Взломы и несанкционированный доступ к ПК

11.1 Как "обойти" пароль BIOS?

2. Разработка и распространение компьютерных вирусов

Так же лёгкий способ получить информацию - это ввод в программное обеспечение “логических бомб”, которые срабатывают при выполнении определенных условий и частично или полностью выводят из строя компьютерную систему.

“Временная бомба” - разновидность “логической бомбы”, которая срабатывает по достижении определенного момента времени.

Способ “троянский конь” состоит в тайном введении в чужую программу таких команд, позволяют осуществлять новые, не планировавшиеся владельцем программы функции, но одновременно сохранять и прежнюю работоспособность.

С помощью “троянского коня” преступники, например, отчисляют на свой счет определенную сумму с каждой операции.

Компьютерные программные тексты обычно чрезвычайно сложны. Они состоят из сотен, тысяч, а иногда и миллионов команд. Поэтому “троянский конь” из нескольких десятков команд вряд ли может быть обнаружен, если, конечно, нет подозрений относительно этого. Но и в последнем случае экспертам-программистам потребуется много дней и недель, чтобы найти его.

Есть еще одна разновидность “троянского коня”. Ее особенность состоит в том, что в безобидно выглядящей кусок программы вставляются не команды, собственно, выполняющие “грязную” работу, а команды, формирующие эти команды и после выполнения уничтожающие их. В этом случае программисту, пытающемуся найти “троянского коня”, необходимо искать не его самого, а команды его формирующие. Развивая эту идею, можно представить себе команды, которые создают команды и т.д. (сколь угодно большое число раз), создающие “троянского коня”.

В США получила распространение форма компьютерного вандализма, при которой “троянский конь” разрушает через какой-то промежуток времени все программы, хранящиеся в памяти машины. Во многих поступивших в продажу компьютерах оказалась “временная бомба”, которая “взрывается” в самый неожиданный момент, разрушая всю библиотеку данных. Не следует думать, что “логические бомбы” - это экзотика, несвойственная нашему обществу.

“Троянские кони” типа “сотри все данные этой программы, перейди в следующую и сделай тоже самое” обладают свойствами переходить через коммуникационные сети из одной системы в другую, распространяясь как вирусное заболевание.

Выявляется вирус не сразу: первое время компьютер “вынашивает инфекцию”, поскольку для маскировки вирус нередко используется в комбинации с “логической бомбой” или “временной бомбой”. Вирус наблюдает за всей обрабатываемой информацией и может перемещаться, используя пересылку этой информации. Все происходит, как если бы он заразил белое кровяное тельце и путешествовал с ним по организму человека.

Начиная действовать, вирус дает команду компьютеру, чтобы тот записал зараженную версию программы. После этого он возвращает программе управление. Пользователь ничего не заметит, так как его компьютер находится в состоянии “здорового носителя вируса”. Обнаружить этот вирус можно, только обладая чрезвычайно развитой программистской интуицией, поскольку никакие нарушения в работе ЭВМ в данный момент не проявляют себя. А в один прекрасный день компьютер “заболевает”.

По оценке специалистов в “обращении” находится более 100 типов вирусов.

Но все их можно разделить на две разновидности, обнаружение которых различно по сложности : “вульгарный вирус” и “раздробленный вирус”. Программа “вульгарного вируса” написана единым блоком, и при возникновении подозрений в заражении ЭВМ эксперты могут обнаружить ее в самом начале эпидемии (размножения). Эта операция требует, однако, крайне тщательного анализа всей совокупности операционной системы ЭВМ. Программа “раздробленного вируса” разделена на части, на первый взгляд, не имеющие между собой связи. Эти части содержат инструкции, которые указывают компьютеру, как собрать их воедино чтобы воссоздать и, следовательно, размножить вирус. Таким образом, он почти все время находится в “распределенном” состоянии, лишь на короткое время своей работы собираясь в единое целое. Как правило создатели вируса указывают ему число репродукций, после достижения которого он становится агрессивным.

Вирусы могут быть внедрены в операционную систему, прикладную программу или в сетевой драйвер.

Варианты вирусов зависят от целей, преследуемых их создателем. Признаки их могут быть относительно доброкачественными, например, замедление в выполнении программ или появление светящейся точки на экране дисплея или копированием самого себя или других данных в глубоко закопанные папки. Так, по непонятным причинам программы начинают переполнять магнитные диски, в результате чего существенно увеличивается объем программных файлов. Наконец, эти проявления могут быть катастрофическими и привести к стиранию файлов и уничтожению программного обеспечения.

По-видимому, в будущем будут появляться принципиально новые виды вирусов. Например, можно себе представить (пока подобных сообщений не было) своего рода “троянского коня” вирусного типа в электронных цепях. В самом деле, пока речь идет только о заражении компьютеров. А почему бы - не микросхем, компакт-дисков? Ведь в 2004 году уже было подозрение на бактерии, которые поедают покрытие компакт-дисков.

Специалисты предостерегают от копирования ворованных программ. Иногда, однако, и официально поставляемые программы могут быть источником заражения.

В печати часто проводится параллель между компьютерным вирусом и вирусом “AIDS”. Только упорядоченная жизнь с одним или несколькими партнерами способна уберечь от этого вируса. Беспорядочные связи со многими компьютерами почти наверняка приводят к заражению.

Естественно, что против вирусов были приняты чрезвычайные меры, приведшие к созданию текстовых программ-антивирусов. Защитные программы подразделяются на три вида: фильтрующие (препятствующие проникновению вируса), противоинфекционные (постоянно контролирующие процессы в системе) и противовирусные (настроенные на выявление отдельных вирусов).

Однако развитие этих программ пока не успевает за развитием компьютерной эпидемии.

Справедливости ради следует отметить, что распространение компьютерных вирусов имеет и некоторые положительные стороны. В частности, они являются, по-видимому, лучшей защитой от похитителей программного обеспечения. Зачастую разработчики сознательно заражают свои дискеты каким-либо безобидным вирусом, который хорошо обнаруживается любым антивирусным тестом. Это служит достаточно надежной гарантией, что никто не рискнет копировать такую дискету.

2.1 Новый очень опасный сетевой червь Sasser

3. Хищение компьютерной информации

Если “обычные” хищения подпадают под действие существующего уголовного закона, то проблема хищения информации значительно более сложна. Присвоение машинной информации, в том числе программного обеспечения, путем несанкционированного копирования не квалифицируется как хищение, поскольку хищение сопряжено с изятием ценностей из фондов организации. Не очень далека от истины шутка, что у нас программное обеспечение распространяется только путем краж и обмена краденым. При неправомерном обращении в собственность машинная информация может не изыматься из фондов, а копироваться. Следовательно, как уже отмечалось выше, машинная информация должна быть выделена как самостоятельный предмет уголовно-правовой охраны.

Рассмотрим теперь вторую категорию преступлений, в которых компьютер является “средством” достижения цели. Здесь можно выделить разработку сложных математических моделей, входными данными в которых являются возможные условия проведения преступления, а выходными данными - рекомендации по выбору оптимального варианта действий преступника.

Другой вид преступлений с использованием компьютеров получил название “воздушный змей”.

В простейшем случае требуется открыть в двух банках по небольшому счету. Далее деньги переводятся из одного банка в другой и обратно с постепенно повышающимися суммами. Хитрость заключается в том, чтобы до того, как в банке обнаружится, что поручение о переводе не обеспечено необходимой суммой, приходило бы извещение о переводе в этот банк, так чтобы общая сумма покрывала требование о первом переводе. Этот цикл повторяется большое число раз (“воздушный змей” поднимается все выше и выше) до тех пор, пока на счете не оказывается приличная сумма (фактически она постоянно “перескакивает” с одного счета на другой, увеличивая свои размеры). Тогда деньги быстро снимаются, а владелец счета исчезает. Этот способ требует очень точного расчета, но для двух банков его можно сделать и без компьютера. На практике в такую игру включают большое количество банков: так сумма накапливается быстрее и число поручений о переводе не достигает подозрительной частоты. Но управлять этим процессом можно только с помощью компьютера.

4. Защита от несанкционированного доступа

Проблема защиты информации от несанкционированного доступа особо обострилась с широким распространением локальных и, особенно, глобальных компьютерных сетей. Необходимо также отметить, что зачастую ущерб наносится не из-за “злого умысла”, а из-за элементарных ошибок пользователей, которые случайно портят или удаляют жизненно важные данные. В связи с этим, помимо контроля доступа, необходимым элементом защиты информации в компьютерных сетях является разграничение полномочий пользователей.

В компьютерных сетях при организации контроля доступа и разграничения полномочий пользователей чаще всего используются встроенные средства сетевых операционных систем. Так, крупнейший производитель сетевых ОС - корпорация Novell - в своем последнем продукте NetWare 4.1 предусмотрел помимо стандартных средств ограничения доступа, таких, как система паролей и разграничения полномочий, ряд новых возможностей, обеспечивающих первый класс защиты данных. Новая версия NetWare предусматривает, в частности, возможность кодирования данных по принципу “открытого ключа” (алгоритм RSA) с формированием электронной подписи для передаваемых по сети пакетов.

В то же время в такой системе организации защиты все равно остается слабое место: уровень доступа и возможность входа в систему определяются паролем. Не секрет, что пароль можно подсмотреть или подобрать. Для исключения возможности неавторизованного входа в компьютерную сеть в последнее время используется комбинированный подход - пароль + идентификация пользователя по персональному “ключу”. В качестве “ключа” может использоваться пластиковая карта (магнитная или со встроенной микросхемой - smart-card) или различные устройства для идентификации личности по биометрической информации - по радужной оболочке глаза или отпечатков пальцев, размерам кисти руки и так далее.

Оснастив сервер или сетевые рабочие станции, например, устройством чтения смарт-карточек и специальным программным обеспечением, можно значительно повысить степень защиты от несанкционированного доступа. В этом случае для доступа к компьютеру пользователь должен вставить смарт-карту в устройство чтения и ввести свой персональный код. Программное обеспечение позволяет установить несколько уровней безопасности, которые управляются системным администратором. Возможен и комбинированный подход с вводом дополнительного пароля, при этом приняты специальные меры против “перехвата” пароля с клавиатуры. Этот подход значительно надежнее применения паролей, поскольку, если пароль подглядели, пользователь об этом может не знать, если же пропала карточка, можно принять меры немедленно.

Смарт-карты управления доступом позволяют реализовать, в частности, такие функции, как контроль входа, доступ к устройствам персонального компьютера, доступ к программам, файлам и командам.

5. Защита информации при удаленном доступе

По мере расширения деятельности предприятий, роста численности персонала и появления новых филиалов, возникает необходимость доступа удаленных пользователей (или групп пользователей) к вычислительным и информационным ресурсам главного офиса компании. Чаще всего для организации удаленного доступа используются кабельные линии (обычные телефонные или выделенные) и радиоканалы. В связи с этим защита информации, передаваемой по каналам удаленного доступа, требует особого подхода.

В частности, в мостах и маршрутизаторах удаленного доступа применяется сегментация пакетов - их разделение и передача параллельно по двум линиям,- что делает невозможным “перехват” данных при незаконном подключении “хакера” к одной из линий. К тому же используемая при передаче данных процедура сжатия передаваемых пакетов гарантирует невозможности расшифровки “перехваченных” данных.

Разработаны и специальные устройства контроля доступа к компьютерным сетям по коммутируемым линиям. Например, фирмой AT&T предлагается модуль Remote Port Security Device (PRSD), представляющий собой два блока размером с обычный модем: RPSD Lock (замок), устанавливаемый в центральном офисе, и RPSD Key (ключ), подключаемый к модему удаленного пользователя. RPSD Key и Lock позволяют установить несколько уровней защиты и контроля доступа, в частности:

- шифрование данных, передаваемых по линии при помощи генерируемых цифровых ключей;

- контроль доступа в зависимости от дня недели или времени суток (всего 14 ограничений).

Широкое распространение радиосетей в последние годы поставило разработчиков радиосистем перед необходимостью защиты информации от “хакеров”, вооруженных разнообразными сканирующими устройствами. Были применены разнообразные технические решения. Например, в радиосети компании RAM Mobil Data информационные пакеты передаются через разные каналы и базовые станции, что делает практически невозможным для посторонних собрать всю передаваемую информацию воедино. Активно используются в радио сетях и технологии шифрования данных при помощи алгоритмов DES и RSA.

6. Взлом паролей

6.1 Что такое парольный взломщик?

Наиболее эффективным является метод взлома парольной защиты операционной системы (в дальнейшем - ОС), при котором атаке подвергается системный файл, содержащий информацию о легальных пользователях и их паролях. Однако любая современная ОС надежно защищает пользовательские пароли, которые хранятся в этом файле, при помощи шифрования. Кроме того, доступ к таким файлам, как правило, по умолчанию запрещен даже для системных администраторов, не говоря уже о рядовых пользователях операционной системы. Тем не менее, в ряде случаев злоумышленнику удается путем различных ухищрений получить в свое распоряжение файл с именами пользователей и их зашифрованными паролями. И тогда ему на помощь приходят так называемые парольные взломщики - специализированные программы, которые служат для взлома паролей операционных систем.

6.2 Как работает парольный взломщик?

Криптографические алгоритмы, применяемые для шифрования паролей пользователей в современных ОС, используют необратимое шифрование, что делает невозможным более эффективный алгоритм взлома, чем тривиальный перебор возможных вариантов. Поэтому парольные взломщики иногда просто шифруют все пароли с использованием того же самого криптографического алгоритма, который применяется для их засекречивания в атакуемой ОС. Затем они сравнивают результаты шифрования с тем, что записано в системном файле, где находятся шифрованные пароли пользователей этой системы. При этом в качестве вариантов паролей парольные взломщики используют символьные последовательности, автоматически генерируемые из некоторого набора символов. Данный способ позволяет взломать все пароли, если известно их представление в зашифрованном виде, и они содержат только символы из данного набора. За счет очень большого числа перебираемых комбинаций, которое растет экспоненциально с увеличением числа символов в исходном наборе, такие атаки парольной защиты ОС могут отнимать слишком много времени. Однако хорошо известно, что большинство пользователей операционных систем особо не затрудняют себя выбором стойких паролей, то есть таких, которые трудно взломать. Поэтому для более эффективного подбора паролей взломщики обычно используют специальные словари, которые представляют собой заранее сформированный список слов, наиболее часто используемых на практике в качестве паролей. (Большой набор словарей можно найти на сайте http://www.password.ru). К каждому слову из словаря парольный взломщик применяет одно или несколько правил, в соответствии с которыми оно видоизменяется и порождает дополнительное множество опробуемых паролей:

§ производится попеременное изменение буквенного регистра, в котором набрано слово;

§ порядок следования букв в слове меняется на обратный;

§ в начало и в конец каждого слова приписывается цифра 1;

§ некоторые буквы изменяются на близкие по начертанию цифры.

В результате, например, из слова password получается pa55w0rd). Это повышает вероятность нахождения пароля, поскольку в современных ОС, как правило, различаются пароли, набранные заглавными и строчными буквами, а пользователям этих систем настоятельно рекомендуется выбирать такие, в которых буквы чередуются с цифрами. Одни парольные взломщики поочередно проверяют каждое слово из специального словаря, применяя к нему определенный набор правил для генерации дополнительного множества опробуемых паролей. Другие предварительно обрабатывают весь словарь при помощи этих же правил, получая новый словарь большего размера, из которого затем черпают проверяемые пароли. Учитывая, что обычные словари естественных человеческих языков состоят всего из нескольких сотен тысяч слов, а скорость шифрования паролей достаточно высока, парольные взломщики, осуществляющие поиск по словарю, работают достаточно быстро (до одной минуты).

7. Взлом операционных систем (на примере Windows NT/2000/9x)

7.1 База данных учетных записей пользователей

компьютерный взлом вирус пароль доступ

Одним из основных компонентов системы безопасности Windows NT/2000/XP является диспетчер учетных записей пользователей. Он обеспечивает взаимодействие других компонентов системы безопасности, приложений и служб Windows NT/2000/XP с базой данных учетных записей пользователей (Security Account Management Database, сокращенно SAM). Эта база обязательно имеется на каждом компьютере с Windows NT/2000/XP. В ней хранится вся информация, используемая для аутентификации пользователей Windows NT/2000/XP при интерактивном входе в систему и при удаленном доступе к ней по компьютерной сети. База данных SAM представляет собой один из разделов (hive) системного реестра (registry) Windows NT/2000/XP. Этот раздел принадлежит ветви (subtree) HKEY_LOCAL_MACHINE и называется SAM. Он располагается в каталоге \winnt_root\System32\Config (winnt_root - условное обозначение каталога с системными файлами Windows NT/2000/XP) в отдельном файле, который тоже называется SAM. Основная часть информации в базе данных SAM хранится в двоичном виде. Доступ к ней обычно осуществляется с помощью диспетчера учетных записей. Изменять записи, хранящиеся в базе данных SAM, при помощи программ, которые напрямую редактируют реестр Windows NT/2000/ХР(REGEDT или REGEDT32), не рекомендуется. По умолчанию этого и нельзя делать, т. к. доступ к базе данных SAM запрещен для всех без исключения категорий пользователей Windows NT/2000/XP.

7.2 Хранение паролей пользователей

Именно в учетных записях базы данных SAM находится информация о пользовательских именах и паролях, которая необходима для идентификации и аутентификации пользователей при их интерактивном входе в систему. Как и в любой другой современной многопользовательской ОС, эта информация хранится в зашифрованном виде. В базе данных SAM каждый пароль пользователя обычно бывает представлен в виде двух 16-байтовых последовательностей, полученных разными методами (Windows NT/2000/ХР и LAN).

В методе Windows NT/2000/ХР строка символов пользовательского пароля хешируется с помощью функции MD4. (В алгоритме хеширования MD4 исходная битовая последовательность дополняется так, чтобы ее длина в битах плюс 64 нацело делилась на 512. Затем к ней приписывается 64-битовое значение ее первоначальной длины. Полученная таким образом новая последовательность обрабатывается блоками по 512 бит с помощью специальной итерационной процедуры. В результате на выходе MD4 получается так называемая "выжимка" исходной последовательности, имеющая длину 128 бит. Алгоритм MD4 оптимизирован для 32-разрядных аппаратных платформ и работает довольно быстро). В итоге из введенного пользователем символьного пароля получается 16-байтовая последовательность - хешированный пароль Windows NT/2000/ХР. Эта последовательность затем шифруется по DES-алгоритму, и результат шифрования сохраняется в базе данных SAM. При этом в качестве ключа используется так называемый относительный идентификатор пользователя (Relative Identifier, сокращенно RID), который представляет собой автоматически увеличивающийся порядковый номер учетной записи данного пользователя в базе данных SAM. Для совместимости с другим программным обеспечением корпорации Microsoft (Windows for Workgroups, Windows 95/98 и Lan Manager) в базе данных SAM хранится также информация о пароле пользователя в стандарте Lan Manager. Для его формирования все буквенные символы исходной строки пользовательского пароля приводятся к верхнему регистру, и если пароль содержит меньше 14 символов, то он дополняется нулями. Из каждой 7-байтовой половины преобразованного таким образом пароля пользователя (длина пароля в Windows NT/2000/ХР ограничена 14 символами, ограничение накладывается диспетчером учетных записей), отдельно формируется ключ для шифрования некоторой фиксированной 8-байтовой последовательности по DES-алгоритму. DES-алгоритм является одним из самых распространенных алгоритмов шифрования данных. В США он имеет статус федерального стандарта. Это блочный алгоритм шифрования с симметричным ключом длиной 64 бита, из которых только 56 непосредственно используются при шифровании, а остальные 8 предназначены для контроля четности байтов ключа. При этом в качестве ключа используется PID (персональный идентификатор) пользователя).

Полученные в результате две 8-байтовые половины хешированного пароля Lan Manager еще раз шифруются по DES-алгоритму и помещаются в базу данных SAM.

В настоящее время существует около 10 способов подбора паролей и бесконечное множество специальных программ. Но особо популярны 2 метода подбора:

- метод полного перебора;

- с использованием словарей паролей.

Метод полного перебора заключается в том, что программа по очереди перебирает все комбинации из символов буквенного, числового и символьного алфавитов. Этот метод требует много времени и терпения. Ниже приведены примерные расчёты затрачиваемого времени на пароли длиной до 9 символов:

Существует более быстрый, но менее эффективный способ подбора паролей. Он заключается в следующем: программа уже имеет базу самых популярных паролей, и уже из этого списка подставляет значения в поле ввода пароля. Минус в том, что этот способ рассчитан на пользователя - «ламера», который не позаботился и не придумал пароль с использованием чередующихся символов буквенного и числового алфавита.

Я решил рассказать вам про 2 известные способа взлома почты:

1) Создаёте почтовый адрес с логином близким к «административному», например, чтобы узнать пароль пользователя mail.ru создаём почтовый ящик admin@mail.ru и рассылаем с него письма на ящики жертв с текстом: «На нашем сервере произошел сбой, просим Вас прислать свой логин и пароль для перерегистрации, иначе Вы можете лишиться права пользоваться нашими услугами. Администрация». При этом в теме надо указать: «Администрация».

3) Узнать у самой жертвы пароль. Начинаете переписку с жертвой во время переписки узнаёте про жертву побольше личной информации заходите в почту жертвы набираете логин, нажимаете «я забыл пароль» отвечаете на вопрос который там оставила ваша жертва, оп почта под вашим контролем.

Так же существуют программы, заметно отличающиеся от выше представленных.

8. Безопасность Windows Vista

Не секрет, что корпорация Microsoft самым активным образом продвигает технологию x64 путем внедрения ряда уникальных возможностей в 64- разрядные варианты версий Windows Vista Home Basic, Vista Home Premium, Vista Business, Vista Enterprise и Vista Ultimate. По заверениям софтверного гиганта благодаря ключевым усовершенствованиям и новым технологиям, реализованным только для x64-версий Vista, эти системы можно будет по праву считать самыми безопасными вариантами клиентских ОС, когда-либо созданными Microsoft. Microsoft явно пытается показать миру по- настоящему защищенную систему, подтверждением чего являются новые средства безопасности x64-версий Vista в сочетании с такими функциями x32- версий Vista, как User Account Control (UAC), Windows Defender, Windows Firewall, Windows Service Hardening, Encrypting File System (EFS) и Bit- Locker.

Авторитетный специалист по безопасности Джоанна Рутковска в конце июля нынешнего года изящно представила оригинальные способы обхода средств защиты информации Windows Vista. В ходе конференции Black Hat Briefings and Training, которая проходила в Лас-Вегасе с 28 июля по 2 августа, Рутковска и ее коллега Алекс Терешкин представили разработанные для Vista rootkit-программы. По словам Рутковской, из этических соображений участие в семинаре было ограничено только представителями "легитимных" компаний. Недавно Рутковска продемонстрировала методы, с помощью которых rootkits могут скрывать себя даже от самого надежного на сегодня механизма распознавания -- аппаратных средств, считывающих содержание оперативной памяти системы. По ее словам, июльская демонстрация была посвящена именно таким методам. До недавнего времени Рутковска работала в компании Coseinc, а в настоящее время занимается основанием в Польше новой компании, которая будет специализироваться на информационной безопасности…

Потрясает? Пожалуй да, ведь не будем забывать, что выход системы состоялся ну совсем уж недавно. Однако то ли еще будет. Как обещает многоуважаемая Джоанна Рутковска, это только начало, ведь в планах ближайшего времени -- опубликовать новые оригинальные способы взлома пресловутой защиты NT 6.0. Чего же все-таки стоит хваленая безопасность новой ОС, и какие технологии за этим стоят? Давайте разберемся.

8.1 Драйверы с цифровой подписью

Никто не будет отрицать, что значительная часть потенциальных проблем безопасности ОС как раз таки связана с драйверами. По заявлениям Microsoft x64-версии, Vista будут допускать установку драйверов исключительно с цифровой подписью. Порочная практика “драйвер не имеет цифровой подписи -- все равно продолжить” должна теперь кануть в небытие?! Понятное дело, что обязательное подписывание драйверов в значительной степени способствует надежности Windows Vista, ведь большинство сбоев ОС и критических ошибок связаны именно с недоработкой драйверов режима ядра. Прокомментировать подобный вариант защиты от установки драйверов без цифровой подписи можно было бы вполне однозначно -- новая технология исправно защищает ядро ОС от модификаций, обеспечивая, как бы это хотелось сказать, непревзойденный уровень защиты… Однако постойте. В начале августа этого года Symantec обнародовала до примитива простой способ обхода всей этой хваленой защиты: защита ядра 32- и 64-битных версий Vista от установки неподписанных драйверов может быть взломана с помощью простой бесплатной утилиты! Специалистам Symantec удалось обнаружить в свободном доступе программу Atsiv, разработанную австралийской компанией Linchpin Labs. Реакция Microsoft на появившееся средство обхода защиты Vista пока неизвестна.

8.2 Средства обхода защиты

PatchGuard

Как следует из названия, PatchGuard создан для того, чтобы обеспечить защиту от несанкционированной модификации ядра Vista вредоносным кодом. По определению Microsoft, PatchGuard представляет собой не что иное, как “метод предотвращения расширения драйверов режима ядра или замены других служб ядра, а также редактирования какой-либо части ядра сторонними программами”. Чтобы понять суть данной технологии защиты, будет полезным разобраться в том, что же такое kernel patching (изменение ядра). Под Kernel patching, как это следует из названия, понимается некая модификация/замена критических областей данных ядра Windows на другой код или данные, которые могут быть потенциально вредоносными. Модификация эта, в свою очередь, возможна посредством использования внутренних системных вызовов или другим способом. Вообще модификация и патчинг ядра, по сути, не являются чем-то экзотическим и априорно запрещенным для системы, ведь многие производители ПО достаточно часто модифицируют его для своих целей, например, изменяя адрес функции-обработчика системного вызова (указатель функции) в таблице системных вызовов (system service table -- SST). Вдаваясь в технические подробности работы PatchGuard, следует сказать следующее: благодаря данной технологии в системе запрещена модификация таких компонентов ядра, как:

§ Таблицы системных вызовов (system service tables, SST).

§ Таблица глобальных дескрипторов (global descriptor table -- GDT).

§ Таблица прерываний (interrupt descriptor table -- IDT).

§ Изменение любой части ядра (работает только на AMD64-системах).

В случае, если какой-либо код попытается модифицировать вышеописанные компоненты ядра, операционная система сгенерирует т.н. bug check и экстренно завершит свою работу. По официальным заявлениям Microsoft, данный компонент системы защиты ядра отключить невозможно. Однако, как оно всегда и бывает, нет ничего невозможного: защита ядра все-таки отключается. Подобное вполне возможно, если в системе работает отладчик ядра.

NX (No Execute) DEP!

Под загадочной аббревиатурой NX стоит вполне прозрачная технология DEP -- DATA EXECUTION PREVENTION. Реализованная программно в 32-битной версии Windows Vista, в 64-разрядной версии ОС NX реализован аппаратно. Понятное дело, что аппаратно реализованная функция DEP более надежна, поскольку здесь на страже нашей безопасности стоит само железо. Для того, чтобы лучше понять, что же такое NX, необходимо разобраться в DEP. DEP -- предотвращение выполнения данных (DEP) -- используется для предотвращения проникновения на компьютер вирусов и других угроз безопасности, которые выполняют вредоносный код из областей памяти, которые должны использоваться только операционной системой Windows и другими программами. В ходе своей работы DEP следит, чтобы программы использовали системную память безопасным образом. Для этого DEP работает отдельно или вместе с совместимыми микропроцессорами и помечает некоторые области как “невыполняемые”. Если программа пытается запустить код (любой код) из защищенной области, DEP закрывает программу и отображает уведомление (подобный метод инфекции, описанный выше, при котором вредоносный код выполняется из запрещенных областей памяти, реализуется посредством переполнения буфера). Механизм переполнения буфера, в свою очередь, заключается в следующем: предположим, что некая процедура для хранения данных использует буфер. Буфер находится в стеке (в определенной области памяти, которая используется во время выполнения программы). Представим в стеке несколько переменных и адрес возврата функции -- число, показывающее, куда передать управление после выполнения текущей процедуры. Каким образом программа записывает данные в N-й байт буфера? К адресу начала буфера прибавляется число N. Полученный результат и есть адрес, по которому будут записаны данные. Если размер буфера равен 1024 байта, а мы попытаемся «втиснуть» в него больше, то некоторая часть данных попадет в другую область памяти. Может произойти так, что адрес возврата функции затрется, и как следствие программа выполнит не тот код, на который указывал предыдущий адрес возврата.

Возвращаясь к NX и резюмируя вышесказанное, следует отметить: NX позволяет программному обеспечению помечать сегменты памяти, в которых будут храниться только данные, и процессор не позволит приложениям и службам исполнять произвольный код в этих сегментах. Капитально, скажет кто- нибудь из читателей. Действительно, капитально, если бы не одно но. Методология обхода аппаратной реализации DEP давно уже отработана и поставлена, если так можно выразиться, на поток.

ASLR

Ну что ж, продолжим наш экскурс в технологии защиты новой линейки 6.0. Фанфары и салют, не побоюсь излишнего пафоса: наш следующий подопытный конкурсант, призванный сделать Windows Vista сверхзащищенной системой, -- это ASLR (Address Space Layout Randomization), или, по- нашему, технология, обеспечивающая случайное расположение адресного пространства. Говоря о технологии ASLR, следует все же отдать должное Microsoft в обеспечении безопасности Windows Vista. Введя ASLR, спецы из корпорации ни много ни мало позаботились о том, чтобы усложнить жизнь писателям эксплойтов. По мнению разработчиков, ASLR практически полностью исключает угрозу удаленных атак для Windows-платформ. Все дело в том, что в настоящее время Windows предусматривает загрузку системных файлов с использованием одинакового смещения в памяти при загрузке системы, что позволяет посредством эксплойта внедрять код “по месту назначения”. Соль новой технологии заключается в том, что в x64-версиях Vista системные файлы загружаются в случайные адреса памяти, что существенно осложняет написание работающего эксплойта. По заверениям Microsoft, свыше 99% всех удаленных атак на x64-версий Vista закончатся крахом.

Смысл ASLR прост и заключается в следующем: каждый раз, когда компьютер перезагружается, ASLR в случайном порядке назначает 1 из 256 возможных вариантов адреса для расположения ключевых системных DLL- и EXE-файлов. А это осложняет поиск эксплойтом нужных файлов и как следствие препятствует выполнению эксплойта. Нетрудно догадаться, что теперь существует всего один шанс из 256, что текущая загрузка файлов произойдет с адреса с тем же смещением, что и при предыдущей загрузке. Потрясает? Действительно. Несомненно, введение данной технологии выведет защиту ОС на принципиально новый уровень. А вот на какой уровень данное нововведение выведет написание эксплойтов?

Как прокомментировал в списке почтовой рассылки BugTraq исследователь из Next Generation Security Software Дэвид Личфилд (David Litchfield): “Дистанционное использование переполнений значительно усложнилось”, -- на что некто под псевдонимом c0ntex в ответе Личфилду заверил, что ASLR “уже много лет элементарно обходится в Linux”… Ну что ж, рассмотрение «самых страшных и могущественных” технологий защиты NT 6.0 (большинство из которых реализовано аппаратно) закончено, и, как видите, не так все и безоблачно;). Приступим к рассмотрению технологий защиты прикладного уровня, реализованных большей частью программно.

Windows Defender

Нововведением Windows новой линейки стал Windows Defender, как оно следует из названия компонент, призванный активно защищать нашу Ось. Как это отмечено в официальном описании Microsoft, данный компонент защищает компьютер от руткитов, кейлоггеров, шпионов, adware, bots и другого вредоносного ПО. Хотя от червей и вирусов не защищает:). Ну да ладно, антивирус-то все равно придется ставить свой. Итак, кто же такой этот Windows Defender? Windows Defender содержит 9 агентов безопасности, которые постоянно наблюдают за теми критическими областями ОС, которые наиболее часто пытается изменить вредоносное ПО. К таким относятся:

§ Автозагрузка. Агент безопасности постоянно наблюдает за списком программ, которым позволено загружаться при старте системы. Таким образом, реализуется защита от вредоносного ПО, которое пытается загрузиться вместе с системой.

§ Настройки безопасности системы. Агент безопасности постоянно проверяет настройки безопасности Windows. Не секрет, что некоторое вредоносное ПО старается изменить настройки безопасности с целью облегчения вредного воздействия на ОС. Агент безопасности этой области не позволит неавторизованному ПО изменить настройки безопасности.

§ Адд-оны (Add-ons) Internet Explorer. Агент безопасности следит за приложениями, которые загружаются вместе с браузером. Spyware и другое вредоносное ПО может маскироваться под адд-оны Internet Explorer и загружаться без вашего ведома. Агент безопасности не позволит загрузиться такому виду вредоносного ПО.