Информационные технологии в экономике. 5) Информационная безопасность в сетях ЭВМ.
Информационные технологии в экономике. 5) Информационная безопасность в сетях ЭВМ.
Защита
данных в компьютерных сетях становится одной из самых открытых проблем в
современных информационно-вычислительных системах. На сегодняшний день
сформулировано три базовых принципа информационной безопасности, задачей
которой является обеспечение:
- целостности данных - защита от сбоев, ведущих к
потере информации или ее уничтожения;
- конфиденциальности информации;
- доступности информации для авторизованных
пользователей.
Рассматривая
проблемы, связанные с защитой данных в сети, возникает вопрос о классификации
сбоев и несанкционированности доступа, что ведет к потере или нежелательному
изменению данных. Это могут быть сбои оборудования (кабельной системы, дисковых
систем, серверов, рабочих станций и т.д.), потери информации (из-за
инфицирования компьютерными вирусами, неправильного хранения архивных данных,
нарушений прав доступа к данным), некорректная работа пользователей и
обслуживающего персонала. Перечисленные нарушения работы в сети вызвали необходимость
создания различных видов защиты информации. Условно их можно разделить на три
класса:
- средства физической защиты;
- программные средства (антивирусные программы, системы
разграничения полномочий, программные средства контроля доступа);
- административные меры защиты (доступ в
помещения, разработка стратегий безопасности фирмы и т.д.).
Одним
из средств физической защиты являются системы архивирования и дублирования
информации. В локальных сетях, где установлены один-два сервера, чаще всего
система устанавливается непосредственно в свободные слоты серверов. В крупных
корпоративных сетях предпочтение отдается выделенному специализированному
архивационному серверу, который автоматически архивирует информацию с жестких
дисков серверов и рабочих станций в определенное время, установленное
администратором сети, выдавая отчет о проведенном резервном копировании.
Наиболее распространенными моделями архивированных серверов являются Storage
Express System корпорации Intel ARCserve for Windows.
Для
борьбы с компьютерными вирусами наиболее часто применяются антивирусные
программы, реже - аппаратные средства защиты. Однако, в последнее время
наблюдается тенденция к сочетанию программных и аппаратных методов защиты.
Среди аппаратных устройств используются специальные антивирусные платы,
вставленные в стандартные слоты расширения компьютера. Корпорация Intel
предложила перспективную технологию защиты от вирусов в сетях, суть которой
заключается в сканировании систем компьютеров еще до их загрузки. Кроме
антивирусных программ, проблема защиты информации в компьютерных сетях решается
введением контроля доступа и разграничением полномочий пользователя.
Для этого используются встроенные средства сетевых операционных систем,
крупнейшим производителем которых является корпорация Novell. В системе,
например, NetWare, кроме стандартных средств ограничения доступа (смена
паролей, разграничение полномочий), предусмотрена возможность кодирования
данных по принципу "открытого ключа" с формированием электронной подписи
для передаваемых по сети пакетов.
Однако,
такая система защиты слабомощна, т.к. уровень доступа и возможность входа в
систему определяются паролем, который легко подсмотреть или подобрать. Для
исключения неавторизованного проникновения в компьютерную сеть используется
комбинированный подход - пароль + идентификация пользователя по
персональному "ключу". "Ключ" представляет собой
пластиковую карту (магнитная или со встроенной микросхемой - смарт-карта) или
различные устройства для идентификации личности по биометрической информации -
по радужной оболочке глаза, отпечаткам пальцев, размерам кисти руки и т.д.
Серверы и сетевые рабочие станции, оснащенные устройствами чтения смарт-карт и
специальным программным обеспечением, значительно повышают степень защиты от несанкционированного
доступа.
Смарт-карты
управления доступом позволяют реализовать такие функции, как контроль входа,
доступ к устройствам ПК, к программам, файлам и командам. Одним из удачных
примеров создания комплексного решения для контроля доступа в открытых
системах, основанного как на программных, так и на аппаратных средствах защиты,
стала система Kerberos, в основу которой входят три компонента:
-
база данных, которая содержит информацию по всем сетевым ресурсам,
пользователям, паролям, информационным ключам и т.д.;
-
авторизационный сервер (authentication server), задачей которого является
обработка запросов пользователей на предоставление того или иного вида сетевых
услуг. Получая запрос, он обращается к базе данных и определяет полномочия
пользователя на совершение определенной операции. Пароли пользователей по сети
не передаются, тем самым, повышая степень защиты информации;
- Ticket-granting
server (сервер выдачи разрешений) получает от авторизационного сервера
"пропуск" с именем пользователя и его сетевым адресом, временем
запроса, а также уникальный "ключ". Пакет, содержащий
"пропуск", передается также в зашифрованном виде. Сервер выдачи
разрешений после получения и расшифровки "пропуска" проверяет запрос,
сравнивает "ключи" и при тождественности дает "добро" на
использование сетевой аппаратуры или программ.
По
мере расширения деятельности предприятий, роста численности абонентов и
появления новых филиалов, возникает необходимость организации доступа удаленных
пользователей (групп пользователей) к вычислительным или информационным
ресурсам к центрам компаний. Для организации удаленного доступа чаще всего
используются кабельные линии и радиоканалы. В связи с этим защита информации,
передаваемой по каналам удаленного доступа, требует особого подхода. В мостах и
маршрутизаторах удаленного доступа применяется сегментация пакетов - их
разделение и передача параллельно по двум линиям, - что делает невозможным
"перехват" данных при незаконном подключении "хакера" к одной
из линий. Используемая при передаче данных процедура сжатия передаваемых
пакетов гарантирует невозможность расшифровки "перехваченных" данных.
Мосты и маршрутизаторы удаленного доступа могут быть запрограммированы таким
образом, что удаленным пользователям не все ресурсы центра компании могут быть
доступны.
В
настоящее время разработаны специальные устройства контроля доступа к
вычислительным сетям по коммутируемым линиям. Примером может служить,
разработанный фирмой AT&T модуль Remote Port Securiti Device (PRSD), состоящий
из двух блоков размером с обычный модем: RPSD Lock (замок), устанавливаемый в
центральном офисе, и RPSD Key (ключ), подключаемый к модему удаленного
пользователя. RPSD Key и Lock позволяют устанавливать несколько уровней защиты
и контроля доступа:
-
шифрование данных, передаваемых по линии при помощи генерируемых цифровых
ключей;
-
контроль доступа с учетом дня недели или времени суток.
Прямое
отношение к теме безопасности имеет стратегия создания резервных копий и
восстановления баз данных. Обычно эти операции выполняются в нерабочее время в
пакетном режиме. В большинстве СУБД резервное копирование и восстановление
данных разрешаются только пользователям с широкими полномочиями (права доступа
на уровне системного администратора, либо владельца БД), указывать столь
ответственные пароли непосредственно в файлах пакетной обработки нежелательно.
Чтобы не хранить пароль в явном виде, рекомендуется написать простенькую
прикладную программу, которая сама бы вызывала утилиты
копирования/восстановления. В таком случае системный пароль должен быть
"зашит" в код указанного приложения. Недостатком данного метода
является то, что всякий раз при смене пароля эту программу следует перекомпилировать.
Применительно
к средствам защиты от НСД определены семь классов защищенности (1-7) средств
вычислительной техники (СВТ) и девять классов (1А,1Б,1В,1Г,1Д,2А,2Б,3А,3Б)
автоматизированных систем (АС). Для СВТ самым низким является седьмой класс, а
для АС - 3Б.
Рассмотрим
более подробно приведенные сертифицированные системы защиты от НСД.
Система
"КОБРА" соответствует требованиям 4-ого класса защищенности (для
СВТ), реализует идентификацию и разграничение полномочий пользователей и
криптографическое закрытие информации, фиксирует искажения эталонного состояния
рабочей среды ПК (вызванные вирусами, ошибками пользователей, техническими
сбоями и т.д.) и автоматически восстанавливает основные компоненты операционной
среды терминала.
Подсистема
разграничения полномочий защищает информацию на уровне логических
дисков. Пользователь получает доступ к определенным дискам А,В,С,...,Z. Все
абоненты разделены на 4 категории:
- суперпользователь (доступны все действия в системе);
- администратор
(доступны все действия в системе, за исключением изменения имени, статуса и
полномочий суперпользователя, ввода или исключения его из списка
пользователей);
- программисты (может изменять личный пароль);
- коллега (имеет право на доступ к ресурсам,
установленным ему суперпользователем).
Помимо
санкционирования и разграничения доступа к логическим дискам, администратор
устанавливает каждому пользователю полномочия доступа к последовательному и
параллельному портам. Если последовательный порт закрыт, то невозможна передача
информации с одного компьютера на другой. При отсутствии доступа к
параллельному порту, невозможен вывод на принтер.
|