5. Информационная
безопасность в сетях ЭВМ
Защита
данных в компьютерных сетях становится одной из
самых открытых проблем в современных
информационно-вычислительных системах. На
сегодняшний день сформулировано три базовых
принципа информационной безопасности, задачей
которой является обеспечение:
-
целостности данных - защита от сбоев, ведущих к
потере информации или ее уничтожения;
-
конфиденциальности информации;
-
доступности информации для авторизованных
пользователей.
Рассматривая
проблемы, связанные с защитой данных в сети,
возникает вопрос о классификации сбоев и
несанкционированности доступа, что ведет к
потере или нежелательному изменению данных. Это
могут быть сбои оборудования (кабельной системы,
дисковых систем, серверов, рабочих станций и т.д.),
потери информации (из-за инфицирования
компьютерными вирусами, неправильного хранения
архивных данных, нарушений прав доступа к данным),
некорректная работа пользователей и
обслуживающего персонала. Перечисленные
нарушения работы в сети вызвали необходимость
создания различных видов защиты информации.
Условно их можно разделить на три класса:
- средства физической защиты;
- программные средства (антивирусные
программы, системы разграничения полномочий,
программные средства контроля доступа);
- административные меры защиты (доступ
в помещения, разработка стратегий безопасности
фирмы и т.д.).
Одним из
средств физической защиты являются системы
архивирования и дублирования информации. В
локальных сетях, где установлены один-два
сервера, чаще всего система устанавливается
непосредственно в свободные слоты серверов. В
крупных корпоративных сетях предпочтение
отдается выделенному специализированному
архивационному серверу, который автоматически
архивирует информацию с жестких дисков серверов
и рабочих станций в определенное время,
установленное администратором сети, выдавая
отчет о проведенном резервном копировании.
Наиболее распространенными моделями
архивированных серверов являются Storage Express System
корпорации Intel ARCserve for Windows.
Для
борьбы с компьютерными вирусами наиболее часто
применяются антивирусные программы, реже -
аппаратные средства защиты. Однако, в последнее
время наблюдается тенденция к сочетанию
программных и аппаратных методов защиты. Среди
аппаратных устройств используются специальные
антивирусные платы, вставленные в стандартные
слоты расширения компьютера. Корпорация Intel
предложила перспективную технологию защиты от
вирусов в сетях, суть которой заключается в
сканировании систем компьютеров еще до их
загрузки. Кроме антивирусных программ, проблема
защиты информации в компьютерных сетях решается
введением контроля доступа и разграничением
полномочий пользователя. Для этого используются
встроенные средства сетевых операционных систем,
крупнейшим производителем которых является
корпорация Novell. В системе, например, NetWare, кроме
стандартных средств ограничения доступа (смена
паролей, разграничение полномочий),
предусмотрена возможность кодирования данных по
принципу "открытого ключа" с формированием
электронной подписи для передаваемых по сети
пакетов.
Однако,
такая система защиты слабомощна, т.к. уровень
доступа и возможность входа в систему
определяются паролем, который легко подсмотреть
или подобрать. Для исключения неавторизованного
проникновения в компьютерную сеть используется
комбинированный подход - пароль + идентификация
пользователя по персональному "ключу". "Ключ"
представляет собой пластиковую карту (магнитная
или со встроенной микросхемой - смарт-карта) или
различные устройства для идентификации личности
по биометрической информации - по радужной
оболочке глаза, отпечаткам пальцев, размерам
кисти руки и т.д. Серверы и сетевые рабочие
станции, оснащенные устройствами чтения смарт-карт
и специальным программным обеспечением,
значительно повышают степень защиты от
несанкционированного доступа.
Смарт-карты
управления доступом позволяют реализовать такие
функции, как контроль входа, доступ к устройствам
ПК, к программам, файлам и командам. Одним из
удачных примеров создания комплексного решения
для контроля доступа в открытых системах,
основанного как на программных, так и на
аппаратных средствах защиты, стала система Kerberos,
в основу которой входят три компонента:
- база
данных, которая содержит информацию по всем
сетевым ресурсам, пользователям, паролям,
информационным ключам и т.д.;
-
авторизационный сервер (authentication server), задачей
которого является обработка запросов
пользователей на предоставление того или иного
вида сетевых услуг. Получая запрос, он обращается
к базе данных и определяет полномочия
пользователя на совершение определенной
операции. Пароли пользователей по сети не
передаются, тем самым, повышая степень защиты
информации;
- Ticket-granting
server (сервер выдачи разрешений) получает от
авторизационного сервера "пропуск" с именем
пользователя и его сетевым адресом, временем
запроса, а также уникальный "ключ". Пакет,
содержащий "пропуск", передается также в
зашифрованном виде. Сервер выдачи разрешений
после получения и расшифровки "пропуска"
проверяет запрос, сравнивает "ключи" и при
тождественности дает "добро" на
использование сетевой аппаратуры или программ.
По мере
расширения деятельности предприятий, роста
численности абонентов и появления новых
филиалов, возникает необходимость организации
доступа удаленных пользователей (групп
пользователей) к вычислительным или
информационным ресурсам к центрам компаний. Для
организации удаленного доступа чаще всего
используются кабельные линии и радиоканалы. В
связи с этим защита информации, передаваемой по
каналам удаленного доступа, требует особого
подхода. В мостах и маршрутизаторах удаленного
доступа применяется сегментация пакетов - их
разделение и передача параллельно по двум линиям,
- что делает невозможным "перехват" данных
при незаконном подключении "хакера" к одной
из линий. Используемая при передаче данных
процедура сжатия передаваемых пакетов
гарантирует невозможность расшифровки "перехваченных"
данных. Мосты и маршрутизаторы удаленного
доступа могут быть запрограммированы таким
образом, что удаленным пользователям не все
ресурсы центра компании могут быть доступны.
В
настоящее время разработаны специальные
устройства контроля доступа к вычислительным
сетям по коммутируемым линиям. Примером может
служить, разработанный фирмой AT&T модуль Remote Port
Securiti Device (PRSD), состоящий из двух блоков размером с
обычный модем: RPSD Lock (замок), устанавливаемый в
центральном офисе, и RPSD Key (ключ), подключаемый к
модему удаленного пользователя. RPSD Key и Lock
позволяют устанавливать несколько уровней
защиты и контроля доступа:
-
шифрование данных, передаваемых по линии при
помощи генерируемых цифровых ключей;
-
контроль доступа с учетом дня недели или времени
суток.
Прямое
отношение к теме безопасности имеет стратегия
создания резервных копий и восстановления баз
данных. Обычно эти операции выполняются в
нерабочее время в пакетном режиме. В большинстве
СУБД резервное копирование и восстановление
данных разрешаются только пользователям с
широкими полномочиями (права доступа на уровне
системного администратора, либо владельца БД),
указывать столь ответственные пароли
непосредственно в файлах пакетной обработки
нежелательно. Чтобы не хранить пароль в явном
виде, рекомендуется написать простенькую
прикладную программу, которая сама бы вызывала
утилиты копирования/восстановления. В таком
случае системный пароль должен быть "зашит"
в код указанного приложения. Недостатком данного
метода является то, что всякий раз при смене
пароля эту программу следует перекомпилировать.
Применительно
к средствам защиты от НСД определены семь
классов защищенности (1-7) средств вычислительной
техники (СВТ) и девять классов (1А,1Б,1В,1Г,1Д,2А,2Б,3А,3Б)
автоматизированных систем (АС). Для СВТ самым
низким является седьмой класс, а для АС - 3Б.
Рассмотрим
более подробно приведенные сертифицированные
системы защиты от НСД.
Система
"КОБРА" соответствует требованиям 4-ого
класса защищенности (для СВТ), реализует
идентификацию и разграничение полномочий
пользователей и криптографическое закрытие
информации, фиксирует искажения эталонного
состояния рабочей среды ПК (вызванные вирусами,
ошибками пользователей, техническими сбоями и т.д.)
и автоматически восстанавливает основные
компоненты операционной среды терминала.
Подсистема
разграничения полномочий защищает информацию на
уровне логических дисков. Пользователь получает
доступ к определенным дискам А,В,С,...,Z. Все
абоненты разделены на 4 категории:
-
суперпользователь (доступны все действия в
системе);
- администратор
(доступны все действия в системе, за исключением
изменения имени, статуса и полномочий
суперпользователя, ввода или исключения его из
списка пользователей);
-
программисты (может изменять личный пароль);
- коллега
(имеет право на доступ к ресурсам, установленным
ему суперпользователем).
Помимо
санкционирования и разграничения доступа к
логическим дискам, администратор устанавливает
каждому пользователю полномочия доступа к
последовательному и параллельному портам. Если
последовательный порт закрыт, то невозможна
передача информации с одного компьютера на
другой. При отсутствии доступа к параллельному
порту, невозможен вывод на принтер. |