Использование новых возможностей комплекса радиомониторинга и цифрового анализа сигналов «Кассандра-М» для обнаружения современных специальных технических средств с передачей информации по радиоканалу

Захаров А.В.

e-mail: info@analitika.info

---

Современные специальные технические средства (СТС), использующие для передачи перехваченной информации радиоканал (далее - радиозакладки), за последние несколько лет шагнули в своём развитии настолько далеко вперёд, что многие комплексы радиомониторинга просто не в состоянии их обнаружить с приемлемой вероятностью.


В настоящее время активно развиваются несколько направлений создания радиозакладок. Выделим основные -  использование сложных типов сигналов для передачи перехваченной информации (широкополосных, шумоподобных, ППРЧ и т.д. [1]), затрудняющих обнаружение их средствами радиомониторинга. Последнее относится и к активно используемым радиозакладкам с накоплением перехваченной  информации, её сжатием и последующим крайне малым временем передачи. Но наиболее, с нашей точки зрения, опасное другое направление – использование легальных каналов связи (DECT, Bluetooth, Wi-Fi, GSM и др.) для передачи  перехваченной информации. Почему наиболее опасное? Потому, что в данном случае многие специалисты, используя имеющуюся у них аппаратуру, не в состоянии отличить работающее по своему прямому назначению легальное радиоизлучающее устройство от используемого для негласного съёма информации. Сделать это без применения специальных средств анализа цифровых пакетов в реальном масштабе времени, невозможно. Если специфические формы сигналов "обыкновенных" радиозакладок сразу привлекают к себе внимание "нестандартным" видом (рис. 1), то сигналы устройств, работающих в легальных каналах передачи данных, выглядят одинаково независимо от того, излучает их радиозакладка или вполне «мирное» устройство.

Необходимо констатировать, что средств анализа цифровых пакетов, применительно к задачам поискового радиоконтроля в настоящий момент не существует. Те немногочисленные средства анализа цифровых сетей передачи данных (Rohde&Schwarz TSMW и ПО "ROMES", различные специализированные тестеры цифровых средств связи, ряд других программных средств цифрового анализа сигналов) относятся к классу "гражданских" и предназначены для демодуляции широковещательных пакетов базовых станций и анализа структуры сети. В задачах поискового радиоконтроля актуальным вопросом необходимо считать не только анализ широковещательных пакетов базовых станций (BS), но и пакетов мобильных устройств (MS), получение из них максимума полезной информации, позволяющей идентифицировать каждое такое устройство среди многих работающих одновременно, и в конечном итоге, локализовать местоположение любого из них. 

Первой попыткой создать программные средства демодуляции и анализа цифровых средств радиосвязи можно считать пакет цифровой обработки сигналов в программном обеспечении РадиоИнспектор. На сегодняшний день он позволяет демодулировать, анализировать, идентифицировать и локализовывать базовые станции и мобильные устройства, работающие в стандартах DECT, GSM, Bluetooth, Wi-Fi, Tetra, выполнять демодуляцию и отображение картинки аналогового телевизионного сигнала, в том числе, с использованием метода инверсии синхроимпульсов, демодулировать аналоговые AM и FM сигналы в полосе частот от десятков герц до нескольких мегагерц. Данный пакет цифровой обработки сигналов работает с аппаратурой, позволяющей получать квадратурные отсчеты (IQ) сигналов ПЧ в широкой полосе частот в режиме реального времени или блоками большой длины. 

Примером такой аппаратуры является ряд анализаторов спектра и измерительных приемников производства Rohde&Schwarz и стремительно развивающийся комплекс радиомониторинга и цифрового анализа сигналов «Кассандра-М», который уже стал широко известен многим специалистам  благодаря своим техническим параметрам и уникальному ПО РадиоИнспекторRT, не имеющему мировых аналогов (видео работы комплекса можно посмотреть в интернете по адресу http://www.youtube.com/watch?v=bcX7Lo_GMtI ). ПО RadioInspectorRT работает со многими анализаторами спектра, измерительными  и связными приёмниками ведущих мировых производителей (R&S, Agilent, Advantest, Anritsu,Aeroflex/IFR, AOR, ICOM), но только считанные единицы современной аппаратуры имеют возможность получать непрерывный поток квадратур в полосе сигнала 2 МГц. Именно поэтому «Кассандра-М» является превосходным инструментом для цифровой обработки и анализа сигналов современных стандартов связи. 
В данной статье мы рассмотрим применение комплекса в практической работе. Описание его технических параметров можно найти в статье А.В. Кривцуна -  «Комплекс радиомониторинга «Кассандра-М» (журнал «Защита информации. Инсайд»  №1 за 2010 год) . 

Рис. 1  Отображение работы широкополосной радиозакладки с кратковременным накоплением. Интервал передач 3 минуты.

За последнее время комплекс «Кассандра-М» значительно пополнился новыми возможностями по цифровому анализу сигналов различных стандартов, телевизионных сигналов, векторному анализу. Все эти новые опции комплекса как раз и направлены на решение задач по контролю легальных каналов связи, всё чаще используемых радиозакладками.

Рассмотрим некоторые проблемные вопросы поискового радиомониторинга (радиоконтроля). Какие именно сложности могут возникнуть при работе? Достаточно привести пример типового учреждения, где проводятся проверки. Десятки компьютеров, беспроводных телефонов DECT, мобильных телефонов различных стандартов (только в Москве их 5 : CDMA-2000, GSM-900/1800, 3G (UMTS), 4G (WiMax)), усилителей той же мобильной связи (в некоторых зданиях уже встречаются усилители всех стандартов), легальные радиомикрофоны, беспроводные гарнитуры, устройства Wi-Fi, различные электронные считыватели систем контроля и управления доступом, проводные охранные видеокамеры (которые зачастую имеют уровни ПЭМИ, соизмеримые с излучением радиозакладкок) и т.д. и т.п. Не надо забывать и о «качестве» современного электронного оборудования. Чего только стоят некоторые импульсные блоки питания, которые «видны» в эфире иногда до 500 МГц (!).

Давайте добавим ко всему этому многообразию всё то, что «прилетает» в помещение из вне – теле- и радиовещание (в том числе и цифровое телевидение DVB), авиационные переговоры, радионяни, радиолюбительская связь, ведомственные каналы связи, всё активнее уходящей в цифровые стандарты (пример – APCO P25, Tetra, DMR), передача данных, телеметрия, пейджинг (как ни удивительно – до сих пор работает), даже космонавты в конце концов и спутники,передающие метеоснимки. Даже их можно принять, находясь на объектах.

В настоящее время, как показала практика и в чём убеждается всё больше специалистов – радиомониторинг уже давно должен быть непрерывным и круглосуточным. Почему? Простой пример – как можно обойти комплекс радиомониторинга, который включают только на время проведения важных мероприятий? Да очень просто – не работать на передачу. Даже не надо никакого сжатия информации, использования «хитрых» модуляций. Сколько длятся обычные совещания/переговоры/мероприятия? Не дольше чем рабочий день. Каково время записи современных цифровых диктофонов? Правильно – месяцы. Кто мешает дистанционно (или по расписанию) включить/выключить диктофон командой по радиоканалу, записать всё что требуется, а во внерабочее время (например ночью) – спокойно таким же способом активировать передатчик. И это самый простой пример, не требующий сколь либо значимых финансовых затрат от злоумышленников, некоторые из которых, к тому же, способны собрать на коленке выше описанную систему перехвата акустической информации, не забыв принять меры по снижению вероятности обнаружения своего творения средствами нелинейной локации. На этом и последующих примерах многие, в том числе и те, кто обеспечивает защиту вовсе не от иностранных технических разведок, смогут легко убедиться, что непрерывный и круглосуточный радиомониторинг является необходимостью, а не каким-то новым веянием моды.

А теперь посмотрим на SIM-BURST и INCA ULL. Это радиозакладки с промежуточным накоплением информации [1, стр. 304]. При ширине полосы сигнала в 12 МГц сжатие записанной информации может достигать 100 к 1. То есть, при накоплении информации длительностью 100 секунд время её передачи составит 1 секунду. Не сложно подсчитать, что если даже круглосуточно записывать переговоры в течение месяца, то передача накопленной информации займёт чуть больше 7-ми часов. А ведь это относительно узкополосная радиозакладка. Давайте возьмём и увеличим спектр раз в 300 – до 3 ГГц (конечно, это будут уже другие изделия). Смотрите, что получилось: теперь она способна «выплюнуть» не более чем за три минуты всю информацию, накопленную за месяц. Как её искать в эфире и как отличить случайный сигнал (например, от блокиратора радиовзрывателей, установленного на проехавшей машине) от сигнала нашей искомой радиозакладки, если не проводить непрерывный круглосуточный радиоконтроль? Только круглосуточный радиоконтроль позволяет наблюдать за тем, как «живёт» сигнал, как он соотносится с различными важными событиями на охраняемом объекте, обнаруживать закономерности во времени появления в эфире, сравнивать текущие спектры сигналов с ранее полученными. Наличие перечисленных возможностей  является  необходимым и обязательным требованием к современному поисковому комплексу радиомониторингу. И никак иначе. 

Рис. 2 Работа аналоговой радиозакладки на частоте 1597.2 МГц. Спектр сигнала соответствует изменениям речевого сигнала в контролируемом помещении. Уровень сигнала значительно превосходит стандартные эфирные и находится в диапазоне частот, где практически нет легально работающих аналоговых средств.

Остановимся ещё на одном моменте. В простых случаях, когда закладка работает непрерывно, находясь на одной частоте, проблем с обнаружением её сигнала не должно возникнуть (рис. 2).

Но если противник идёт в ногу со временем? Сидеть и смотреть на экран, ожидая, когда появится сигнал? Появиться он может через сутки или, вообще, через неделю или месяц. Не зная алгоритма выхода радиозакладки в эфир, крайне сложно обнаружить её сигнал. Поэтому очень важную роль в комплексах радиоконтроля стала играть функция отображения спектра сигналов в виде так называемого «водопада», позволяющего наблюдать за изменениями радиочастотного спектра с привязкой ко времени. Появляется возможность вести базу данных непрерывно и круглосуточно, не теряя ни один принятый комплексом сигнал.  Иногда достаточно взглянуть на «водопад», чтобы визуально обнаружить работу закладки. Пример на рис. 1. 

И ни в коем случае нельзя дробить диапазон работы комплекса на куски – весь спектр надо смотреть целиком. В диапазонах, нарезанных, допустим, по 100 МГц, можно не увидеть закономерностей в спектре, которые бросаются в глаза при одновременном просмотре полосы шириной, например, 3 ГГц.

Наличие в ПО комплекса «Кассандра-М» функции «водопада» с возможностью регулировки цветового соответствия различным уровням сигналов  позволяет увидеть в эфире малейший всплеск и проанализировать его поведение в конкретный момент времени. При этом скорость комплекса, вплотную подошедшая к 3 ГГц в секунду  при полосе пропускания 40 кГц, позволяет зафиксировать даже очень короткие выходы в эфир. В некоторых случаях приходится пользоваться функцией «Время сканирования» и искусственно тормозить работу комплекса, так как не всегда бывает нужна такая скорость.
Вернёмся теперь к вопросу использования легальных каналов связи для работы радиозакладок. Как пример рассмотрим радиотелефонию стандарта DECT и сложности связанные с выявлением радиозакладок на его основе. При существующей в настоящее время плотности использования  беспроводной связи стандарта DECT и активном применении при производстве специальных технических средств перехвата акустической информации (СТС) этого вида передачи, уже недостаточно просто фиксировать факт работы  данного  стандарта связи. Необходимо идентифицировать и контролировать все находящиеся на охраняемом объекте устройства связи стандарта DECT. В настоящее время эта проблема стоит как нельзя остро. На рынке не существует решений, позволяющих с ней справиться. Многие специалисты по поисковым мероприятиям и радиомониторингу обходят данную проблему стороной, так как не знают её решения, кроме того, как фиксировать факт работы DECT в диапазоне частот 1880-1900 МГц. Некоторые поисковые приборы так и пишут на своих дисплеях – DECT. Самые продвинутые пишут – DECT BASA. А этого абсолютно не достаточно, ведь зачастую на охраняемом объекте могут работать десятки легальных устройств, использующих данный стандарт. Даже в контролируемом помещении может «жить» легальная трубка. Методом анализа спектра невозможно отличить пакеты, излучаемые «законными» и «незаконными» передатчиками. Практика показала, что плотность установки устройств DECT такова, что на десяти каналах, используемых в стандарте, фиксируется в зоне приёма до двухсот (!) устройств данного стандарта.  Это позволяет идеально маскировать работу радиозакладок. 

В новой опции комплекса «Кассандра-М» - программном обеспечении DTest (Digital Test) [2], предложено решение проблемы идентификации легальных и нелегальных устройств стандарта DECT. Теперь пользователи комплекса получили уникальный и не имеющий аналогов на рынке поисковой техники инструмент. Как это выглядит? Всё реализовано таким образом, чтобы максимально автоматизировать работу комплекса и разгрузить и без того сложную работу оператора: нажал кнопку – получил результат. Комплекс получает в реальном времени спектры сигналов с полосой 2 МГц, что позволяет демодулировать и анализировать открытые заголовки пакетов устройств одного частотного канала стандарта DECT. На весь анализ уходит порядка 7-ми секунд на все 10 каналов, используемые в данном стандарте. Какие возможности появляются у оператора комплекса радиомониторинга при использовании программы DTest для анализа DECT? Список довольно внушительный:

Рис. 3 Основное окно анализа стандарта DECT

1.     Фиксация количества баз, идентификатора базы RFPI и уровня сигнала базовых станций DECT (BS DECT). В таблицу заносятся все без исключения базовые станции, которые в данный момент включены (рис. 3).

2.     Фиксация количества и принадлежность к базовой станции работающих мобильных терминалов (трубок, MS DECT). Так как трубка не передаёт в эфир никаких идентификаторов после однократной регистрации, то фиксируется факт работы трубки с привязкой её к «родной» базе. Особо отметим фиксацию всех работающих трубок, подключённых и работающих с базой. То есть,  если через базу одновременно работают две трубки или более, то оператор видит их все и уровни сигналов каждой трубки.

3.     Оценка расстояния до BS и MS по уровню сигнала.
По уровню сигнала базы и трубки можно оценить их расстояние до антенны комплекса радиомониторинга.

4.     Локализация работающих BS и MS методом амплитудной пеленгации.
В случае необходимости локализовать обнаруженную радиозакладку, можно подключить к комплексу направленную антенну и, практически, дойти до источника сигнала, ориентируясь по уровню его амплитуды, постоянно отображаемому на экране.

5.     Измерение уровня сигнала каждой обнаруженной BS и MS.
По уровню сигнала и графику работы можно эффективно выявлять радиозакладки. В некоторых случаях BS будет иметь довольно слабый уровень, не характерный для устройств, работающих в учреждении, а MS (трубка) наоборот – будет иметь неожиданно большой уровень. И главное -  длительное время работать в эфире. Останется локализовать MS и убедиться что это не легальная трубка, которую забыли выключить.

6.     Ведение протокола сеанса связи между MS и BS.
Все сеансы связи, обнаруженные базы, и подключения к ним трубок заносятся в протокол (документ стандарта Micrsoft Word®). Он имеет довольно внушительный размер, так как при постоянной работе происходит регулярное обновление списков выявленных устройств с занесением в протокол. Ни одно событие в эфире не теряется. 

7.     Ведение списка легальных (идентифицированных) BS и выделение вновь появившихся BS
Такой список позволяет быстро выявлять появление новых баз, которых не было ранее на объекте. Пополнять его довольно просто: чтобы выявить легальную базу, достаточно взять прописанную на ней трубку и позвонить рядом с комплексом. У Вас сразу выявится база, к которой подключена трубка с большим уровнем сигнала. Выключите трубку – сигнал от неё пропадёт – всё – это Ваша база, заносите её в список легальных. Можно к каждой базе добавлять свои комментарии, чтобы не запоминать шестиразрядный RFPI-идентификатор базы.

8.     Фиксация частотного распределения BS и MS. Определение загрузки каналов.
Определение загрузки каналов позволяет выявить проблемы с перебоями связи, ведь, зачастую у специалистов по радиоконтролю и эти работы входят в круг задач.

9.     Проверка всех стандартных частот работы стандарта DECT, с возможностью анализа любых добавленных частот на принадлежность к данному классу передачи.

Данная функция введена для того, чтобы оператор, в случае обнаружения в любом участке спектра сигнала,напоминающего DECT по своим параметрам, имел возможность проанализировать его на принадлежность к данному стандарту связи. 

Перейдём теперь к одной из самых сложных проблем – радиозакладкам на основе мобильных стандартов связи. В короткой статье сложно описать все особенности практической работы. Мы отметим главное. Сложность задачи идентификации (телефон или радиозакладка?) состоит в большой концентрации легальных устройств, работающих в зоне ответственности оператора. Как отличить сигнал легального телефона от закладки? Никак…  А если серьёзно, то закладка также регистрируется в сети оператора мобильной связи как и легальные трубки и также выглядит её спектр. Что же может сделать в данном случае оператор с помощью комплекса «Кассандра-М»? Очень многое. Пройдёмся детально по всем стандартам.

CDMA-2000 (в основном оператор Скайлинк). Частотный диапазон работы базовых станций (BS) 463,4-467,15 МГц. Например, в Москве, работают три канала  шириной по 1,25 МГц. На наш взгляд самые опасные закладки работают в этом стандарте: уровни сигнала, его тип (шумоподобный) и занимаемая полоса (1,25 МГц) привели к тому, что большинство детекторов поля (даже стоимостью более 100 т.р.) не видят этот стандарт иногда даже в притык. Комплекс радиоконтроля и связные приёмники конечно не страдают такой болезнью, но здесь надо знать некоторые особенности стандарта. Бытует мнение, что если включить постановщик помех, то после его выключения все трубки, находящиеся в помещении, начнут перерегистрироваться. К CDMA-2000 это точно не относится. Это неоднократно проверялось на практике. Надо контролировать диапазон частот передачи трубки 28 минут, чтобы дождаться её перерегистрации – так настроена сеть. В комплексе, при этом,  должна быть включена функция «Отобразить график максимумов». И можно идти пить кофе. Если через полчаса его работы на частоте 453,4-457,15 МГц (на 10 МГц ниже работы базовых станций стандарта) появится сигнал, то он будет виден на графике максимумов и конечно на «водопаде» (рис. 4). По уровню этого сигнала можно оценить, находится ли он в непосредственной близости или «это не ваша головная боль». В любом случае, просто регистрация в сети ещё не криминал, а вот длительная работа в эфире – повод понаблюдать за сигналом. Конечно, это может быть модем секретаря-референта руководителя. А если нет? С направленной антенной, подключенной к «Кассандре-М», можно точно локализовать источник излучения.

Рис. 4   Многозадачный режим с отображением всех графиков одновременно. Отображается контроль четырёх стандартов мобильной связи. Виден кратковременный момент работы трубки стандарта CDMA-2000, появление в ближней зоне трубки стандарта GSM-1800 и длительная работа в ближней зоне (с коротким перерывом) трубки стандарта 3G.

Далее идёт GSM-900/1800. Частоты работы сетей приведены в таблице 1.

По этому стандарту с помощью «Кассандра-М» можно выявлять нестандартную работу сети – фактически, обнаруживать работу средств перехвата мобильной связи. Видя все каналы, оператор получает следующие параметры топологии сети:
Принадлежность к стране, к оператору, идентификатор базовой станции, код сектора, Location Area (LA – идентификатор группы сот, объединённых по географическому признаку).
Комплекс видит все служебные каналы, каналы трафика и привязку их друг к другу. При возникновении подмены базовой станции (БС) оператор может увидеть или новый идентификатор БС с мощным уровнем сигнала, или просто значительное увеличение мощности сигнала одной из БС. Также может измениться привязка служебных каналов к трафиковым.
   Как определить, что передача, обнаруженная комплексом, вероятнее всего идёт от GSM закладки? Надо искать сигнал в ближней зоне на частоте передачи трубки. Помимо того, что уровень сигнала будет значительно отличаться от «дальних» трубок, но и спектр сигнала будет шире – это признак ближней зоны (Рис. 5). Далее следует просто посмотреть как «живёт» этот сигнал, то есть проанализировать его поведение во времени: длительность работы, появление в эфире в периоды времени, когда в помещении никого нет.  Можно включить постановщик помех, определить на каком расстоянии он действует, отрегулировать мощность, чтобы вне помещения подавление отсутствовало, а потом выключить подавитель минут через 10. Почему 10? Потому, что в стремлении сэкономить энергию батарей, производители всё больше увеличивают интервалы пропадания сигнала базовой станции, при которых будет происходить перерегистрация. А вот сильно полагаться на данный метод, применительно к 3G (UMTS), мы бы не стали, ибо всё идёт к кому, что трубки будут вести себя как в стандарте CDMA-2000. Ведь он был взят за основу стандарта 3G (UMTS). Это так называемый WIDE CDMA (WCDMA) – широкий CDMA. Надо комбинировать оба способа – долговременный контроль выделенного участка и периодическое включение блокираторов мобильной связи с последующим контролем регистрации после их выключения.
Что касается 3G (UMTS)  и 4G (применительно к России, в настоящее время, это стандарт WiMax, через несколько лет планируется развёртывание LTE), распределение частот которых приведено в таблице 2, то на данном этапе их тоже надо искать по «энергетике» – резкому увеличению уровня сигнала в ближней зоне. При этом спектр сигнала становится не только мощнее по уровню, но и шире. Пример сигнала в ближней зоне приведён на рис. 5. 

Рис. 5.  Работа мобильного телефона (MS) стандарта 3G в ближней зоне.

Для контроля мобильной связи отдельно хочется отметить удобство многооконного режима и возможность ставить любое количество задач со своими параметрами. Запустив все задачи по контролю мобильной связи можно или сразу смотреть все участки (Рис. 4), или выбирать нужное окно. При этом активные задачи будут продолжать работать.

Коснёмся вопроса возможности утечки информации с помощью устройств некоторых цифровых стандартов радиосвязи, на которые всё активнее переходят ведомственные и частные радиосети. С какими угрозами могут столкнуться в данном случае специалисты по поисковому радиомониторингу? Рассмотрим их на примере стандарта Tetra. Конечно,  в основном, данный стандарт предусматривает работу через базовый ретранслятор. Но, существует и возможность работы в прямом канале. Так как стандарт довольно современный (при проведении Олимпиады в Сочи стандарт Tetra будет основным), то в него внедрили массу полезных возможностей. Например, возможность дистанционно включить другую станцию (внимание!) – без каких либо демаскирующих признаков, что станция работает на передачу. В этом режиме она не издаёт никаких предупреждающих сигналов, не работает дисплей и не подсвечиваются кнопки. При этом микрофон станции имеет максимальную чувствительность, что позволят спокойно слушать разговоры в нескольких метрах от него. Аналогично можно включать в режим акустики и станции других современных стандартов: DMR, APCO P25. Надо только знать как.
Как же определить, что на охраняемом объекте при функционировании служебной связи используется прямой канал, и выявить устройство, работающее в нём на передачу? В настоящее время этот вопрос решён в комплексе «Кассандра-М» применительно к стандарту Tetra. При анализе сигнала на принадлежность к данному стандарту, на экран выводится вся информация о базовых станциях, и, если фиксируется, что станция работает в режиме DMO (в прямом канале), то на экране появляется выделенное красным цветом предупреждение «TETRA РЕЖИМ DMO!!!» с информацией об устройствах, работающих на передачу (рис. 6).

Рис. 6 Отображение обнаружения режима DMO 5-ти ваттной радиостанции Motorola MTH800, работающей в ближней зоне (5 метров)

 Проблема утечки информации через цифровые легальные каналы связи требует к себе всё более пристального и постоянного внимания, поэтому создатели комплекса радиомониторинга и цифрового анализа сигналов «Кассандра-М» непрерывно его совершенствуют и пополняют список стандартов связи, по которым оператор может получить исчерпывающую информацию. 
В данной статье мы не рассмотрели применение  ПО RadioInspector для анализа стандартов связи Bluetooth, Wi-Fi и многие другие его возможности. Подробно эти вопросы, а также другие, кратко освещённые, мы рассмотрим в последующих публикациях.

---

Литература:
1. Хорев А.А. Техническая защита информации: учебное пособие для студентов вузов. В 3 т. Т. 1. Технические каналы утечки информации. - М: «НПЦ Аналитика», 2008. - 436 с.
2. ПО РадиоИнспектор [Электронный ресурс]. - Режим доступа: http://www.inspectorsoft.ru/soft.php?id=289