Защита информации в компьютерных сетях

      При принятии решения о предоставлении доступа обычно анализируется следующая информация.

•Идентификатор  субъекта (идентификатор пользователя, сетевой адрес компьютера и т.п.). Подобные идентификаторы являются основой  добровольного управления доступом.

•Атрибуты субъекта (метка безопасности, группа пользователя и т.п.). Метки безопасности - основа принудительного управления доступом.

•Место  действия (системная консоль, надежный узел сети и т.п.).

•Время  действия (большинство действий целесообразно  разрешать только в рабочее время).

•Внутренние ограничения сервиса (число пользователей согласно лицензии на программный продукт и т.п.).

      Удобной надстройкой над средствами логического  управления доступом является ограничивающий интерфейс, когда пользователя лишают самой возможности попытаться совершить  несанкционированные действия, включив в число видимых ему объектов только те, к которым он имеет доступ.

      ПРОТОКОЛИРОВАНИЕ  И АУДИТ

      Под протоколированием понимается сбор и накопление информации о событиях, происходящих в информационной системе  предприятия. У каждого сервиса  свой набор возможных событий, но в любом случае их можно подразделить на внешние - вызванные действиями других сервисов, внутренние - вызванные действиями самого сервиса, и клиентские - вызванные действиями пользователей и администраторов.

      Аудит - это анализ накопленной информации, проводимый оперативно, почти в реальном времени, или периодически.

      Реализация  протоколирования и аудита преследует следующие главные цели :

•обеспечение  подотчетности пользователей и  администраторов;

•обеспечение  возможности реконструкции последовательности событий; •обнаружение попыток нарушений информационной безопасности; •предоставление информации для выявления и анализа проблем.

      Обеспечение подотчетности важно в первую очередь как средство сдерживания. Если пользователи и администраторы знают, что все их действия фиксируются, они, возможно, воздержатся от незаконных операций. Если есть основания подозревать какого-либо пользователя в нечестности, можно регистрировать его действия особенно детально, вплоть до каждого нажатия клавиши. При этом обеспечивается не только возможность расследования случаев нарушения режима безопасности, но и откат некорректных изменений. Тем самым обеспечивается целостность информации.

      Реконструкция последовательности событий позволяет  выявить слабости в защите сервисов, найти виновника вторжения, оценить масштабы причиненного ущерба и вернуться к нормальной работе.

      КРИПТОГРАФИЯ

      Одним из наиболее мощных средств обеспечения  конфиденциальности и контроля целостности  информации является криптография. Во многих отношениях она занимает центральное место среди программно-технических регуляторов безопасности, являясь основой реализации многих из них и, в то же время, последним защитным рубежом.

      Различают два основных метода шифрования, называемые симметричными и асимметричными. В первом из них один и тот же ключ используется и для шифровки, и для расшифровки сообщений. Существуют весьма эффективные методы симметричного шифрования. Имеется и стандарт на подобные методы - ГОСТ 28147-89 "Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования".

      Основным  недостатком симметричного шифрования является то, что секретный ключ должен быть известен и отправителю, и получателю. С одной стороны, это ставит новую проблему рассылки ключей. С другой стороны, получатель, имеющий шифрованное и расшифрованное сообщение, не может доказать, что он получил его от конкретного отправителя, поскольку такое же сообщение он мог сгенерировать и сам.

      В асимметричных методах применяются  два ключа. Один из них, несекретный, используется для шифровки и может публиковаться вместе с адресом пользователя, другой - секретный, применяется для расшифровки и известен только получателю. Самым популярным из асимметричных является метод RSA (Райвест, Шамир, Адлеман), основанный на операциях с большими (100-значными) простыми числами и их произведениями.

      Услуги, характерные для асимметричного шифрования, можно реализовать и  с помощью симметричных методов, если имеется надежная третья сторона, знающая секретные ключи своих клиентов. Эта идея положена, например, в основу сервера аутентификации Kerberos.

      Криптографические методы позволяют надежно контролировать целостность информации

      В последнее время получила распространение  разновидность симметричного шифрования, основанная на использовании составных ключей. Идея состоит в том, что секретный ключ делится на две части, хранящиеся отдельно. Каждая часть сама по себе не позволяет выполнить расшифровку. Если у правоохранительных органов появляются подозрения относительно лица, использующего некоторый ключ, они могут получить половинки ключа и дальше действовать обычным для симметричной расшифровки образом.

      ЭКРАНИРОВАНИЕ

      Экран (фаерволл, брэндмауер) - это средство разграничения доступа клиентов из одного множества к серверам из другого множества. Экран выполняет свои функции, контролируя все информационные потоки между двумя множествами систем.

      В простейшем случае экран состоит  из двух механизмов, один из которых  ограничивает перемещение данных, а  второй, наоборот, ему способствует. В более общем случае экран или полупроницаемую оболочку удобно представлять себе как последовательность фильтров. Каждый из них может задержать данные, а может и сразу "перебросить" их "на другую сторону". Кроме того, допускаются передача порции данных на следующий фильтр для продолжения анализа или обработка данных от имени адресата и возврат результата отправителю.

      Помимо  функций разграничения доступа  экраны осуществляют также протоколирование информационных обменов.

      Экранирование позволяет поддерживать доступность сервисов внутренней области, уменьшая или вообще ликвидируя нагрузку, индуцированную внешней активностью. Уменьшается уязвимость внутренних сервисов безопасности, поскольку первоначально сторонний злоумышленник должен преодолеть экран, где защитные механизмы сконфигурированы особенно тщательно и жестко. Кроме того, экранирующая система, в отличие от универсальной, может быть устроена более простым и, следовательно, более безопасным образом.

      Экранирование дает возможность контролировать также информационные потоки, направленные во внешнюю область, что способствует поддержанию режима конфиденциальности.

      Экранирование - один из наиболее действенных способов защиты информации, но в бочке мёда обязательно найдётся ложка дёгтя, хотя я бы даже сказал 50 ложек дёгтя. Дело в том, что большинство межсетевых экранов требуют для своей полноценной и корректной работы административных прав. А ведь очень много экранов имеют уязвимости. Воспользовавшись одной из таких уязвимостей хакер без труда получит права, под которыми работает экран и соответственно станет супер-пользователем в данной системе.

      В более-менее развитых сетях под  экран выделяют отдельный компьютер, который в свою очередь может  выполнять роль не только межсетевого  фильтра, но и маршруторизатора.

      Часто экран представлен в виде программного пакета, но также экраны бывают представлены и в аппаратном виде. Такие фаерволлы  справляются со своими функциям куда лучше своих программных собратьев. Они могут обрабатывать намного  больше информации (следственно на них тяжело вызвать ошибку отказа в обслуживании), а также имеют меньше уязвимостей и больше возможностей. Соответственно, они стоят гораздо дороже брандмауэров, реализуемых на программном уровне. 

Заключение.

В заключении хотелось бы подчеркнуть, что никакие аппаратные, программные и любые другие решения не смогут гарантировать абсолютную надежность и безопасность данных в компьютерных сетях.

   В то же время свести риск потерь к  минимуму возможно лишь при комплексном  подходе к вопросам безопасности.

      Помни, что настоящий хакер знает: «Брешь в защите есть всегда, надо только найти её!».