Информационная безопасность. Макаренко С.И. - 58 стр.

«ILOVEYOU» (май 2000) и т.д. Не то что бы от них был особенно большой
ущерб, но общественный резонанс они вызвали немалый.
       Активное содержимое, помимо интерпретируемых компонентов
документов и других файлов данных, имеет еще одно популярное обличье -
так называемые мобильные агенты. Это программы, которые загружаются на
другие компьютеры и там выполняются. Наиболее известные примеры
мобильных агентов - Java-апплеты, загружаемые на пользовательский
компьютер и интерпретируемые Internet-навигаторами. Оказалось, что
разработать для них модель безопасности, оставляющую достаточно
возможностей для полезных действий, не так-то просто; еще сложнее
реализовать такую модель без ошибок. В августе 1999 года стали известны
недочеты в реализации технологий ActiveX и Java в рамках Microsoft Internet
Explorer, которые давали возможность размещать на Web-серверах
вредоносные апплеты, позволяющие получать полный контроль над
системой-визитером.
       Для внедрения «бомб» часто используются ошибки типа
«переполнение буфера», когда программа, работая с областью памяти,
выходит за границы допустимого и записывает в нужные злоумышленнику
места определенные данные. Так действовал еще в 1988 году знаменитый
«червь Морриса»; в июне 1999 года хакеры нашли способ использовать
аналогичный метод по отношению к Microsoft Internet Information Server
(IIS), чтобы получить контроль над Web-сервером. Окно опасности охватило
сразу около полутора миллионов серверных систем...
       Не забыты современными злоумышленниками и испытанные
троянские программы. Например, «троянцы» Back Orifice и Netbus
позволяют получить контроль над пользовательскими системами с
различными вариантами MS-Windows.
       Таким образом, действие вредоносного ПО может быть направлено не
только против доступности, но и против других основных аспектов
информационной безопасности.

                 4.3 Основные угрозы целостности

     На втором месте по размерам ущерба (после непреднамеренных
ошибок и упущений) стоят кражи и подлоги. По данным газеты USA Today,
еще в 1992 году в результате подобных противоправных действий с
использованием персональных компьютеров американским организациям
был нанесен общий ущерб в размере 882 миллионов долларов. Можно
предположить, что реальный ущерб был намного больше, поскольку многие
организации по понятным причинам скрывают такие инциденты; не
вызывает сомнений, что в наши дни ущерб от такого рода действий вырос
многократно.
     В большинстве случаев виновниками оказывались штатные сотрудники
организаций, отлично знакомые с режимом работы и мерами защиты. Это


                                    58