3.

KLASIFIKACIJA NAPADA NA IS
Već je u poglavlju 2. navedeno: "Ma koliko bezbednosne mere bile različite ipak se mogu
utvrditi osnovne faze važne za određivanje tih mera u svakom IS:
1. Identifikacija rizika: utvrđivanje, kakvim se sve opasnostima izlaže IS i njeni
resursi (šta se sve može desiti) i
2. Određivanje verovatnoće nastupa štetnog događaja kao, i procene mogućih posle-
dica".

Ovo bi bili početni koraci u razvoju bezbednosnog sistema IS.

3.1. Cilj formiranja klasifikacije napada na informacione sisteme

Informacioni sistem se obezbeđuje sa ciljem da se resursi IS zaštite od mogućih prolaznih ili
trajnih oštećenja, uništenja ili bilo kakvih štetnih događaja, koji bi mogli ugroziti rad IS. Cilj
obezbeđenja IS je i sprečavanje neovlašćenog slučajnog ili namernog pristupa, promene i/ili
uništenja informacija, koje ulaze ili su ''uskladištene'', ili su "izlaz" iz IS.

Svako oštećenje IS, promenu6 i/ili uništenje informacija u IS nazvaćemo degradacijom7 IS.
Degradacija IS ima za posledicu eroziju atributa bezbednog IS iz tačke 2.3, a posebno (dajemo
u nešto izmenjenoj strukturi):
1. Raspoloživosti; za IS se podrazumeva verovatnoća, da će on u skladu sa projektovanim
performansama izvršavati:
— određene funkcije
— u određenom vremenu i
— pod određenim uslovima.
2. Pouzdanosti; IS je sposoban da obavlja zadatu funkciju i da zadržava svoje parametre
(osobine) u datim tolerancijama čak i u redukovanim uslovima svog okruženja. Pouzdanost
uključuje i ove sposobnosti:
— sposobnost nastavljanja radom nakon što neke komponente sistema ispadnu iz rada
— sposobnost održavanja integriteta informacija. IS mora da radi kako je planirano, a
informacije koje se nalaze u IS moraju biti tačne
— u IS postoje rezervne komponente i/ili putevi. Pod ovim aspektom se podrazumeva i
sposobnost blagovremenog reagovanja i ponovnog uspostavljanja IS (backup) u slučaju
da nastupi neki štetni događaj
— sposobnost uočavanja ispadanja neke komponente u procesu rada; IS mora da omogući
nadzor nad dostupom do sistemskih resursa (hardver, softver, podaci) i sprečavanja
pristupa do njih i
— sposobnost reorganizacije u modifikovani sistem onih elemenata, koji su još u dobrom
stanju.

6
Promena informacije ne mora imati (samo) štetnu posledicu. U ovom slučaju to je promena informacije koja će
informaciju (podatak) dovesti u nesaglasnost sa stvarnošću. Dakle, to je lažna (netačna) informacija (podatak).
7
Degradacija [Vuj80] je "svođenje na niže stanje razvoja, svođenje na nivo manje sposoban za pre tvaranje'' (u
originalu degradacija energije).

15
Prema [IBM85], može da se analizira izveštaj National Computing Center iz Velike Britanije.
Uzroci štetnih događaja koji su bili uzrok degradacije rada računskih centara bili su sledeći:

Red. U kojoj se meri pojavljivao

Poreklo štetnog događaja
br. Nikada Ponekad Znatno
UKUPNO 559 % 846 % 67 %
1. Otkazivanje hardvera 15 2.68 121 14.30 16 23.88
2. Greška operatera 11 1.97 132 15.60 15 22.39
3. Sistemski softver 24 4.29 123 14.54 12 17.91
4. Aplikacioni softver 12 2.15 132 15.60 11 16.42
5. Komunikacije 57 10.20 84 9.93 7 10.45
6. Napajanje/klima 31 5.55 118 13.95 5 7.46
7. Požar/poplava 129 23.08 132 15.60 1 1.49
8. Zlonamerna šteta 140 25.04 2 0.24 0 0.00
Krađa/falsifikovanje – neovla-
9. 140 25.04 2 0.24 0 0.00
šćeno korišćenje

Tabela 3.1. Uzroci degradacije rada računskih centara

Prema ovoj anketi, uočava se da je znatan procenat ispadanja hardvera 23,88% i da (skoro)
nikada nije bilo (ili nisu evidentirane) zlonamerne štete, krađe, falsifikovanja ili neovlašćenog
korišćenja podataka. Naime, ne bi bilo dobro ako bi se saznalo da firma zapošljava
nepouzdano ili kriminalu sklono ljudstvo.

Međutim, prema analizi [IBM85], koju je objavio IBM, spisak uzroka degradacije IS izgledao
je ovako:
— greške i propusti, u 50% do 80% svih slučajeva
— zloupotreba
— vatra
— zlonamerna šteta
— voda i
— ostalo.

Primeti se razlika na štetu tzv. ljudskog faktora, u IBM analizi. Ova razlika je shvatljiva zbog
zaštite imidža firme.

Posle tragičnih događaja u SAD 11. septembra 2001. godine, kompanija KPMG [Kpm02]
sprovela je istraživanje u oblasti bezbednosti IS u svetu. Sponzori tog istraživanja bili su
CheckPoint, Symantec, RSA i InfoSecurity Magazine. Rezultati istraživanja bili su podeljeni po
regionima: Evropa, uključujući Bliski istok i Afriku (EMEA), Azijsko-tihookeanski region i
Američki kontinent. Tokom istraživanja, obavljen je 641 telefonski razgovor sa
rukovodiocima, odgovornim za bezbednost IS u različitim organizacijama iz različitih
ekonomskih oblasti. Istraživanje je sprovedeno, pretežno, u velikim firmama, od kojih je 31%
imalo od 1.000 do 5.000 zaposlenih. Sve firme su imale veći godišnji obrt od 50 miliona US$.

16
Odgovori u vezi sa napadima na IS bili su po sledećem:

Incidenti sa računarskim virusima 22%

Napadi od strane hakera 21%
Gubljenje daljinske kontrole 17%
Narušavanje bezbednosti u radu na Internetu 10%
Rušenje tajnosti lične informacije 5%
Nedostatak nivoa obučenosti korisnika 5%
Narušavanje bezbednosti sistema В2В 5%
Prevare od strane zaposlenih 4%
Krađa ili kvarenje podataka/informacija 4%
Ostalo 7%

Tabela 3.2. Uzroci degradacije rada računskih centara 2002. godine

Ovde treba spomenuti i [Den79] da je u ''prošlim dekadama'' otkriven "manji broj lica" koja su
se "obogatila" krađom pomoću računara. Nedostatak tehničkog znanja, s jedne strane, i manja
sklonost kriminalu osoblja koje rade na računarima u izvesnoj meri smanjili su
spektakularnost krađa bar prema njihovim iznosima. Neke krađe nikad nisu otkrivene zbog
toga što su, na primer, u bankama prikrivane jer bi se na taj način pokradena banka loše
reklamirala. Za poznate krađe, srednja vrednost štete kretala se oko 500.000 US $.

Prema [Den79], na osnovu analize oko hiljadu uzroka kompjuterskih zloupotreba, nameće se
zaključak da mnogo uzroka (verovatno) ostane neotkriveno pa čak i namerno sakriveno. Da bi
se odbranio, savladao "neprijatelja", moraš ga poznavati. U našem slučaju "neprijatelj"
ugrožava IS. Šta su sve "neprijatelji" IS? Brojni su, vrlo često nesređeni, pristupi u
identifikaciji uzroka štete u IS.

U identifikaciji opasnosti po IS, to su, svakako, one koje bi degradirale IS u njenim osnovnim
aspektima.

3.2. Klasifikacije napada na informacione sisteme

Radi identifikacije, izložićemo klasifikaciju napada preko alata korišćenih za napad, pristupa i
rezultata napada (posledica).

Svaka klasifikacija mora da ima sledeće karakteristike [How97]:

1. Međusobna isključivost – klasifikacija u jednu kategoriju isključuje sve ostale kategorije
da se ne bi preklapale, kategorije su disjunktne
2. Potpunost – unija kategorija obuhvata sve mogućnosti
3. Nedvosmislenost – jasna i precizna klasifikacija koja ne dozvoljava nebezbednost ko god
se njome bavi
4. Ponovljivost – ponavljanje procesa klasifikacije daje uvek isti rezultat, bez obzira na to ko
vrši klasifikaciju
5. Prihvatljivost – logička i intuitivna da bi bila opšteprihvaćena i

17
6. Primenljivost – može se primeniti u istraživanjima i u drugim sferama ljudskog
interesovanja da bi se ostvario uvid u zonama interesa.

Ove karakteristike se mogu iskoristiti za evaluaciju bilo koje klasifikacije. Ipak uza sva
ograničenja ona je važna za sistematičnu studiju. Ovde će biti reči o nekim poznatim
klasifikacijama napada na računarske sisteme. Prikazani pregledi uzroka štete, Tabela 3.1. i
Tabela 3.2, ne mogu da budu dobre klasifikacije napada. Na kraju će se pokazati da nijedna
klasifikacija ne ispunjava svih 6 uslova dobre klasifikacije.
3.2.1. Lista termina
Jednostavnu i veoma popularnu klasifikaciju napada na računarske sisteme predstavlja lista
termina. Ova lista ne zadovoljava kriterijume zadovoljavajuće klasifikacije. Svi termini nisu
međusobno isključivi. Na primer, na listi se posebno nalaze virus i logic bomb8, iako je logička
bomba jedna specifična vrsta virusa. Napadači često koriste više metoda prilikom napada, što
znači da bi napad bio klasifikovan u više kategorija odjednom. Navedena klasifikacija nije
nedvosmislena, teško je ponovljiva i ne pruža uvid u povezanost različitih napada, te stoga i
nije opšteprihvaćena. Slična situacija je i sa listom termina koju je dao Koen [How97].

Lista kategorija, zapravo, predstavlja listu termina sa definicijama. Jednu ovakvu listu dali su
[Che94] Čezvik (Cheswick) i Belovin (Bellovin) u svom tekstu o zaštitnim barijerama.
Njihova klasifikacija sadrži sedam kategorija:
1. Krađa lozinke (Stealing passwords) – metode za dobijanje lozinki ovlašćenih
(autentikovanih i/ili autorizovanih) korisnika
2. Socijalni inženjering (Social engineering) – pričom i "prijateljskom" komunikacijom
napadač dolazi do podataka koje ne bi trebalo da zna
3. Bagovi i sporedna vrata (Bugs and backdoors) – iskorišćavanje sistema koji ne odgovaraju
svojim specifikacijama
4. Greške autentikacije (Authentication failures) – zaobilaženje ili varanje mehanizma za
autentikaciju
5. Greške protokola (Protocol failures) – iskorišćavanje nepravilno dizajniranih i
implementiranih protokola
6. Odliv informacija (Information leakage) – korišćenje sistema kao što su "finger" i DNS za
dobijanje informacija neophodnih za administraciju i pravilan rad mreže koje mogu biti
korišćeni od strane napadača
7. Otkazivanje usluga (Denial-of-service) – napori da se sistem učini nedostupan ovlašćenim
(autentikovanim ili autorizovanim) korisnicima.

Budući da se uvodi strukturiranost, lista kategorija predstavlja napredak u razvoju

zadovoljavajuće klasifikacije. Međutim, ovakva klasifikacija ne zadovoljava osnovne principe
baš kao i lista termina. Autori pokušavaju da uvedu i podkategorije, što ovaj pristup približava
listi termina.

8
Prema [Int00d], logička bomba uslovno se smatra posebnim virusom, tako da ova klasifikacija ne obezbeđuje
disjunktnost i ne ispunjava uslove dobre klasifikacije.

18
3.2.2. Kategorije rezultata
Ovo je varijacija liste termina koja se zasniva na razlikovanju napada u odnosu na rezultat
napada. Primer ovakve liste dao je Koen [Coh95].
1. Korupcija – neovlašćena (neautorizovana) izmena (kvarenje) podataka
2. Odliv informacija – informacije završavaju na mestu gde ne bi trebalo i
3. Otkazivanje usluga – nedostupnost sistema ovlašćenim (autentikovanim) korisnicima.

Ovakva klasifikacija se pokazala kao dobar okvir za razvoj zadovoljavajuće klasifikacije, zato
što za većinu napada može jednoznačno odrediti pripadnost kategoriji. Međutim, to nije uvek
slučaj. Na primer, napadač neovlašćeno koristi računarski sistem tako da ne utiče na kvalitet
usluge drugim korisnicima. Taj primer se teško može svrstati u bilo koju od tri kategorije.
3.2.3. Matrica
Peri (Perry) i Volih (Wallich) [Per84] izložili su svoju klasifikaciju napada kao matricu u dve
dimenzije, mogući rezultati i mogući počinioci. Ovakav pristup omogućava jednostavnu
klasifikaciju incidenata u dvodimenzionalnu matricu, gde svaka ćelija predstavlja kombinaciju
mogućih počinilaca: operateri (operators), programeri (programmers), činovnici koji unose
podatke (data entry), unutrašnji korisnici (internal), spoljašnji korisnici (outside), provalnici u
sistem (intruders) i mogućih efekata napada: fizičko uništenje (physical destruction), uništenje
podataka (information destruction), manipulacija podacima (data diddling), krađa usluge
(theft of service), pretraga (browsing) i krađa podataka (theft of information).

Dve dimenzije svakako predstavljaju korak napred, s obzirom na to da ovaj pristup

zadovoljava isključivost i potpunost. Međutim, nisu svi termini u matrici logični i intuitivni.
Na primer, iz matrice sledi da spoljašnji korisnik sa ciljem da uništi informacije koristi
zlonameran softver (malicious softvare), mada napadač spolja može koristiti i druge tehnike,
na primer, komandni interfejs (command interface), za postizanje svog cilja.
3.2.4. Klasifikacije bazirane na procesima
Namera autora klasifikacija baziranih na procesima jeste da skrenu pažnju sa klasifikacije po
kategorijama i uvedu pristup koji će, baziran na procesima, biti najbliži ljudskom razmišljanju
i viđenju problema bezbednosti računarskih sistema. Stolings (Stallings) je predložio
jednostavan model koja klasifikuje pretnje računarskim sistemima. Iako se model odnosi samo
na podatke u tranzitu, naveden je zbog toga što je zanimljiv i pogodan za dalje istraživanje.
Stolings je definisao četiri kategorije, i to:
1. Prekidanje (interruption) – resursi sistema su uništeni ili nedostupni korisnicima
2. Presretanje (interception) – neovlašćeno lice pristupa resursima sistema
3. Modifikacija (modification) – neovlašćeno lice ne samo da pristupa resursima sistema već
ih i modifikuje i
4. Fabrikacija (fabrication) – neovlašćeno lice unosi falsifikovane objekte u sistem.

Po Stolingsu, presretanje predstavlja pasivan napad, dok su prekidanje, modifikacija i

fabrikacija aktivni napadi. Sve četiri kategorije su predstavljene i na Slici 3.1. Iako je ovaj
model pojednostavljen i ograničene primene, ukazuje nam na korisnost isticanja procesa za
opisivanje napada na računarske sisteme.

19
 Izvor Odredište
informacija informacija

Normalan
Normalan prenos
prenos tok

Prekidanje
Prekidawe
Presretanje
(2)
Presretawe
Presretawe

Fabrikacija
Modifikacija Fabrikacija

Slika 3.1. Klasifikacija napada na računarske sisteme po Stolingsu

3.2.5. Kombinovana klasifikacija napada na računarske sisteme

Sa operativne tačke gledišta, napadač [How97] na računarski sistem pokušava da dostigne
vezu krajnjeg cilja i motiva. Ova veza se može opisati sekvencom koju čine alat, pristup i
rezultati napada, kao što je prikazano na Slici 3.2.

napadači alat pristup rezultati ciljevi

Slika 3.2. Sekvenca napada

Svaki segment ove sekvence biće detaljno opisan i proširen tako da zajedno predstavljaju
zadovoljavajuću klasifikaciju napada na računarske sisteme.
3.2.5.1. Napadači i njihovi ciljevi
Napadači su polazna tačka svakog napada na računarski sistem. Možemo ih razlikovati po
tome ko su ili odakle su, po njihovim sposobnostima, po tome da li su unutar ili van sistema
koji napadaju. Za definisanje ove klasifikacije napada koristi se razlikovanje napadača po
tome šta oni obično rade i zbog čega to rade. Napadače možemo podeliti u šest kategorija, i to:

20
1. Hakeri9 – provaljuju u računarske sisteme uglavnom zbog izazova koji predstavlja varanje
sistema zaštite ili želje da se domognu statusa prioritetnog korisnika sistema
2. Špijuni – provaljuju u računarske sisteme uglavnom zbog informacija koje mogu biti
korišćene za političku dobit10
3. Teroristi – provaljuju u računarske sisteme uglavnom da bi izazvali strah koji im
omogućava političku dobit11
4. Organizovani napadači – zaposleni jedne kompanije provaljuju u računarske sisteme
druge konkurentske kompanije zbog finansijske koristi
5. Profesionalni kriminalci12 – provaljuju u računarske sisteme uglavnom zbog lične
finansijske koristi
6. Vandali – provaljuju u računarske sisteme uglavnom da bi naneli materijalnu štetu.

Ovakvom klasifikacijom su određene i četiri kategorije ciljeva ili razloga napada, a to su

izazov ili status, politička dobit, finansijska dobit i materijalna šteta.
3.2.5.2. Pristup
Definicija bezbednosti računarskih sistema direktno vodi u centar veze između napadača i
njihovih ciljeva, a to su neautentikovan pristup i neautorizovano korišćenje. Slika 3.3.
predstavlja proširenje segmenta pristupa sa Slike 3.2. Strelice pokazuju da svi napadači moraju
da obezbede neautentikovani pristup ili da koriste računarski sistem na neautorizovan način da
bi ostvarili vezu sa svojim ciljevima. Neautorizovani pristup ili korišćenje odnosi se na
procese ili na datoteke i podatke u tranzitu preko procesa. Većina poznatih incidenata na
Internetu uključuje neautentikovani pristup, mada i zloupotreba autentikovanih pristupa takođe
predstavlja veliki problem.

9
Haker je veliki računarski entuzijasta koji poznaje računarski sistem do detalja i upada u taj sistem radi igre i
zabave [Jov98]. Međutim, hakeri se više ne smatraju dobroćudnim istraživačima već su to najčešće zluradi
nametljivci. U odnosu na nelegalnost, nelegitimitet, nasilništvo i štetu koju izazivaju, možemo tvrditi da je mala
razlika između hakera (koji generišu viruse) i teroriste. Mada [Pet00], "izvorni" hakeri da bi se distancirali od
"huligana elektronskog doba", kojima hakiranje predstavlja mogućnost ispoljavanja sopstvenih frustracija i agre-
sivnosti, ovima su dali naziv koji bolje reflektuje njihove maliciozne namere – krakeri (cracker). U proleće 1990.
godine, na primer, tri hakera iz Australije optužena su u Melburnu za oštećenje podataka u računarima Vlade
SAD. Prema izjavama policije (kako je pisao Njujork Tajms), nametljivci su – koristeći šifrovana imena
”Feniks”, ”Elektron” i ”Non” – prodrli u računare institucija kao što su Los Alamos National Laboratory,
Digital Equipment Corporation, Lawrence Livermore National Laboratory, Vellsore (telefonski istraživački
institut), Harvard univerzitet, Njujorški univerzitet i Univerzitet Teksasa, a to su učinili iz – Melburna.
Prvi upadi u tuđe sisteme [Adži99] sežu u daleke šezdesete, kada hakeri naravno nisu ni bili obeleženi tim
imenom. U to vreme, pojam "računar" najčešće se identifikovao s podrumom nekog fakulteta punim cevi i
kablova, s posebnim klimatskim uslovima. Programeri koji su radili na tim dinosaurusima imali su veoma
ograničen pristup, pa su često koristili razne trikove kako bi što efikasnije završili svoj posao. Te rutine bile su
poznate pod imenom "hack" – seckanje, odakle i potiče današnji termin haker.
10
Ne samo "političku". Postoje i industrijski špijuni kojima je cilj opservacija poslovnih sistema, krađa poslovnih
tajni a naročito inovacija koje donose veliki profit.
11
Ne samo "političku". Teroristi mogu da iznuđuju i novac.
12
Za ovu vrstu kriminalaca početkom osamdesetih godina prošlog veka nastala je sintagma "belookovratnički kri-
minal" ili " kriminal belih kragni".

21
 pristup
nedostaci neautorizovani datoteke
implemen- pristup
tacije
nedostaci neautorizovano podaci u tranzitu
procesi
dizajna korišćenje

nedostaci
konfigura-
cije

Slika 3.3. Segmenti pristupa

Da bi ostvario kontrolu nad željenim procesima, napadač mora iskoristiti neke od nedostataka
računara ili računarske mreže. Nedostaci se mogu podeliti u tri grupe. Prvu grupu i
najpoznatiji nedostatak predstavljaju softverski bagovi koji predstavljaju problem
implementacije dobro dizajniranog softvera ili hardvera. Mnogi primeri implementacijskih
nedostataka vezani su za UNIX operativni sistem, najrasprostranjeniji operativni sistem na
Internetu i probleme sa sendmail programom. Napadač, koristeći nedostatke ovog programa
može ostvariti neautentikovani pristup ili koristiti sistem na neautorizovani način.

Drugu grupu nedostataka predstavljaju nedostaci samog dizajna softvera ili hardvera. Ovakvi
nedostaci su mnogo ozbiljniji i teži za korekciju, jer čak i savršena implementacija može imati
nedostatke koje napadači mogu iskoristiti. Sendmail program je primer i za ovu grupu
nedostataka jer, čak i kad nema softverskih grešaka, elektronska pošta generisana ovim
programom može biti korišćenja na neautorizovani način. Na primer, repetitivnim slanjem
elektronske pošte (mail spam) što za rezultat može imati otkazivanje usluga sistema (denial-of-
service).

Treću grupu nedostataka čine greške pri konfigurisanju softvera ili hardvera. Mnogi izdavači
isporučuju svoj softver u "poverljivom" stanju, koji je pogodan za korišćenje brojnim
korisnicima. Poverljivo stanje predstavlja tzv. default (podrazumevano) stanje koje je često
konfigurisano sa opštepoznatim parametrima sistema, uključenim opcijama koje nemaju
zaštitu, itd.
3.2.5.3. Rezultati
Rezultati se nalaze između pristupa i ciljeva u sekvenci koja ilustruje napad na računarski
sistem. U ovoj tački sekvence napadač ima pristup željenim procesima, datotekama i
podacima u tranzitu i slobodno može menjati sadržaj datoteka, otkazivati usluge sistema,
izvlačiti poverljive informacije ili neautorizovano koristiti usluge koje taj sistem pruža.
Kategorije rezultata napada su sledeće:
1. Korupcija informacija – neautorizovana promena sadržaja datoteka ili podataka u tranzitu
2. Obelodanjivanje informacija – pružanje na uvid informacija osobama koje nisu
autentikovane za pristup tim informacijama

22
3. Krađa usluga – neautorizovano korišćenje usluga računarskog sistema, bez uticaja na
kvalitet usluga drugim korisnicima
4. Otkazivanje usluga – namerna degradacija kvaliteta usluga ili potpuno blokiranje rada
delova računarskog sistema.
3.2.5.4. Alat
Alat i metode njegove primene za iskorišćavanje nedostataka računarskih sistema veoma je
raznolik i dostupan velikom broju korisnika računara. Alat se može podeliti u sledeće
kategorije:
1. Komande korisnika. Napadač zadaje komande sistemu preko komandne linije ili preko
grafičkog interfejsa. Primer je korišćenje telnet (telnet) programa za uspostavljanje veze sa
sistemom koji je meta napada i pokušaj da se priključi na mrežu kao korisnik ili administrator.
Koriste se tehnike kao što su pogađanje lozinke ili unos dugačkog niza karaktera da bi se
ispoljili nedostaci sistema
2. Skriptovi i programi. Napadači mogu koristiti skriptove ili programe da bi obezbedili
automatizaciju komandi. Skript je najjednostavniji način automatizacije jer predstavlja niz
komandi koje se izvršavaju jedna za drugom. Primer programa koji se često koristi jeste crack.
Ovaj program služi administratorima za proveru validnosti lozinki, ali isto tako može ga
koristiti i napadač da sazna lozinke ovlašćenih (autentikovanih i/ili autorizovanih) korisnika
sistema. Drugi primer su programi poznati pod nazivom Trojanski konj (Trojan horse). Ovi
programi se prvo kopiraju na računar koji je meta napada preko već instaliranih programa.
Trojanski konj se ponaša baš kao i originalni program, a napadaču omogućava da korišćenjem
sporednih prolaza koje obezbeđuje trojanski konj pristupi resursima sistema i preduzme
neautorizovane akcije.
3. Autonomni agenti. Za razliku od skriptova i programa, autonomni agenti sami, oslanjajući se
na sadržanu programsku logiku, nezavisno određuju metu napada. Najpoznatiji autonomni
agent je računarski virus. Spaford (Spafford) je ovako definisao računarski virus:
"...računarski virus je segment mašinskog koda, obično od 200–4.000 bajta, koji će nakon
aktivacije kopirati svoj kod na jedan ali više programa domaćina. Prilikom izvršavanja
programa domaćina, "zaraženi" kod će biti izvršen i virus će nastaviti da se širi." Drugi
primer autonomnog agenta, tzv. crv (worm), deluje nezavisno od drugih programa. Po
Spafordu, crv predstavlja program koji se nezavisno izvršava i putuje od računara do računara
preko računarske mreže i u određenom trenutku može da ima više delova koji se izvršavaju na
više računara. Crvi ne menjaju druge programe, ali mogu da nose izvršni kod koji to čini.
4. Paketi alata (toolkit). Ovi paketi sadrže više alata iz kategorija skriptova, programa i
autonomnih agenata, neretko objedinjenih u okruženje sa grafičkim interfejsom.
Najrasprostranjeniji paket alata je rootkit koji sadrži programe za praćenje saobraćaja na mreži,
kao i programe koji se koriste za prikrivanje neautorizovanih aktivnosti i obezbeđenje
sporednih prolaza za kasnije korišćenje.
5. Distribuirani alat. Ovaj alat se koristi za simultano napadanje računarskih sistema iz više
tačaka. Napad se priprema tako što se delovi distribuiranog alata kopiraju na više računara
povezanih na Internet mrežu. Delovima se zatim sinhronizuju satovi (timers) tako da se svaki
deo aktivira u predefinisano vreme. Veoma je teško otkriti napad izveden ovim alatom.
6. Prisluškivanje podataka (data tap). Računari i mrežni kablovi emituju elektromagnetne talase
koji mogu biti iskorišćeni za otkrivanje informacija. To se posebno odnosi na podatke koji se
prikazuju na ekranu i podatke u tranzitu, često spominjano kao Van Ejk efekat.

23
Na Slici 3.4. prikazana je kompletna klasifikacija napada na računarske sisteme. Klasifikacija
napada oslikava put koji napadač mora da pređe da bi stigao do svog cilja. Da bi bio uspešan,
napadač uglavnom mora da pronađe više puteva i da ih koristi simultano. Napori koji se ulažu
za obezbeđenje sistema odnose se na svih šest segmenata klasifikacije. Prvi segment,
napadači, predstavlja deo koji administratorima sistema ali i pravosudnim organima13 pomaže
da odrede ko su napadači i gde se oni nalaze. Kada se to radi, lako se može onemogućiti
pristup resursima sistema onima za koje se smatra da su nepoželjni. To se može učiniti, na
primer zabranom otvaranja naloga ali prijavom pravosudnim organima. Kada se alat pronađe,
veoma ga je lako otkloniti iz sistema. Na primer, korišćenjem antivirus programa mogu se
detektovati i eliminisati autonomni agenti iz sistema. Sistem se može pažljivo nadgledati da bi
se uočilo prisustvo neautorizovanih datoteka i programa. Mogu se posmatrati i čuvati podaci
o komandama koje su korisnici zadavali sistemu za vreme korišćenja sistema, tako da se može
odmah reagovati na nepravilnosti. Sačuvani podaci se mogu kasnije koristiti da bi se rekon-
struisao tok napada i unapredio sistem zaštite. Pristup sistemu se može obezbediti na dva
načina.

Prvi način odnosi se na korišćenje robusnih programa za koje se zna da su pouzdani sa

stanovišta nedostataka. Tu veoma važnu ulogu igraju administratori sistema. Oni moraju biti
sigurni da je sistem pravilno konfigurisan, da su poznati softverski bagovi "zakrpljeni", a da je
nesiguran softver uklonjen ili da mu je primena ograničena.

Drugi način obezbeđenja pristupa jesu uvođenje kontrole pristupa datotekama i procesima,
korišćenje sigurnih lozinki i smanjenje broja procesa koji nemaju kontrolu pristupa. Rezultati
napada mogu biti ublaženi na različite načine. Na primer, osetljivi podaci mogu biti kriptovani
tako da čak i u slučaju da im napadač pristupi neće moći da sazna sadržaj tih podataka.

Međutim, kriptovanje ne obezbeđuje sadržaj tih podataka. Naime, ono ne obezbeđuje zaštitu
od neautorizovane izmene sadržaja ili brisanja kriptovanih podataka. Gubitak osetljivih
informacija može se sprečiti obezbeđivanjem rezervnih kopija (backup). Sve ove metode se
koriste da bi se napadaču onemogućilo postizanje ciljeva.

Navedena klasifikacija umnogome zadovoljava prethodno navedene opšte karakteristike

klasifikacije. Pristup kojim se povezuju napadači sa ciljevima predstavlja logički sled
razmišljanja napadača. On se odlučuje kojim alatom će izvršiti napad i na koji način će ga
koristiti da bi rezultat napada zadovoljio njegove ciljeve. Klasifikacija daje i mogućnost
proširenja svakog segmenta, ukoliko se za to ukaže potreba.

13
Zbog nejasne definicije virusa, pravosuđe ima problema u kvalifikaciji dela i krivca.

24
 napadači alat pristup rezultati ciljevi

komande koris- nedostaci im- neautorizovan korupcija in-

hakeri datoteke izazov, status
nika plementacije pristup formacija

skriptovi i nedostaci di- neautorizovano podaci u obelodanjivanje politička

špijuni procesi
programi zajna korišćenje tranzitu informacija dobit

nedostaci finansijska
teroristi autonomni agenti krađa usluga
konfiguracije dobit

organizovani otkazivanje us- materijalna

paketi alata
napadači luga šteta

profesionalni
distribuirani alat
kriminalci

prisluškivanje
vandali
podataka

Slika 3.4. Kombinovana klasifikacija napada na računarske sisteme

25
3.3. Primer klasifikacije napada na informacioni sistem
Moguće je razviti klasifikaciju i kao bazu podataka sa atributima kako je dato u Tabeli 3.2.
Tabela 3.3. je, u stvari, evidencija napada na jedan konkretan informacioni sistem (IS).

Za klasifikaciju napada na IS, evidentirani su sledeći podaci:

1. Ime napada – naziv napada, onakav kakvim ga znaju svi na Internetu
2. OS – operativni ili drugi sistem koji je ugrožen direktno/indirektno ovim napadom
3. Klasa napada – klasa kojoj ovaj napad pripada
4. Način otkrivanja – može biti lak (L)14, težak (T) ili vrlo težak (VT)
5. Stepen štete – može biti lak (L), težak (T) ili vrlo težak (VT)
6. Način korekcije – može biti lak (L), težak (T) ili vrlo težak (VT)
7. Oblast delovanja – napad može delovati na softversku (SW) celinu ili hardversku
(HW) celinu sistema
8. Opis napada – kako napad deluje
9. Opis načina detekcije – kako je napad moguće detektovati, kao i problem koji se
napadom potencira na konkretnom sistemu
10. Opis načina korekcije – kako po detekciji ispraviti probleme softversko/hardverske
prirode, ali i izvršiti korekciju u bezbednosnom sistemu kako se napad više ne bi
mogao ponoviti
11. Da li je napad testiran – odgovor sa rezultatima testiranja napada. Napad je (nije)
testiran u IS i
12. Datum testiranja.

Ime Atributi
14
Ocena L – lako, T – teško, VT – vrlo teško, subjektivne su i relativne i odnose se na, recimo, količinu
uloženih radnih sati za otklanjanje štete i sl. Ocene iznosa ili veličine štete su, takođe, subjektivne i relativne.

26
Snork OS NT/Win95
Klasa napada Denial of service
Način otkrivanja L
Stepen štete T
Način korekcije L
Oblast delovanja SW
Opis napada
Snork je napad tipa “prekid servisa“ koji koristi probleme koje ima
Windows NT RPC (Remote Procedure Call) servis. Tokom ovog
napada nametljivac može vrlo lako da NT operativnom sistemu
trenutno i potpuno ukrade sve raspoložive resurse i onemogući dalje
funkcionisanje za duže vreme. Takođe, napadač je u prilici da ugrozi
propusnu moć napadnute NT mreže time što će naterati sve ugrožene
računare da međusobno razmenjuju nepotrebne pakete među sobom i
time obaraju performanse mreže.
Opis načina detekcije
Sistemi osetljivi na ovaj napad su Windows NT 4.0 Workstation i
Server. Svi operativni sistemi sa servisnim “zakrpama“ (pack)
zaključno sa verzijom SP4 RC1.99 osetljivi su na ovaj napad a takođe i
sve hotfix “zakrpe “ realizovane zaključno sa 10. septembrom 1998.
godine.
Opis načina korekcije
Prvi način: Microsoft ima zakrpu za ovaj napad i on je dostupan na adresi:
http://www.microsoft.com/security/bulletins/ms98-014.htm
Drugi način: treba zatvoriti pristupni UDP port 135 za dolazne pakete
poslate na taj port sa portova 7, 19 i 135.
Da li je napad testiran?
Da, sistem nije bio ugrožen. Pretpostavlja se da je primenjen SP5, kao
i da je uključena dodatna paket filtar zaštita.
Datum testiranja 19. septembar 1999.

Tabela 3.3. Podaci o napadu tipa Denial of Service

Švedska Agencija za administrativni razvoj [IBM85] razvila je u saradnji sa IBM –

Švedska u godinama 1974/75. standard za bezbednosne sisteme u EOP i u tom smislu
identifikovano je 72 vrste mogućih opasnosti i 47 vrsta mogućih unutrašnjih slabosti.

Na Slici 3.5, prema [Hor98], prikazana su ''ranjiva'' mesta karakteristična za poslovne

prostore. Na analogan način mogu se prikazati ranjiva mesta za informacione,
informaciono-komunikacione i ATM sisteme.

27
 24 2 8
15 14
4
9 20
18
25 17 21
18 22 5 10
23
19
12
26

16
12

28
5
1

5
13
30 27
3
29 7 6 11

Slika 3.5. ''Ranjiva'' mesta u poslovnim prostorijama (mogući kanali oticanja i

neovlašćenog pristupa informacijama)
Legenda uz Sliku 3.5.
1. Oticanje na račun strukturnog zvuka u zidovima
2. ''Skidanje'' informacija sa trake printera, loše obrisanih disketa i slično
3. ''Skidanje'' informacija pomoću video uređaja
4. Personalni računar (softversko-hardverski umeci i oticanje informacija preko javnih
računarskih mreža – Internet)
5. Radio-prislušni uređaji u zidovima i nameštaju
6. Prijem informacija preko sistema ventilacije
7. Laserski prijem informacija sa prozorskih stakala
8. Proizvodni i tehnološki otpaci
9. Kompjuterski virusi
10. ''Skidanje'' informacija na račun indukcije i VF zračenja
11. Daljinsko osmatranje pomoću optičkih uređaja
12. Prijem akustičkih informacija pomoću diktafona
13. Čuvanje medijuma (nosilaca informacija)
14. VF kanal oticanja informacija
15. Prijem informacija usmerenim mikrofonima
16. Unutrašnji kanali oticanja informacija (preko personala)
17. Neovlašćeno kopiranje
18. Oticanje informacija na račun EM zračenja
19. Prijem informacija na račun ''telefonskog uha''
20. Prijem informacija sa tastature (printera ili kompjutera) na osnovu akustičkog kanala
21. Prijem informacija sa displeja monitora po EM kanalu
22. Vizuelni prijem informacija sa displeja monitora i printera
23. Indukcija u komunikacionim kanalima i ''pomoćnim'' provodnicima (vodovod,
centralno grejanje, cevi za gas)

28
24. Oticanje informacija na putu prenosa podataka
25. Oticanje informacija po mreži uzemljenja
26. Oticanje informacija po mreži električnog (elektronskog) sata
27. Oticanje informacija sistemom interfona (razglasa)
28. Oticanje informacija bezbednosno-požarnom instalacijom
29. Oticanje informacija po mreži elektronapajanja
30. Oticanje informacija po mreži grejanja, vodovoda i plina.

3.4. Neki karakteristični primeri napada na IS

Eksluzivnost pa i ''popularnost'' nekih vrsta napada razlog su da se posebno obrade u ovoj
glavi. Naime, cilj je da se čitalac podstakne da malo više razmišlja o ovom problemu.
3.4.1. Računarski virusi
Informacioni sistemi imaju, kako praksa dokazuje, ugrađenu apriornu osetljivost na
penetracione mehanizme kao što su bakterije, virusi – "trojanski konj", "logičke bombe",
"crv" ili "zaklopna vrata". Za sad je u "upotrebi" nekoliko desetina hiljada15 virusa razne
"namene" (slika 3.6). Od ovih "alatki zanata", genetski zasnovani virusi su možda
najpodmukliji.

Broj poznatih virusa

Izvor: Symantec 2003.

Slika 3.6. Rast broja virusa od 1990. do 2001. godine

Zahvaljujući Homerovoj Ilijadi (i Odisejevoj lukavosti), metafora ''trojanski konj'' našla je

svoje mesto i u novim informacionim tehnologijama, i to preko mehanizama koji se
namerno ili slučajno uvode u računarske sisteme, pretežno sa ciljem da izazovu štetu.

Ima više (mogućih) "izvora" virusa: hakeri, organizovane grupe – sajber ratnici za interes
države ili neke kompanije koje prodaju antiviursne programe, čak i kompanije koje
proizvode i prodaju softver obavezujući korisnike da koriste legalno nabavljen softver, a ne
kopije kojim mogu da "pokupe" viruse.
15
Prema Symantec-ovom antivirusnom programu ''Norton antivirus 2003'' ovih ''alatki na dan 23.04.2004.
godine ima 67.394.

29
Poprilična konfuzija postoji u vezi sa definicijom kompjuterskog virusa. Pored već
navedene Spafordove definicije, navešćemo još neke. "Virus" je softverski program koji
može da širi zarazu od računara do računara, koristeći svaki zaraženi računar da bi se
umnožavao. Bez ljudske intervencije, virus zaražava domaćina, krijući se, najverovatnije,
negde u operativnom sistemu, aplikativnom delu ili uslužnim programima. To je set
instrukcija u različitim formama sa različitim ciljevima, ne ograničavaju se na jedan medij
i mogu u kratkom roku da evoluiraju.

Vredna pažnje jeste i definicija zasnovana na regulama ratnog vazduhoplovstva SAD:16

"Virus je: (1) varijanta trojanskog konja. On se širi (napada fajlove, programe) sa
okidačkim mehanizmom (sporadično, iznenada) sa misijom brisanja fajlova ili slanja
podataka. Zaštita od virusa je iznad svih kriterijuma. (2) To je sekcija – deo koda uvučen u
disk operativni sistem za izvršenje zlobnih namera. Jedna verzija ubačenog koda može da
pokreće proces koji može da eliminiše sve fajlove sa diska. Posledice ovog "delanja" mogu
da osete mnogi korisnici. Inače, virus na disku postaje rezidualan u memoriji pa se
detektuje tako što se, nakon uvođenja novog diska u sistem virus, upiše i na njega.

Nacionalni kompjuterski bezbednosni centar SAD kao deo Uprave za nacionalnu

bezbednost u Rečniku računarsko-bezbednosnih termina daje definiciju kompjuterskog
virusa kao: "To je samošireći trojanski konj, komponovan od delova za određenu svrhu,
okidačkog dela i samoširećeg dela".

Profesor Fred Cohen sa Univerziteta u Sinsinatiju smatra se prvom osobom koja je (1983)
uvela reč "virus" u rečnik računarske terminologije. Njegova definicija je objavljena aprila
1988. u časopisu Computers & Security, North-Holland Publishing Company. ''Virus je
program koji modifikuje drugi program tako što se ponaša isključivo kao virus ili stvara
novu verziju programa koji se ponaša drugačije od izvornog programa. Virus može da se
ponaša kao nosilac bilo kog programskog koda koji napadač želi da koristi. Virus može da
se proširi kroz sistem ili mrežu i time izaziva proizvoljne promene u programima i
podacima''.

Početkom oktobra 1991. godine, 23 predstavnika nekih većih svetskih računarskih centara
osnovali su u Briselu Evropski institut za istraživanje računarskih antivirusa (EICAR), kao
neproizvodnu asocijaciju. Prva skupština je održana u prisustvu 50 stručnjaka za
"parazitske kodove sa autoprostiranjem – (APC)", što je naučni naziv za računarske
viruse. EICAR planira da nastavi rad koji je prvobitno preduzela Organizacija za
istraživanje računarskih antivirusa (CARO).

Neki kompjuterski specijalisti nastoje da razlikuju ''dobroćudne'' od štetnih virusa, i to na

bazi štete koje mogu da nanesu. Ipak, i dobroćudni virusi zauzimaju resurse računara i rade
stvari koje nisu poželjne, mada nisu štetne.

Virusi su subjekti koji i mutiraju u smislu što programeri u odnosu na original dodaju neke
šifre koje ne mogu da se otkriju u odnosu na original. Naime, potrebno je manje znanja i
prefinjenosti, da bi se izmenio postojeći i stvorio novi virus. Prema tome, dobroćudni virus
16
Definisali su je Dean Dennis Longley i Michael Shain u knjizi "Data & Computers Security: Dictionary of
Standards, Concept and Terms, New York , Stockton Press, 1987; London Macmillan Publishers Ltd. 1987.

30
je predmet koji se uvek može menjati, a time se omogućavaju radnje koje su jako
nepoželjne.

Kompjuterski virusi se razlikuju od programskih grešaka po tome što su oni posledica

namere.

Definicija kompjuterskog virusa je posebno problematična za zakonodavce. Ona mora biti

i jasna osnova zakona potrebna za vođenje postupka protiv kreatora virusa.

Posledice delovanja virusa su višestruke:

1. Oštećenje računarskih resursa – potpuna paraliza do čestog isključivanja sistema ili
promene u bazama podataka. Sve te posledice se grupišu u tri nivoa: fizički, sintaksički
i semantički. Težište bi svakako trebalo da bude na semantičkom oštećenju računarskih
resursa, to je ono koje ima uticaj na značenje poruke koju treba da primimo od
informacionog sistema (računara)
2. Krađa tajnih podataka, krađa raznih usluga, nadgledanje rada sistema, ubacivanje
lažnog saobraćaja u računarsku mrežu, pristup podacima radi ucene
3. Nalaženje drugog računara kojem bi se nanela šteta pod 1. i 2.

Virus generišu gotovo isključivo tehnički virtuozi. Prilikom stvaranja virusa, definišu se
njegove karakteristike:
1. Posao koji treba da odradi virus
2. Vrsta računara koji treba taj virus da zarazi
3. Vreme rada virusa sa kratkotrajnim periodom aktiviranja, ili spori sa periodom
odloženog dejstva
4. Mogućnost otkrivanja virusa koji će objaviti svoje prisustvo ili virus koji je sakriven i
teško se otkriva.

Odgovori na ova pitanja određuju arhitekturu i osobine strukture virusa, kao i njegovo
programiranje. Kada se stvori virus se stvara za određenu svrhu, može da se umnožava i
napada nasumice, bez kontrole.
Mnogi od antivirusnih produkata mogu da upozore na ilegalnu operaciju, mogu da upozore
i na kompjuterski virus, ali ne obavezno, i u svakom slučaju, nagoveštaj o delovanju
kompjuterskog virusa ne mora da bude rezultat stvarnog napada virusa. Dosad najčešće
poruke ili manifestacije su bile, na primer:
— broj fajlova (programi, datoteke itd) na disku se povećava
— poruka "1 File(s) copied", pojavljuje se, a nije pozvana odgovarajuća komanda
— veličina RAM-a vašeg sistema se smanjuje
— vreme i datum uz fajl se menjaju
— veličina programa se povećava
— program ne može da se pokrene jer ne postoji slobodan prostor u RAM-u
— program se presporo izvršava
— disk drajv pokazuje da nije moguće upisivanje, niti čitanje tokom tekuće
operacije
— vreme pristupa disku se drastično povećalo
— program se zaustavlja u toku rada
— hard disk je izgubio BOOT sektor.

31
U svakom navedenom slučaju potrebno je zaustaviti rad računara, proveriti prethodne
korake, utvrditi šta se prethodno radilo da bi se identifikovao mogući uzrok a zatim treba
pozvati stručnjaka koji će, verovatno, da reši nastali problem.

U svakom slučaju, svaka očigledna abnormalnost može, a ne mora da bude rezultat

delovanja virusa. Otuda, pre davanja konačne dijagnoze treba dobro proveriti prethodne
postupke pa i moguće pretpostavke u smislu neslanih šala kancelarijskih kolega.

Sigurno je da su kreatori virusa pretežno hakeri – zlonamernici. Oni su prvi mogući uzrok
pojave virusa. Zbog nemogućnosti da se pouzdano dokaže poreklo virusa (ličnost,
institucija, država) zapadni mediji tvrde da su virusi generisani pretežno u istočnoj Evropi
(Rusija, Mađarska, Bugarska). Naime, znatiželja korisnika programa u tim zemljama
(programi su većinom kreirani na Zapadu – SAD) dovela ih je do takvog nivoa znanja da
su u stanju da menjaju mašinske kodove tih programa. Tako stečeno iskustvo je postalo
izazov da se generišu novi programi koji su pored korisnih stvari bili u stanju da čine i
štetu.

Kao drugi uzrok, moguće je da iza pojave virusa bude čisto komercijalan razlog. Firme
koje se bave proizvodnjom softvera za tržište, nemoćne da zaštite intelektualnu svojinu,
softver kao svoj proizvod, od neovlašćenog kopiranja i same, verovatno, lansiraju viruse da
bi na takav način eventualne pirate odvratile od namere neovlašćenog kopiranja i prisili ih
da koriste legalne, plaćene, kopije njihovih programa. Štaviše, moguće je da firme koje
proizvode antivirusne programe same generišu viruse, a onda "prave" antivirusne
programe (koji se moraju kupiti) za "otkriveni" virus.

Treći mogući uzrok pojave računarskih virusa može biti i hakersko ratovanje, kao jedan od
oblika tzv. informacionog (informatičkog) ratovanja.

Ilustracije radi [Hig89a], dajemo primer ''rada'' makroa kreiranog u LOTUS-u 123, koji
ima specijalan naziv ''0'' (nula). Automatski se pojavljuje čim se učita radni fajl.

Ovaj makrovirus je dizajniran da menja pojedinačne vrednosti u specifikovanoj koloni

svaki put kada se tabela učita. Procenat promene ograničen je na vrlo malo područje i malo
se menja. Virus se izvršava po danima, napada bilo koju ćeliju radne tabele i menja
procenat promene.
A B1 B2 B3 B4

1 4.435,00 4.634,53 4.634,53 4.634,53 4.634,53

2 4.500,00 4.500,00 4.635,31 4.635,31 4.635,31
3 4.950,00 4.950,00 4.950,00 4.950,00 4.950,00
4 4.600,00 4.600,00 4.600,00 4.655,37 4.655,37
5 4.350,00 4.350,00 4.350,00 4.350,00 4.350,00
6 4.475,00 4.475,00 4.475,00 4.475,00 4.694,48
7 4.850,00 4.850,00 4.850,00 4.850,00 4.850,00
8 4.750,00 4.750,00 4.750,00 4.750,00 4.750,00
9 4.750,00 4.750,00 4.750,00 4.750,00 4.750,00
41.660,00 41.859,53 41.994,84 42.050,21 42.269,69

Tabela 3.4. Izmene vrednosti jedne kolone

32
 u tabeli kao rezultat ''rada'' makroa ''0''

Tabela pokazuje degradaciju podataka kroz nekoliko dana. Prikazana je radna tabela od
devet redova i pet dnevnih kolona kombinovanih od jedne kolone originalne tabele.

a) Kolona A je sa originalnim vrednostima podataka. Vrednosti su upisane kao celi brojevi,

bez decimala, da bi se lakše uočile promene.

b) Kada je radna tabela ''pozvana'' prvi put (prvi dan) posle njene kreacije, prva vrednost
(linija 1) promenjena je sa 4.435,00 na 4.634,53, porast je bio za 199,53, kao što je
prikazano u koloni B1. Virus je odradio svoj napad na prvoj vrednosti u specifikovanom
području.

c) Kolona B2 prikazuje drugi podatak promenjen u liniji 2 sa 4.500,00 na 4.635,31. Ova

promena je skoro identična sa prvom, s obzirom na to da je tabela pozvana nekoliko sati
kasnije istog dana. Naime, makroalgoritam koristi vreme kao parametar i zavisi više od
datuma, a manje od sata (u toku dana).

d) Kolona B3 sadrži treću promenu koja se desila dan kasnije. Vrednost za promene u liniji
3 je van područja po algoritmu, umesto u toj liniji, promenjena je vrednost u liniji 4.
Original 4.600,00 je promenjen na 4.655,37.

e) Dva dana kasnije, tabela je opet bila napadnuta. Rezultat je prikazan u koloni B4. Kako
je vrednost u liniji 5 van područja predviđenog za promenu, promena je izvršena u liniji 6
sa 4.475,00 na 4.694,48.

Za četiri dana od formiranja tabele, suma od devet vrednosti se povećala od 1% do 1,5%.

Apsolutna razlika od 609,69 je manja od 1,5% (624,90) od početne sume. Elegantniji
algoritam može da izvrši finije promene koje bi se u tom slučaju i teže otkrivale.

Dati primer je poučan, jer dokazuje do koje mere (podmuklosti) može da bude štetan virus.

Uporedo sa stvaranjem virusa razvijaju se i paketi tzv. antivirusnih programa, ali sa

logičnim zakašnjenjem. Naime, u ovom slučaju nalazimo se pred teškim filosofsko-
praktičnim pitanjem. Da li se može praviti antivirusni program za nepoznati virus? O
posledicama (ne)odgovora samo možemo da pretpostavljamo.

Skoro dnevno se pojavljuju sve maligniji oblici virusa. Početkom 2004. godine, ocenjeno
je da najnoviji virus Mydoom može da bude uzrok najvećeg napada na računare svih
vremena (do pojave nove vrste napada). Procenjuje se da je ovaj virus u Kini ''ugasio'' oko
200.000 monitora. Mydoom se, istovremeno, munjevito kopirao u 16 miliona kopija. Iz
Kaspersky Labs tvrde da je virus generisan u Rusiji, a pojavio se 26. januara 2004. godine.

Prema [Kuk02], data je tabela sa virusima, tipom, vremenom razmnožavanja i veličinom

štete koju su izazvali.

Vreme
Virus Godina Tip Šteta
razmnožavanja
Jerusalem, 1990. izvršni fajlovi, boot sekt- tri godine $50M za

33
 sve viruse
Cascade,
or preko 5
Form
godina
Concept 1995. Word Macro četiri meseca $50M
E-mail, omogućeni Word $93M do
Melissa 1999. četiri dana
Macro $385M
E-mail, omogućeni Visu-
I Love You 2000. četiri sata $700M
al Basic script

Tabela 3.5. Virusi prema nekim atributima

Inače ''top lista'' virusa od januara 2004.godine, po raširenosti, je sledeća:

1. Mydoom.A
2. Downloader.L
3. Bugbear.B
4. Parite.B
5. Klez.I
6. Runet.A
7. Blaster
8. Blaster.E
9. Bookmar.B
10. Sober.C.

Informatička tehnologija po svojoj prirodi, a u suštini reč je o elektronskim

(elektromehaničkim) uređajima, ranjiva je na samo sebi svojstven način.
3.4.2. Elektromagnetno zračenje računara
Mikročipovi, monitori, štampači i bilo koji drugi elektronski uređaj i komponente emituju
elektromagnetne talase. Kao posledica ove emisije može da se desi, zahvaljujući
interferenciji, da na svom televizoru “uhvatite” sliku sa komšijskog monitora. Ova pojava
je posebno važna za specijalne institucije.

Koristeći TEMPEST (Transient Electromagnetic Pulse Emanation Standard) tehnologiju

informacija sa bilo koje digitalne mašine može da bude "skinuta" i rekonstruisana
obaveštajno korisno. Ova tehnologija je posebno korisna za prihvat informacija koje se
nalaze na digitalnom računaru ili se prikazuju na kompjuterskom terminalu.17 Korišćenje
TEMPEST-a nije nezakonito u SAD, Kanadi ili Engleskoj. Novembra 1963. godine, Džon
Ficdžerald Kenedi, tadašnji predsednik SAD, pravdao je upotrebu ove tehnologije
sudbinskim predodređenjem SAD kao stražara na zidovima svetske slobode.

TEMPEST je, dakle, skraćenica od Transient Electromagnetic Pulse Emanation Standard

– privremeni standard za emisiju pulsno-modulisanog signala. Ovaj, pre svega,
defanzivni18 standard je skup stavova u vezi sa elektromagnetnim zračenjem preko kog
uređaji mogu da zrače bez kompromitacije informacija koje se nalaze (u) na njima.
TEMPEST istovremeno definiše opremu i uslove koji određuju procese koji imaju za cilj
da preveniraju kompromitujuće zračenje. Uređaji koji su usklađeni sa ovim standardom

17
Terminal je obično ulazno-izlazna jedinica (računara) a može da bude samo video terminal (VDU),
štampač, pa i personalni računar.
18
Ako su poznate mere za zaštitu (defanzivne), one se mogu koristiti i u ofanzivne svrhe.

34
nazivaju se TEMPEST sertifikovani uređaji. Međutim, TEMPEST (Transient
Electromagnetic Pulse Surveillance Technology) je program američke Vlade za evaluaciju
elektronske opreme za elektronsko prisluškivanje. Tempest oprema nije legalizovana za
civilnu upotrebu. Može se reći da su uređaji za vojne i državne primene (bezbednost)
testirani u skladu sa strožim standardima. Navodimo dva tipa standarda: NACSIM 5100 A
(SAD) i AMSG 720 B (NATO). Oba standarda su primenljiva na svim delovima
računarskog sistema, a ne samo na video jedinice ili terminale. Merne metode i standardi
NACSIM nisu poznati izvan Amerike. AMSG standard je specijalan slučaj korišćenja
vojnih i državnih aplikacija u zemljama NATO-a. Inače [Int02], prvi američki standard iz
1950. godine, u vezi sa kompromitujućim elektromagnetnim zračenjem (KEMZ), naziva se
NAG1A. Kasnije je ovaj standard trpeo izmene kao FS222 i kao FS222A. Konačno, 1970.
godine ovaj standard je izmenjen i objavljen kao National Communications Security
Information Memorandum 5100 – memorandum o nacionalnoj bezbednosti komunikacija
(direktiva za TEMPEST bezbednost), poznatiji kao NACSIM 5100.

TEMPEST, prema tome, ima za cilj da uvede standarde koji će redukovati šanse za
oticanje osetljivih podataka sa uređaja tokom obrade, prenosa ili čuvanja. Koriste ga
vladine agencije (SAD) i preduzimači da zaštite kompjutere i periferale (štampače,
skenere, jedinice magnetnih traka, monitore, miševe itd) od prisluškivanja podataka putem
kompromitujućeg elektromagnetnog zračenja. Naime, reč je o tehnologiji i merama koje
treba da smanje KEMZ.

Još, već davne 1985. godine [Eck85], objavljen je rad u kojem je ukazano na mogućnost
oticanja podataka sa računara putem elektromagnetnog zračenja sa monitora (Video
Display Units – VDU), i to čak komercijalnim uređajima, Slika 3.7. Ovaj rad je značajan
zbog toga što dokazuje postojanje KEMZ-a na delovima računarskog sistema.19 Naime,
teško je, iz razumljivih razloga, doći do konkretnih dokaza da je moguće prisluškivati
podatake na računarima koristeći KEMZ. Posebno su važne nepoznanice nivoa (snaga)
signala i distanca na kojoj on može da bude ''korisno'' prisluškivan.

19
I kod nas je to dokazano na savetovanju na Institutu bezbednosti, 1988. godine ''Elektromagnetska
kompatibilnost i protivelektronska zaštita računara i računarskih mreža'', o čemu je izdat zbornik radova.

35
 Slika 3.7. Slika na TV ''skinuta'' sa VDU-a

Postoji uverenje da je sve što je obazrivo skriveno teško rekonstruisati iz polja zračenja.
Verovalo se da je prisluškivanje na digitalnoj opremi moguće samo uz korišćenje
profesionalne opreme za detekciju i dešifrovanje. Zbog takvog uverenja digitalni uređaji za
obradu informacija imali su srednji ili nizak nivo zaštite. To je, takođe, bio slučaj kod
uređaja za prenos privatnih ili poslovnih informacija koji nisu zaštićeni od ovog načina
prisluškivanja.

Vim Van Ejkov rad rezultat je istraživačkog programa, čiji je nosilac bila Neher
Laboratories of the Netherlands PTT. Dobijeni rezultati dokazali su da su navedene
pretpostavke bile pogrešne.20 Mada su studije bile ograničene na mogućnost prisluškivanja
video-displej jedinica ili terminala, rezultati kristalno jasno pokazuju da je u nekim
slučajevima vrlo lako prisluškivati i druge delove računarskog sistema. U slučaju
prisluškivanja VDU-a, prema navedenom radu, prislušni uređaji mogu da budu i obični TV
prijemnici. Objekat ovog istraživačkog programa nije bilo samo studiranje problema za
sebe, već istraživanje metoda za zaštitu od krađe ovakvog vida informacija. U prilogu ovog
rada definisan je i metod merenja koji može da se koristi za proveru ozbiljnosti problema
prisluškivanja sa individualnih video-displej jedinica. Pronađeno rešenje detaljno je
opisano.

Fokusirajući se samo na fenomen prisluškivanja, uočavamo da se prisluškivanje koristi u

okviru tzv. elektronskog rata. ''Naime, u okviru protivdejstava na sistemima veza
prisluškivanjem rada otkrivenih sredstava veze, dolazi se do dragocenih podataka o
namerama protivnika. Pored izviđanja i obmanjivanja [Raz71], prisluškivanje je jedno od
najčešće primenjivanih protivdejstava na ovim sredstvima.''

20
Prema nosiocu istraživanja efekat oticanja podataka sa video terminala (ekrana) računara naziva se Van Ejk
efekat.

36
Zaključujemo da ova mogućnost ima (negativnih) posledica na metode visoke zaštite
informacija. Ovo je posebno važno u slučajevima kada su neke preventivne mere već
preduzete kao, na primer, kriptozaštita signala na liniji veze. I pored toga što reagujemo
zaštitom protiv prisluškivanja signala sa računara, treba znati da nijedan sistem nije tako
savršen, da ni tada nije bez ''slabih'' tačaka.

Pošto je relativno jednostavno da se rekonstruiše informacija iz polja zračenja IT, ovaj

fenomen može da ima posledice na bezbednost u onim slučajevima kad se zahteva srednji
ili niži nivo bezbednosti informacija. Podrazumeva se da su viši nivoi bezbednosti u ovom
smislu bez diskusije.

Treba imati na umu da je moguće prisluškivati bankarske ili neke slične transakcije koje se
obavljaju pomoću personalnog računara. Tako je moguće da vaš komšija kopira
informacije pokazane na terminalu za vreme ovih aktivnosti (tj. podatke o finansijskoj
situaciji) korišćenjem samo njegovog TV prijemnika.

Sve ovo govori da problem prisluškivanja zahteva rangiranje nivoa bezbednosti

informacija u opsegu od strogo poverljivih do privatno osetljivih.
3.4.3. Kliper čip
Klintonova administracija21 je, u svoje vreme, predložila da se Clipper čip22 iskoristi i za
sprovođenje elektronskog nadzora. Kliper čip je zasnovan na pretpostavci da vlada ima
pravo da prisluškuje privatne razgovore. Svojevremeno, pri pokušaju Majkrosofta da se
preko Internet eksplorera realizuje evidencija korisnika tako što bi se evidentirala i
konfiguracija računara preko dva fajla CONFIG.SYS i AUTOEXEC.BAT, dokazano je da
je moguće nadzirati rad korisnika putem javne računarske mreže.

Podrazumeva se da onaj ko se prihvati nadzora neće dozvoliti ni da se nasluti da on to radi

i obratno, onaj ko otkrije da je nadziran, nastojaće da uzvrati. Pre svega, nastojaće da svoje
otkriće što bolje prikrije.

Kliper čip je uređaj iza kog stoji američka vlada. Ugrađen je u računar i omogućuje da se
kriptuju sadržaji na računarima, kao i sadržaji tokom komunikacije između računara.
Konkretno, ako se komunicira e-mail-om, faksom, ako se prenose podaci... u biti sve će
biti automatski kriptovano i dekriptovano. Načelno, svako bi bio onemogućen da čita
ovakve sadržaje osim – američke vlade. Kliper posredno omogućuje vladinim
službenicima da dekriptuju svaku "uhvaćenu" poruku. Naravno, ovo se radi na osnovu
zakonskog ovlašćenja. Prema tome, apsolutna tajnost ne postoji.

Zagovornici ove mogućnosti pravdali su je potrebom za nadzor potencijalnih terorista kao i

njihove komunikacije putem javne računarske mreže, mada 99% komunikacija među
ljudima odvija se posredstvom klasične telefonske linije (glas, faks, podaci), kao potrebu u
prevenciji (organizovani kriminal, droga, terorizam, kidnaperi, pa čak i tzv. napredniji –
21
Predsednik SAD sa kraja dvadesetog veka.
22
Amerikanci su izgleda paranoidno "opsednuti" prisluškivanjem pa i na Internetu. U "Politici" od 24. jula
2000. godine objavljen je članak o "Karnivoru" – sistemu za policijsko "njuškanje" na Internetu. "Karnivor
navodno izdvaja sumnjive poruke iz glavnog toka informacija koje protiču kroz servis nekog Internet
provajdera... Karnivor predstavlja jednu od inicijativa Klintonove administracije željne da obezbedi
obaveštajnim službama pravo na prisluškivanje onlajn sveta... pa sadašnja adminstracija želi da očuva
sposobnost kontrolisanja kriminalnih aktivnosti i u novim okolnostima.''

37
belookovratnički kriminal) štaviše, navode se i primeri kad je elektronski nadzor pre-
venirao i u nacionalnoj bezbednosti. Nadzor se ipak koristi u funkciji otkrivanja namere.
Prema tome, broj uhapšenih, optuženih i okrivljenih na osnovu nadzora je zanemarljiv.

Priča o kliper čipu počinje sa "Computer Securities Act"-om iz 1987. godine koji je dopuna
"Federal Property and Administrative Services Act"-a iz 1949. godine.

U osnovama istorije kliper čipa navodi se da je, u suštini, reč o razvoju bezbednosnog
standarda za nevojne računare. Aprila 1993. godine, Bela kuća i NIST (National Institute
of Standards and Technology) objavljuju novu kriptošemu koja je imala za cilj zaštitu od
"mekog" – belookovratničkog kriminala ali i kriminalnih radnji vezanih, pre svega, za dis-
tribuciju i uživanje droge i terorizam.

Prema tome, pojavio se i međunarodni problem. Naime, američka vlada može preko kliper
čipa da "štiti" američke građane od upada (nadzora) sopstvenih građana a svakako i od
građana drugih država. Postavlja se pitanje zašto kliper čip ne bi koristio neko i u
inostranstvu – van SAD. "Rešenje" je da se za svaku državu posebno obezbedi kliper čip sa
drugim ključem!? Znači, zaštićeni ste od svih – osim američke vlade.

38