5. Информационная безопасность в сетях ЭВМ

Защита данных в компьютерных сетях становится одной из самых открытых
проблем в современных информационно-вычислительных системах. На
сегодняшний день сформулировано три базовых принципа информационной
безопасности, задачей которой является обеспечение:

- целостности данных - защита от сбоев, ведущих к потере информации или
ее уничтожения;

- конфиденциальности информации;

- доступности информации для авторизованных пользователей.

Рассматривая проблемы, связанные с защитой данных в сети, возникает
вопрос о классификации сбоев и несанкционированности доступа, что ведет
к потере или нежелательному изменению данных. Это могут быть сбои
оборудования (кабельной системы, дисковых систем, серверов, рабочих
станций и т.д.), потери информации (из-за инфицирования компьютерными
вирусами, неправильного хранения архивных данных, нарушений прав доступа
к данным), некорректная работа пользователей и обслуживающего персонала.
Перечисленные нарушения работы в сети вызвали необходимость создания
различных видов защиты информации. Условно их можно разделить на три
класса:

- средства физической защиты;

- программные средства (антивирусные программы, системы разграничения
полномочий, программные средства контроля доступа);

- административные меры защиты (доступ в помещения, разработка стратегий
безопасности фирмы и т.д.).

Одним из средств физической защиты являются системы архивирования и
дублирования информации. В локальных сетях, где установлены один-два
сервера, чаще всего система устанавливается непосредственно в свободные
слоты серверов. В крупных корпоративных сетях предпочтение отдается
выделенному специализированному архивационному серверу, который
автоматически архивирует информацию с жестких дисков серверов и рабочих
станций в определенное время, установленное администратором сети,
выдавая отчет о проведенном резервном копировании. Наиболее
распространенными моделями архивированных серверов являются Storage
Express System корпорации Intel ARCserve for Windows.

Для борьбы с компьютерными вирусами наиболее часто применяются
антивирусные программы, реже - аппаратные средства защиты. Однако, в
последнее время наблюдается тенденция к сочетанию программных и
аппаратных методов защиты. Среди аппаратных устройств используются
специальные антивирусные платы, вставленные в стандартные слоты
расширения компьютера. Корпорация Intel предложила перспективную
технологию защиты от вирусов в сетях, суть которой заключается в
сканировании систем компьютеров еще до их загрузки. Кроме антивирусных
программ, проблема защиты информации в компьютерных сетях решается
введением контроля доступа и разграничением полномочий пользователя. Для
этого используются встроенные средства сетевых операционных систем,
крупнейшим производителем которых является корпорация Novell. В системе,
например, NetWare, кроме стандартных средств ограничения доступа (смена
паролей, разграничение полномочий), предусмотрена возможность
кодирования данных по принципу "открытого ключа" с формированием
электронной подписи для передаваемых по сети пакетов.

Однако, такая система защиты слабомощна, т.к. уровень доступа и
возможность входа в систему определяются паролем, который легко
подсмотреть или подобрать. Для исключения неавторизованного
проникновения в компьютерную сеть используется комбинированный подход -
пароль + идентификация пользователя по персональному "ключу". "Ключ"
представляет собой пластиковую карту (магнитная или со встроенной
микросхемой - смарт-карта) или различные устройства для идентификации
личности по биометрической информации - по радужной оболочке глаза,
отпечаткам пальцев, размерам кисти руки и т.д. Серверы и сетевые рабочие
станции, оснащенные устройствами чтения смарт-карт и специальным
программным обеспечением, значительно повышают степень защиты от
несанкционированного доступа.

Смарт-карты управления доступом позволяют реализовать такие функции, как
контроль входа, доступ к устройствам ПК, к программам, файлам и
командам. Одним из удачных примеров создания комплексного решения для
контроля доступа в открытых системах, основанного как на программных,
так и на аппаратных средствах защиты, стала система Kerberos, в основу
которой входят три компонента:

- база данных, которая содержит информацию по всем сетевым ресурсам,
пользователям, паролям, информационным ключам и т.д.;

- авторизационный сервер (authentication server), задачей которого
является обработка запросов пользователей на предоставление того или
иного вида сетевых услуг. Получая запрос, он обращается к базе данных и
определяет полномочия пользователя на совершение определенной операции.
Пароли пользователей по сети не передаются, тем самым, повышая степень
защиты информации;

- Ticket-granting server (сервер выдачи разрешений) получает от
авторизационного сервера "пропуск" с именем пользователя и его сетевым
адресом, временем запроса, а также уникальный "ключ". Пакет, содержащий
"пропуск", передается также в зашифрованном виде. Сервер выдачи
разрешений после получения и расшифровки "пропуска" проверяет запрос,
сравнивает "ключи" и при тождественности дает "добро" на использование
сетевой аппаратуры или программ.

По мере расширения деятельности предприятий, роста численности абонентов
и появления новых филиалов, возникает необходимость организации доступа
удаленных пользователей (групп пользователей) к вычислительным или
информационным ресурсам к центрам компаний. Для организации удаленного
доступа чаще всего используются кабельные линии и радиоканалы. В связи с
этим защита информации, передаваемой по каналам удаленного доступа,
требует особого подхода. В мостах и маршрутизаторах удаленного доступа
применяется сегментация пакетов - их разделение и передача параллельно
по двум линиям, - что делает невозможным "перехват" данных при
незаконном подключении "хакера" к одной из линий. Используемая при
передаче данных процедура сжатия передаваемых пакетов гарантирует
невозможность расшифровки "перехваченных" данных. Мосты и маршрутизаторы
удаленного доступа могут быть запрограммированы таким образом, что
удаленным пользователям не все ресурсы центра компании могут быть
доступны.

В настоящее время разработаны специальные устройства контроля доступа к
вычислительным сетям по коммутируемым линиям. Примером может служить,
разработанный фирмой AT&T модуль Remote Port Securiti Device (PRSD),
состоящий из двух блоков размером с обычный модем: RPSD Lock (замок),
устанавливаемый в центральном офисе, и RPSD Key (ключ), подключаемый к
модему удаленного пользователя. RPSD Key и Lock позволяют устанавливать
несколько уровней защиты и контроля доступа:

- шифрование данных, передаваемых по линии при помощи генерируемых
цифровых ключей;

- контроль доступа с учетом дня недели или времени суток.

Прямое отношение к теме безопасности имеет стратегия создания резервных
копий и восстановления баз данных. Обычно эти операции выполняются в
нерабочее время в пакетном режиме. В большинстве СУБД резервное
копирование и восстановление данных разрешаются только пользователям с
широкими полномочиями (права доступа на уровне системного
администратора, либо владельца БД), указывать столь ответственные пароли
непосредственно в файлах пакетной обработки нежелательно. Чтобы не
хранить пароль в явном виде, рекомендуется написать простенькую
прикладную программу, которая сама бы вызывала утилиты
копирования/восстановления. В таком случае системный пароль должен быть
"зашит" в код указанного приложения. Недостатком данного метода является
то, что всякий раз при смене пароля эту программу следует
перекомпилировать.

Применительно к средствам защиты от НСД определены семь классов
защищенности (1-7) средств вычислительной техники (СВТ) и девять классов
(1А,1Б,1В,1Г,1Д,2А,2Б,3А,3Б) автоматизированных систем (АС). Для СВТ
самым низким является седьмой класс, а для АС - 3Б.

Рассмотрим более подробно приведенные сертифицированные системы защиты
от НСД.

Система "КОБРА" соответствует требованиям 4-ого класса защищенности (для
СВТ), реализует идентификацию и разграничение полномочий пользователей и
криптографическое закрытие информации, фиксирует искажения эталонного
состояния рабочей среды ПК (вызванные вирусами, ошибками пользователей,
техническими сбоями и т.д.) и автоматически восстанавливает основные
компоненты операционной среды терминала.

Подсистема разграничения полномочий защищает информацию на уровне
логических дисков. Пользователь получает доступ к определенным дискам
А,В,С,...,Z. Все абоненты разделены на 4 категории:

- суперпользователь (доступны все действия в системе);

- администратор (доступны все действия в системе, за исключением
изменения имени, статуса и полномочий суперпользователя, ввода или
исключения его из списка пользователей);

- программисты (может изменять личный пароль);

- коллега (имеет право на доступ к ресурсам, установленным ему
суперпользователем).

Помимо санкционирования и разграничения доступа к логическим дискам,
администратор устанавливает каждому пользователю полномочия доступа к
последовательному и параллельному портам. Если последовательный порт
закрыт, то невозможна передача информации с одного компьютера на другой.
При отсутствии доступа к параллельному порту, невозможен вывод на
принтер.