Методы защиты компьютерных сетей. Защита информации в сетях Методы и средства защиты в компьютерной сети

К типовым угрозам безопасности информации при использовании глобальных компьютерных сетей относятся:

• анализ сетевого трафика («перехват»);
• подмена субъекта или объекта сети («маскарад»);
• внедрение ложного объекта сети («человек посередине», «Мап-in-Middle» - MiM);
• отказ в обслуживании (Deny of Service - DoS) или «распределенный» отказ в обслуживании (Distributed Deny of Service - DDoS).

Опосредованными угрозами безопасности информации при работе в сети Интернет, вытекающими из перечисленных выше типовых угроз, являются:

• выполнение на компьютере пользователя небезопасного (потенциально вредоносного) программного кода;
• утечка конфиденциальной информации пользователя (персональных данных, коммерческой тайны);
• блокирование работы сетевой службы (Web-сервера, почтового сервера, сервера доступа Интернет-провайдера и т. п.).

Основные причины, облегчающие нарушителю реализацию угроз безопасности информации в распределенных компьютерных системах:

• отсутствие выделенного канала связи между объектами распределенной КС (наличие широковещательной среды передачи данных, например среды ЕШете^, что позволяет нарушителю анализировать сетевой трафик в подобных системах;
• возможность взаимодействия объектов распределенной КС без установления виртуального канала между ними, что не позволяет надежно идентифицировать объект или субъект распределенной КС и организовать защиту передаваемой информации;
• использование недостаточно надежных протоколов аутентификации объектов распределенной КС перед установлением виртуального канала между ними, что позволяет нарушителю при перехвате передаваемых сообщений выдать себя за одну из сторон соединения;
• отсутствие контроля создания и использования виртуальных каналов между объектами распределенной КС, что позволяет нарушителю удаленно добиться реализации угрозы отказа в обслуживании в КС (например, любой объект распределенной КС может анонимно послать любое количество сообщений от имени других объектов КС);
• отсутствие возможности контроля маршрута получаемых сообщений, что не позволяет подтвердить адрес отправителя данных и определить инициатора удаленной атаки на КС;
• отсутствие полной информации об объектах КС, с которыми требуется создать соединение, что приводит к необходимости отправки широковещательного запроса или подключения к поисковому серверу (нарушитель при этом имеет возможность внедрения ложного объекта в распределенную КС и выдать один из ее объектов за другой);
• отсутствие шифрования передаваемых сообщений, что позволяет нарушителю получить несанкционированный доступ к информации в распределенной КС.

К основным методам создания безопасных распределенных КС относятся:

Использование выделенных каналов связи путем физического соединения каждой пары объектов распределенной

КС или применения топологии «звезда» и сетевого коммутатора, через который осуществляется связь между объектами;

• разработка дополнительных средств идентификации объектов распределенной КС перед созданием виртуального канала связи между ними и применение средств шифрования передаваемой по этому каналу информации;
• контроль маршрута поступающих сообщений;
• контроль создания и использования виртуального соединения между объектами распределенной КС (например, ограничение количества запросов на установку соединения от одного из объектов сети и разрыв уже установленного соединения после истечения определенного интервала времени);
• разработка распределенной КС с полной информацией об ее объектах, если это возможно, или организация взаимодействия между объектом КС и поисковым сервером только с созданием виртуального канала.

Одним из методов защиты от перечисленных выше угроз является технология виртуальных частных сетей (Virtual Private Network - VPN). Подобно созданию выделенного канала связи VPN позволяют установить защищенное цифровое соединение между двумя участниками (или сетями) и создать глобальную сеть из существующих локальных сетей. Трафик VPN передается поверх IP-трафика и использует в качестве протокола транспортного уровня датаграммы, что позволяет ему спокойно проходить через Интернет. Для скрытия передаваемых данных в VPN осуществляется их шифрование. Существуют аппаратные решения VPN, обеспечивающие максимальную защиту, а также программные или основанные на протоколах реализации.

Одним из примеров аппаратного решения при построении VPN между двумя локальными вычислительными сетями (ЛВС) организации является применение криптомаршрутизаторов (рис. 1.24).

Характеристики программно-аппаратного средства защиты - криптомаршрутизатора:

• физическое разделение внешних (с сетью Интернет) и внутренних (с хостами обслуживаемой подсети) интерфейсов (например, с помощью двух разных сетевых карт);
• возможность шифрования всех исходящих (в другие ЛВС организации) и расшифрования всех входящих (из этих ЛВС) пакетов данных.

Рис. 1.24.

Обозначим через CR X и CR 2 криптомаршрутизаторы 1 и 2 соответственно, а через AD(A), AD(X), AD(CR X) и AD(CR 2) - IP-ад- реса рабочих станций А и X и криптомаршрутизаторов. Алгоритм работы криптомаршрутизатора CR X при передаче пакета данных от рабочей станции А к рабочей станции X будет следующим:

• 1) по таблице маршрутов ищется адрес криптомаршрутизатора, который обслуживает подсеть, содержащую получателя пакета (.AD{CR 2))
• 2) определяется интерфейс, через который доступна подсеть, содержащая CR 2 ;
• 3) выполняется шифрование всего пакета от А (вместе с его заголовком) на сеансовом ключе связи CR X и CR 2 , извлеченном из таблицы маршрутов;
• 4) к полученным данным добавляется заголовок, содержащий AD(CR X), в качестве адреса отправителя, и AD(CR 2) в качестве адреса получателя пакета;
• 5) сформированный пакет отправляется через сеть Интернет.

Алгоритм работы криптомаршрутизатора CR 2 при получении

пакета для рабочей станции X:

• 1) из таблицы маршрутов извлекается сеансовый ключ связи CR X и CR 2 ;
• 2) выполняется расшифрование данных полученного пакета;
• 3) если после расшифрования структура «вложенного» пакета некорректна или адрес его получателя не соответствует обслуживаемой CR 2 подсети (не совпадает с AD(X)), то полученный пакет уничтожается;
• 4) расшифрованный пакет, содержащий AD(A) в поле отправителя и AD(X) в поле получателя, передается X через внутренний интерфейс ЛВС.

В рассмотренном варианте защиты от несанкционированного доступа достигается полная прозрачность работы криптомаршрутизаторов для функционирования любого сетевого программного обеспечения, использующего стек протоколов TCP/IP. Обеспечивается скрытость адресного пространства подсетей организации и его независимость от адресов в сети Интернет (аналогично технологии трансляции сетевых адресов Network Address Translation - NAT). Степень защиты передаваемой информации полностью определяется стойкостью к «взлому» используемой функции шифрования. Пользователи защищаемых подсетей не замечают никакого изменения в работе сети, кроме некоторого замедления за счет шифрования и расшифрования передаваемых пакетов.

При работе с большим количеством защищаемых подсетей необходимо выделение специального криптомаршрутизатора с функциями центра распределения ключей шифрования для связи между парами криптомаршрутизаторов, которые в этом случае могут работать в двух режимах - загрузки конфигурации и основном - и имеют на защищенном носителе один маршрут и один ключ шифрования (мастер-ключ) для связи с центром распределения ключей.

После успешной установки соединения центра распределения ключей с одним из криптомаршрутизаторов ему высылается его таблица маршрутов, зашифрованная общим с центром мастер-ключом. После получения и расшифрования таблицы маршрутов криптомаршрутизатор переходит в основной режим работы.

Программные средства построения VPN могут обеспечивать защищенную связь между двумя объектами сети на различных уровнях модели взаимодействия открытых систем (Open Systems Interconnection - OSI):

• канальном - с использованием протоколов РРТР (Point to Point Tunnel Protocol), L2TP (Layer 2 Tunnel Protocol), L2F (Layer 2 Forwarding); VPN на канальном уровне обычно используется для соединения удаленного компьютера с одним из серверов ЛВС;
• сетевом - с использованием протоколов SKIP (Simple Key management for Internet Protocol), IPSec (Internetwork Protocol Security); VPN на сетевом уровне могут использоваться как для соединения удаленного компьютера и сервера, так и для соединения двух ЛВС;
• сеансовом - протоколы SSL (см. парагр. 1.3), TLS (Transport Layer Security), SOCKS; VPN на сеансовом уровне может создаваться поверх VPN на канальном и сетевом уровнях.

Программные средства построения VPN создают так называемый туннель, по которому передаются зашифрованные данные. Рассмотрим построение VPN на основе протокола SKIP. Заголовок SKIP-пакета является стандартным IP-заголовком, и поэтому защищенный с помощью протокола SKIP пакет будет распространяться и маршрутизироваться стандартными устройствами любой ТСР/1Р-сети.

SKIP шифрует IP-пакеты, ничего не зная о приложениях, пользователях или процессах, их формирующих; он обрабатывает весь трафик, не накладывая никаких ограничений на вышележащее программное обеспечение. SKIP независим от сеанса: для организации защищенного взаимодействия между парой абонентов не требуется никакого дополнительного информационного обмена и передачи по каналам связи какой-либо открытой информации.

В основе SKIP лежит криптография открытых ключей Диф- фи - Хеллмана, которой пока в рамках такой сети, как Интернет, нет альтернативы. Эта криптографическая система предоставляет возможность каждому участнику защищенного взаимодействия обеспечить полную конфиденциальность информации за счет неразглашения собственного закрытого ключа и в то же время позволяет взаимодействовать с любым, даже незнакомым партнером путем безопасного обмена с ним открытым ключом. Еще одной чертой SKIP является его независимость от системы симметричного шифрования. Пользователь может выбирать любой из предлагаемых поставщиком криптоалгоритмов или использовать свой алгоритм шифрования.

В соответствии с протоколом SKIP для всей защищенной сети выбирается большое простое число р и целое число а (1 ). Условия выбора р: длина не менее 512 бит, разложение числа р - 1 на множители должно содержать по крайней мере один большой простой множитель.

Основные шаги протокола SKIP:

.Л: генерирует случайный закрытый ключ х А и вычисляет открытый ключ у А = а ХА {mod р }.

• 2. А -» В (и всем остальным абонентам сети): у А (открытые ключи абонентов помещаются в общедоступный справочник).
• 3. В : генерирует случайный закрытый ключ х в и вычисляет открытый ключ у в = а хв {mod р).
• 4. В -> А: у в.
• 5. А: К АВ = y B XA {mod р) = = а ХВ ХА {mod р).
• 6. В: вычисляет общий секретный ключ К АВ = у/ й {тоб р } = = а ХА " хв | moc j р}

Общий секретный ключ К АВ не используется непосредственно для шифрования трафика между абонентами А и В и не может быть скомпрометирован (криптоаналитик не имеет достаточного материала для его раскрытия). Для ускорения обмена данными общие секретные ключи на каждом из узлов защищенной сети могут рассчитываться заранее и храниться в зашифрованном виде вместе с закрытыми ключами асимметричного шифрования.

Продолжение протокола SKIP:

7. А (отправитель): генерирует случайный пакетный (сеансовый) ключ К р, шифрует с помощью этого ключа исходный IP -пакет Р С=Е КР {Р), укладывает его (инкапсулирует) в блок данных SKIP-пакета, шифрует К Р с помощью общего секретного ключа ЕК=Е кав (К р), помещает его в заголовок SKIP-пакета (в заголовке резервируется место для контрольного значения /), инкапсулирует полученный SKIP-пакет в блок данных нового IP-пакета Р" (его заголовок совпадает с заголовком Р), вычисляет /= Н(К Р, Р") и помещает I в заголовок SKIP-пакета.

Поскольку пакетный ключ зашифрован на общем секретном ключе двух абонентов сети, исключается возможность подмены имитовставки / и расшифрования исходного IP-пакета С.

• 8. А -> Получатель В: Р".
• 9. В: извлекает ЕК и расшифровывает пакетный ключ К р - D kab (EK), извлекает /, вычисляет контрольное значение Н(К Р, Р") и сравнивает его с /, извлекает С, расшифровывает исходный IP-пакет Р= D KP (C).

Смена пакетного ключа повышает защищенность обмена, так как его раскрытие позволит расшифровать только один (или небольшую часть) из IP-пакетов. В новых реализациях SKIP ЕК= E SK (K P), где сеансовый ключ SK= Н(К АВ, N), N - случайное число, генерируемое отправителем и включаемое в SKIP-заголо- вок вместе с ЕК и I (N - время в часах от 0 часов 01.01.95). Если текущее время отличается от N более чем на 1, то получатель не принимает пакет.

Протокол SKIP базируется на открытых ключах, поэтому для подтверждения их подлинности можно использовать цифровые сертификаты, описанные в рекомендации ITU Х.509. Дополнительная спецификация протокола определяет процедуру обмена информацией о поддерживаемых алгоритмах шифрования для данного узла защищенной сети.

Архитектура протокола IPSec приведена на рис. 1.25. Протокол заголовка аутентификации (Authentication Header - АН) предназначен для защиты от атак, связанных с несанкционированным изменением содержимого пакета, в том числе от подмены адреса отправителя сетевого уровня. Протокол инкапсуляции зашифрованных данных (Encapsulated Security Payload - ESP) предназначен для обеспечения конфиденциальности данных. Необязательная опция аутентификации в этом протоколе может дополнительно обеспечить контроль целостности зашифрованных данных.

Рис. 1.25.

Для управления параметрами защищенной связи и криптографическими ключами в протоколе IPSec используются протокол ассоциаций безопасности и управления ключами Интернета ISAKMP (Internet Security Association and Key Management Protocol) и протокол Oakley, иногда называемый IKE (Internet Key Exchange).

Процесс соединения IPSec разделяется на две фазы (рис. 1.26). На первой фазе узел IPSec устанавливает подключение к удаленному узлу или сети. Удаленный узел/сеть проверяет учетные данные запрашивающего узла, и обе стороны согласуют способ проверки подлинности, используемый для соединения.

Компьютер А Компьютер В

Установление

Рис. 1.26.

На второй фазе соединения IPSec между узлами IPSec создается ассоциация безопасности (SA). При этом в базу данных SA (область интерпретации, Domain of Interpretation - DOI) вносится информация о конфигурации, в частности, алгоритм шифрования, параметры обмена сеансовыми ключами и т. п. Эта фаза собственно и управляет соединением IPSec между удаленными узлами и сетями.

Протокол ISAKMP определяет основу для установления SA и не связан ни с одним конкретным криптографическим алгоритмом или протоколом. Протокол Oakley является протоколом определения ключей, который использует алгоритм обмена ключами Диффи - Хеллмана (Diffie-Hellman - DH).

Протокол Oakley разработан для устранения недостатков протокола DH, связанных с атаками засорения (нарушитель подменяет IP-адрес отправителя и посылает получателю свой открытый ключ, вынуждая его многократно бесполезно выполнять операцию возведения в степень по модулю) и атаками «человек посередине».

Каждая сторона в протоколе Oakley должна в начальном сообщении послать случайное число (рецепт) R, которое другая сторона должна подтвердить в своем ответном сообщении (первом сообщении обмена ключами, содержащем открытый ключ). Если IP-адрес отправителя был подменен, то нарушитель не получит подтверждающего сообщения, не сможет правильно составить свое подтверждение и загрузить другой узел бесполезной работой.

Требования к рецепту:

• 1) он должен зависеть от параметров генерирующей стороны;
• 2) генерирующий рецепт узел должен использовать при этом локальную секретную информацию без необходимости хранения копий отправленных рецептов;
• 3) генерация и проверка рецептов в подтверждениях должны выполняться быстро для блокирования DoS-атак.

Протокол Oakley также поддерживает использование групп G для протокола DH. В каждой группе определяются два глобальных параметра (частей открытого ключа) и криптографический алгоритм (Диффи - Хеллмана или основанный на эллиптических кривых). Для защиты от атак воспроизведения применяются случайные числа (оказии) N, которые появляются в ответных сообщениях и на определенных шагах шифруются.

Для взаимной аутентификации сторон в протоколе Oakley могут использоваться:

• 1) механизм ЭЦП для подписания доступного обеим сторонам хеш-значения;
• 2) асимметричное шифрование идентификаторов и оказий личным (закрытым) ключом участника;
• 3) симметричное шифрование сеансовым ключом, генерируемым с помощью дополнительного алгоритма.

Пример энергичного обмена по протоколу Oakley (базовый вариант состоит из четырех шагов - на первом и втором шагах только согласовываются параметры защищенной связи без вычисления открытых ключей и сеансового ключа):

• 1. А -> В: R a , тип сообщения, G, у А, предлагаемые криптоалгоритмы С А, А, В, N a , E ska (H(A, В, N a , G, у А, Q).
• 2. В -> A: R B , R a , тип сообщения, G, у в, выбранные криптоалгоритмы С в, В, A, N B , N a , E skb (H(B, A, N b , N a , G, y B , y A , Q).
• 3. А -> В: Я А, Я в, тип сообщения, (?, у А, С в, А, В, Ы в, В, М а, N в, (7, у А, у в, С в)).

На шаге 2 В проверяет ЭЦП с помощью РК А, подтверждает получение сообщения рецептом Л А, добавляет к ответному сообщению свой рецепт и две оказии. На шаге 3 А проверяет ЭЦП с помощью РК В, свои рецепт и оказию, формирует и отправляет ответное сообщение.

Формат заголовка протокола АН приведен на рис. 1.27.

Рис. 1.27.

Поле индекса параметров безопасности (Security Parameters Index - SPI) является указателем на ассоциацию безопасности. Значение поля последовательного номера пакета формируется отправителем и служит для защиты от атак, связанных с повторным использованием данных процесса аутентификации. В процессе формирования данных аутентификации последовательно вычисляется хеш-функция от объединения исходного пакета и некоторого предварительно согласованного ключа, а затем от объединения полученного результата и преобразованного ключа.

Аутентификация АН предотвращает манипулирование полями IP-заголовка во время прохождения пакета, но по этой причине данный протокол нельзя применять в среде, где используется механизм трансляции сетевых адресов (NAT), так как манипулирование IP-заголовками необходимо для его работы.

Формат заголовка протокола ESP приведен на рис. 1.28. Поскольку основной целью ESP является обеспечение конфиденциальности данных, разные виды информации могут требовать применения различных алгоритмов шифрования, и формат ESP может претерпевать значительные изменения в зависимости от используемых криптографических алгоритмов. Поле данных аутентификации не является обязательным в заголовке ESP. Получатель пакета ESP расшифровывает заголовок ESP и использует параметры и данные применяемого криптографического алгоритма для расшифрования информации транспортного уровня.

Рис. 1.28.

Различают два режима применения ESP и АН (а также их комбинации) - транспортный и туннельный:

• транспортный режим используется для защиты поля данных IP-пакета, содержащего протоколы транспортного уровня (TCP, UDP, ICMP), которое, в свою очередь, содержит информацию прикладных служб. Примером применения транспортного режима является передача электронной почты. Все промежуточные узлы на маршруте пакета от отправителя к получателю используют только открытую информацию сетевого уровня и, возможно, некоторые опциональные заголовки пакета. Недостатком транспортного режима является отсутствие механизмов скрытия конкретных отправителя и получателя пакета, а также возможность проведения анализа трафика. Результатом такого анализа может стать информация об объемах и направлениях передачи информации, области интересов абонентов, сведения о руководителях;
• туннельный режим предполагает защиту всего пакета, включая заголовок сетевого уровня. Туннельный режим применяется в случае необходимости скрытия информационного обмена организации с внешним миром. При этом, адресные поля заголовка сетевого уровня пакета, использующего туннельный режим, заполняются VPN-сервером (например, межсетевым экраном организации) и не содержат информации о конкретном отправителе пакета. При передаче информации из внешнего мира в локальную сеть организации в качестве адреса назначения используется сетевой адрес межсетевого экрана. После расшифрования межсетевым экраном начального заголовка сетевого уровня исходный пакет направляется получателю.

В табл. 1.3 приведено сравнение протоколов IPSec и SSL.

Таблица 1.3. Сравнение протоколов IPSec и SSL

Среди программно-аппаратных и программных средств обеспечения информационной безопасности при работе в сети Интернет можно выделить межсетевые экраны, средства анализа защищенности (сканеры уязвимостей), системы обнаружения атак и системы контроля содержимого (контент-анализа, content filtering).

Межсетевые экраны (брандмауэры, firewall) реализуют набор правил, которые определяют условия прохождения пакетов данных из одной части распределенной КС (открытой) в другую (защищенную). Обычно межсетевые экраны (МЭ) устанавливаются между сетью Интернет и локальной вычислительной сетью организации (рис. 1.29), хотя могут размещаться и внутри корпоративной сети (в том числе на каждом компьютере - персональные МЭ). В зависимости от уровня взаимодействия объектов сети основными разновидностями МЭ являются фильтрующие маршрутизаторы, шлюзы сеансового уровня и шлюзы прикладного уровня. В состав МЭ экспертного уровня включаются компоненты, соответствующие двум или всем трем указанным разновидностям.

Рис. 1.29.

Основной функцией фильтрующих маршрутизаторов, работающих на сетевом уровне эталонной модели, является фильтрация пакетов данных, входящих в защищенную часть сети или исходящих из нее. При фильтрации используется информация из заголовков пакетов:

• 1Р-адрес отправителя пакета;
• 1Р-адрес получателя пакета;
• порт отравителя пакета;
• порт получателя пакета;
• тип протокола;
• флаг фрагментации пакета.

Напомним, что под портом понимается числовой идентификатор (от 0 до 65 535), используемый клиентской и серверной программами для отправки и приема сообщений.

Правила фильтрации определяют, разрешается или блокируется прохождение через МЭ пакета с задаваемыми этими правилами параметрами. На рис. 1.30 и 1.31 приведен пример создания такого правила. К основным достоинствам фильтрующих

• 1.6. Методы и средства защиты информации в сети Интернет

Рис. 1.30.

Рис. 1.31. Добавление информации о протоколе и порте в правило фильтрации маршрутизаторов относятся простота их создания, установки и конфигурирования, прозрачность для приложений и пользователей КС и минимальное влияние на их производительность, невысокая стоимость. Недостатки фильтрующих маршрутизаторов:

• отсутствие аутентификации на уровне пользователей КС;
• уязвимость для подмены 1Р-адреса в заголовке пакета;
• незащищенность от угроз нарушения конфиденциальности и целостности передаваемой информации;
• сильная зависимость эффективности набора правил фильтрации от уровня знаний администратора МЭ конкретных протоколов;
• открытость 1Р-адресов компьютеров защищенной части сети.

Шлюзы сеансового уровня выполняют две основные функции:

• контроль виртуального соединения между рабочей станцией защищенной части сети и хостом ее незащищенной части;
• трансляцию 1Р-адресов компьютеров защищенной части сети.

Шлюз сеансового уровня устанавливает соединение с внешним хостом от имени авторизованного клиента из защищенной части сети, создает виртуальный канал по протоколу ТСР, после этого копирует пакеты данных в обоих направлениях без их фильтрации. Когда сеанс связи завершается, МЭ разрывает установленное соединение с внешним хостом.

В процессе выполняемой шлюзом сеансового уровня процедуры трансляции 1Р-адресов компьютеров защищенной части сети происходит их преобразование в один 1Р-адрес, ассоциированный с МЭ. Это исключает прямое взаимодействие между хостами защищенной и открытой сетей и не позволяет нарушителю осуществлять атаку путем подмены 1Р-адресов.

К достоинствам шлюзов сеансового уровня относятся также их простота и надежность программной реализации. К недостаткам - отсутствие возможности проверять содержимое передаваемой информации, что позволяет нарушителю пытаться передать пакеты с вредоносным программным кодом через подобный МЭ и обратиться затем напрямую к одному из серверов (например, Veb-cepBepy) атакуемой КС.

Шлюзы прикладного уровня не только исключают прямое взаимодействие между авторизованным клиентом из защищенной части сети и хостом из ее открытой части, но и фильтруют все входящие и исходящие пакеты данных на прикладном уровне (т. е. на основе анализа содержания передаваемых данных). К основным функциям шлюзов прикладного уровня относятся:

• идентификация и аутентификация пользователя КС при попытке установить соединение;
• проверка целостности передаваемых данных;
• разграничение доступа к ресурсам защищенной и открытой частей распределенной КС;
• фильтрация и преобразование передаваемых сообщений (обнаружение вредоносного программного кода, шифрование и расшифрование и т. п.);
• регистрация событий в специальном журнале;
• кэширование запрашиваемых извне данных, размещенных на компьютерах внутренней сети (для повышения производительности КС).

Шлюзы прикладного уровня позволяют обеспечить наиболее высокую степень защиты КС от удаленных атак, поскольку любое взаимодействие с хостами открытой части сети реализуется через программы-посредники, которые полностью контролируют весь входящий и исходящий трафик. К другим достоинствам шлюзов прикладного уровня относятся:

• скрытость структуры защищенной части сети для остальных хостов (доменное имя компьютера со шлюзом прикладного уровня может быть единственным известным внешним серверам именем);
• надежная аутентификация и регистрация проходящих сообщений;
• более простые правила фильтрации пакетов на сетевом уровне, в соответствии с которыми маршрутизатор должен пропускать только трафик, предназначенный для шлюза прикладного уровня, и блокировать весь остальной трафик;
• возможность реализации дополнительных проверок, что уменьшает вероятность использования ошибок в стандартном программном обеспечении для реализации угроз безопасности информации в КС.

Основными недостатками шлюзов прикладного уровня являются более высокая стоимость, сложность разработки, установки и конфигурирования, снижение производительности КС, «непрозрачность» для приложений и пользователей КС.

Межсетевые экраны могут использоваться для создания виртуальных частных сетей.

Общим недостатком МЭ любого вида является то, что эти программно-аппаратные средства защиты в принципе не могут предотвратить многих видов атак (например, угрозы несанкционированного доступа к информации с использованием ложного сервера службы доменных имен сети Интернет, угрозы анализа сетевого трафика при отсутствии VPN, угрозы отказа в обслуживании). Реализовать угрозу доступности информации в КС, использующей МЭ, может оказаться нарушителю даже проще, так как достаточно атаковать только хост с МЭ для фактического отключения от внешней сети всех компьютеров защищенной части сети.

В Руководящем документе ФСТЭК России «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» установлено пять классов защищенности МЭ (наиболее защищенным является первый класс). Например, для пятого класса защищенности требуется фильтрация пакетов на сетевом уровне на основе IP-адресов отправителя и получателя, а для второго класса - фильтрация на сетевом, транспортном и прикладном уровнях со скрытием субъектов и объектов защищаемой сети и трансляцией сетевых адресов.

Наиболее распространенными схемами размещения межсетевых экранов в локальной вычислительной сети организации являются:

• 1) межсетевой экран, представленный как фильтрующий маршрутизатор;
• 2) межсетевой экран на основе двухпортового шлюза;
• 3) межсетевой экран на основе экранированного шлюза;
• 4) межсетевой экран с экранированной подсетью.

Правила доступа к внутренним ресурсам компьютерной сети

организации, реализуемые межсетевым экраном, должны базироваться на одном из следующих принципов:

• запрещать все попытки доступа, которые не разрешены в явной форме;
• разрешать все попытки доступа, которые не запрещены в явной форме.

Фильтрующий маршрутизатор, расположенный между защищаемой сетью и Интернетом, может реализовывать любую из указанных политик безопасности.

Межсетевой экран на базе двухпортового прикладного шлюза представляет собой хост с двумя сетевыми интерфейсами.

При передаче информации между этими интерфейсами и осуществляется основная фильтрация. Для обеспечения дополнительной защиты между прикладным шлюзом и Интернетом размещают фильтрующий маршрутизатор. В результате между прикладным шлюзом и маршрутизатором образуется внутренняя экранированная подсеть. Ее можно использовать для размещения доступного извне информационного сервера. Размещение информационного сервера увеличивает безопасность сети, поскольку даже при проникновении на него нарушитель не сможет получить доступ к службам корпоративной сети через шлюз с двумя интерфейсами.

В отличие от схемы межсетевого экрана с фильтрующим маршрутизатором прикладной шлюз полностью блокирует 1Р-трафик между Интернетом и защищаемой сетью. Только уполномоченные приложения, расположенные на прикладном шлюзе, могут предоставлять услуги и доступ пользователям.

Данный вариант межсетевого экрана реализует политику безопасности, основанную на принципе «запрещено все, что не разрешено в явной форме», причем пользователю доступны только те сетевые службы, для которых определены соответствующие полномочия. Такой подход обеспечивает высокий уровень безопасности, поскольку маршруты к защищенной подсети известны лишь межсетевому экрану и скрыты от внешних систем.

Рассматриваемая схема организации межсетевого экрана относительно проста и достаточно эффективна. Поскольку межсетевой экран использует отдельный хост, то на нем могут быть установлены программы для усиленной аутентификации пользователей. Межсетевой экран может также протоколировать доступ, попытки зондирования и атак системы, что позволяет выявить действия нарушителей.

Межсетевой экран на основе экранированного шлюза обладает большей гибкостью по сравнению с межсетевым экраном, построенным на основе шлюза с двумя интерфейсами, однако эта гибкость достигается ценой некоторого уменьшения безопасности. Межсетевой экран состоит из фильтрующего маршрутизатора и прикладного шлюза, размещаемого со стороны внутренней сети. Прикладной шлюз реализуется на отдельном хосте и имеет только один сетевой интерфейс.

В данной схеме безопасность вначале обеспечивается фильтрующим маршрутизатором, который фильтрует или блокирует потенциально опасные протоколы, чтобы они не достигли прикладного шлюза и внутренних систем корпоративной сети. Пакетная фильтрация в фильтрующем маршрутизаторе может быть реализована на основе одного из следующих правил:

• внутренним хостам позволяется открывать соединения с хостами в сети Интернет для определенных сервисов;
• запрещаются все соединения от внутренних хостов (им надлежит использовать уполномоченные приложения на прикладном шлюзе).

В подобной конфигурации межсетевой экран может использовать комбинацию двух политик, соотношение между которыми зависит от конкретной политики безопасности, принятой во внутренней сети. В частности, пакетная фильтрация на фильтрующем маршрутизаторе может быть организована таким образом, чтобы прикладной шлюз, используя свои уполномоченные приложения, обеспечивал для систем защищаемой сети сервисы типа Telnet, FTP, SMTP.

Основной недостаток схемы межсетевого экрана с экранированным шлюзом заключается в том, что если нарушитель сумеет проникнуть на данный хост, перед ним окажутся незащищенными системы внутренней сети. Другой недостаток связан с возможной компрометацией маршрутизатора, которая приведет к тому, что внутренняя сеть станет доступна нарушителю.

Межсетевой экран, состоящий из экранированной подсети, представляет собой развитие схемы межсетевого экрана на основе экранированного шлюза. Для создания экранированной подсети используются два экранирующих маршрутизатора. Внешний маршрутизатор располагается между Интернетом и экранируемой подсетью, а внутренний - между экранируемой подсетью и защищаемой внутренней сетью.

В экранируемую подсеть входит прикладной шлюз, а также могут включаться информационные серверы и другие системы, требующие контролируемого доступа. Эта схема межсетевого экрана обеспечивает высокий уровень безопасности благодаря организации экранированной подсети, которая еще лучше изолирует внутреннюю защищаемую сеть от Интернета.

Внешний маршрутизатор защищает от вторжений из Интернета как экранированную подсеть, так и внутреннюю сеть. Внешний маршрутизатор запрещает доступ из глобальной сети к системам корпоративной сети и блокирует весь трафик к Интернету, идущий от систем, которые не должны являться инициаторами соединений. Этот маршрутизатор может быть использован также для блокирования других уязвимых протоколов, которые не должны использоваться компьютерами внутренней сети или от них.

Внутренний маршрутизатор защищает внутреннюю сеть от несанкционированного доступа как из Интернета, так и внутри экранированной подсети. Кроме того, он осуществляет большую часть пакетной фильтрации, а также управляет трафиком к системам внутренней сети и от них.

Межсетевой экран с экранированной подсетью хорошо подходит для защиты сетей с большими объемами трафика или с высокими скоростями обмена данными. К его недостаткам можно отнести то, что пара фильтрующих маршрутизаторов нуждается в большом внимании для обеспечения необходимого уровня безопасности, поскольку из-за ошибок в их конфигурировании могут возникнуть провалы в системе безопасности всей сети. Кроме того, существует принципиальная возможность доступа в обход прикладного шлюза.

Основными функциями программных средств анализа защищенности КС (сканеров уязвимости, Vulnerability-Assessment) являются:

• проверка используемых в системе средств идентификации и аутентификации, разграничения доступа, аудита и правильности их настроек с точки зрения безопасности информации в КС;
• контроль целостности системного и прикладного программного обеспечения КС;
• проверка наличия известных (например, опубликованных на Web-сайте изготовителя вместе с рекомендациями по исправлению ситуации) неустраненных уязвимостей в системных и прикладных программах, используемых в КС, и др.

Средства анализа защищенности работают на основе сценариев проверки, хранящихся в специальных базах данных, и выдают результаты своей работы в виде отчетов, которые могут быть конвертированы в различные форматы. Существуют две категории сканеров уязвимостей:

• системы уровня хоста, предназначенные для анализа защищенности компьютера, на котором они запускаются;
• системы уровня сети, предназначенные для проверки защищенности корпоративной локальной вычислительной сети со стороны Интернета.

Для выполнения проверок безопасности сканеры уязвимостей уровня сети используют архитектуру «клиент-сервер». Сервер выполняет проверки, а клиент конфигурирует и управляет сеансами сканирования на проверяемом компьютере. Тот факт, что клиент и сервер могут быть разделены, предоставляет несколько преимуществ. Во-первых, сканирующий сервер можно расположить вне вашей сети, но обращаться к нему изнутри сети через клиента. Во-вторых, различные клиенты могут поддерживать разные операционные системы.

К недостаткам средств анализа защищенности КС относятся:

• зависимость их от конкретных систем;
• недостаточная надежность (их применение может иногда вызывать сбои в работе анализируемых систем, например, при проверке защищенности от атак с вызовом отказа в обслуживании);
• малый срок эффективной эксплуатации (не учитываются новые обнаруженные уязвимости, которые и являются наиболее опасными);
• возможность использования нарушителями в целях подготовки к атаке на КС (администратору безопасности потребуется получение специального разрешения руководства на сканирование уязвимостей компьютерной системы своей организации).

Программные средства обнаружения атак (Intrusion Detection Systems - IDS) могут применяться для решения следующих задач:

• обнаружения признаков атак на основе анализа журналов безопасности операционной системы, журналов МЭ и других служб (системы уровня хоста);
• инспекции пакетов данных непосредственно в каналах связи (в том числе с использованием мультиагентных систем) - системы уровня сети.

Как правило, реальные системы включают в себя возможности обеих указанных категорий.

В обоих случаях средствами обнаружения атак используются базы данных сигнатур атак с зафиксированными сетевыми событиями и шаблонами известных атак. Эти средства работают в реальном масштабе времени и реагируют на попытки использования известных уязвимостей КС или несанкционированного исследования защищенной части сети организации, а также ведут журнал регистрации зафиксированных событий для последующего анализа.

Системы обнаружения атак обеспечивают дополнительные уровни защиты для защищаемой системы, потому что они контролируют работу МЭ, криптомаршрутизаторов, корпоративных серверов и файлов данных, которые являются наиболее важными для других механизмов защиты. Стратегия действий нарушителя часто включает в себя проведение атак или вывод из строя устройств защиты, обеспечивающих безопасность конкретной цели. Системы обнаружения атак смогут распознать эти первые признаки атаки и, в принципе, отреагировать на них, сведя к минимуму возможный ущерб. Кроме того, когда эти устройства откажут из-за ошибок конфигурации, из-за атаки или ошибок со стороны пользователя, системы обнаружения атак могут распознать эту проблему и уведомить представителя персонала.

К основным недостаткам средств обнаружения атак относятся:

• неспособность эффективно функционировать в высокоскоростных сетях (изготовители IDS оценивают максимальную пропускную способность, при которой эти системы работают без потерь со 100%-ным анализом всего трафика, в среднем на уровне 65 Мбит/с);
• возможность пропуска неизвестных атак;
• необходимость постоянного обновления базы данных с сигнатурами атак;
• сложность определения оптимальной реакции этих средств на обнаруженные признаки атаки.

Размещение IDS уровня сети наиболее эффективно на периметре корпоративной локальной сети с обеих сторон межсетевого экрана. Иногда IDS устанавливают перед критичными серверами (например, сервером баз данных) для контроля трафика с этим сервером. Однако в данном случае проблема состоит в том, что трафик во внутренней сети передается с большей скоростью, чем в сети внешней, что приводит к неспособности IDS справляться со всем трафиком и, как следствие, снижению пропускной способности локальной сети. Именно поэтому IDS уровня сети ставят перед конкретным сервером, контролируя только определенные соединения. В таких случаях иногда предпочтительнее установить систему обнаружения атак уровня хоста на каждом защищаемом сервере и обнаруживать атаки именно на него.

Наличие у сотрудников организации доступа к Интернету на рабочих местах имеет свои отрицательные стороны. Свое рабочее время они начинают тратить на чтение анекдотов, игры, общение с друзьями в чатах и т. п. Производительность корпоративной сети падает из-за того, что из Интернета «закачиваются» кинофильмы и музыка и задерживается прохождение деловой информации. Сотрудники накапливают и пересылают друг другу огромное количество материалов, случайное попадание которых к клиентам организации может повредить ее репутации (эротические картинки, карикатуры и пр.). Наконец, через сервисы электронной почты, имеющие?еЬ-интерфейс, может произойти утечка конфиденциальной информации.

Системы контроля содержимого предназначены для защиты от следующих угроз:

• неоправданного увеличения расходов организации на оплату Интернет-трафика;
• снижения производительности труда сотрудников организации;
• уменьшения пропускной способности корпоративной сети для деловых нужд;
• утечки конфиденциальной информации;
• репутационного ущерба для имиджа организации.

Системы контроля содержимого могут быть разделены на

• анализ ключевых слов и фраз в сообщениях электронной почты, ?еЬ-трафике и запрашиваемых НТМЬ-страницах. Данная возможность позволяет обнаружить и своевременно предотвратить утечку конфиденциальной информации, посылку сотрудниками резюме и спама, а также передачу других материалов, запрещенных политикой безопасности компьютерной системы организации. Очень интересной является возможность анализа запрашиваемых НТМЬ-стра- ниц. С ее помощью можно отказаться от механизма блокировки 1ЖЬ, используемого многими межсетевыми экранами, и независимо от адреса запрашиваемой страницы (в том числе и динамически создаваемой) анализировать ее содержание;
• контроль отправителей и получателей сообщений электронной почты, а также адресов, к которым (и от которых) идет обращение к?еЬ-серверам и иным ресурсам Интернета. С его помощью можно выполнять фильтрацию почтового или Web-трафика, реализуя тем самым некоторые функции межсетевого экрана;
• обнаружение подмены адресов сообщений электронной почты, которое очень часто используется спамерами и другими нарушителями;
• антивирусная проверка содержимого электронной почты и Web-трафика, которая позволяет обнаружить, вылечить или удалить компьютерные вирусы и другие вредоносные программы;
• контроль размера сообщений, не позволяющий передавать слишком длинные сообщения или требующий временно отложить их передачу до того момента, когда канал доступа в Интернет будет менее всего нагружен (например, в нерабочее время);
• контроль количества и типа вложений в сообщения электронной почты, а также контроль файлов, передаваемых в рамках Web-трафика. Это одна из самых интересных возможностей, которая позволяет анализировать не просто текст сообщения, но и текст, содержащийся в том или ином файле, например в документе Microsoft Word или архиве ZIP. Помимо указанных форматов некоторые системы могут также распознавать и анализировать видео- и аудиофайлы, графические изображения, PDF-файлы, исполняемые файлы и даже зашифрованные сообщения. Существуют системы, позволяющие распознавать в большом числе графических форматов картинки определенного содержания;
• контроль и блокирование файлов cookies, а также мобильного кода Java, ActiveX, JavaScript, VBScript и т. д.;
• категорирование Интернет-ресурсов («для взрослых», «развлечения», «финансы» и т. д.) и разграничение доступа сотрудников организации к ресурсам различных категорий (в том числе и в зависимости от времени суток);
• реализации различных вариантов реагирования, начиная от удаления или временного блокирования сообщения, вырезания запрещенного вложения и лечения зараженного файла и заканчивая направлением копии сообщения администратору безопасности или руководителю нарушителя и уведомлением как администратора безопасности, так и отправителя и получателя сообщения, нарушающего политику безопасности.

Существуют два основных недостатка систем контроля почтового и ^еЬ-трафика. В первую очередь, это невозможность контроля сообщений, зашифрованных пользователями. Поэтому во многих компаниях запрещается неконтролируемая передача таких сообщений или применяется централизованное средство шифрования почтового трафика.

Второй распространенный недостаток систем контроля содержимого - трудности с заданием адресов запрещенных Veb- страниц. Во-первых, необходимо держать такой список в актуальном состоянии, чтобы своевременно обнаруживать обращения к постоянно появляющимся запретным ресурсам, а во-вторых, существует способ нестандартного задания адресов, который зачастую позволяет обойти защитный механизм системы контроля содержимого: пользователь может применить не доменное имя, что делается в абсолютном большинстве случаев, а 1Р-адрес нужного ему сервера. В случае отсутствия межсетевого экрана блокировать такой доступ будет сложно.

Контрольные вопросы

• 1. Какие существуют способы несанкционированного доступа к информации в компьютерных системах?
• 2. Какие способы аутентификации пользователей могут применяться в компьютерных системах?
• 3. В чем основные недостатки парольной аутентификации и как она может быть усилена?
• 4. В чем сущность, достоинства и недостатки аутентификации на основе модели «рукопожатия»?
• 5. Какие биометрические характеристики пользователей могут применяться для их аутентификации? В чем преимущества подобного способа подтверждения подлинности?
• 6. Какие элементы аппаратного обеспечения могут применяться для аутентификации пользователей компьютерных систем?
• 7. Как функционирует программно-аппаратный замок, препятствующий несанкционированному доступу к ресурсам компьютера?
• 8. На чем основан протокол CHAP? Какие требования выдвигаются к используемому в нем случайному числу?
• 9. Для чего предназначен протокол Kerberos?
• 10. В чем достоинства протоколов непрямой аутентификации по сравнению с протоколами прямой аутентификации?
• 11. В чем сущность, достоинства и недостатки дискреционного разграничения доступа к объектам компьютерных систем?
• 12. Какие два правила применяются при мандатном разграничении доступа к объектам?
• 13. Какие применяются разновидности межсетевых экранов?
• 14. Что такое УРИ и для чего они предназначены?
• 15. Каковы общие недостатки всех межсетевых экранов?
• 16. В чем состоят функции средств анализа защищенности компьютерных систем и их основные недостатки?
• 17. В чем сущность систем обнаружения атак на компьютерные системы?
• 18. От каких угроз обеспечивают защиту системы контроля содержимого?

Защита данных в компьютерных сетях становится одной из самых открытых проблем в современных информационно-вычислительных системах. На сегодняшний день сформулировано три базовых принципа информационной безопасности, задачей которой является обеспечение:

целостности данных;

защита от сбоев, ведущих к потере информации или ее уничтожения;

конфиденциальности информации;

Рассматривая проблемы, связанные с защитой данных в сети, возникает вопрос о классификации сбоев и несанкционированности доступа, что ведет к потере или нежелательному изменению данных. Это могут быть сбои оборудования (кабельной системы, дисковых систем, серверов, рабочих станций и т.д.), потери информации (из-за инфицирования компьютерными вирусами, неправильного хранения архивных данных, нарушений прав доступа к данным), некорректная работа пользователей и обслуживающего персонала. Перечисленные нарушения работы в сети вызвали необходимость создания различных видов защиты информации. Условно их можно разделить на три класса:

средства физической защиты;

программные средства (антивирусные программы, системы разграничения полномочий, программные средства контроля доступа);

административные меры защиты (доступ в помещения, разработка стратегий безопасности фирмы и т.д.).

Одним из средств физической защиты являются системы архивирования и дублирования информации. В локальных сетях, где установлены один-два сервера, чаще всего система устанавливается непосредственно в свободные слоты серверов. В крупных корпоративных сетях предпочтение отдается выделенному специализированному архивационному серверу, который автоматически архивирует информацию с жестких дисков серверов и рабочих станций в определенное время, установленное администратором сети, выдавая отчет о проведенном резервном копировании. Наиболее распространенными моделями архивированных серверов являются Storage Express System корпорации Intel ARCserve for Windows.

Для борьбы с компьютерными вирусами наиболее часто применяются антивирусные программы, реже - аппаратные средства защиты. Однако, в последнее время наблюдается тенденция к сочетанию программных и аппаратных методов защиты. Среди аппаратных устройств используются специальные антивирусные платы, вставленные в стандартные слоты расширения компьютера. Корпорация Intel предложила перспективную технологию защиты от вирусов в сетях, суть которой заключается в сканировании систем компьютеров еще до их загрузки. Кроме антивирусных программ, проблема защиты информации в компьютерных сетях решается введением контроля доступа и разграничением полномочий пользователя. Для этого используются встроенные средства сетевых операционных систем, крупнейшим производителем которых является корпорация Novell. В системе, например, NetWare, кроме стандартных средств ограничения доступа (смена паролей, разграничение полномочий), предусмотрена возможность кодирования данных по принципу "открытого ключа" с формированием электронной подписи для передаваемых по сети пакетов.

Однако, такая система защиты слабомощна, т.к. уровень доступа и возможность входа в систему определяются паролем, который легко подсмотреть или подобрать. Для исключения неавторизованного проникновения в компьютерную сеть используется комбинированный подход - пароль + идентификация пользователя по персональному "ключу". "Ключ" представляет собой пластиковую карту (магнитная или со встроенной микросхемой - смарт-карта) или различные устройства для идентификации личности по биометрической информации - по радужной оболочке глаза, отпечаткам пальцев, размерам кисти руки и т.д. Серверы и сетевые рабочие станции, оснащенные устройствами чтения смарт-карт и специальным программным обеспечением, значительно повышают степень защиты от несанкционированного доступа.

Смарт-карты управления доступом позволяют реализовать такие функции, как контроль входа, доступ к устройствам ПК, к программам, файлам и командам. Одним из удачных примеров создания комплексного решения для контроля доступа в открытых системах, основанного как на программных, так и на аппаратных средствах защиты, стала система Kerberos, в основу которой входят три компонента:

база данных, которая содержит информацию по всем сетевым ресурсам, пользователям, паролям, информационным ключам и т.д.;

авторизационный сервер (authentication server), задачей которого является обработка запросов пользователей на предоставление того или иного вида сетевых услуг. Получая запрос, он обращается к базе данных и определяет полномочия пользователя на совершение определенной операции. Пароли пользователей по сети не передаются, тем самым, повышая степень защиты информации;

сервер выдачи разрешений (Ticket-granting server) получает от авторизационного сервера "пропуск" с именем пользователя и его сетевым адресом, временем запроса, а также уникальный "ключ". Пакет, содержащий "пропуск", передается также в зашифрованном виде. Сервер выдачи разрешений после получения и расшифровки "пропуска" проверяет запрос, сравнивает "ключи" и при тождественности дает "добро" на использование сетевой аппаратуры или программ.

По мере расширения деятельности предприятий, роста численности абонентов и появления новых филиалов, возникает необходимость организации доступа удаленных пользователей (групп пользователей) к вычислительным или информационным ресурсам к центрам компаний. Для организации удаленного доступа чаще всего используются кабельные линии и радиоканалы. В связи с этим защита информации, передаваемой по каналам удаленного доступа, требует особого подхода. В мостах и маршрутизаторах удаленного доступа применяется сегментация пакетов - их разделение и передача параллельно по двум линиям, - что делает невозможным "перехват" данных при незаконном подключении "хакера" к одной из линий. Используемая при передаче данных процедура сжатия передаваемых пакетов гарантирует невозможность расшифровки "перехваченных" данных. Мосты и маршрутизаторы удаленного доступа могут быть запрограммированы таким образом, что удаленным пользователям не все ресурсы центра компании могут быть доступны.

В настоящее время разработаны специальные устройства контроля доступа к вычислительным сетям по коммутируемым линиям. Примером может служить, разработанный фирмой AT&T модуль Remote Port Securiti Device (PRSD), состоящий из двух блоков размером с обычный модем: RPSD Lock (замок), устанавливаемый в центральном офисе, и RPSD Key (ключ), подключаемый к модему удаленного пользователя. RPSD Key и Lock позволяют устанавливать несколько уровней защиты и контроля доступа:

шифрование данных, передаваемых по линии при помощи генерируемых цифровых ключей;

контроль доступа с учетом дня недели или времени суток.

Прямое отношение к теме безопасности имеет стратегия создания резервных копий и восстановления баз данных. Обычно эти операции выполняются в нерабочее время в пакетном режиме. В большинстве СУБД резервное копирование и восстановление данных разрешаются только пользователям с широкими полномочиями (права доступа на уровне системного администратора, либо владельца БД), указывать столь ответственные пароли непосредственно в файлах пакетной обработки нежелательно. Чтобы не хранить пароль в явном виде, рекомендуется написать простенькую прикладную программу, которая сама бы вызывала утилиты копирования/восстановления. В таком случае системный пароль должен быть "зашит" в код указанного приложения. Недостатком данного метода является то, что всякий раз при смене пароля эту программу следует перекомпилировать.

Применительно к средствам защиты от НСД определены семь классов защищенности (1-7) средств вычислительной техники (СВТ) и девять классов (1А,1Б,1В,1Г,1Д,2А,2Б,3А,3Б) автоматизированных систем (АС). Для СВТ самым низким является седьмой класс, а для АС - 3Б.

Рассмотрим более подробно приведенные сертифицированные системы защиты от НСД.

Система "КОБРА" соответствует требованиям 4-ого класса защищенности (для СВТ), реализует идентификацию и разграничение полномочий пользователей и криптографическое закрытие информации, фиксирует искажения эталонного состояния рабочей среды ПК (вызванные вирусами, ошибками пользователей, техническими сбоями и т.д.) и автоматически восстанавливает основные компоненты операционной среды терминала.

Подсистема разграничения полномочий защищает информацию на уровне логических дисков. Пользователь получает доступ к определенным дискам А,В,С,...,Z. Все абоненты разделены на 4 категории:

суперпользователь (доступны все действия в системе);

администратор (доступны все действия в системе, за исключением изменения имени, статуса и полномочий суперпользователя, ввода или исключения его из списка пользователей);

программисты (может изменять личный пароль);

коллега (имеет право на доступ к ресурсам, установленным ему суперпользователем).

Помимо санкционирования и разграничения доступа к логическим дискам, администратор устанавливает каждому пользователю полномочия доступа к последовательному и параллельному портам. Если последовательный порт закрыт, то невозможна передача информации с одного компьютера на другой. При отсутствии доступа к параллельному порту, невозможен вывод на принтер.

Программные средства защиты информации. Специализированные программные средства защиты информации от несанкционированного доступа обладают в целом лучшими возможностями и характеристиками, чем встроенные средства сетевых ОС. Кроме программ шифрования, существует много других доступных внешних средств защиты информации. Из наиболее часто упоминаемых следует отметить следующие две системы, позволяющие ограничить информационные потоки.

Firewalls - брандмауэры (дословно firewall -- огненная стена). Между локальной и глобальной сетями создаются специальные промежуточные сервера, которые инспектируют и фильтруют весь проходящий через них трафик сетевого/ транспортного уровней. Это позволяет резко снизить угрозу несанкционированного доступа извне в корпоративные сети, но не устраняет эту опасность совсем. Более защищенная разновидность метода - это способ маскарада (masquerading), когда весь исходящий из локальной сети трафик посылается от имени firewall-сервера, делая локальную сеть практически невидимой.

Proxy-servers (proxy - доверенность, доверенное лицо). Весь трафик сетевого/транспортного уровней между локальной и глобальной сетями запрещается полностью -- попросту отсутствует маршрутизация как таковая, а обращения из локальной сети в глобальную происходят через специальные серверы-посредники. Очевидно, что при этом методе обращения из глобальной сети в локальную становятся невозможными в принципе.

VPN (виртуальная частная сеть) позволяет передавать секретную информацию через сети, в которых возможно прослушивание трафика посторонними людьми. Используемые технологии:

PPTP (туннельный протокол типа точка-точка, позволяющий компьютеру устанавливать защищённое соединение с сервером за счёт создания специального туннеля в стандартной, незащищённой сети. PPTP помещает (инкапсулирует) кадры PPP в IP-пакеты для передачи по глобальной IP-сети, например, Интернет.),

PPPoE (сетевой протокол передачи кадров PPP через Ethernet. В основном используется xDSL-сервисами. Предоставляет дополнительные возможности (аутентификация, сжатие данных, шифрование), IPSec (набор протоколов для обеспечения защиты данных, передаваемых по межсетевому протоколу IP, позволяет осуществлять подтверждение подлинности и/или шифрование IP-пакетов. IPsec также включает в себя протоколы для защищённого обмена ключами в сети Интернет.)

Аппаратные средства защиты информации.

К аппаратным средствам защиты относятся различные электронные, электронно-механические, электронно-оптические устройства. К настоящему времени разработано значительное число аппаратных средств различного назначения, однако наибольшее распространение получают следующие:

специальные регистры для хранения реквизитов защиты: паролей, идентифицирующих кодов, грифов или уровней секретности;

устройства измерения индивидуальных характеристик человека (голоса, отпечатков) с целью его идентификации;

схемы прерывания передачи информации в линии связи с целью периодической проверки адреса выдачи данных.

устройства для шифрования информации (криптографические методы).

Защита от воздействия вредоносных программ.

В настоящее время одним из основных вопросов обеспечения безопасности информации является защита от вредоносных программ. Существует огромное множество разновидностей вредоносных программ: вирусы, троянские кони, сетевые черви, логические бомбы, - и с каждым днем их становится все больше и больше. Защита от вредоносных программ не ограничивается лишь традиционной установкой антивирусных средств на рабочие станции пользователей. Это сложная задача, требующая комплексного подхода к решению. Одно из главных преимуществ данного решения - рассмотрение подсистемы защиты информации от вредоносных программ как многоуровневой системы.

Первый уровень включает в себя средства защиты от вредоносных программ, устанавливаемые на стыке с глобальными сетями (Интернет-шлюз и/или межсетевой экран; публичные серверы Web, SMTP, ftp.) и осуществляющие фильтрацию основных видов трафика (HTTP, SMTP, FTP и т. д.)

Второй уровень - средства защиты, устанавливаемые на внутренних корпоративных серверах и серверах рабочих групп (файловых хранилищах, серверах приложений и т.д.).

И, наконец, третий уровень - средства защиты от вредоносных программ, устанавливаемые на рабочих станциях пользователей, включая удаленных и мобильных пользователей.

Преимущества данного решения заключаются:

• - в использовании продуктов мировых лидеров;
• - в централизованном управлении всей подсистемой защиты от вредоносных программ;
• - в автоматическом обновлении антивирусных баз;
• - в тесном взаимодействии антивирусных средств всех уровней подсистемы и т. д.

Защита от компьютерных вирусов.

Основным средством борьбы с вирусами были и остаются антивирусные программы. Можно использовать антивирусные программы (антивирусы), не имея представления о том, как они устроены. Однако без понимания принципов устройства антивирусов, знания типов вирусов, а также способов их распространения, нельзя организовать надежную защиту компьютера. Как результат, компьютер может быть заражен, даже если на нем установлены антивирусы.

Сегодня используется несколько основополагающих методик обнаружения и защиты от вирусов:

• - сканирование;
• - эвристический анализ;
• - использование антивирусных мониторов;
• - обнаружение изменений;
• - использование антивирусов, встроенных в BIOS компьютера.

Кроме того, практически все антивирусные программы обеспечивают автоматическое восстановление зараженных программ и загрузочных секторов. Конечно, если это возможно.

Особенности защиты корпоративной интрасети.

Корпоративная интрасеть может насчитывать сотни и тысячи компьютеров, играющих роль рабочих станций и серверов. Эта сеть обычно подключена к Интернету и в ней имеются почтовые серверы, серверы систем автоматизации документооборота, такие как Microsoft Exchange и Lotus Notes, а также нестандартные информационные системы.

Для надежной защиты корпоративной интрасети необходимо установить антивирусы на все рабочие станции и серверы. При этом на файл-серверах, серверах электронной почты и серверах систем документооборота следует использовать специальное серверное антивирусное программное обеспечение. Что же касается рабочих станций, их можно защитить обычными антивирусными сканерами и мониторами.

Разработаны специальные антивирусные прокси-серверы и брандмауэры, сканирующие проходящий через них трафик и удаляющие из него вредоносные программные компоненты. Эти антивирусы часто применяются для защиты почтовых серверов и серверов систем документооборота.

Защита почтовых серверов.

Антивирусные мониторы неэффективны для обнаружения вирусов в почтовых сообщениях. Для этого необходимы специальные антивирусы, способные фильтровать трафик SMTP, POP3 и IMAP, исключая попадание зараженных сообщений на рабочие станции пользователей.

Для защиты почтовых серверов можно приобрести антивирусы, специально предназначенные для проверки почтового трафика, или подключить к почтовому серверу обычные антивирусы, допускающие работу в режиме командной строки.

Защита нестандартных информационных систем.

Для антивирусной защиты нестандартных информационных систем, хранящих данные в собственных форматах, необходимо либо встраивать антивирусное ядро в систему, либо подключать внешний сканер, работающий в режиме командной строки.

Защита информации в компьютерных системах обладает рядом специфических особенностей, связанных с тем, что информация не является жёстко связанной с носителем, может легко и быстро копироваться и передаваться по каналам связи. Известно очень большое число угроз информации, которые могут быть реализованы как со стороны внешних, так и внутренних нарушителей. Проблемы, возникающие с безопасностью передачи информации при работе в компьютерных сетях, можно разделить на три основных типа: - перехват информации – целостность информации сохраняется, но её конфиденциальность нарушена; - модификация информации – исходное сообщение изменяется либо полностью подменяется другим и отсылается адресату; - подмена авторства информации. Данная проблема может иметь серьёзные последствия. Например, кто-то может послать письмо от вашего имени (этот вид обмана принято называть спуфингом) или Web – сервер может притворяться электронным магазином, принимать заказы, номера кредитных карт, но не высылать никаких товаров. Исследования практики функционирования систем обработки данных и вычислительных систем показали, что существует достаточно много возможных направлений утечки информации и путей несанкционированного доступа в системах и сетях. В их числе:

Чтение остаточной информации в памяти системы после выполнения санкционированных запросов;

Копирование носителей информации и файлов информации с преодолением мер защиты;

Маскировка под зарегистрированного пользователя;

Маскировка под запрос системы;

Использование программных ловушек;

Использование недостатков операционной системы;

Незаконное подключение к аппаратуре и линиям связи;

Злоумышленный вывод из строя механизмов защиты;

Внедрение и использование компьютерных вирусов.

Обеспечение безопасности информации в ВС и в автономно работающих ПЭВМ достигается комплексом организационных, организационно-технических, технических и программных мер. К организационным мерам защиты информации относятся:

Ограничение доступа в помещения, в которых происходит подготовка и обработка информации;

Допуск к обработке и передаче конфиденциальной информации только проверенных должностных лиц;

Хранение электронных носителей и регистрационных журналов в закрытых для доступа посторонних лиц сейфах;

Исключение просмотра посторонними лицами содержания обрабатываемых материалов через дисплей, принтер и т. д.;

Использование криптографических кодов при передаче по каналам связи ценной информации;

Уничтожение красящих лент, бумаги и иных материалов, содержащих фрагменты ценной информации.

1. Криптографическая защита информации.

К риптографические методы защиты информации - это специальные методы шифрования, кодирования или иного преобразования информации, в результате которого ее содержание становится недоступным без предъявления ключа криптограммы и обратного преобразования. Криптографический метод защиты, безусловно, самый надежный метод защиты, так как охраняется непосредственно сама информация, а не доступ к ней (например, зашифрованный файл нельзя прочесть даже в случае кражи носителя). Данный метод защиты реализуется в виде программ или пакетов программ.

Современная криптография включает в себя четыре крупных раздела:

Симметричные криптосистемы . В симметричных криптосистемах и для шифрования, и для дешифрования используется один и тот же ключ. (Шифрование - преобразовательный процесс: исходный текст, который носит также название открытого текста, заменяется шифрованным текстом, дешифрование - обратный шифрованию процесс. На основе ключа шифрованный текст преобразуется в исходный);

Криптосистемы с открытым ключом . В системах с открытым ключом используются два ключа - открытый и закрытый, которые математически связаны друг с другом. Информация шифруется с помощью открытого ключа, который доступен всем желающим, а расшифровывается с помощью закрытого ключа, известного только получателю сообщения.(Ключ - информация, необходимая для беспрепятственного шифрования и дешифрования текстов.);

Электронная подпись . Системой электронной подписи. называется присоединяемое к тексту его криптографическое преобразование, которое позволяет при получении текста другим пользователем проверить авторство и подлинность сообщения.

Управление ключами . Это процесс системы обработки информации, содержанием которых является составление и распределение ключей между пользователями.

О сновные направления использования криптографических методов - передача конфиденциальной информации по каналам связи (например, электронная почта), установление подлинности передаваемых сообщений, хранение информации (документов, баз данных) на носителях в зашифрованном виде.

Определение 1

Компьютерная сеть - совокупность компьютеров, которые соединены между собой при помощи специальных коммуникационных каналов для обмена информации между участниками сети.

Компьютерные сети используются для обеспечения коммуникации между компьютерами, находящимися на расстоянии. Это может быть как небольшая сеть, состоящая из нескольких компьютеров в одном помещении, так и глобальная компьютерная сеть Интернет, которая обеспечивает взаимосвязь устройств по всему миру.

Разновидности компьютерных сетей

Рисунок 1. Виды компьютерных сетей. Автор24 - интернет-биржа студенческих работ

Первые компьютерные сети (локальные) могли обеспечивать взаимосвязь с целью передачи данных на небольшие расстояния между компьютерами, непосредственно соединенными при помощи специальных кабелей.

Хорошим примером локальной сети является компьютерный класс в школе. В нем, как правило, находится небольшое количество компьютеров, соединенных между собой и некоторые периферийные устройства (принтеры, сканеры и т.д.), которые доступны для всех компьютеров в сети.

Подключение к устройствам в локальной сети дает возможность расширить возможности всех устройств системы.

Например, с помощью локальной сети можно:

• передать управление периферийными устройствами всем компьютерам в сети;
• передавать файлы между устройствами в сети;
• проводить обмен данными, информацией, удаленно управлять устройствами в сети.

Определение 2

Локальная компьютерная сеть может быть нескольких видов, в зависимости от прав доступа и разрешений у всех устройств сети. Если все компьютеры в сети имеют одни и те же права и разрешения, то такая сеть называется одноранговой. Если же среди устройств есть компьютеры, которые наделены особенными правами и могут больше, чем остальные, то компьютер называется сервером, а сеть уже представляет собой клиент-серверную архитектуру.

Такая архитектура открывает некоторые возможности и является более безопасной, так как позволяет ограничивать права некоторых пользователей, следить за действиями и контролировать состояние системы из одного компьютера.

Глобальная компьютерная сеть представляет собой множество устройств, объединенных в одну огромную сеть. Примером глобальной компьютерной сети есть Интернет. Он позволяет наладить коммуникацию миллионов компьютеров и периферийных устройств по всему миру между собой. Это открывает большое количество возможностей и удобств для пользователей по всему миру.

Например, люди могут в любой момент, находясь в любой точке мира, общаться с другими людьми, используя компьютер, ноутбук или мобильный телефон. Интернет позволяет осуществить обмен любыми файлами, получить доступ к любым книгам и учебным материалам по всему миру, что увеличивает человеческие возможности для обучения и развития.

Потребность защиты информации

Но в то же время расширение возможностей и появление глобальных компьютерных сетей несет за собой некоторые нюансы и отрицательные моменты. Это ведет за собой некоторые уязвимости тех же личных данных или конфиденциальной информации.

Объединение компьютеров в глобальные сети, где пользователи сети не могут быть уверены в добросовестности намерений других пользователей системы, ведет за собой потребность защиты компьютеров в сетях, защиты информации.

Определение 3

Защита информации - комплекс мер, направленных на обеспечение конфиденциальности и сохранности информации в компьютерных сетях или отдельных устройствах.

Информационная безопасность является одним из наиболее важных параметров в компьютерных сетях. От надежности защиты в корпоративных сетях на предприятиях зависит возможность нормально функционировать. Утрата важной информации в условиях корпоративной сети может означать большие потери, убытки, а то и крах компании.

Для предотвращения утечки информации используются специальные меры по обеспечению безопасности и сохранности информации. Они направлены в основном на защиту от несанкционированного доступа. Несанкционированный доступ может быть как прямым - непосредственный физический доступ к компьютеру, так и косвенным - когда физического доступа к устройству нет, а атака производится удаленно.

На сегодняшний день существует огромное количество способов и путей обхода защиты, взлома и получения несанкционированного доступа к информации. Для этого используют прослушивающие устройства, считывание введенных данных пользователей, хищение носителей информации, использование компьютерных вирусов, программные ловушки, вывод из строя систем защиты и перехват информации между устройствами компьютерной сети.

При этом основную угрозу в условиях нынешней высокой степени защиты компьютерных сетей составляет именно человек. Именно с помощью социальной инженерии злоумышленники получают наиболее критическую информацию от сотрудников компании, которая позволяет проводить мошеннические действия внутри компьютерных сетей. В таких условиях злоумышленнику не потребуется даже ничего взламывать, он получит все необходимые для входа в систему данные от сотрудников компании.

Меры защиты информации в компьютерных сетях

Защита информации может включать в себя меры по шифрованию, обеспечению сохранности, резервному копированию и архивации данных.

Одним из первых этапов для защиты компьютера есть установка пароля. Это позволяет защитить данные и конфиденциальную информацию от прямого доступа сторонних людей или злоумышленников.

Для обеспечения дополнительной безопасности используются специальные программы для шифрования. Расшифровка происходит при помощи специального ключа шифрования и может быть осуществлена на любом устройстве при условии наличия нужного ключа шифрования.

Резервное копирование и архивация данных позволяет сжимать и делать бэкапы данных для их последующего восстановления в случае утери или повреждения. Это обеспечивает надежное хранение и не подвергает важную информацию рискам.

Для защиты в условиях локальной сети компьютер использует специальные протоколы передачи данных и взаимодействия с другими участниками компьютерной сети. Существует определенный набор правил и принципов взаимодействия устройств в сети. Такая стандартизация позволяет прийти к лучшему взаимодействию и большей надежности работы и взаимосвязи устройств в сети.

Для защиты информации следует избегать предоставления злоумышленнику физического доступа к устройствам сети. Кроме того, следует избегать подключения к общедоступным сетям, так как это позволит получить доступ к другим устройствам в сети.

Замечание 1

Прямой доступ к устройствам в сети позволяет получить информацию о системе при помощи специального сканирования. Информация о системе может содержать конфигурацию, состояние портов и наличие определенного оборудования, что позволит использовать уязвимости системы и при помощи эксплойтов (специальных программ или скриптов, использующих данные уязвимости) получить доступ к системе или данным в ней.

Именно поэтому даже косвенный доступ к компьютерной сети может дать существенное преимущество для злоумышленников. Сканирование портов на предмет их состояния может позволить определить конфигурацию системы и найти ее слабые места.

При этом большую роль в защите компьютерных систем играет человек. Даже в крупных корпорациях с серьезными системами защиты случаются осечки. Чаще всего из-за невнимательности сотрудников, которые сами того не зная, распространили важную информацию, позволяющую получить злоумышленнику доступ к системе. Для этого используется фишинг, вредоносные рассылки, спам и социальная инженерия (вхождение в доверие к сотрудникам или манипуляция их действиями при помощи разговора).