Информационно-безопасные системы. Анализ проблемы: Учебное пособие, страница 11

Необходимо заметить, что после внедрения в ВС АД В-типа начинают функционировать аналогично встроенным АД НВ-типа.

Далее основное внимание будет уделено анализу АД НВ-типа, представляющих по-видимому, серьезную угрозу для нормального функционирования ПО специального назначения. В отличие от вирусов, такие АД не связаны с необходимостью реализации процедуры размножения и их маскировки, а также сами деструктивные функции могут быть весьма изощренными.

Для краткости далее АД НВ-типа будут называться закладками (они закладываются в ПО с целью выполнения определенных деструктивных функций). Особенностью закладок является их "неотделимость" от прикладных или системных программ, так как их внедрение осуществляется, как правило, на стадии разработки ПО или путем дизассемблирования прикладной программы, внедрения кода закладки и последующей компиляции. Кроме того, так же как и для вирусов, для закладок характерно наличие "инкубационного периода" или латентной фазы (ЛФ), когда закладка "спит" и никак себя не проявляет в работающем ПО. По завершении ЛФ наступает фаза проявления ("детонации") закладки, в течение которой и выполняются основные деструктивные функции. Функционирование закладки может иметь единовременный катастрофический характер с нанесением  массированных повреждений вычислительной среде (включая и аппаратные средства), либо иметь распределенный (во времени) характер, когда довольно часто выполняются небольшие, трудно обнаруживаемые повреждения -так называемые "правдоподобные дефекты".

Срабатывание закладки определяется наступлением определенного события, например, заданного момента времени (бомба с часовым механизмом) или определенной комбинацией входных и выходных сигналов зараженного программного модуля.

Таким образом, центральным понятием является понятие закладки с такими атрибутами, как латентная фаза, условия срабатывания и характер деструктивных действий.

3.3. Основные принципы исследования

Отдельный программный модуль (ПМ) целесообразно рассматривать как систему с соответствующими векторами входных x, выходных y и внешних v параметров (рис. 3.1).

 

Характер связи основных параметров ПМ и средства описания его функционирования с позиций модели "черного ящика" позволяет далее сформулировать и основные принципы диагностики ПО. Предполагается, что вектор v описывает состояние операционной среды, в которой протекает функционирование ПМ.

Так как большинство ПМ является системами "с памятью", необходимо использовать концепцию "состояния ПМ". А именно, предполагается, что в общем случае реализуется функциональная зависимость

y = F ( х, v, z ),

где z - вектор переменных состояния; х Î X, v Î V, z Î Z.

Здесь X, V, Z - множества допустимых значений соответствующих векторов. В частности, отдельные компоненты всех векторов могут иметь дискретный характер. В простейшем случае систем без памяти реализуется более простая связь выхода со входом:

у = F ( х, v )

или даже

У = Г ( х ).

В данном случае понятие состояния позволяет отразить не только состояние собственно ПМ, но и состояние той вычислительной среды, в    которой реализуется функциональное преобразование F.

Основная задача диагностики ПМ состоит в определении данного набора (или наборов) векторов x, y, z, прикоторых наступает конец латентной фазы и начинается появление АД. Очень важное обстоятельство заключается в том, что для решения поставленной задачи необходимо предположить, что на выходе системы ПМ реализуется некоторой расширенный вектор у, то есть вектор , определяющий не только значения выходных переменных y ПМ согласно его основному назначению, но и некоторых дополнительных переменных, описывающих эффект воздействия данного ПМ на ВС. Данное требование объясняется тем, что основная цель введения АД как раз может заключаться не в искажении вектора у, а в целенаправленном и деструк­тивном воздействии на среду функционирования данного ПМ.