--PAGE_BREAK-- Распределенные атаки на отказ в обслуживании очень эффективны, и их трудно остановить. Окончательное решение этой проблемы требует от мирового сетевого сообщества неусыпно следовать строгим стандартам безопасности. В настоящий момент лучшей техникой защиты является готовность к такой атаке. Очень важно иметь план реагирования на DDoS инцидент. А использование исходящей фильтрации является хорошим стандартом безопасности, гарантирующим, что машина, находящаяся под вашим контролем, не участвует в таких атаках. Осведомленное компьютерное сообщество может сделать DDoS сегодня пережитком прошлого.
Аппаратная защита
Когда заходит речь об аппаратной защите в целом, недостаточно было бы упомянуть о данных средствах только лишь относительно определённого компьютера или же конкретного программного обеспечения. Помимо этого, термин «аппаратная защита» подразумевает комплексный подход для решения ряда задач и проблем, стоящих перед системным администратором, по правильной настройке достаточно защищённой внутренней локальной сети, имеющей выход в глобальную сеть Интернет. Исходя из этого, аппаратную защиту можно классифицировать на следующие виды:
· аппаратная защита программного обеспечения
· локальная аппаратная защита (аппаратная защита компьютера и информации)
· аппаратная защита сети (аппаратная защита внутренней локальной сети с одним или несколькими выходами в Интернет)
Аппаратная защита программного обеспечения
На данный момент существует отдельное направление в компьютерной индустрии, занимающееся обеспечением защиты ПО от несанкционированного использования. Ещё на ранних стадиях развития компьютерных технологий применялись довольно разнообразные, но недостаточно гибкие методы такой защиты. Чаще всего она основывалась на нестандартном использовании носителей информации, которую можно обойти путём использования средств побитового копирования, поэтому уже после инсталляции дистрибутива «привязка» установленной прикладной программы к аппаратным характеристикам компьютера уже не играет особо важную роль. Серийные номера используются разработчиками ПО до сих пор, но возможность сделать неограниченное количество копий, если в наличии имеется только один требуемый ключ, сейчас практикуется на рынке «пиратских» компакт-дисков. В связи с этим в последнее время все большую популярность среди производителей программного обеспечения приобретают новые усовершенствованные программно-аппаратные средства защиты, известные как «аппаратные (электронные) ключи», являющиеся одним из достаточно надежных способов борьбы с нелегальным копированием.
Электронные ключи
Под термином «электронный ключ» предполагается аппаратная реализация системы защиты и соответствующего программного обеспечения. Сам ключ представляет собой плату, защищённую корпусом, в архитектуру которой обязательно входят микросхемы памяти и, иногда, микропроцессор. Ключ может подключаться в слот расширения материнской платы ISA, или же к LPT, COM, PCMCIA, USB-порту компьютера. В его программное обеспечение входит модуль, который встраивается в защищаемое ПО (таким образом данное программное обеспечение «привязывается» к ключу, а не к конкретному компьютеру), и драйвера под различные операционные системы. Ключи в большинстве своём основаны на одной из трёх моделей существующих аппаратных реализаций: на основе FLASH-памяти, PIC или ASIC-чипов. Помимо этого, в некоторые ключи встраиваются дополнительные возможности в виде энергонезависимой памяти, таймеров, выбора алгоритма кодирования данных.
Что касается аппаратной реализации электронного ключа на основе FLASH-памяти, то следует заметить, что он достаточно прост и является наименее стойким ко взлому (стойкость определяется типом программной части). В архитектуру такого ключа не входит микропроцессор, а в подобных системах критическая информация (таблица переходов и ключ дешифрации) хранится в памяти. Кроме того, такие ключи обладают наименьшей степенью прозрачности для стандартных протоколов обмена. Защита заключается в считывании из ключа определённых данных и участков кода на этапе проверки легальности использования. Чтобы дезактивировать такую защиту в большинстве случаев взломщику потребуется аппаратная часть системы защиты. Методика взлома основана на перехвате диалога между программной и аппаратной частями для доступа к критической информации. Другими словами: определяется алгоритм обмена информацией между ключом и компьютером, считывается информация из FLASH-памяти и пишется соответствующий эмулятор.
Для PIC- и ASIC-ключей защита строится по принципиально другому методу. В их архитектуру уже входит микропроцессор. Помимо этого данные микросхемы включают небольшое количество оперативной памяти, память команд и память для хранения микропрограммы. В аппаратной части содержится ключ дешифрации и блоки шифрации/дешифрации данных. Ключи на этой основе намного более устойчивы ко взлому и являются более прозрачными для стандартных протоколов обмена. PIC-чипы программируются разработчиками ключей, поэтому PIC-ключи являются более дорогой перспективой для заказчика. Аппаратную копию такого ключа сделать довольно проблематично за счёт того, что микропрограмма и внутренняя память защищены от внешнего считывания, НО к таким ключам применимы методы криптоанализа. Достаточно сложной является также задача перехвата ключа (основная обработка производится аппаратной частью). Однако остается возможность сохранения защищенной программы в открытом виде после того, как система защиты отработала.
Отрицательными сторонами аппаратных (электронных) ключей является:
1. Возможная несовместимость с программным обеспечением или аппаратурой пользователя;
2. Затруднение разработки и отладки программного обеспечения;
3. Повышение системных требований для защищаемого программного обеспечения;
4. Угроза кражи;
5. Невозможность использования защищённого ПО в портативных компьютерах;
6. Затраты на приобретение;
7. Несовместимость с аппаратными ключами других фирм;
8. Снижение отказоустойчивости программного обеспечения;
Следует заметить, что достаточно часто возникают конфликты ключа со стандартными устройствами, подключаемыми к портам компьютера, особенно это касается подключения к LPT и COM. Теоретически возможен случай, когда ключ получает данные, не предназначенные ему, и интерпретирует их как команду на чтение/запись FLASH-памяти, что может привести к порче хранимой информации или нарушению протокола обмена с другим устройством, подключенным к тому же порту компьютера. Кроме того, возможны угрозы перегрузки трафика при конфликтах с сетевым программным или аппаратным обеспечением.
«Ключевые диски»
В настоящий момент этот вариант защиты программного обеспечения мало распространён в связи с его устареванием. Единственным его отличием от электронных ключей является то, что критическая информация содержится на ключевом носителе. Слабой стороной данного варианта является возможность перехвата считывания критической информации и незаконное копирование ключевого носителя.
СМАРТ-карты
В последнее время в качестве электронного ключа широко распространились СМАРТ-карты. Носителем информации в них является микросхема. Условно их можно разделить на микропроцессорные, карты с памятью и криптографические (поддержка алгоритмов DES, RSA и других) карты.
Карты с памятью или memory cards являются самыми простейшими из класса СМАРТ-карт. Объем их памяти составляет величину от 32 байт до 16 килобайт. Такие карты делятся на два типа: с защищенной и незащищенной (полный доступ) памятью. Уровень защиты карт памяти выше, поэтому они могут быть использованы в прикладных системах небольших финансовых оборотов.
Карты с микропроцессором или CPU cards представляют собой микрокомпьютеры и содержат все соответствующие основные компоненты. Часть данных операционной системы микропроцессорной карты доступна только её внутренним программам. Также она содержит встроенные криптографические средства. За счёт всего перечисленного подобная карта достаточно защищёна и может быть использована в финансовых приложениях.
Подводя итоги всего вышесказанного можно сказать, что, несмотря на кажущуюся универсальность аппаратных ключей, они все-таки подвержены взлому. Разработчики ключей применяют различные способы для сведения вероятности взлома к минимуму: защита от реассемблирования, трассировки, отладчиков и многое другое. Однако защита от трассировки и отладчиков практически бесполезна, если используется SoftIce.
Аппаратная защита компьютера и информации
Вопрос защиты персональных компьютеров от несанкционированного доступа в сетях различных компаний и особенно банковских структур в последнее время приобретает всё большую популярность. Тенденции роста и развития внутренних ЛВС требуют более новых решений в области программно-аппаратных средств защиты от НСД. Наряду с возможностью удалённого НСД, необходимо рассматривать ещё и физический доступ к определённым компьютерам сети. Во многих случаях эта задача решается системами аудио- и видеонаблюдения, сигнализациями в помещениях, а также правилами допуска посторонних лиц, за соблюдением которых строго следит служба безопасности и сами сотрудники. Но случается по-разному…
Помимо этого, используются средства разграничения доступа пользователей к ресурсам компьютера, средства шифрования файлов, каталогов, логических дисков, средства защиты от загрузки компьютера с дискеты, парольные защиты BIOS и многое другое. Однако есть способы обойти любое из перечисленных средств в зависимости от ситуации и установленной защиты. Осуществляться это может различными путями перехвата управления компьютера на стадии загрузки BIOS или операционной системы, а также ввода на аппаратном уровне дополнительного BIOS. Следовательно, программно реализовать хорошую защиту довольно-таки проблематично. Именно поэтому для предотвращения подобных атак предназначена аппаратная защита компьютера. Такая защита базируется на контроле всего цикла загрузки компьютера для предотвращения использования различных загрузочных дискет и реализуется в виде платы, подключаемой в свободный слот материнской платы компьютера. Её программная часть проводит аудит и выполняет функции разграничения доступа к определённым ресурсам.
Отрицательные аспекты и возможность обхода
Программная часть: обход парольной защиты BIOS состоит в использовании программ, стирающих установки BIOS, или утилит изъятия паролей. В других случаях существует возможность отключения батарейки, что приводит к стиранию паролей BIOS. Изменить настройки BIOS можно, воспользовавшись программой восстановления.
Аппаратная часть: следует учитывать тот факт, что с точки зрения реализации подобной аппаратной защиты, она сама не всегда защищена от ошибок в процессе обработки поступающей информации. Вероятно, многие системные администраторы сталкивались с ситуацией, когда разным устройствам присваиваются одинаковые адреса, что вызывает конфликт на аппаратном уровне и неработоспособность обоих конфликтующих устройств. В этом и заключается один из аспектов обхода такой защиты, методика которого состоит в эмуляции аппаратного конфликта, при котором отключается аппаратная часть защиты и эмулирующее устройство, и появляется возможность несанкционированного доступа к информации. В качестве эмулирующего устройства могут выступать различные сетевые карты, а также многие нестандартные платы.
Возможные решения проблем и предупреждение взлома
Первоочерёдной задачей в этом случае является создание замкнутой операционной среды компьютера, отключение в BIOS возможности загрузки компьютера с дискеты, удаление конфигурационных программ и программ декодирования, отладки и трассировки. Следует также произвести разграничение доступа и осуществить контроль запускаемых приложений даже несмотря на то, что этим занимается программная часть аппаратной защиты.
Специальные защитные устройства уничтожения информации
Решение проблемы безопасности хранения важной конфиденциальной информации было предложено также в виде специальных защитных устройств, назначением которых является удаление информации при попытке изъятия накопителя — форматирование; первоочередная задача в первый момент действия — уничтожение информации с начала каждого накопителя, где расположены таблицы разделов и размещения файлов. Остальное будет зависеть от времени, которое проработает устройство. По прошествию нескольких минут вся информация будет уничтожена и её практически невозможно восстановить.
Вид устройств такого принципа действия представляет собой блок, монтируемый в отсек 3,5" дисковода и имеющий автономное питание. Такое устройство применимо к накопителям типа IDE и включается в разрыв шлейфа. Для идентификации хозяина применяются электронные ключи с длиной кода 48 бит (за 10 секунд на предъявление ключа подбор исключается), а датчики, при срабатывании которых происходит уничтожение информации, выбираются хозяином самостоятельно.
Шифрующие платы
Применение средств криптозащиты является ещё одним способом обеспечения сохранности информации, содержащейся на локальном компьютере. Невозможно использовать и модифицировать информацию в зашифрованных файлах и каталогах. В таком случае конфиденциальность содержащейся на носителе информации прямо пропорциональна стойкости алгоритма шифрования.
Шифрующая плата вставляется в свободный слот расширения PCI или ISA на материнской плате компьютера и выполняет функцию шифрования данных. Плата позволяет шифровать каталоги и диски. Оптимальным является способ шифрования всего содержимого жесткого диска, включая загрузочные сектора, таблицы разбиения и таблицы размещения файловой системы. Ключи шифрования хранятся на отдельной дискете.
Шифрующие платы гарантируют высокую степень защиты информации, но их применение значительно снижает скорость обработки данных. Существует вероятность аппаратного конфликта с другими устройствами.
Аппаратная защита сети
На сегодняшний день многие достаточно развитые компании и организации имеют внутреннюю локальную сеть. Развитие ЛВС прямо пропорционально росту компании, неотъемлемой частью жизненного цикла которой является подключение локальной сети к бескрайним просторам Интернета. Вместе с тем сеть Интернет неподконтрольна (в этом несложно убедиться), поэтому компании должны серьезно позаботиться о безопасности своих внутренних сетей. Подключаемые к WWW ЛВС в большинстве случаев очень уязвимы к неавторизированному доступу и внешним атакам без должной защиты. Такую защиту обеспечивает межсетевой экран (брандмауэр или firewall).
Брандмауэры
Брандмауэры существуют двух видов: программные и аппаратные. Однако помимо этого их делят ещё и на типы: брандмауэр сетевого уровня (фильтры пакетов) и прикладного уровня (шлюзы приложений). Фильтры пакетов более быстрые и гибкие, в отличие от брандмауэров прикладного уровня. Последние направляют специальному приложению-обрабочику все приходящие пакеты извне, что замедляет работу.
Для программных брандмауэров необходим отдельный компьютер на базе традиционных операционных систем Unix либо Windows NT. Такой брандмауэр может служить единой точкой входа во внутреннюю сеть. Слабость и ненадёжность подобной защиты заключается не столько в возможных нарушениях корректной работы самого программного брандмауэра, сколько в уязвимости используемых операционных систем, на базе которых функционирует межсетевой экран.
Аппаратные брандмауэры построены на базе специально разработанных для этой цели собственных операционных систем. Далее приступим к рассмотрению именно аппаратных брандмауэров.
Правильная установка и конфигурация межсетевого экрана — первый шаг на пути к намеченной цели. Чтобы выполнить установку аппаратного брандмауэра нужно подключить его в сеть и произвести необходимое конфигурирование. В простейшем случае, брандмауэр — это устройство, предотвращающее доступ во внутреннюю сеть пользователей извне. Он не является отдельной компонентой, а представляет собой целую стратегию защиты ресурсов организации. Основная функция брандмауэра — централизация управления доступом. Он решает многие виды задач, но основными являются анализ пакетов, фильтрация и перенаправление трафика, аутентификация подключений, блокирование протоколов или содержимого, шифрование данных.
продолжение
--PAGE_BREAK--