Николай Морозов – Информационная безопасность и защита информации (страница 2)

Герой применил маскарад – стандартный прием злоумышленников.

В банке я был за минуту до назначенного времени. Меня сразу же провели в кабинет управляющего. …Я начал с того, что являюсь представителем крупной строительной фирмы. … В ближайшее время мы намерены открыть филиал в Лос-Анджелесе. А посему решили открыть счет в «Пасифик энд Юнион». Я намекнул, что у нас весьма солидная фирма с большим оборотом. … Похоже, я произвел на него впечатление. …Все, что в его силах, сказал он, он будет счастлив исполнить. Мне стоит только попросить, и все услуги банка в моем распоряжении.– Думаю, больше мне пока ничего не понадобится, – сказал я. Помолчав, добавил: – Впрочем, вот еще что. Я заметил, у вас тут очень современное оборудование. Нечто подобное я хочу установить у себя в офисе. К кому мне обратиться? … В некотором роде наш бизнес сродни вашему.. – Я осторожно приближался к цели визита. – У нас есть клиенты по всей стране. И мы постоянно должны поддерживать с ними связь. Причем приходится все время обновлять данные. Я заметил, у вас есть автоматическая поисковая машина. Похоже, она довольно удобная. Вы сами ею довольны? Мне повезло. По-видимому, этот агрегат составлял предмет его гордости… – Прошу вас, мистер Мастерс, если она вас заинтересовала, я буду счастлив показать, как она работает. Мы ею очень довольны. Хотите посмотреть машину в действии? … Я сейчас попрошу мистера Флемминга показать ее вам… Я поднялся. Ноги у меня слегка обмякли. Я уже был на полпути к цели, но впереди маячила вторая половина.

В отличие от операциониста, управляющий поддался на уловку героя, предъявившего поддельный, самоподписанный атрибутный сертификат. Вместо того, чтобы этот сертификат верифицировать, он соблазнился привлекательными для банка значениями атрибутов и делегировал права доступа к поисковой машине.

Девушка, сидевшая за машиной, повернулась на своем стуле и вопросительно посмотрела на нас. Флемминг представил меня, затем, подавшись чуть вперед, начал свой рассказ. У нашего банка три тысячи пятьсот клиентов, – говорил он. – Каждому присвоен номер. Список номеров размещен на этом табло. Он указал на уже известную мне таблицу. Я подошел поближе и принялся ее разглядывать, лихорадочно пробегая по столбцам имен. Наконец нашел имя Римы. Ее номер был 2997. Мой мозг впитал эти цифры, как никогда еще ничего не впитывал, быстро и жадно.– После того как мы нашли номер, – продолжал Флемминг, – все, что нам остается, – это набрать его на клавиатуре, и регистрационная карточка немедленно выскакивает вот на этот поднос.– Объясняете вы понятно, – сказал я. Но как это работает? Девушка снисходительно улыбнулась мне:– Поверьте, эта машина работает безотказно.– Тогда продемонстрируйте нам, – попросил я, улыбнувшись ей в ответ.– Возьмем первый номер в нашей таблице, – сказал Флемминг. – Р. Айткен. Номер 0001. Мисс Лейкер, дайте нам карточку мистера Айткена. Девушка повернулась к машине, и пальцы пробежали по клавишам. Машина ожила, загудела и точно выплюнула на поднос карточку.– Вот так она работает, – сказал Флемминг, улыбаясь счастливой улыбкой. Я протянул руку:– Позвольте мне. Я скептик. Может быть, это карточка не мистера Айткена. По-прежнему улыбаясь во весь рот, он протянул мне карточку. Наверху жирным шрифтом было напечатано имя Айткена. – Пожалуй, впечатляет. Наверное, действительно имеет смысл платить за нее такие деньги. А можно, я сам попробую набрать номер? – Конечно, господин Мастерс. Прошу вас. Я склонился над клавиатурой. Я нажал клавиши, которые сложились в номер 2997. Сердце мое так бешено стучало, что я испугался, как бы Флемминг и девушка не услышали его. Машина снова загудела. Карточка показалась в металлической щели. Я почувствовал, как у меня на лице выступает пот. Я смотрел на машину не отрываясь и ждал. Наконец карточка оказалась на подносе. Флемминг и девушка улыбнулись. – Номер, который вы набрали, принадлежит мисс Риме Маршалл, – провозгласил Флемминг. – Посмотрите сами и убедитесь, что это ее карточка. Я протянул руку. Вот что я увидел: «Рима Маршалл. Счет. Санта-Барбара. Кредит $10 000». – Просто чудо. – Я, как мог, старался скрыть дрожь в голосе. – Что ж, большое спасибо. Это как раз то, что мне нужно. Полчаса спустя я уже мчался в Санта-Барбару на взятой напрокат машине.

Получив физический доступ к поисковой машине, герой выполнил нужный запрос и раскрыл необходимую ему конфиденциальную информацию. Дальше требовалось сделать следующий шаг – пройти по ссылке и найти саму Риму. Холлидей едет в известную всем Санта-Барбару.

Прямо напротив банка располагался небольшой отель. … Я попросил комнату с видом на улицу. … Я подошел к окну. Банк был как на ладони. … Я знал, что не посмею повторить тот же трюк, что использовал в Лос-Анджелесе, дабы взглянуть на ее регистрационную карточку. … Если я буду сидеть у окна и наблюдать, возможно, мне удастся увидеть, когда она придет в банк, а потом выследить ее. Но для этого нужно много времени. А я должен быть на работе не позже послезавтрашнего утра. Но может быть, мне повезет, и завтра я увижу ее. Я решил ждать, хотя шансов, что она появится здесь именно завтра, ой как мало. На следующее утро… я придвинул стул и сел к окну. … Я надеялся до последнего. Но когда двери банка закрылись, я впал в такое отчаяние, что готов был перерезать себе горло. … Похоже, шансов найти Риму до того, как придет срок второго платежа, больше не было. Весь вечер я лихорадочно пытался придумать какой-нибудь другой способ ее поиска, кроме безнадежного наблюдения за банком, но не смог. Совершенно бесполезно было ходить по улицам в надежде случайно ее встретить. К тому же это было опасно. Вдруг она заметит меня первой и исчезнет из моего поля зрения навсегда. Внезапно мне в голову пришла идея. А может быть, обратиться в детективное агентство? Но потом понял, что не посмею этого сделать. Потому что, когда ее найдут, я должен буду ее убить. А в агентстве меня наверняка запомнят. Они скажут полиции, что это я их нанял, и полиция начнет розыск. Я должен сделать все сам.

Для достижения цели герой не придумал ничего лучшего, кроме как прослушивать (просматривать?) сетевой трафик вблизи сервера в надежде на то, что разыскиваемый клиент обратится в это время к этому серверу. Поскольку эту деятельность не представлялось возможным автоматизировать или перепоручить агенту-посреднику (прокси-агенту), пришлось осуществлять ее самому. Как и следовало ожидать, результат оказался отрицательным. Отметим, что атакующий опасается действовать там, где хорошо налажен сбор и анализ регистрационной информации (в небольшом отделении банка, в детективном агентстве), считая опасность прослеживания источника атаки реальной. Прошло несколько дней. Герой перевел на счет шантажистки очередную сумму, ударным трудом заработал еще несколько отгулов и решил повторить попытку, вернувшись в Санта-Барбару. Наблюдение за банком вновь ничего не дало. В отчаянии Холлидей решает расширить зону прослушивания сети, осуществляя его в случайных точках. Он отправился бродить по улицам; как и следовало ожидать, в полном соответствии с законами жанра ему повезло…

Я собрался уже было идти дальше, как вдруг из ресторана выбежал крупный мужчина и, нагнув голову, ринулся по деревянному пирсу в мою сторону. Когда он пробегал под фонарем, свет упал на его плечи, и я вдруг узнал кремовое пальто и брюки бутылочного цвета. Это был приятель Римы! Если бы не дождь, ему не пришлось бы бежать, нагнув голову, и он бы заметил меня и наверняка узнал. … Теперь он искал что-то в бардачке «понтиака» -кабриолета. … Потом он, видимо, нашел, что искал, развернулся и рванул назад в ресторан. Некоторое время я смотрел ему вслед. Затем неторопливо подошел к «понтиаку» и осмотрел его. Это был выпуск 1957 года, в довольно плохом состоянии. … Я быстро нащупал регистрационный ярлычок на руле и поднес к нему зажигалку. На нем было аккуратно выведено: «ЭД ВАЗАРИ. Бунгало. Восточный берег, Санта-Барбара». …Была ли Рима с ним в ресторане? Живут ли они вместе по этому адресу? … И тут я их увидел. Они бегом выскочили из ресторана, … нырнули в «понтиак» и умчались. Если бы я внимательно не следил за машиной, наверняка пропустил бы их, так молниеносно все это произошло.

В информационных системах у объектов может быть несколько представлений. Если права доступа к этим представлениям различаются, есть вероятность раскрытия конфиденциальной информации. В данном случае общедоступная информация о владельце автомобиля оказалась альтернативным представлением тщательно скрываемого адреса Римы Маршалл. Обратим внимание на важность постоянной готовности и высокого уровня детализации при сборе регистрационной информации. Смотреть надо всегда и все – вдруг что интересное пропустишь? Итак, герой получил нужную ему информацию. Что было дальше – спросите у Чейза…

Тема 1. Системный подход к проблеме защиты информации в современном офисе

.

ГЛАВА 1.1. НАЗНАЧЕНИЕ И СОСТАВ АИС (АППАРАТНОЕ, ПРОГРАММНОЕ И ДРУГИЕ ВИДЫ ОБЕСПЕЧЕНИЯ) СОВРЕМЕННОГО ОФИСА

Знакомство с проблемой защиты информации в современном офисе начнем со знакомства с основными понятиями и определениями, связанными с деятельностью специалистов, работающих в таком офисе. Поскольку любой специалист (бухгалтер, экономист, юрист, менеджер и др.), работающий в офисе, работает, прежде всего, с соответствующей профессиональной (деловой) информацией, то ей и первое слово [3].