Информационная безопасность в сетях ЭВМ

Информационная безопасность в сетях ЭВМ 

 

Защита данных в компьютерных сетях становится одной из самых  открытых проблем в современных  информационно-вычислительных системах. На сегодняшний день сформулировано три базовых принципа информационной безопасности, задачей которой является обеспечение:

 

- целостности данных - защита  от сбоев, ведущих к потере  информации или ее уничтожения; 

 

- конфиденциальности информации;

 

- доступности информации  для авторизованных пользователей. 

 

Рассматривая проблемы, связанные  с защитой данных в сети, возникает  вопрос о классификации сбоев  и несанкционированности доступа, что ведет к потере или нежелательному изменению данных. Это могут быть сбои оборудования (кабельной системы, дисковых систем, серверов, рабочих  станций и т.д.), потери информации (из-за инфицирования компьютерными  вирусами, неправильного хранения архивных данных, нарушений прав доступа к  данным), некорректная работа пользователей  и обслуживающего персонала. Перечисленные  нарушения работы в сети вызвали  необходимость создания различных  видов защиты информации. Условно  их можно разделить на три класса:

 

- средства физической  защиты;

 

- программные средства (антивирусные  программы, системы разграничения  полномочий, программные средства  контроля доступа);

 

-административные меры  защиты (доступ в помещения, разработка  стратегий безопасности фирмы  и т.д.).

 

Одним из средств физической защиты являются системы архивирования  и дублирования информации. В локальных  сетях, где установлены один-два  сервера, чаще всего система устанавливается  непосредственно в свободные  слоты серверов. В крупных корпоративных  сетях предпочтение отдается выделенному  специализированному архивационному серверу, который автоматически  архивирует информацию с жестких  дисков серверов и рабочих станций  в определенное время, установленное  администратором сети, выдавая отчет  о проведенном резервном копировании. Наиболее распространенными моделями архивированных серверов являются Storage Express System корпорации Intel ARCserve for Windows.

 

Для борьбы с компьютерными  вирусами наиболее часто применяются  антивирусные программы, реже - аппаратные средства защиты. Однако, в последнее время наблюдается тенденция к сочетанию программных и аппаратных методов защиты. Среди аппаратных устройств используются специальные антивирусные платы, вставленные в стандартные слоты расширения компьютера. Корпорация Intel предложила перспективную технологию защиты от вирусов в сетях, суть которой заключается в сканировании систем компьютеров еще до их загрузки. Кроме антивирусных программ, проблема защиты информации в компьютерных сетях решается введением контроля доступа и разграничением полномочий пользователя. Для этого используются встроенные средства сетевых операционных систем, крупнейшим производителем которых является корпорация Novell. В системе, например, NetWare, кроме стандартных средств ограничения доступа (смена паролей, разграничение полномочий), предусмотрена возможность кодирования данных по принципу "открытого ключа" с формированием электронной подписи для передаваемых по сети пакетов.

 

Однако, такая система  защиты слабомощна, т.к. уровень доступа  и возможность входа в систему  определяются паролем, который легко  подсмотреть или подобрать. Для  исключения неавторизованного проникновения  в компьютерную сеть используется комбинированный  подход - пароль + идентификация пользователя по персональному "ключу". "Ключ" представляет собой пластиковую  карту (магнитная или со встроенной микросхемой - смарт-карта) или различные  устройства для идентификации личности по биометрической информации - по радужной оболочке глаза, отпечаткам пальцев, размерам кисти руки и т.д. Серверы и  сетевые рабочие станции, оснащенные устройствами чтения смарт-карт и специальным  программным обеспечением, значительно  повышают степень защиты от несанкционированного доступа.

 

Смарт-карты управления доступом позволяют реализовать такие  функции, как контроль входа, доступ к устройствам ПК, к программам, файлам и командам. Одним из удачных  примеров создания комплексного решения  для контроля доступа в открытых системах, основанного как на программных, так и на аппаратных средствах  защиты, стала система Kerberos, в основу которой входят три компонента:

 

- база данных, которая  содержит информацию по всем  сетевым ресурсам, пользователям,  паролям, информационным ключам  и т.д.;

 

- авторизационный сервер (authentication server), задачей которого является  обработка запросов пользователей  на предоставление того или  иного вида сетевых услуг. Получая  запрос, он обращается к базе  данных и определяет полномочия  пользователя на совершение определенной  операции. Пароли пользователей по сети не передаются, тем самым, повышая степень защиты информации;

 

-Ticket-granting server (сервер выдачи  разрешений) получает от авторизационного  сервера "пропуск" с именем  пользователя и его сетевым  адресом, временем запроса, а  также уникальный "ключ". Пакет,  содержащий "пропуск", передается  также в зашифрованном виде. Сервер  выдачи разрешений после получения  и расшифровки "пропуска" проверяет  запрос, сравнивает "ключи" и  при тождественности дает "добро"  на использование сетевой аппаратуры  или программ.

 

По мере расширения деятельности предприятий, роста численности  абонентов и появления новых  филиалов, возникает необходимость  организации доступа удаленных  пользователей (групп пользователей) к вычислительным или информационным ресурсам к центрам компаний. Для  организации удаленного доступа  чаще всего используются кабельные  линии и радиоканалы. В связи  с этим защита информации, передаваемой по каналам удаленного доступа, требует  особого подхода. В мостах и маршрутизаторах  удаленного доступа применяется  сегментация пакетов - их разделение и передача параллельно по двум линиям, - что делает невозможным "перехват" данных при незаконном подключении "хакера" к одной из линий. Используемая при передаче данных процедура сжатия передаваемых пакетов гарантирует  невозможность расшифровки "перехваченных" данных. Мосты и маршрутизаторы удаленного доступа могут быть запрограммированы  таким образом, что удаленным  пользователям не все ресурсы  центра компании могут быть доступны.

 

В настоящее время разработаны  специальные устройства контроля доступа  к вычислительным сетям по коммутируемым  линиям. Примером может служить, разработанный  фирмой AT&T модуль Remote Port Securiti Device (PRSD), состоящий из двух блоков размером с обычный модем: RPSD Lock (замок), устанавливаемый  в центральном офисе, и RPSD Key (ключ), подключаемый к модему удаленного пользователя. RPSD Key и Lock позволяют устанавливать  несколько уровней защиты и контроля доступа:

 

- шифрование данных, передаваемых  по линии при помощи генерируемых  цифровых ключей;

 

- контроль доступа с  учетом дня недели или времени  суток. 

 

Прямое отношение к  теме безопасности имеет стратегия  создания резервных копий и восстановления баз данных. Обычно эти операции выполняются в нерабочее время  в пакетном режиме. В большинстве  СУБД резервное копирование и  восстановление данных разрешаются  только пользователям с широкими полномочиями (права доступа на уровне системного администратора, либо владельца  БД), указывать столь ответственные  пароли непосредственно в файлах пакетной обработки нежелательно. Чтобы  не хранить пароль в явном виде, рекомендуется написать простенькую прикладную программу, которая сама бы вызывала утилиты копирования/восстановления. В таком случае системный пароль должен быть "зашит" в код указанного приложения. Недостатком данного метода является то, что всякий раз при смене пароля эту программу следует перекомпилировать.

 

Применительно к средствам  защиты от НСД определены семь классов  защищенности (1-7) средств вычислительной техники (СВТ) и девять классов (1А,1Б,1В,1Г,1Д,2А,2Б,3А,3Б) автоматизированных систем (АС). Для  СВТ самым низким является седьмой  класс, а для АС - 3Б.

 

Рассмотрим более подробно приведенные сертифицированные  системы защиты от НСД.

 

Система "КОБРА" соответствует  требованиям 4-ого класса защищенности (для СВТ), реализует идентификацию  и разграничение полномочий пользователей  и криптографическое закрытие информации, фиксирует искажения эталонного состояния рабочей среды ПК (вызванные  вирусами, ошибками пользователей, техническими сбоями и т.д.) и автоматически  восстанавливает основные компоненты операционной среды терминала.

 

Подсистема разграничения  полномочий защищает информацию на уровне логических дисков. Пользователь получает доступ к определенным дискам А,В,С,...,Z. Все абоненты разделены на 4 категории:

 

- суперпользователь (доступны  все действия в системе);

 

-администратор (доступны  все действия в системе, за  исключением изменения имени,  статуса и полномочий суперпользователя,  ввода или исключения его из  списка пользователей);

 

- программисты (может изменять  личный пароль);

 

-коллега (имеет право  на доступ к ресурсам, установленным  ему суперпользователем).

 

Помимо санкционирования и разграничения доступа к  логическим дискам, администратор устанавливает  каждому пользователю полномочия доступа  к последовательному и параллельному  портам. Если последовательный порт закрыт, то невозможна передача информации с одного компьютера на другой. При отсутствии доступа к параллельному порту, невозможен вывод на принтер.