тексерулерінсіз оған қол қойылған сертификатқа сенімнің болуы арқылы ғана тексеру.
Түсініктемелер U5.5.1.
Іске асыру мысалы .
U5.5.2. Сертификатта сенім тізбегін құру кезінде сертификаттарды беру өкілеттіктері талданбайды
Түсініктемелер U5.5.2.
SSL/TLS сертификаттарына қарсы шабуылдың мысалы.
Шабуылшылар өздерінің электрондық пошталары үшін заңды сертификат сатып алды. Содан кейін олар жалған сайт сертификатын жасап, оған сертификаттарымен қол қойды. Егер тіркелгі деректері тексерілмесе, онда сенім тізбегін тексеру кезінде ол дұрыс болып шығады, сәйкесінше алаяқтық куәлік те дұрыс болады.
U5.5.3. Сертификаттардың сенім тізбегін құру кезінде аралық сертификаттар күшін жою үшін тексерілмейді.
U5.5.4. CRL сертификаттау орталығы шығарғанға қарағанда жиі жаңартылады.
U5.5.5. Электрондық қолтаңбаға сену туралы шешім OCSP-тің сертификаттың күйі туралы жауабын алғанға дейін қабылданады, қол қойылған уақыттан кешіктірілген сұрау бойынша жіберіледі немесе қол қойылғаннан кейінгі келесі CRL-ден ертерек жіберіледі.
Түсініктемелер U5.5.5.
Көптеген CA ережелерінде сертификатты қайтарып алу уақыты сертификатты қайтарып алу туралы ақпаратты қамтитын ең жақын CRL берілген уақыт болып саналады.
U5.5.6. Қол қойылған деректерді алу кезінде жіберушіге тиесілі сертификат тексерілмейді.
Түсініктемелер U5.5.6.
Шабуылдың мысалы. SSL сертификаттарына қатысты: шақырылатын сервер мекенжайының сертификаттағы CN өрісінің мәніне сәйкестігі тексерілмеуі мүмкін.
Шабуылдың мысалы. Шабуыл жасаушылар төлем жүйесі қатысушыларының бірінің электрондық қолтаңба кілттерін бұзды. Осыдан кейін олар басқа қатысушының желісін бұзып, оның атынан төлем жүйесінің есеп айырысу серверіне бұзылған кілттермен қол қойылған төлем құжаттарын жіберген. Егер сервер тек сенімге талдау жасаса және сәйкестікті тексермесе, жалған құжаттар заңды болып саналады.
U6. Электрондық құжат айналымын ұйымдастырудағы ақауларға байланысты электрондық құжаттарды орындауға қате қабылдау.
Ыдырау
U6.1. Қабылдаушы тарап келіп түскен құжаттардың қайталануын анықтамайды.
Түсініктемелер U6.1.
Шабуылдың мысалы. Шабуыл жасаушылар алушыға жіберілетін құжатты, тіпті егер ол криптографиялық түрде қорғалған болса да, ұстап алады, содан кейін оны қауіпсіз деректерді беру арнасы арқылы қайта-қайта жібере алады. Егер алушы телнұсқаларды анықтамаса, онда барлық алынған құжаттар әртүрлі құжаттар ретінде қабылданады және өңделеді.
U7. CIPF өңдеу кезінде қорғалған деректерге рұқсатсыз қол жеткізу
Ыдырау
U7.1. <…> бүйірлік арналар арқылы ақпараттың ағып кетуіне байланысты (бүйірлік арна шабуылы).
Түсініктемелер U7.1.
Мысал: .
U7.2. <…> CIPF-те өңделетін ақпаратқа рұқсатсыз қол жеткізуден қорғауды бейтараптандыруға байланысты:
U7.2.1. CIPF құжаттамасында сипатталған талаптарды бұза отырып, CIPF жұмысы.
U7.2.2. <…>, осалдықтардың болуына байланысты жүзеге асырылады:
U7.2.2.1. <…> рұқсатсыз кіруден қорғау құралдары.
U7.2.2.2. <…> CIPF өзі.
U7.2.2.3. <…> криптографиялық құралдың жұмыс ортасы.
Шабуылдардың мысалдары
Төменде талқыланған сценарийлерде ақпараттық қауіпсіздік қателері бар және ықтимал шабуылдарды көрсету үшін ғана қызмет етеді.
Сценарий 1. U2.2 және U4.2 қатерлерін іске асыру мысалы.
Объектінің сипаттамасы
AWS KBR бағдарламалық құралы және CIPF SCAD қолтаңбасы компьютер желісіне қосылмаған физикалық компьютерде орнатылған. FKN vdToken алынбайтын кілтпен жұмыс істеу режимінде негізгі тасымалдаушы ретінде пайдаланылады.
Есеп айырысу ережелері есеп айырысу маманының жұмыс компьютерінен арнайы қорғалған файл серверінен анық мәтіндегі электронды хабарламаларды (ескі KBR жұмыс станциясының схемасы) жүктеп алып, оларды тасымалданатын USB флэш-дискісіне жазады және оларды KBR жұмыс станциясына береді деп болжайды, олар шифрланған және белгілер болатын жерде. Осыдан кейін маман қауіпсіз электрондық хабарламаларды иеліктен шығарылған тасымалдаушыға жібереді, содан кейін өзінің жұмыс компьютері арқылы оларды файлдық серверге жазады, олар UTA-ға, содан кейін Ресей Банкінің төлем жүйесіне түседі.
Бұл жағдайда ашық және қорғалған деректермен алмасу арналарына мыналар кіреді: файл сервері, маманның жұмыс компьютері және иеліктен шығарылған медиа.
Атака
Рұқсат етілмеген шабуылдаушылар маманның жұмыс компьютеріне қашықтан басқару жүйесін орнатады және төлем тапсырмаларын (электрондық хабарламаларды) аударылатын тасымалдаушыға жазу кезінде олардың біреуінің мазмұнын анық мәтінмен ауыстырады. Маман төлем тапсырмаларын КБР автоматтандырылған жұмыс орнына ауыстырады, оларды ауыстыруды байқамай қол қояды және шифрлайды (мысалы, рейстегі төлем тапсырмаларының көптігінен, шаршағандықтан және т.б.). Осыдан кейін жалған төлем тапсырмасы технологиялық тізбектен өтіп, Ресей Банкінің төлем жүйесіне түседі.
Сценарий 2. U2.2 және U4.2 қатерлерін іске асыру мысалы.
Объектінің сипаттамасы
Орнатылған жұмыс станциясы KBR, SCAD Signature және FKN vdToken қосылған кілт тасымалдаушысы бар компьютер персонал рұқсатынсыз арнайы бөлмеде жұмыс істейді.
Есептеу маманы CBD жұмыс станциясына RDP протоколы арқылы қашықтан қол жеткізу режимінде қосылады.
Атака
Шабуылшылар есептеу маманы CBD жұмыс станциясымен қосылатын және жұмыс істейтін мәліметтерді ұстайды (мысалы, оның компьютеріндегі зиянды код арқылы). Содан кейін олар оның атынан қосылып, Ресей Банкінің төлем жүйесіне жалған төлем тапсырмасын жібереді.
Сценарий 3. Қауіпті іске асыру мысалы U1.3.
Объектінің сипаттамасы
Шығыс құжаттардың электрондық қолтаңбасы ABS жағында орын алатын жаңа схема (AWS KBR-N) үшін ABS-KBR интеграциялық модульдерін енгізудің гипотетикалық нұсқаларының бірін қарастырайық. Бұл жағдайда ABS CIPF SKAD қолтаңбасы қолдамайтын операциялық жүйе негізінде жұмыс істейді деп болжаймыз және сәйкесінше криптографиялық функционалдылық жеке виртуалды машинаға - «ABS-KBR» интеграциясына ауысады. модуль.
Кілт тасымалдаушысы ретінде қайтарылатын кілт режимінде жұмыс істейтін кәдімгі USB таңбалауышы пайдаланылады. Негізгі медианы гипервизорға қосу кезінде жүйеде бос USB порттары жоқ екені анықталды, сондықтан USB таңбалауышын желілік USB хабы арқылы қосу және виртуалды компьютерге USB-over-IP клиентін орнату туралы шешім қабылданды. концентратормен байланысатын машина.
Атака
Зиянкестер USB хабы мен гипервизор арасындағы байланыс арнасынан электрондық қолтаңбаның жабық кілтін ұстады (деректер анық мәтінде жіберілді). Жеке кілтке ие бола отырып, қаскүнемдер жалған төлем тапсырмасын жасап, оған электронды қолтаңбамен қол қойып, орындау үшін KBR-N автоматтандырылған жұмыс орнына жіберді.
Сценарий 4. Қауіптерді жүзеге асыру мысалы U5.5.
Объектінің сипаттамасы
Алдыңғы сценарийдегідей схеманы қарастырайық. Біз KBR-N жұмыс станциясынан келетін электрондық хабарламалар …SHAREIn қалтасында аяқталады, ал KBR-N жұмыс станциясына және одан әрі Ресей Банкінің төлем жүйесіне жіберілетіндер …SHAREout қалтасына түседі деп есептейміз.
Сондай-ақ, интеграциялық модульді енгізу кезінде қайтарып алынған сертификаттардың тізімдері криптографиялық кілттер қайта шығарылған кезде ғана жаңартылады, сонымен қатар …SHAREIn қалтасына алынған электрондық хабарламалар тек тұтастықты бақылау және ашық кілтте сенімді бақылау үшін тексеріледі деп болжаймыз. электрондық қолтаңба.
Атака
Шабуыл жасаушылар алдыңғы сценарийде ұрланған кілттерді пайдаланып, алаяқ клиенттің шотына ақша түскені туралы ақпаратты қамтитын жалған төлем тапсырмасына қол қойып, оны қауіпсіз деректер алмасу арнасына енгізген. Төлем тапсырмасына Ресей Банкі қол қойғанын тексеру болмағандықтан, ол орындауға қабылданады.
Ақпарат көзі: www.habr.com