Информационная безопасность и защита информации

Установление  и контроль привилегий

  Таким образом,  в СУБД авторизация доступа  осуществляется с помощью привилегий. Установление и контроль привилегий  – прерогатива администратора базы данных.

  Привилегии  устанавливаются и отменяются  специальными операторами языка  SQL. Привилегии легко установить, но легко и отменить. Отмена  привилегий выполняется оператором REVOKE. 

Многоуровневая  защита

Схемы безопасности, которые ограничиваются схемой «данные – владелец». В них пользователь, работающий с базой  данных, является владельцем некоторых ее объектов, а для доступа к другим объектам должен получить привилегии. Он может получить статус пользователя СУБД и некоторые привилегии доступа к объектам БД, войти в группу пользователей и получить соответствующие привилегии доступа, получить права на запуск некоторых прикладных программ. Это – так называемый добровольный или дискреционный контроль доступа. Называется он так потому, что владелец данных по собственному усмотрению ограничивает круг пользователей, имеющих доступ к данным, которыми он владеет

  Несмотря  на то, что он в целом этот  метод обеспечивает безопасность  данных, современные информационные  системы требуют другую, более изощренную схему безопасности – обязательный или принудительный контроль доступа. Он основан на отказе от понятия владельца данных и опирается на так называемые метки безопасности, которые присваиваются данным при их создании. Каждая из меток соответствует некоторому уровню безопасности. Метки служат для классификации данных по уровням. Например,  для правительственных и коммерческих организаций. Данные размещены по уровням безопасности метками, конкретный пользователь получает ограниченный доступ к данным. Он может оперировать только с данными, расположенными на том уровне секретности, который соответствует его статусу. При этом он не является данным владельцем данных.

  Эта схема  безопасности опирается на механизм, позволяющий связать метки безопасности с каждой строкой любой таблицы в базе данных. Любой пользователь может потребовать в своем запросе отобразить любую таблицу из базы данных, однако увидит он только те строки, у которых метки безопасности не превышают уровень его компетенции. 

Защита информации в сетях

Международные стандарты Х.800 и Х.509.

Рекомендации IETF

Стандарт Х.800 описывает основы безопасности в  привязке к эталонной семиуровневой  модели. Стандарт предусматривает следующие  сервисы безопасности:

          ✓ аутентификация (имеются аутентификация партнеров по общению и аутентификация источника данных);

          ✓ управление доступом – обеспечивает защиту от несанкционированного использования ресурсов, доступных по сети;

          ✓ конфиденциальность данных – в Х.800 под этим названием объединены существенно разные вещи – от защиты отдельной порции данных до конфиденциальности трафика;

          ✓ целостность данных – данный сервис подразделяется на  подвиды в зависимости от того, что контролируется – целостность сообщений или потока данных, обеспечивается ли восстановление в случае нарушения целостности;

          ✓ неотказуемость – данный сервис относится к прикладному уровню, т.е. имеется в виду невозможность отказаться от содержательных действий, таких, например, как отправка или прочтение письма. 

  Администрирование  средств безопасности включает  в себя  распространение информации, необходимой для работы сервисов  безопасности, а также сбор и  анализ информации об их функционировании. Примерами могут послужить распространение криптографических ключей, установка прав доступа, анализ регистрационного журнала и т.п.

    Концептуальной  основой администрирования является  информационная база управления  безопасностью. Эта база может  не существовать как единое  целое (распределенное) хранилище, но каждый компонент системы должен располагать информацией, достаточной для проведения в жизнь избранной политики безопасности.

  В условиях  глобальной связанности администрирование  перестает быть внутренним делом  организации. Во-первых, плохо защищенная система может стать плацдармом для проведения злоумышленных действий.           Во-вторых, прослеживание нарушителя эффективно лишь при согласованных действиях многих администраторов.

  Стандарт  Х.509 описывает процедуру аутентификации  с использованием службы каталогов. Впрочем, наиболее ценной в стандарте оказалась не сама процедура, а её служебный элемент – структура сертификатов, хранящих имя пользователя, криптографические ключи и сопутствующую информацию. Подобные сертификаты – важнейший элемент современных схем аутентификации и контроля целостности.

  Рекомендации IETF. Сообществом Интернет под  эгидой Тематической группы по  технологии Интернет (Internet Engineering Task Force – IETF)  разработан ряд рекомендаций  по отдельным аспектам сетевой безопасности.

  Рекомендации  периодически организуемых конференций  по архитектуре безопасности  Интернет носят весьма общий,  а порой и формальный характер. Основная идея состоит в том,  чтобы средствами оконечных систем  обеспечивать сквозную безопасность. От сетевой инфраструктуры в лучшем случае ожидается устойчивость по отношению к атакам на доступность.

  Базовые  протоколы, наиболее полезны с  точки зрения безопасности, включает  в себя – IPSec, DNSsesec, S/MIME, Х.509v3 и  ассоциированные с ними. Наиболее  проработанными на сегодняшний день являются вопросы защиты на IP-уровне. Спецификация семейства IPSec регламентируют следующие аспекты:

          ✓ управление доступом;

          ✓ контроль целостности на уровне пакетов;

          ✓ аутентификация источника данных;

          ✓ защита от воспроизведения;

          ✓ конфиденциальность (включая частичную защиту от анализа трафика);

          ✓ администрирование (управление криптографическими  ключами). 

  Протоколы  обеспечения аутентичности и  конфиденциальности могут использоваться в двух режимах: транспортном и туннельном. В первом случае защищается только содержимое пакетов и, быть может, некоторые поля заголовков. Как правило, транспортный режим используется холстами. В туннельном режиме защищается весь пакет – он инкапсулируется в другой IP-пакет. Туннельный режим (тунеллирование) обычно реализуют на специально выделенных защитных шлюзах (в роли которых могут выступать маршрутизаторы или межсетевые экраны).

  Пример защиты  локальной вычислительной сети 

Назначение системы защиты. Система защиты «Secret NET» (система защиты) предназначена для обеспечения защиты хранимой и обрабатываемой в локальной вычислительной (ЛВС) сети информации от несанкционированного доступа (ознакомления, искажения, разрушения) и противодействия нормального функционирования ЛВС и прикладных систем на ее основе.

  В качестве  защищенного объекта выступает  ЛВС персональных ЭВМ, работающих  под сетевой операционной системой Novell Net 3.1х (файловые серверы), объединенных  при помощи сетевого оборудования Ethernet, Arc net.

ПС идентификации  и аутентификации. Выполняет функцию  идентификации/аутентификации (проверки подлинности) пользователя при каждом его входе в Систему, а также  после каждой приостановки его работы. Для идентификации в систему пользователю присваивается уникальное имя. Обеспечивается работа с именами длинной до 12 символов (символы латинского алфавита и специальных символов). Вводимое имя отображается на экране рабочей станции.

 Проверка  подлинности пользователя осуществляется после его идентификации для подтверждения того, что пользователь действительно является тем, кем представляется. Проверка осуществляется  путем проверки правильности введения пароля. Поддерживается работа с паролями длинной до 16 символов. Вводимый пароль не отображается на экране рабочей станции.

 При неправильном  введенном пароле на экран  выдается сообщение об ошибке  и подается звуковой сигнал. При  трехкратном неверном вводе пароля  блокируется клавиатура, выдается  сообщение о попытке НДС на  сервер управления доступом и осуществляется оперативное оповещение администратора безопасности, регистрируется попытка НДС в системном журнале и выдается звуковой сигнал.

  Пароли администратора  и всех пользователей системы  хранятся в защищенном виде  и могут быть изменены как администратором безопасности, так и конкретным пользователем (изменение только своего пароля) с помощью специальных программных средств. 

Заключение:

 В вычислительной  технике понятие безопасности  является весьма широким. Оно  подразумевает и надежность работы компьютера, и сохранность ценных данных, и защиту информации от внесения в нее изменений неуполномоченными лицами, и сохранение тайны переписки пи электронной  связи. Разумеется, во всех цивилизованных странах на страже безопасности граждан стоят законы, но в сфере вычислительной техники  правоприменительная практика пока развита недостаточно, а законотворческий процесс не успевает за развитием технологий, поэтому надежность работы компьютерных систем во многом опирается на меры самозащиты.