Журнал "Information Security/ Информационная безопасность" #6, 2019

доступ к ресурсам основного компьютера. Это грозит: l получением несанкциониро- ванного удаленного управле- ния; l несанкционированной пере- дачей конфиденциальных дан- ных из системы. Основные каналы для реали- зации обеих угроз в современ- ных компьютерах на базе чип- сетов Intel – Ethernet и USB. Подключаемые к USB-портам устройства (флешки, клавиату- ры, мыши, токены, сканеры, принтеры, плоттеры, телефоны, фотоаппараты, жесткие диски) могут быть как каналом несанк- ционированного управления, так и приемником для несанк- ционированной передачи дан- ных. Причем выполнять эти дей- ствия они могут в теневом режи- ме, незаметно для пользовате- ля, параллельно с основным функционалом 8 . На первый взгляд (учитывая многочисленные публикации о разнообразных DLP-системах), вопрос защиты от несанкциони- рованного использования USB- устройств давно решен и его можно считать закрытым. Но не в случае с IME. Нужно помнить, что IME имеет прямой доступ к периферии, минуя приложения и драйверы ОС. Программные агенты этих самых DLP-систем, функционирующие в ОС, могут определять наличие подключен- ных к портам устройств с неко- торой задержкой, необходимой ОС для проведения работ по инициализации стека драйверов и извещения соответствующих агентов о подключении устройств к портам. И после- дующий контроль за обменом данными с устройством агенты DLP-систем могут проводить не ниже драйверов ОС. А IME может взаимодействовать с под- ключенными USB-устройствами напрямую через Firmware USB- контроллера. Флешки, на Firmware которых нельзя повлиять в рабочем режиме, уже существуют (по крайней мере, в номенклатуре наших продуктов это защищен- ные служебные носители и н е п е р е п ро г раммир у емые флешки), но опасность со сто- роны периферии до сих пор существенно недооценивается. Дело в том, что, защищая ком- пьютер (терминал), мы на самом деле защищаем не более чем системный блок, и прила- гаем немалые усилия, чтобы аутентифицировать абонента, находящегося на другом конце Земли, не обращая внимания на то, что ни клавиатура, ни мышь, ни монитор не аутенти- фицируются и могут быть без- болезненно подменены. Экстраполировать на пери- ферию логику защиты флешек (создавать системы, в которых периферия аутентифицируется относительно СВТ или средства защиты) или выбрать другой подход – выбор у разработчиков есть. Похожая ситуация с Ethernet- каналами. Так же существуют мощные средства контроля (программные межсетевые экраны), так же они оказывают- ся бесполезными в случае необходимости контроля IME. Так же для качественной защи- ты межсетевые экраны нужно делать не зависимыми от основ- ного СВТ и устанавливать их в разрыв соединения Ethernet- контроллера и локальной вычислительной сети (ЛВС), к которой подключается СВТ, и уже внутри этих вычислителей осуществлять контроль трафи- ка, отфильтровывая нештатные нестандартные сетевые пакеты. Да, существуют аппаратные межсетевые экраны, но по сло- жившейся практике применения они устанавливаются на грани- це периметра ЛВС и защищают сеть целиком, но не защищают СВТ в ЛВС друг от друга и от подключенного нештатно сто- роннего СВТ. Чтобы эта ситуа- ция изменилась, необходимы два условия: проблема должна быть осознана, а аппаратные межсетевые экраны – стоить разумных денег. Защитные механизмы в архитектуре компьютера Альтернативный подход к защите от угроз уровня IME – это уже многократно упомяну- тый резидентный компонент безопасности. Но, в отличие от ситуации с традиционными исполнениями РКБ, использо- вать какую-либо системную шину при защите от угроз, свя- занных с IME, нельзя. Поэтому нужно отказываться от идеи защищать универсальные СВТ и разрабатывать специализи- рованные материнские платы. На этих материнских платах РКБ будет правильным обра- зом физически подключен по всем интерфейсам и будет сам контролировать USB и Ether- net-каналы. Формально это будет единая материнская плата, устанавливаемая внутрь корпуса СВТ, но фактически – физическое объединение двух компьютеров (РКБ и чипсета от Intel). Даже, строго говоря, трех, так как чипсет от Intel – это уже два компьютера (основной и IME). Западный TPM в том или ином своем виде – не един- ственное проявление решения "растворения" защитных меха- низмов в архитектуре компью- тера. Разработана и запатенто- вана отечественная иннова- ционная архитектура компью- тера, получившая название Новая гарвардская архитектура (потому что она основана на Гарвардской архитектуре про- цессора с разделением команд и данных, в отличие от фон- Неймановской архитектуры на процессорах x86). Заложенные в нее защитные механизмы имеют совершенно другую при- роду, это изменение работы с памятью, дающее компьютеру "вирусный иммунитет". Подводя итог, можно выде- лить главную, на наш взгляд, тенденцию: развитие средств защиты информации будет идти по двум различным, но взаимодополняющим направ- лениям , а именно: 1. Стандартные ПЭВМ про- должат все больше и больше "впитывать" в себя лучшие достижения из области аппа- ратной защиты. При этом дополнительно к новому уровню "стандартности" понадобятся лишь средства идентифика- ции/аутентификации, которые будут активными. 2. В областях, где требуется высокий уровень защищенно- сти, будут использоваться новые, специально спроектиро- ванные технические решения. Средства защиты начнут все больше приобретать черты пол- ноценных компьютеров. Они станут содержать все стандарт- ные для компьютеров состав- ляющие и при этом сохранять специализацию за счет ОС реального времени и аппарат- ных спецканалов. l • 25 СДЕЛАНО В РОССИИ www.itsec.ru А еще мир внезапно изменился – и все прежние наработки в области техни- ческой защиты информации резко, более чем наполови- ну, потеряли свою актуаль- ность. Корпоративные системы, конечно, остались, но появились новые, откры- тые компьютерные системы цифровой экономики. И они немедленно стали важней- шими, а методов защиты их нет. "Здесь и сейчас" – вот лозунг цифровой эконо- мики. Но как понять, "где" и "когда", если на пути к этому стоят полное отсут- ствие методов идентифика- ции в открытой среде – а ведь нужно знать, кому мы оказываем услугу. Как при- менять криптографию, если пользовательские устрой- ства недоверенные? На какую нормативную базу опираться, если для откры- тых систем ее нет совсем?! Если нельзя сделать доверенными сразу все тех- нические средства системы, то доверенными должны стать информационные тех- нологии. Но это уже вопрос не перспектив развития рос- сийских средств техниче- ской защиты информации, а, как говорится, совсем другая история. Очень инте- ресная. И ее, как и историю вообще, сегодня делаем мы. Ваше мнение и вопросы присылайте по адресу is@groteck.ru 8 Кравец В. В. Клавиатура – устройство вывода? https://habrahabr.ru/company/pm/blog/352868/.