Доклад: Информационная безопасность в сетях ЭВМ
Доклад: Информационная безопасность в сетях ЭВМ
Защита
данных в компьютерных сетях становится одной из самых открытых проблем в
современных информационно-вычислительных системах. На сегодняшний день
сформулировано три базовых принципа информационной безопасности, задачей
которой является обеспечение:
-
целостности данных - защита от сбоев, ведущих к потере информации или ее
уничтожения;
-
конфиденциальности информации;
-
доступности информации для авторизованных пользователей.
Рассматривая
проблемы, связанные с защитой данных в сети, возникает вопрос о классификации
сбоев и несанкционированности доступа, что ведет к потере или нежелательному
изменению данных. Это могут быть сбои оборудования (кабельной системы, дисковых
систем, серверов, рабочих станций и т.д.), потери информации (из-за
инфицирования компьютерными вирусами, неправильного хранения архивных данных,
нарушений прав доступа к данным), некорректная работа пользователей и
обслуживающего персонала. Перечисленные нарушения работы в сети вызвали
необходимость создания различных видов защиты информации. Условно их можно
разделить на три класса:
-
средства физической защиты;
-
программные средства (антивирусные программы, системы разграничения полномочий,
программные средства контроля доступа);
-административные
меры защиты (доступ в помещения, разработка стратегий безопасности фирмы и
т.д.).
Одним
из средств физической защиты являются системы архивирования и дублирования
информации. В локальных сетях, где установлены один-два сервера, чаще всего
система устанавливается непосредственно в свободные слоты серверов. В крупных
корпоративных сетях предпочтение отдается выделенному специализированному архивационному
серверу, который автоматически архивирует информацию с жестких дисков серверов
и рабочих станций в определенное время, установленное администратором сети,
выдавая отчет о проведенном резервном копировании. Наиболее распространенными
моделями архивированных серверов являются Storage Express System корпорации
Intel ARCserve for Windows.
Для
борьбы с компьютерными вирусами наиболее часто применяются антивирусные
программы, реже - аппаратные средства защиты. Однако, в последнее время
наблюдается тенденция к сочетанию программных и аппаратных методов защиты.
Среди аппаратных устройств используются специальные антивирусные платы,
вставленные в стандартные слоты расширения компьютера. Корпорация Intel
предложила перспективную технологию защиты от вирусов в сетях, суть которой
заключается в сканировании систем компьютеров еще до их загрузки. Кроме
антивирусных программ, проблема защиты информации в компьютерных сетях решается
введением контроля доступа и разграничением полномочий пользователя. Для этого используются
встроенные средства сетевых операционных систем, крупнейшим производителем
которых является корпорация Novell. В системе, например, NetWare, кроме
стандартных средств ограничения доступа (смена паролей, разграничение
полномочий), предусмотрена возможность кодирования данных по принципу
"открытого ключа" с формированием электронной подписи для
передаваемых по сети пакетов.
Однако,
такая система защиты слабомощна, т.к. уровень доступа и возможность входа в
систему определяются паролем, который легко подсмотреть или подобрать. Для
исключения неавторизованного проникновения в компьютерную сеть используется
комбинированный подход - пароль + идентификация пользователя по персональному
"ключу". "Ключ" представляет собой пластиковую карту
(магнитная или со встроенной микросхемой - смарт-карта) или различные
устройства для идентификации личности по биометрической информации - по
радужной оболочке глаза, отпечаткам пальцев, размерам кисти руки и т.д. Серверы
и сетевые рабочие станции, оснащенные устройствами чтения смарт-карт и
специальным программным обеспечением, значительно повышают степень защиты от
несанкционированного доступа.
Смарт-карты
управления доступом позволяют реализовать такие функции, как контроль входа,
доступ к устройствам ПК, к программам, файлам и командам. Одним из удачных
примеров создания комплексного решения для контроля доступа в открытых
системах, основанного как на программных, так и на аппаратных средствах защиты,
стала система Kerberos, в основу которой входят три компонента:
-
база данных, которая содержит информацию по всем сетевым ресурсам,
пользователям, паролям, информационным ключам и т.д.;
-
авторизационный сервер (authentication server), задачей которого является
обработка запросов пользователей на предоставление того или иного вида сетевых
услуг. Получая запрос, он обращается к базе данных и определяет полномочия
пользователя на совершение определенной операции. Пароли пользователей по сети
не передаются, тем самым, повышая степень защиты информации;
-Ticket-granting
server (сервер выдачи разрешений) получает от авторизационного сервера
"пропуск" с именем пользователя и его сетевым адресом, временем
запроса, а также уникальный "ключ". Пакет, содержащий
"пропуск", передается также в зашифрованном виде. Сервер выдачи разрешений
после получения и расшифровки "пропуска" проверяет запрос, сравнивает
"ключи" и при тождественности дает "добро" на использование
сетевой аппаратуры или программ.
По
мере расширения деятельности предприятий, роста численности абонентов и
появления новых филиалов, возникает необходимость организации доступа удаленных
пользователей (групп пользователей) к вычислительным или информационным
ресурсам к центрам компаний. Для организации удаленного доступа чаще всего
используются кабельные линии и радиоканалы. В связи с этим защита информации,
передаваемой по каналам удаленного доступа, требует особого подхода. В мостах и
маршрутизаторах удаленного доступа применяется сегментация пакетов - их
разделение и передача параллельно по двум линиям, - что делает невозможным
"перехват" данных при незаконном подключении "хакера" к
одной из линий. Используемая при передаче данных процедура сжатия передаваемых
пакетов гарантирует невозможность расшифровки "перехваченных" данных.
Мосты и маршрутизаторы удаленного доступа могут быть запрограммированы таким
образом, что удаленным пользователям не все ресурсы центра компании могут быть
доступны.
В
настоящее время разработаны специальные устройства контроля доступа к
вычислительным сетям по коммутируемым линиям. Примером может служить,
разработанный фирмой AT&T модуль Remote Port Securiti Device (PRSD),
состоящий из двух блоков размером с обычный модем: RPSD Lock (замок),
устанавливаемый в центральном офисе, и RPSD Key (ключ), подключаемый к модему
удаленного пользователя. RPSD Key и Lock позволяют устанавливать несколько
уровней защиты и контроля доступа:
-
шифрование данных, передаваемых по линии при помощи генерируемых цифровых
ключей;
-
контроль доступа с учетом дня недели или времени суток.
Прямое
отношение к теме безопасности имеет стратегия создания резервных копий и
восстановления баз данных. Обычно эти операции выполняются в нерабочее время в
пакетном режиме. В большинстве СУБД резервное копирование и восстановление
данных разрешаются только пользователям с широкими полномочиями (права доступа
на уровне системного администратора, либо владельца БД), указывать столь
ответственные пароли непосредственно в файлах пакетной обработки нежелательно.
Чтобы не хранить пароль в явном виде, рекомендуется написать простенькую прикладную
программу, которая сама бы вызывала утилиты копирования/восстановления. В таком
случае системный пароль должен быть "зашит" в код указанного
приложения. Недостатком данного метода является то, что всякий раз при смене
пароля эту программу следует перекомпилировать.
Применительно
к средствам защиты от НСД определены семь классов защищенности (1-7) средств
вычислительной техники (СВТ) и девять классов (1А,1Б,1В,1Г,1Д,2А,2Б,3А,3Б)
автоматизированных систем (АС). Для СВТ самым низким является седьмой класс, а
для АС - 3Б.
Рассмотрим
более подробно приведенные сертифицированные системы защиты от НСД.
Система
"КОБРА" соответствует требованиям 4-ого класса защищенности (для
СВТ), реализует идентификацию и разграничение полномочий пользователей и
криптографическое закрытие информации, фиксирует искажения эталонного состояния
рабочей среды ПК (вызванные вирусами, ошибками пользователей, техническими
сбоями и т.д.) и автоматически восстанавливает основные компоненты операционной
среды терминала.
Подсистема
разграничения полномочий защищает информацию на уровне логических дисков.
Пользователь получает доступ к определенным дискам А,В,С,...,Z. Все абоненты
разделены на 4 категории:
-
суперпользователь (доступны все действия в системе);
-администратор
(доступны все действия в системе, за исключением изменения имени, статуса и
полномочий суперпользователя, ввода или исключения его из списка
пользователей);
-
программисты (может изменять личный пароль);
-коллега
(имеет право на доступ к ресурсам, установленным ему суперпользователем).
Помимо
санкционирования и разграничения доступа к логическим дискам, администратор
устанавливает каждому пользователю полномочия доступа к последовательному и
параллельному портам. Если последовательный порт закрыт, то невозможна передача
информации с одного компьютера на другой. При отсутствии доступа к
параллельному порту, невозможен вывод на принтер.
Список
литературы
Для
подготовки данной работы были использованы материалы с сайта http://www.ed.vseved.ru/
|