Features of Flash Drives Information Security

Full Text

По статистике на сегодняшний день основным «рассадником» вирусов является Internet, а второе место прочно удерживают съемные запоминающие устройства. И лидируют среди них с большим отрывом флеш-накопители (USB, «флешки»), обладающие возможностью многократной перезаписи и пополнения файлов без каких-либо дополнительных усилий. Кроме того, флешки имеют больший объем памяти, по сравнению с известными ранее и используют более совершенные алгоритмы управления данными, поэтому они и представляют такой интерес для злоумышленников [1]. Особенности алгоритма действия вирусов на flash-накопителях И, кроме того, иногда пользователь не может даже вспомнить, где и когда подключал flashнакопитель, чтобы скачать ту или иную картинку или программу. Однако, когда пользователь компьютера вставляет в системный блок данного устройства flash-накопитель, и антивирусная программа может выдавать целый список подхваченных вредоносных программ, которые нередко можно удалить только после полного форматирования накопителя. Алгоритм действия вируса ведется по следующему пути: электронное вычислительное устройство или рабочая станция, подвергнутая заражению, эксплуатируется злоумышленником с целью хищения чужих кодов доступа и паролей к основным и сервисным службам сайта, имеющим возможность миграции, данная ситуация касается также USB-коннекторов и flash-накопителей. В данной ситуации заражение ведется последовательно от рабочей станции к подсоединенному к ней flash-накопителю [1]. Если вирусом будет обнаружена возможность присоединения к глобальной сети, то тут же им будет выполнена операция по передаче в Internet зафиксированной ранее информации с кодами доступа и паролями, в дальнейшем заражая другие элементы сетевого окружения [2]. Чтобы включить операцию по старту рассылки вируса при подключении flash-устройства, вредоносная программа производит или ведет перезапись на указанном накопителе «Аутранеров» (специальных файлов под заглавием «autorun.inf»), где ведется описание текущих приложений, которые являются соединительным звеном для старта автозагрузки при соединении носителя. В «Аутранере» ведется описание направления к вредоносной программе, а именно к коду, который должен быть исполнен, как правило, это определенный файл («EXE»), имеющий конкретное имя [3]. Как правило, файл «Аутранер» и EXE-файл не имеют визуального отражения в оптимальных настройках операционных систем, в том числе Windows, поскольку их атрибутика имеет статусы «системный» или «скрытый». Вопрос безопасности flash-накопителей все еще остается весьма открытым. Существует достаточно много действенных способов, позволяющих существенно снизить возможность заражения flash-накопителя. Один из вариантов - отключить автозагрузку, так как некоторые вирусы прописываются только тогда, когда система пытается автоматически открыть съемный носитель. Отсутствие автозапуска в данном случае не активирует вирус, и он не «обоснуется» на flash-накопителе [4]. Другой еще более радикальный вариант - создание скрытых файлов с «нулевым» размером. Обычно вирусы, которые распространяются через флешки, создают скрытый файл с определенным именем, которое не вызывает у пользователя подозрений [5]. Например, autorun.ini, autorun.inf, recycler и т. д. И если заранее «застолбить» файлы с такими именами, то вирусу просто некуда будет прописываться, и он «отцепится» от вас. Третий возможный вариант защиты - поставить запрет на запись в корень, а для записи файлов использовать отдельную папку (папки). Однако такой вариант напрямую возможен только для файловой системы NTFS [6]. Если недостаточно серьезно отнестись к этой проблеме, то существует риск заразить подхваченным вирусом и свой компьютер, что является куда более серьезной проблемой. Итак, в первую очередь, для защиты собственного компьютера от вирусов, попавших на флешноситель необходимо отключить автозагрузку (автозапуск) на всех дисках, подключаемых к компьютеру. Файловые системы FAT32 и NTFS flash-накопителей и их уязвимости перед вредоносными программами Вторым аспектом безопасности компьютера является задача непосредственной защиты флеш-накопителя от заражения [7]. Поскольку флеш-карта - это собственно контейнер для передачи файлов с одного компьютера на другой, то с уверенностью можно сказать, что заражение флеш-носителя происходит только через уже зараженный компьютер, при передаче файлов через этот контейнер [7]. Для работы с внешними накопителями можно использовать одну из двух возможных систем: FAT32 и NTFS. Рассмотрим их более подробно. Как известно, стандартом для флешнакопителей является использование системы FAT32, которая ориентирована на работу с различными версиями операционных систем Windows [8; 9].Особенностью этой системы является ограничение, накладываемое на размер файла - не более 4 Гб. Сама по себе система FAT32 имеет невысокие требования, особенно это проявляется в необходимости использования небольшого объема ОЗУ, при этом скорость работы данной системы весьма высока, как и эффективность работоспособности с файлами больших размеров [10]. Кроме того, при данной системе также невысок износ носителей информации, поскольку головки чтения-записи жесткого диска производятся в меньшем количестве. Система FAT32 имеет также и недостатки, они проявляются в уязвимости системы безопасности от существующих сбоев, в снижении эффективности работы с файлами огромных размеров; установление пределом по объему файлов и соответствующих размеров, отсутствие нормальных скоростей обработки информации при выполнении операции фрагментации, медленная синхронизация при взаимодействии с каталогами, хранящими весомое количество информации [11]. Таким образом, высокий уровень сохранности файлов небольших размеров является наиболее подходящим для системы FAT32, это связано с тем, что в системе не имеется лишних составляющих, при этом преобладает достаточно высокая и производительная скорость обработки информации, и работы с файлами. Минимальный риск существующего износа дисков также является преимуществом указанной системы. Описывая характеристики NTFS, стоит отметить, что достоинствами данной системы являются относительно высокая скорость доступа к информации небольшого размера, отсутствие границ и препятствий на емкость хранилища данных, отсутствие влияния фрагментации данных на файловую систему, высокая сохранность информации и структуры системы, высокие характеристики производительности при обработке информации большого размера [12]. Говоря о недостатках системы NTFS, стоит отметить, что для данной системы необходим гораздо больший объем оперативной памяти (ОЗУ) по сравнению с системой FAT32, фрагментация данных также затрудняет работу системы с каталогами файлов средних размеров. Кроме того, по сравнению с системой FAT32, система NTFS имеет относительно низкую скорость производительности. При использовании системы NTFS, мы имеем целый ряд дополнительных возможностей, так как в рамках самой файловой системы предусмотрены параметры безопасности, то есть у нас имеется возможность просто запретить запись в корень нашей флеш-карты, создав при этом отдельную папку (или папки), куда можно записывать все данные. Сравнение файловых систем FAT32 и NTFS приведено в таблице. Таким образом, имеется два возможных варианта: оставить носитель на родной файловой системе FAT32 или перейти на файловую систему NTFS. В первом случае необходимо использовать специфику системы FAT32. Задача следующая - запретить вирусу создавать на флешке файл autorun.inf. Раньше эта проблема решалась достаточно просто - нужно было создать каталог с именем AUTORUN. INF, выставив ему атрибуты «Read only» и «Hidden». Так мы препятствовали созданию файла с таким же именем. Современный вирус, легко может изменить права, удалить файл и записать новый. Существует несколько более изощренный путь, который большинство вирусов обходить пока не научились. Идея здесь следующая: создаем каталог AUTORUN.INF. Если каталог не пустой, то удалить его можно, лишь расправившись со всем содержимым. И это очень просто, однако, в том случае, когда в каталоге имеются файлы с некорректными для FAT32 именами, задача для современных вирусов становится неразрешимой. Именно этот принцип защиты и положен в основу нашего алгоритма, программная реализация которого создает на флешке папку AUTORUN. INF с некорректными локальными UNC-путями. UNC - это формат для записи пути к файлу, расположенному на удаленном компьютере. Он имеет вид \\\\server\\share\\path, где server - это название удаленного хоста. Такой способ доступа к файлам можно использовать и для локальной машины, в этом случае вместо server нужно подставлять «?» или «.», а путь к файлу указывать вместе с буквой диска [13]. Таблица. Сравнение файловых систем FAT32 и NTFS Комментарий FAT32 NTFS Максимальная длина имени файла 255 255 Максимальный размер файла 4 Гбайт Теоретический максимум 16 Эбайт Максимальный размер тома 2 Тбайт 2 Тбайт Совместимость с гибкими дисками Да Нет Несколько дисков в одном томе Нет Да Безопасность на уровне файлов и каталогов Нет Да Проверка доступа на уровне файлов и каталогов Нет Да Например, так: \\\\?\\C:\\ folder\\file.txt. Идея заключается в том, что при использовании UNC-путей и стандартных консольных команд можно создавать файлы даже с запрещенными файловой системой именами. Создадим несложный bat-файл, алгоритм которого создает некорректную папку autorun.inf и еще несколько некорректных папок в ней. Далее он создает файл конфигурации в самой папке и помещает туда свою иконку, которая будет служить идентификатором, то есть папку, которая будет выглядеть как иконка, а в файле конфигурации прописан путь к ней, со скрытыми атрибутами. С помощью данного способа мы можем знать при каждом открытии флешки, изменен ли наш файл autorun.inf или нет (если изменен, то это свидетельствует о заражении носителя) [14]. Недостатком этого способа является то, что хоть папку и невозможно удалить, однако ее возможно переименовать, а это дает шанс злоумышленникам записать на флешку свой autorun, но и это предусмотрено - если вы зашли на свою флешку и не увидели своей иконки, это означает, что на вашей флешке со 100% гарантией поселился вирус. Следующий шаг: для защиты компьютера от уже зараженной флешки необходимо отключить автозагрузку. Самый удобный, на наш взгляд, способ делать это через реестр. По своей сути, этот способ подменяет содержимое файла autorun.inf значением из реестра, которое специально задается пустым/неверным. Это приводит к тому, что если на диске и прописан файл autorun.inf, то он воспринимается как пустой. Кроме того, для подстраховки в ветке autoplayhandlers в реестре прописывается запрет автостарта всех типов файлов (за исключением автостарта, обработки двойного клика и контекстного меню). Последнее означает, что будет появляться хорошо нам известное всплывающее окно, которое предлагает открыть флешку, прослушать музыку и так далее, но никакие файлы запуститься в автоматическом режиме не смогут [15]. Другой, более кардинальный вариант - полностью забить флешку пустыми файлами и тогда напрямую на нее не удастся записать ни один байт информации. Если нам требуется что-то записать на флешку, то это реализуется посредством обращения к специальной программе, которая автоматически запишет файл на флешку, не удалив при этом нужную нам информацию, и кроме того проверит и в случаи необходимости заполнит весь объем флешки. Если рассматривать файловую систему NTFS, то здесь одним из способов защиты будет программная установка на запрет: изменения и запись файлов; удаления всех файлов; создания или копирования файлов или папок в корень флешки. Заключение Таким образом, учитывая, что flash-накопители достаточно часто используются на сторонних компьютерах, то рациональным видится следующий алгоритм: отформатировать указанный накопитель; создать папку в корне, в которой в дальнейшем будут осуществляться все операции над файлами и каталогами; запретить всем доступ в корень. Если flash-накопитель используется чаще на домашнем компьютере, то в качестве рабочего выбирается именно домашний компьютер и ему предоставляется полный доступ. Для всех остальных устанавливается запрет на запись. Кроме того, можно, комбинируя этими двумя способами, создать, например, такой flashнакопитель, для которого доступ в корень присутствует только на домашнем компьютере, а на всех остальных разрешено пользоваться папкой, созданной предварительно в корне.

About the authors

K. A Vasilenko

Vladivostok State University of Economics and Service

Email: k2857@mail.ru
Vladivostok, Russian Federation

A. L Zolkin

Volga State University of Water Transport (Samara branch)

Email: alzolkin@list.ru
Samara, Russian Federation

N. V Abramov

Far Eastern Federal University

Email: nikolay.abramov1990@mail.ru
Vladivostok, Russian Federation

D. O Kurganov

Far Eastern Federal University

Email: kurganov_vl@mail.ru
Vladivostok, Russian Federation

References

Supplementary files