На главную | Содержание | Назад | Вперёд
Наши друзья

 

 

Методы и средства защиты информации от НСД

Проблему безопасности компьютеров и компьютерных сетей надуманной назвать
никак нельзя. Как показывает практика, чем больше и масштабнее сеть и чем более ценная информация доверяется подключенным к ней компьютерам, тем больше нахо­дится желающих нарушить ее нормальное функционирование ради материальной вы­годы, просто по незнанию или из праздного любопытства. Эти атаки не знают государ­ственных границ. В Internet — самой крупной компьютерной сети в мире -, впрочем
как и в любой другой, идет постоянная виртуальная война, в ходе которой организо­ванности системных администраторов противостоит изобретательность компьютер­ных взломщиков. Атаки на компьютерные системы возникают подобно волнам цуна­ми и сметают все защитные барьеры, очень часто оставляя после себя только впавшие в паралич компьютеры, зависшие серверы или опустошенные винчестеры.
Стандартность архитектурных принципов построения, оборудования и программ­ного обеспечения персональных компьютеров, высокая мобильность программного обеспечения и ряд других признаков определяют сравнительно легкий доступ профес­сионала к информации, находящейся в персональном компьютере.
Особенности защиты персональных компьютеров обусловлены спецификой их ис­пользования. Как правило, компьютером пользуется ограниченное число пользовате­лей. Компьютеры могут работать как в автономном режиме, так и в составе локаль­ных сетей (сопряженными с другими компьютерами), подключаясь к удаленному
компьютеру или локальной сети с помощью модема по линии связи.
Если персональным компьютером пользуется группа пользователей, то может воз­никнуть необходимость в разграничении их доступа к информации, особенно если на нем обрабатывается конфиденциальная, а тем более секретная информация.
Любая информация, которая функционирует в компьютерах и компьютерных се­тях, содержит определенное смысловое содержание и прикреплена к конкретному носителю: файлу, полю базы данных, данные любого программного приложения. Оче­видно, что носителем информации являются также каталог, жесткий диск персональ­ного компьютера или сервера, на котором хранится файл, база данных и т. п. При передаче информации от одного объекта другому носителем информации на какое-то время становится канал ее передачи. Также следует учитывать, что защиты требу­ет не только сама информация, но и среда ее обработки, то есть программное обес­печение.


Несанкционированный доступ к информации — это
незапланированное ознакомление, обработка, копирова­ние, применение различных вирусов, в том числе разру­шающих программные продукты, а также модификация или уничтожение информации в нарушение установлен­ных правил разграничения доступа.
Поэтому, в свою очередь, защита информации от не­санкционированного доступа призвана не допустить зло­умышленника к носителю информации. В защите инфор­мации компьютеров и сетей от НСД можно выделить три основных направления:
О ориентируется на недопущение нарушителя к вычис­лительной среде и основывается на специального технических средствах опоз­навания пользователя;
□ связано с защитой вычислительной среды и основывается на создании специаль­ного программного обеспечения;
связано с использованием специальных средств защиты информации компьюте­ров от несанкционированного доступа. Следует иметь в виду, что для решения каждой из задач применяются как различ­ные технологии, так и различные средства. Требования к средствам защиты, их харак­теристики, функции ими выполняемые и их классификация, а также термины и опре­деления по защите от несанкционированного доступа приведены в руководящих документах Государственной технической комиссии:
□ «Автоматизированные системы. Защита от несанкционированного доступа к ин­формации. Классификация АС и требования по защите информации»;
О «Средства вычислительной техники. Защита от несанкционированного доступа
к информации. Показатели защищенности от несанкционированного доступа к информации»;
«Зашита от несанкционированного доступа к информации. Термины и определения». Технические средства, реализующие функции защиты можно разделить на:
□ встроенные;
□ внешние.
К встроенным средствам защиты персонального компьютера и программного обес­печения (относятся средства парольной защиты BIOS, операционной систе­мы, СУБД. Данные средства могут быть откровенно слабыми — BIOS с паролем су­первизора, парольная защита Win95/98, но могут быть и значительно более стойкими — BIOS без паролей супервизора, парольная защита Windows NT, СУБД ORACLE. Ис­пользование сильных сторон этих средств позволяет значительно усилить систему защиты информации от НСД.
Внешние средства призваны подменить встроенные средства с целью усиления за­щиты, либо дополнить их недостающими функциями.
К ним можно отнести:
аппаратные средства доверенной загрузки;
аппаратно-программные комплексы разделения полномочий пользователей на доступ;
□ средства усиленной аутентификации сетевых соединений.
Аппаратные средства доверенной загрузки представляют собой изделия, иногда наз^1ва-емые«электроннымзамком»,чьифункциизаключаютсявнадежнойидентификациипользо-вателя, а также в проверке целостности программного обеспечения компьютера. Обычно это плата расширения персонального компьютера, с необходимым программным обеспече­нием, записанным либо во Hash-память платы, либо на жесткий диск компьютера.
Принцип их действия простой. В процессе загрузки стартует BIOS и платы защиты от НСД. Он запрашивает идентификатор пользователя и сравнивает его с хранимым во Flash-памяти карты. Идентификатор дополнительно можно защищать паролем. Затем стартует встроенная операционная система платы или компьютера (чаще всего это ва­риант MS-DOS), после чего стартует программа проверки целостности программного обеспечения. Как правило, проверяются системные области загрузочного диска, загру­зочные файлы и файлы, задаваемые самим пользователем для проверки. Проверка осу­ществляется либо на основе имитовставки алгоритма ГОСТ 28147-89, либо на основе функции хэширования алгоритма ГОСТ Р 34.11-34 или иного алгоритма. Результат про­верки сравнивается с хранимым во Flash-памяти карты. Если в результате сравнения при проверке идентификатора или целостности системы выявится различие с эталоном,
то плата заблокирует дальнейшую работу, и выдаст соответствующее сообщение на эк­ран. Если проверки дали положительный результат, то плата передает управление пер­сональному компьютеру для дальнейшей загрузки операционной системы.
Все процессы идентификации и проверки целостности фиксируются в журнале.
Достоинства устройств данного класса — их высокая надежность, простота и невысо­кая цена. При отсутствии многопользовательской работы на компьютере функций за­щиты данного средства обычно достаточно.
Аш1аратно-11рограммнь1е комплексы разделения полномочий на доступ используются в случае работы нескольких пользователей на одном компьютере, если встает задача разделе­ния их полномочий на доступ к данным друг друга. Решение данной задачи основано на: запрете пользователям запусков определенных приложений и процессов; разрешении пользователям и запускаемым ими приложениям лишь определен­ного типа действия с данными.


Реализация запретов и разрешений достигается различными способами. Как пра­вило, в процессе старта операционной системы запускается и программа защиты от несанкционированного доступа. Она присутствует в памяти компьютера, как резиден­тный модуль и контролирует действия пользователей на запуск приложений и обра­щения к данным. Все действия пользователей фиксируются в журнале, который досту­пен только администратору безопасности. Под средствами этого класса обычно и понимают средства защиты от несанкционированного доступа. Они представляют со­бой аппаратно-программные комплексы, состоящие из аппаратной части — платы до­веренной загрузки компьютера, которая проверяет теперь дополнительно и целост­ность программного обеспечения самой системы защиты от НСД на жестком диске, и программной части — программы администратора, резидентного модуля. Эти про­граммы располагаются в специальном каталоге и доступны лишь администратору. Дан­ные системы можно использовать и в однопользовательской системе для ограничения пользователя по установке и запуску программ, которые ему не нужны в работе.
Средства усиленной аутентификации сетевых соединений применяются в том слу­чае, когда работа рабочих станций в составе сети накладывает требования для защиты ресурсов рабочей станции от угрозы несанкционированного проникновения на рабо­чую станцию со стороны сети и изменения либо информации, либо программного обес­печения, а также запуска несанкционированного процесса. Защита от НСД со сторо­ны сети достигается средствами усиленной аутентификации сетевых соединений. Эта
технология получила название технологии виртуальных частных сетей.
Одна из основных задач защиты от несанкционированного доступа — обеспечение на-дежнойидентификациипользователя (пользователя сети, которого можно однозначно идентифицировать потому, что он:
знает; имеет;
из себя представляет. Что знает пользователь? Свое имя и пароль. На этих знаниях основаны схемы па­рольной идентификации. Недостаток этих схем — ему необходимо запоминать слож­ные пароли, чего очень часто не происходит: либо пароль выбирают слабым, либо его
Признаки идентификации пользователя в сети


просто записывают в записную книжку, на листок бумаги и т. п. В случае использова­ния только парольной защиты принимают надлежащие меры для обеспечения управ­лением создания паролей, их хранением, для слежения за истечением срока их ис­пользования и своевременного удаления. С помощью криптографического закрытия паролей можно в значительной степени решить эту проблему и затруднить злоумыш­леннику преодоление механизма аутентификации.
Что может иметь пользователь? Конечно же, специальный ключ - уникальный идентификатор, такой, например, как таблетка touch memory (I-button), e-token, смарт-карта, или криптографический ключ, на котором зашифрована его запись в базе дан­ных пользователей. Такая система наиболее стойкая, однако требует, чтобы у пользо­вателя постоянно был при себе идентификатор, который чаще всего присоединяют к
брелку с ключами и либо часто забывают дома, либо теряют. Будет правильно, если утром администратор выдаст идентификаторы и запишет об этом в журнале и примет их обратно на хранение вечером, опять же сделав запись в журнале.
Что же представляет собой пользователь? Это те признаки, которые присущи толь­ко этому пользователю, только ему, обеспечивающие биометрическую идентификацию.
Идентификатором может быть отпечаток пальца, рисунок радужной оболочки глаз, от­печаток ладони и т. п. В настоящее время — это наиболее перспективное направление развития средств идентификации. Они надежны и в то же время не требуют от пользова­теля дополнительного знания чего-либо или постоянного владения чем-либо. С развити­ем технологи и стоимость этих средств становится доступной каждой организации. Гарантированная проверка личности пользователя является задачей различных
механизмов идентификации и аутентификации.
Каждому пользователю (группе пользователей) сети назначается определенный отличительный признак — идентификатор и он сравнивается с утвержденным переч­нем. Однако только заявленный идентификатор в сети не может обеспечить защиту от несанкционированного подключения без проверки личности пользователя.
Процесс проверки личности пользователя получил название — аутентификации. Он происходит с помощью предъявляемого пользователем особого отличительного при­знака - аутентификатора, присущего именно ему. Эффективность аутентификации оп­ределяется, прежде всего, отличительными особенностями каждого пользователя.
Конкретные механизмы идентификации и аутентификации в сети могут быть реа­лизованы на основе следующих средств и процедур защиты информации: пароли;
технические средства;
G средства биометрии;
криптография с уникальными ключами для каждого пользователя.
Вопрос о применимости того или иного средства решается в зависимости от выяв­ленных угроз, технических характеристик защищаемого объекта. Нельзя однозначно утверждать, что применение аппаратного средства, использующего криптографию, придаст системе большую надежность, чем использование программного.
Анализ защищенности информационного объекта и выявление угроз его безопас­ности — крайне сложная процедура. Не менее сложная процедура — выбор техноло­гий и средств защиты для ликвидации выявленных угроз. Решение данных задач луч­ше поручить специалистам, имеющим богатый опыт.

 

На главную | Содержание | Назад | Вперёд
 
Яндекс.Метрика