5. Информационная безопасность в сетях ЭВМ Защита данных в компьютерных сетях становится
одной из самых открытых проблем в современных информационно-вычислительных
системах. На сегодняшний день сформулировано три базовых принципа информационной
безопасности, задачей которой является обеспечение: - целостности данных
- защита от сбоев, ведущих к потере информации или ее уничтожения; - конфиденциальности
информации; - доступности информации для авторизованных пользователей.
Рассматривая проблемы, связанные с защитой данных в сети, возникает вопрос о
классификации сбоев и несанкционированности доступа, что ведет к потере или нежелательному
изменению данных. Это могут быть сбои оборудования (кабельной системы,
дисковых систем, серверов, рабочих станций и т.д.), потери информации (из-за
инфицирования компьютерными вирусами, неправильного хранения архивных данных,
нарушений прав доступа к данным), некорректная работа пользователей и обслуживающего
персонала. Перечисленные нарушения работы в сети вызвали необходимость создания
различных видов защиты информации. Условно их можно разделить на три класса:
- средства физической защиты; - программные средства (антивирусные программы,
системы разграничения полномочий, программные средства контроля доступа);
- административные меры защиты (доступ в помещения, разработка стратегий безопасности
фирмы и т.д.). Одним из средств физической защиты являются системы архивирования
и дублирования информации. В локальных сетях, где установлены один-два
сервера, чаще всего система устанавливается непосредственно в свободные слоты
серверов. В крупных корпоративных сетях предпочтение отдается выделенному специализированному
архивационному серверу, который автоматически архивирует информацию
с жестких дисков серверов и рабочих станций в определенное время, установленное
администратором сети, выдавая отчет о проведенном резервном копировании. Наиболее
распространенными моделями архивированных серверов являются Storage Express
System корпорации Intel ARCserve for Windows. Для борьбы с компьютерными вирусами
наиболее часто применяются антивирусные программы, реже - аппаратные средства
защиты. Однако, в последнее время наблюдается тенденция к сочетанию программных
и аппаратных методов защиты. Среди аппаратных устройств используются специальные
антивирусные платы, вставленные в стандартные слоты расширения компьютера.
Корпорация Intel предложила перспективную технологию защиты от вирусов в
сетях, суть которой заключается в сканировании систем компьютеров еще до их загрузки.
Кроме антивирусных программ, проблема защиты информации в компьютерных сетях
решается введением контроля доступа и разграничением полномочий пользователя.
Для этого используются встроенные средства сетевых операционных систем, крупнейшим
производителем которых является корпорация Novell. В системе, например,
NetWare, кроме стандартных средств ограничения доступа (смена паролей, разграничение
полномочий), предусмотрена возможность кодирования данных по принципу "открытого
ключа" с формированием электронной подписи для передаваемых по сети пакетов.
Однако, такая система защиты слабомощна, т.к. уровень доступа и возможность
входа в систему определяются паролем, который легко подсмотреть или подобрать.
Для исключения неавторизованного проникновения в компьютерную сеть используется
комбинированный подход - пароль + идентификация пользователя по персональному
"ключу". "Ключ" представляет собой пластиковую карту (магнитная или со встроенной
микросхемой - смарт-карта) или различные устройства для идентификации личности
по биометрической информации - по радужной оболочке глаза, отпечаткам пальцев,
размерам кисти руки и т.д. Серверы и сетевые рабочие станции, оснащенные
устройствами чтения смарт-карт и специальным программным обеспечением, значительно
повышают степень защиты от несанкционированного доступа. Смарт-карты управления
доступом позволяют реализовать такие функции, как контроль входа, доступ
к устройствам ПК, к программам, файлам и командам. Одним из удачных примеров создания
комплексного решения для контроля доступа в открытых системах, основанного
как на программных, так и на аппаратных средствах защиты, стала система Kerberos,
в основу которой входят три компонента: - база данных, которая содержит информацию
по всем сетевым ресурсам, пользователям, паролям, информационным ключам
и т.д.; - авторизационный сервер (authentication server), задачей которого является
обработка запросов пользователей на предоставление того или иного вида
сетевых услуг. Получая запрос, он обращается к базе данных и определяет полномочия
пользователя на совершение определенной операции. Пароли пользователей по сети
не передаются, тем самым, повышая степень защиты информации; - Ticket-granting
server (сервер выдачи разрешений) получает от авторизационного сервера "пропуск"
с именем пользователя и его сетевым адресом, временем запроса, а также уникальный
"ключ". Пакет, содержащий "пропуск", передается также в зашифрованном
виде. Сервер выдачи разрешений после получения и расшифровки "пропуска" проверяет
запрос, сравнивает "ключи" и при тождественности дает "добро" на использование
сетевой аппаратуры или программ. По мере расширения деятельности предприятий,
роста численности абонентов и появления новых филиалов, возникает необходимость
организации доступа удаленных пользователей (групп пользователей) к вычислительным
или информационным ресурсам к центрам компаний. Для организации удаленного
доступа чаще всего используются кабельные линии и радиоканалы. В связи с этим
защита информации, передаваемой по каналам удаленного доступа, требует особого
подхода. В мостах и маршрутизаторах удаленного доступа применяется сегментация
пакетов - их разделение и передача параллельно по двум линиям, - что делает невозможным
"перехват" данных при незаконном подключении "хакера" к одной из линий.
Используемая при передаче данных процедура сжатия передаваемых пакетов гарантирует
невозможность расшифровки "перехваченных" данных. Мосты и маршрутизаторы
удаленного доступа могут быть запрограммированы таким образом, что удаленным
пользователям не все ресурсы центра компании могут быть доступны. В настоящее время
разработаны специальные устройства контроля доступа к вычислительным сетям
по коммутируемым линиям. Примером может служить, разработанный фирмой ATTмодуль
Remote Port Securiti Device (PRSD), состоящий из двух блоков размером с обычный
модем: RPSD Lock (замок), устанавливаемый в центральном офисе, и RPSD Key (ключ),
подключаемый к модему удаленного пользователя. RPSD Key и Lock позволяют
устанавливать несколько уровней защиты и контроля доступа: - шифрование данных,
передаваемых по линии при помощи генерируемых цифровых ключей; - контроль доступа
с учетом дня недели или времени суток. Прямое отношение к теме безопасности
имеет стратегия создания резервных копий и восстановления баз данных. Обычно эти
операции выполняются в нерабочее время в пакетном режиме. В большинстве СУБД
резервное копирование и восстановление данных разрешаются только пользователям
с широкими полномочиями (права доступа на уровне системного администратора, либо
владельца БД), указывать столь ответственные пароли непосредственно в файлах
пакетной обработки нежелательно. Чтобы не хранить пароль в явном виде, рекомендуется
написать простенькую прикладную программу, которая сама бы вызывала утилиты
копирования/восстановления. В таком случае системный пароль должен быть "зашит"
в код указанного приложения. Недостатком данного метода является то, что всякий
раз при смене пароля эту программу следует перекомпилировать. Применительно
к средствам защиты от НСД определены семь классов защищенности (1-7) средств
вычислительной техники (СВТ) и девять классов (1А,1Б,1В,1Г,1Д,2А,2Б,3А,3Б) автоматизированных
систем (АС). Для СВТ самым низким является седьмой класс, а для
АС - 3Б. Рассмотрим более подробно приведенные сертифицированные системы защиты
от НСД. Система "КОБРА" соответствует требованиям 4-ого класса защищенности (для
СВТ), реализует идентификацию и разграничение полномочий пользователей и криптографическое
закрытие информации, фиксирует искажения эталонного состояния рабочей
среды ПК (вызванные вирусами, ошибками пользователей, техническими сбоями
и т.д.) и автоматически восстанавливает основные компоненты операционной среды
терминала. Подсистема разграничения полномочий защищает информацию на уровне
логических дисков. Пользователь получает доступ к определенным дискам А,В,С,...,Z.
Все абоненты разделены на 4 категории: - суперпользователь (доступны все действия
в системе); - администратор (доступны все действия в системе, за исключением
изменения имени, статуса и полномочий суперпользователя, ввода или исключения
его из списка пользователей); - программисты (может изменять личный пароль);
- коллега (имеет право на доступ к ресурсам, установленным ему суперпользователем).
Помимо санкционирования и разграничения доступа к логическим дискам, администратор
устанавливает каждому пользователю полномочия доступа к последовательному
и параллельному портам. Если последовательный порт закрыт, то невозможна
передача информации с одного компьютера на другой. При отсутствии доступа к параллельному
порту, невозможен вывод на принтер. 1