≡× МЕНЮ

• Гаджеты
• Android
• Windows
• Ios
• Блог

Методы и средства защиты информации в сетях. Методы защиты информации Системы защиты информации в компьютерных сетях

Определение 1

Компьютерная сеть - совокупность компьютеров, которые соединены между собой при помощи специальных коммуникационных каналов для обмена информации между участниками сети.

Компьютерные сети используются для обеспечения коммуникации между компьютерами, находящимися на расстоянии. Это может быть как небольшая сеть, состоящая из нескольких компьютеров в одном помещении, так и глобальная компьютерная сеть Интернет, которая обеспечивает взаимосвязь устройств по всему миру.

Разновидности компьютерных сетей

Рисунок 1. Виды компьютерных сетей. Автор24 - интернет-биржа студенческих работ

Первые компьютерные сети (локальные) могли обеспечивать взаимосвязь с целью передачи данных на небольшие расстояния между компьютерами, непосредственно соединенными при помощи специальных кабелей.

Хорошим примером локальной сети является компьютерный класс в школе. В нем, как правило, находится небольшое количество компьютеров, соединенных между собой и некоторые периферийные устройства (принтеры, сканеры и т.д.), которые доступны для всех компьютеров в сети.

Подключение к устройствам в локальной сети дает возможность расширить возможности всех устройств системы.

Например, с помощью локальной сети можно:

• передать управление периферийными устройствами всем компьютерам в сети;
• передавать файлы между устройствами в сети;
• проводить обмен данными, информацией, удаленно управлять устройствами в сети.

Определение 2

Локальная компьютерная сеть может быть нескольких видов, в зависимости от прав доступа и разрешений у всех устройств сети. Если все компьютеры в сети имеют одни и те же права и разрешения, то такая сеть называется одноранговой. Если же среди устройств есть компьютеры, которые наделены особенными правами и могут больше, чем остальные, то компьютер называется сервером, а сеть уже представляет собой клиент-серверную архитектуру.

Такая архитектура открывает некоторые возможности и является более безопасной, так как позволяет ограничивать права некоторых пользователей, следить за действиями и контролировать состояние системы из одного компьютера.

Глобальная компьютерная сеть представляет собой множество устройств, объединенных в одну огромную сеть. Примером глобальной компьютерной сети есть Интернет. Он позволяет наладить коммуникацию миллионов компьютеров и периферийных устройств по всему миру между собой. Это открывает большое количество возможностей и удобств для пользователей по всему миру.

Например, люди могут в любой момент, находясь в любой точке мира, общаться с другими людьми, используя компьютер, ноутбук или мобильный телефон. Интернет позволяет осуществить обмен любыми файлами, получить доступ к любым книгам и учебным материалам по всему миру, что увеличивает человеческие возможности для обучения и развития.

Потребность защиты информации

Но в то же время расширение возможностей и появление глобальных компьютерных сетей несет за собой некоторые нюансы и отрицательные моменты. Это ведет за собой некоторые уязвимости тех же личных данных или конфиденциальной информации.

Объединение компьютеров в глобальные сети, где пользователи сети не могут быть уверены в добросовестности намерений других пользователей системы, ведет за собой потребность защиты компьютеров в сетях, защиты информации.

Определение 3

Защита информации - комплекс мер, направленных на обеспечение конфиденциальности и сохранности информации в компьютерных сетях или отдельных устройствах.

Информационная безопасность является одним из наиболее важных параметров в компьютерных сетях. От надежности защиты в корпоративных сетях на предприятиях зависит возможность нормально функционировать. Утрата важной информации в условиях корпоративной сети может означать большие потери, убытки, а то и крах компании.

Для предотвращения утечки информации используются специальные меры по обеспечению безопасности и сохранности информации. Они направлены в основном на защиту от несанкционированного доступа. Несанкционированный доступ может быть как прямым - непосредственный физический доступ к компьютеру, так и косвенным - когда физического доступа к устройству нет, а атака производится удаленно.

На сегодняшний день существует огромное количество способов и путей обхода защиты, взлома и получения несанкционированного доступа к информации. Для этого используют прослушивающие устройства, считывание введенных данных пользователей, хищение носителей информации, использование компьютерных вирусов, программные ловушки, вывод из строя систем защиты и перехват информации между устройствами компьютерной сети.

При этом основную угрозу в условиях нынешней высокой степени защиты компьютерных сетей составляет именно человек. Именно с помощью социальной инженерии злоумышленники получают наиболее критическую информацию от сотрудников компании, которая позволяет проводить мошеннические действия внутри компьютерных сетей. В таких условиях злоумышленнику не потребуется даже ничего взламывать, он получит все необходимые для входа в систему данные от сотрудников компании.

Меры защиты информации в компьютерных сетях

Защита информации может включать в себя меры по шифрованию, обеспечению сохранности, резервному копированию и архивации данных.

Одним из первых этапов для защиты компьютера есть установка пароля. Это позволяет защитить данные и конфиденциальную информацию от прямого доступа сторонних людей или злоумышленников.

Для обеспечения дополнительной безопасности используются специальные программы для шифрования. Расшифровка происходит при помощи специального ключа шифрования и может быть осуществлена на любом устройстве при условии наличия нужного ключа шифрования.

Резервное копирование и архивация данных позволяет сжимать и делать бэкапы данных для их последующего восстановления в случае утери или повреждения. Это обеспечивает надежное хранение и не подвергает важную информацию рискам.

Для защиты в условиях локальной сети компьютер использует специальные протоколы передачи данных и взаимодействия с другими участниками компьютерной сети. Существует определенный набор правил и принципов взаимодействия устройств в сети. Такая стандартизация позволяет прийти к лучшему взаимодействию и большей надежности работы и взаимосвязи устройств в сети.

Для защиты информации следует избегать предоставления злоумышленнику физического доступа к устройствам сети. Кроме того, следует избегать подключения к общедоступным сетям, так как это позволит получить доступ к другим устройствам в сети.

Замечание 1

Прямой доступ к устройствам в сети позволяет получить информацию о системе при помощи специального сканирования. Информация о системе может содержать конфигурацию, состояние портов и наличие определенного оборудования, что позволит использовать уязвимости системы и при помощи эксплойтов (специальных программ или скриптов, использующих данные уязвимости) получить доступ к системе или данным в ней.

Именно поэтому даже косвенный доступ к компьютерной сети может дать существенное преимущество для злоумышленников. Сканирование портов на предмет их состояния может позволить определить конфигурацию системы и найти ее слабые места.

При этом большую роль в защите компьютерных систем играет человек. Даже в крупных корпорациях с серьезными системами защиты случаются осечки. Чаще всего из-за невнимательности сотрудников, которые сами того не зная, распространили важную информацию, позволяющую получить злоумышленнику доступ к системе. Для этого используется фишинг, вредоносные рассылки, спам и социальная инженерия (вхождение в доверие к сотрудникам или манипуляция их действиями при помощи разговора).

Обеспечение безопасности в компьютерных сетях – это основное условие защиты конфиденциальных данных от разного рода угроз, таких как шпионаж, уничтожение файлов и прочие несанкционированные действия. Каждый из перечисленных факторов может негативно повлиять на корректное функционирование локальной и глобальной сети, что, в свою очередь, нередко приводит к разглашению или утрате конфиденциальной информации. Одной из распространенных сетевых […]

Обеспечение безопасности в компьютерных сетях – это основное условие защиты конфиденциальных данных от разного рода угроз, таких как шпионаж, уничтожение файлов и прочие несанкционированные действия.

Каждый из перечисленных факторов может негативно повлиять на корректное функционирование локальной и глобальной сети, что, в свою очередь, нередко приводит к разглашению или утрате конфиденциальной информации.

Одной из распространенных сетевых угроз является несанкционированный доступ извне, причем не только умышленный, но и случайный. Также в данном случае велик риск доступа к информации, составляющей врачебную, коммерческую, банковскую или государственную тайну.

Следующая неприятность, с которой нередко встречаются пользователи во всем мире – это различные сбои в работе программного обеспечения, в том числе и спровоцированные вирусами, заражающими систему в момент выхода в интернет.

Некорректная работа офисной техники может быть следствием отсутствия электропитания, а также наличием некоторых проблем в работе сервера, вспомогательных устройств и систем. Нельзя исключать и человеческий фактор, так как неграмотные манипуляции сотрудников предприятия могут причинить немало вреда оргтехнике и содержащейся в ней информации.

К сожалению, не существует единого решения, способного справиться со всеми перечисленными угрозами, однако сегодня доступны некоторые технические и административные приемы, многократно снижающие вероятность подобных проблем.

Виды защиты информации

Прогрессивные методы защиты информации при использовании компьютерных сетей в большинстве своем направлены на предотвращение всевозможных факторов, неизбежно ведущих к утрате или воровству конфиденциальной информации. в сфере компьютерных технологий выделяют три основные категории такой защиты:

• установка специального ПО;
• физические средства;
• административные мероприятия.

К эффективным средствам защиты можно отнести администрирование, применение антивирусных программ, СКУД и ИБП, а также грамотное распределение полномочий между сотрудниками. С целью предотвращения несанкционированного доступа к секретным файлам применяют криптографические методы защиты, подразумевающие шифрование содержимого файлов при помощи электронных ключей.

Средства безопасности компьютерной сети

Согласно многолетним исследованиям, более половины нарушений в работе сети сопряжено с неисправностями сетевого кабеля и соединительных элементов, причиной которых может быть обрыв проводов, их механическое повреждение или замыкание. Также не стоит забывать об электромагнитном излучении, провоцируемом бытовыми приборами, которое доставляет пользователем немало проблем.

Как правило, для установки причины и места поврежденного кабеля используют специальные сканеры, функционирование которых основано на подаче электрических импульсов с последующим контролем отраженного сигнала. Современные системы сканирования позволяют задавать номинальные параметры распространения сигнала и выводят результаты диагностики на периферийные устройства.

Следующей надежной мерой, препятствующей потере важной информации из-за перебоев в подаче электроэнергии, является установка ИБП, который подбирается с учетом технических требований и стандартов. Грамотно подобранное устройство способно обеспечить на определенное время питание локальной сети или отдельного оборудования.

К средствам физической защиты относят систему архивирования и размножения информации. Для крупномасштабных корпоративных сетей рекомендовано организовывать отдельный архивационный сервер.

Разумеется, наиболее надежными считаются комплексные способы защиты компьютерных сетей, сочетающие в себе набор мер безопасности, и чем их больше, тем лучше. В данном случае специалисты наряду с обеспечением стандартных решений разрабатывают специальные планы действий на случай возникновения нештатных ситуаций.

Помимо прочего, руководителям предприятий рекомендовано четко разделять полномочия сотрудников с обязательным контролем доступа подчиненных к техническим средствам. Нужно помнить о том, что в современном мире кибератаки принимают угрожающие масштабы, и только серьезный подход к организации надлежащих мер безопасности позволит защитить конфиденциальную информацию от преступного посягательства, влекущего за собой имиджевые и финансовые потери предприятия.

Защита информации – это комплекс мероприятий, проводимых с целью предотвращения утечки, хищения, утраты, несанкционированного уничтожения, искажения, модификации (подделки), несанкционированного копирования, блокирования информации и т.п. Поскольку утрата информации может происходить по сугубо техническим, объективным и неумышленным причинам, под это определение попадают также и мероприятия, связанные с повышением надежности сервера из-за отказов или сбоев в работе винчестеров , недостатков в используемом программном обеспечении и т.д.

Следует заметить, что наряду с термином "защита информации" (применительно к компьютерным сетям) широко используется, как правило, в близком значении, термин "компьютерная безопасность ".

Переход от работы на персональных компьютерах к работе в сети усложняет защиту информации по следующим причинам:

1. большое число пользователей в сети и их переменный состав. Защита на уровне имени и пароля пользователя недостаточна для предотвращения входа в сеть посторонних лиц;
2. значительная протяженность сети и наличие многих потенциальных каналов проникновения в сеть;
3. уже отмеченные недостатки в аппаратном и программном обеспечении, которые зачастую обнаруживаются не на предпродажном этапе, называемом бета- тестированием, а в процессе эксплуатации. В том числе неидеальны встроенные средства защиты информации даже в таких известных и "мощных" сетевых ОС , как Windows NT или NetWare.

Остроту проблемы, связанной с большой протяженностью сети для одного из ее сегментов на коаксиальном кабеле, иллюстрирует рис. 9.1 . В сети имеется много физических мест и каналов несанкционированного доступа к информации в сети. Каждое устройство в сети является потенциальным источником электромагнитного излучения из-за того, что соответствующие поля, особенно на высоких частотах, экранированы неидеально. Система заземления вместе с кабельной системой и сетью электропитания может служить каналом доступа к информации в сети, в том числе на участках, находящихся вне зоны контролируемого доступа и потому особенно уязвимых. Кроме электромагнитного излучения, потенциальную угрозу представляет бесконтактное электромагнитное воздействие на кабельную систему. Безусловно, в случае использования проводных соединений типа коаксиальных кабелей или витых пар, называемых часто медными кабелями, возможно и непосредственное физическое подключение к кабельной системе. Если пароли для входа в сеть стали известны или подобраны, становится возможным несанкционированный вход в сеть с файл -сервера или с одной из рабочих станций. Наконец возможна утечка информации по каналам, находящимся вне сети:

• хранилище носителей информации,
• элементы строительных конструкций и окна помещений, которые образуют каналы утечки конфиденциальной информации за счет так называемого микрофонного эффекта,
• телефонные, радио-, а также иные проводные и беспроводные каналы (в том числе каналы мобильной связи).

Рис. 9.1.

Любые дополнительные соединения с другими сегментами или подключение к Интернет порождают новые проблемы. Атаки на локальную сеть через подключение к Интернету для того, чтобы получить доступ к конфиденциальной информации, в последнее время получили широкое распространение, что связано с недостатками встроенной системы защиты информации в протоколах TCP/IP . Сетевые атаки через Интернет могут быть классифицированы следующим образом:

• Сниффер пакетов ( sniffer – в данном случае в смысле фильтрация) – прикладная программа, которая использует сетевую карту, работающую в режиме promiscuous (не делающий различия) mode (в этом режиме все пакеты, полученные по физическим каналам, сетевой адаптер отправляет приложению для обработки).
• IP-спуфинг ( spoof – обман, мистификация) – происходит, когда хакер, находящийся внутри корпорации или вне ее, выдает себя за санкционированного пользователя.
• Отказ в обслуживании (Denial of Service – DoS). Атака DoS делает сеть недоступной для обычного использования за счет превышения допустимых пределов функционирования сети, операционной системы или приложения.
• Парольные атаки – попытка подбора пароля легального пользователя для входа в сеть.
• Атаки типа Man-in-the-Middle – непосредственный доступ к пакетам, передаваемым по сети.
• Атаки на уровне приложений.
• Сетевая разведка – сбор информации о сети с помощью общедоступных данных и приложений.
• Злоупотребление доверием внутри сети.
• Несанкционированный доступ (НСД), который не может считаться отдельным типом атаки, так как большинство сетевых атак проводятся ради получения несанкционированного доступа.
• Вирусы и приложения типа " троянский конь ".

Классификация средств защиты информации

Защита информации в сети на рис. 9.1 . может быть улучшена за счет использования специальных генераторов шума, маскирующих побочные электромагнитные излучения и наводки, помехоподавляющих сетевых фильтров, устройств зашумления сети питания, скремблеров ( шифраторов телефонных переговоров), подавителей работы сотовых телефонов и т.д. Кардинальным решением является переход к соединениям на основе оптоволокна, свободным от влияния электромагнитных полей и позволяющим обнаружить факт несанкционированного подключения.

В целом средства обеспечения защиты информации в части предотвращения преднамеренных действий в зависимости от способа реализации можно разделить на группы:

1. Технические (аппаратные) средства. Это различные по типу устройства (механические, электромеханические, электронные и др.), которые аппаратными средствами решают задачи защиты информации . Они либо препятствуют физическому проникновению, либо, если проникновение все же состоялось, доступу к информации, в том числе с помощью ее маскировки. Первую часть задачи решают замки, решетки на окнах, защитная сигнализация и др. Вторую – упоминавшиеся выше генераторы шума, сетевые фильтры, сканирующие радиоприемники и множество других устройств, "перекрывающих" потенциальные каналы утечки информации или позволяющих их обнаружить. Преимущества технических средств связаны с их надежностью, независимостью от субъективных факторов, высокой устойчивостью к модификации. Слабые стороны – недостаточная гибкость, относительно большие объем и масса, высокая стоимость.
2. Программные средства включают программы для идентификации пользователей, контроля доступа, шифрования информации, удаления остаточной (рабочей) информации типа временных файлов, тестового контроля системы защиты и др. Преимущества программных средств – универсальность, гибкость, надежность, простота установки, способность к модификации и развитию. Недостатки – ограниченная функциональность сети, использование части ресурсов файл-сервера и рабочих станций, высокая чувствительность к случайным или преднамеренным изменениям, возможная зависимость от типов компьютеров (их аппаратных средств).
3. Смешанные аппаратно-программные средства реализуют те же функции, что аппаратные и программные средства в отдельности, и имеют промежуточные свойства.
4. Организационные средства складываются из организационно-технических (подготовка помещений с компьютерами, прокладка кабельной системы с учетом требований ограничения доступа к ней и др.) и организационно-правовых (национальные законодательства и правила работы, устанавливаемые руководством конкретного предприятия). Преимущества организационных средств состоят в том, что они позволяют решать множество разнородных проблем, просты в реализации, быстро реагируют на нежелательные действия в сети, имеют неограниченные возможности модификации и развития. Недостатки – высокая зависимость от субъективных факторов, в том числе от общей организации работы в конкретном подразделении.

Опасность злоумышленных несанкционированных действий над информацией приняла особенно угрожающий характер с развитием компьютерных сетей. Большинство систем обработки информации создавалось, как обособленные объекты: рабочие станции, ЛВС, большие универсальные компьютеры и т.д. Каждая система использует свою рабочую платформу (Windows, Linux), а также разные сетевые протоколы (TCP/IP). Сложная организация сетей создает благоприятные предпосылки для совершения различного рода правонарушений, связанных с несанкционированным доступом к конфиденциальной информации. Большинство операционных систем, как автономных, так и сетевых, не содержат надежных механизмов защиты информации.

Следствием опасности сетевых систем стали постоянно увеличивающиеся расходы и усилия на защиту информации, доступ к которой можно осуществить через сетевые каналы связи. Сохранить целостность данных можно только при условии принятия специальных мер контроля доступа к данным и шифрования передаваемой информации. Разные системы нуждаются в разных степенях защиты. Актуальной стала задача объединения систем с различными степенями защищенности (например, на платформах Unix и Windows).

Необходимо иметь четкое представление о возможных каналах утечки информации и путях несанкционированного доступа к защищаемой информации. Только в этом случае возможно построение эффективных механизмов защиты информации в компьютерных сетях .

Угрозы безопасности сети

Пути утечки информации и несанкционированного доступа в компьютерных сетях в основной своей массе совпадают с таковыми в автономных системах. Дополнительные возможности возникают за счет существования каналов связи и возможности удаленного доступа к информации. К ним относятся:

• электромагнитная подсветка линий связи;
• незаконное подключение к линиям связи;
• дистанционное преодоление систем защиты;
• ошибки в коммутации каналов;
• нарушение работы линий связи и сетевого оборудования.

Вопросы безопасности сетей решаются в рамках архитектуры

безопасности, в структуре которой различают:

• угрозы безопасности;
• службы (услуги) безопасности;
• механизмы обеспечения безопасности.

Под угрозой безопасности понимаются действие или событие, которые могут привести к разрушению, искажению или несанкционированному использованию ресурсов сети, включая хранимую, передаваемую и обрабатываемую информацию, а также программные и аппаратные средства.

Угрозы принято делить на:

• непреднамеренные, или случайные;
• умышленные.

Случайные угрозы возникают как результат ошибок в программном обеспечении, выхода из строя аппаратных средств, неправильных действий пользователей или администратора сети и т.п.

Умышленные угрозы преследуют цель нанесения ущерба пользователям и абонентам сети и, в свою очередь, подразделяются на активные и пассивные.

Пассивные угрозы направлены на несанкционированное использование информационных ресурсов сети, но при этом не оказывают влияния на ее функционирование. Примером пассивной угрозы является получение информации, циркулирующей в каналах сети, посредством прослушивания.

Активные угрозы имеют целью нарушение нормального процесса функционирования сети посредством целенаправленного воздействия на ее аппаратные, программные и информационные ресурсы. К активным угрозам относятся, например, разрушение или радиоэлектронное подавление линий связи, вывод из строя компьютера или операционной системы, искажение сведений в пользовательских базах данных или системной информации и т.п.

К основным угрозам безопасности информации в сети относятся:

• раскрытие конфиденциальной информации;
• компроментация информации;
• несанкционированный обмен информацией;
• отказ от информации;
• отказ в обслуживании;
• несанкционированное использование ресурсов сети;
• ошибочное использование ресурсов сети.

Угрозы раскрытия конфиденциальной информации реализуются путем несанкционированного доступа к базам данных.

Компрометация информации реализуется посредством внесения несанкционированных изменений в базы данных.

Несанкционированное использование ресурсов сети является средством раскрытия или компрометации информации, а также наносит ущерб пользователям и администрации сети.

Ошибочное использование ресурсов является следствием ошибок, имеющихся в программном обеспечении ЛВС.

Несанкционированный обмен информацией между абонентами сети дает возможность получать сведения, доступ к которым запрещен, т.е., по сути, приводит к раскрытию информации.

Отказ от информации состоит в непризнании получателем или отправителем этой информации фактов ее получения или отправки.

Отказ в обслуживании представляет собой весьма распространенную угрозу, источником которой является сама сеть. Подобный отказ особенно опасен в случаях, когда задержка с предоставлением ресурсов сети может привести к тяжелым для абонента последствиям.

Службы безопасности сети

Различия в составе и особенностях служб безопасности. Протоколы информационного обмена в сетях делятся на две большие группы: виртуального соединения и дейтаграммные, в соответствии с которыми сети также принято делить на виртуальные и дейтаграммные.

В виртуальных сетях, передача информации между абонентами организуется по так называемому виртуальному каналу и происходит в три этапа: создание канала (соединение), собственно передача, уничтожение канала (разъединение). Сообщения разбиваются на блоки, которые передаются в порядке их следования в сообщении.

В дейтаграммных сетях пакеты (дейтаграммы ) сообщения передаются от отправителя к получателю независимо друг от друга по различным маршрутам, в связи с чем порядок доставки пакетов может не соответствовать порядку их следования в сообщении. Виртуальная сеть в концептуальном плане реализует принцип организации телефонной связи, тогда как дейтаграммная - почтовой.

Международная организация стандартизации (МОС) определяет следующие службы безопасности:

• 1) аутентификацию (подтверждение подлинности);
• 2) обеспечение целостности;
• 3) засекречивание данных;
• 4) контроль доступа;
• 5) защиту от отказов.

Две последние службы едины для дейтаграммных и виртуальных сетей. Первые три характеризуются определенными отличиями, обусловленными особенностями используемых в сетях протоколов.

Служба аутентификации применительно к виртуальным сетям называется службой аутентификации объекта (одноуровневого) и обеспечивает подтверждение того факта, что отправитель информации является именно тем, за кого он себя выдает. Применительно к дейтаграммным сетям служба аутентификации называется службой аутентификации источника данных.

Под целостностью понимается точное соответствие отправленных и полученных данных между собой. Службы целостности для рассматриваемых сетей выглядят следующим образом:

• виртуальные сети:
• служба целостности соединения с восстановлением;
• служба целостности соединения без восстановления;
• служба целостности выборочных полей соединения;
• дейтаграммные сети:
• служба целостности без соединения;
• служба целостности выборочных полей без соединения.

Под полями понимаются отдельные определенные элементы блоков или пакетов передаваемых данных. Под восстановлением понимаются процедуры восстановления данных, уничтоженных или потерянных в результате обнаружения искажений, вставок или повторов в блоках или дейтаграммах. В службах целостности дейтаграммных сетей наличие процедур восстановления не предусматривается.

Службы засекречивания данных - это:

• служба засекречивания соединения - обеспечивает секретность всех данных, пересылаемых объектами по виртуальному каналу;
• служба засекречивания без соединения - обеспечивает секретность данных, содержащихся в каждой отдельной дейтаграмме;
• служба засекречивания отдельных полей соединения;
• служба засекречивания трафика - нейтрализует возможность получения сведений об абонентах сети и характере использования сети.

Механизмы безопасности

Среди механизмов безопасности сетей, предусмотренных МОС, обычно выделяют следующие основные :

• шифрование;
• контроль доступа;
• цифровую подпись.

Шифрование применяется для реализации служб засекречивания и используется в ряде других служб.

Механизмы контроля доступа обеспечивают реализацию одноименной службы безопасности, осуществляют проверку полномочий объектов сети, т.е. программ и пользователей, на доступ к ресурсам сети. При доступе к ресурсу через соединение контроль выполняется в точке инициализации связи, в промежуточных точках, а также в конечной точке.

Механизмы контроля доступа делятся на две основные группы:

• аутентификации объектов , требующих ресурса, с последующей проверкой допустимости доступа, для которой используется специальная информационная база контроля доступа;
• использования меток безопасности , связываемых с объектами; наличие у объекта мандата дает право на доступ к ресурсу.

Самым распространенным и одновременно самым ненадежным методом аутентификации является парольный доступ. Более совершенными являются пластиковые карточки и электронные жетоны. Наиболее надежными считаются методы аутентификации по особым приметам личности, так называемые биометрические методы.

Цифровая подпись используется для реализации служб аутентификации и защиты от отказов. По своей сути она призвана служить электронным аналогом реквизита «подпись», используемого на бумажных документах. Механизм цифровой подписи базируется на использовании способа шифрования с открытым ключом. Знание соответствующего открытого ключа дает возможность получателю электронного сообщения однозначно опознать его отправителя.

Дополнительные механизмы безопасности следующие:

• обеспечение целостности данных;
• аутентификация;
• подстановка трафика;
• управление маршрутизацией;
• арбитраж.

Механизмы обеспечения целостности данных направлены на реализацию одноименной службы как применительно к отдельному блоку данных, так и к потоку данных. Целостность блока обеспечивается выполнением взаимосвязанных процедур шифрования и дешифрования отправителем и получателем. Возможны и более простые методы контроля целостности потока данных, например нумерация блоков, дополнение их меткой времени и т.д.

Механизмы обеспечения аутентификации используются для реализации одноименной службы, при этом различают одностороннюю и взаимную аутентификацию. В первом случае один из взаимодействующих объектов одного уровня проверяет подлинность другого, тогда как во втором проверка является взаимной. На практике механизмы аутентификации, как правило, совмещаются с контролем доступа, шифрованием, цифровой подписью и арбитражем.

Механизмы подстановки трафика используются для реализации службы засекречивания потока данных. Они основываются на генерации объектами сети фиктивных блоков, их шифровании и организации их передачи по каналам сети.

Механизмы управления маршрутизацией используются для реализации служб засекречивания. Эти механизмы обеспечивают выбор маршрутов движения информации по сети.

Механизмы арбитража обеспечивают подтверждение характеристик данных, передаваемых между объектами сети, третьей стороной. Для этого вся информация, отправляемая или получаемая объектами, проходит и через арбитра, что позволяет ему впоследствии подтвердить упомянутые характеристики.

В общем случае для реализации одной службы безопасности может использоваться комбинация нескольких механизмов безопасности.

Защита сетевых операционных систем

Операционная система и аппаратных средства сети обеспечивают защиту ресурсов сети, одним из которых является сама ОС, т.е.

входящие в нее программы и системная информация. Поэтому в сетевой ОС ЛВС должны быть так или иначе реализованы механизмы безопасности.

Принято различать:

• пассивные объекты защиты (файлы, прикладные программы, терминалы, области оперативной памяти и т.п.);
• активные субъекты (процессы), которые могут выполнять над объектами определенные операции.

Защита объектов реализуется операционной системой посредством контроля за выполнением субъектами совокупности правил, регламентирующих указанные операции. Эту совокупность иногда называют статусом защиты. Операции, которые могут выполняться над защищенными объектами, принято называть правами доступа, а права доступа субъекта по отношению к конкретному объекту - возможностями. В качестве формальной модели статуса защиты в ОС чаще всего используется так называемая матрица контроля доступа.

Достаточно простым в реализации средством разграничения доступа к защищаемым объектам является механизм колец безопасности.

Защита файлов в ОС организована следующим образом. С каждым файлом связывается множество прав доступа: чтение, обновление и (или) выполнение (для исполняемых файлов). Владелец файла, т.е. создавшее его лицо, пользуется но отношению к файлу всеми правами. Часть этих прав он может передать членам группы - лицам, которым он доверяет сведения, имеющиеся в файле.

Доступ к ресурсам ОС чаще всего ограничен средствами защиты по паролям. Пароль может быть использован и в качестве ключа для шифрования-дешифрования информации в пользовательских файлах. Сами пароли также хранятся в зашифрованном виде, что затрудняет их выявление и использование злоумышленниками. Пароль может быть изменен пользователем, администратором системы либо самой системой по истечении установленного интервала времени.

Защита распределенных баз данных

Обеспечение безопасности распределенных баз данных (РБД) косвенно реализуется сетевой ОС. Однако все названные механизмы и средства инвариантны конкретным способам представления информации в БД. Подобная инвариантность приводит к тому, что в случае непринятия специальных мер, все пользователи СУБД имеют равные права по использованию и обновлению всей информации, имеющейся в базе данных. В тоже время информация, как и при ее неавтоматизированном накоплении и использовании, должна быть разбита на категории по грифу секретности, группам пользователей, которым она доступна, а также по операциям над нею, которые разрешены указанным группам. Реализация этого процесса требует разработки и включения в состав СУБД специальных механизмов защиты.

Принятие решения о доступе к той или иной информации, имеющейся в РБД, может зависеть от следующих факторов:

• 1) времени и точки доступа;
• 2) наличия в БД определенных сведений;
• 3) текучесть состояния СУБД;
• 4) полномочий пользователя;
• 5) предыстории обращения к данным.
• 1. Доступ к БД с каждого терминала ЛВС может быть ограничен некоторым фиксированным отрезком времени.
• 2. Пользователь может получить из БД интересующие его сведения только при условии, что база данных содержит некоторую взаимосвязанную с ними информацию определенного содержания.
• 3. Обновление информации в некоторой БД может быть разрешено пользователю только в те моменты времени, когда она не обновляется другими пользователями.
• 4. Для каждого пользователя прикладной программы устанавливаются индивидуальные права на доступ к различным элементам базы данных. Эти нрава регламентируют операции, которые пользователь может выполнять над указанными элементами. Например, пользователю может быть разрешен отбор элементов БД, содержащих информацию о товарах, предлагаемых на бирже, но запрещено обновление этих сведений.
• 5. В основе лежит то обстоятельство, что интересующую его информацию пользователь может получить не непосредственным отбором тех или иных элементов БД, а косвенным путем, т.е. посредством анализа и сопоставления ответов СУБД на последовательно вводимые запросы (команды на обновление данных). В связи с этим для обеспечения безопасности информации в БД в общем случае необходимо учитывать предысторию обращения к данным.

• Локальные вычислительные сети: Справочник. В 3-х кн. Кн. 1. Принципы построения, архитектура, коммуникационные средства / Под ред. С.В. Назарова.М.: Финансы и статистика, 1994.

Защита данных в компьютерных сетях становится одной из самых острых проблем в современной информатике. На сегодняшний день сформулировано три базовых принципа информационной безопасности, которая должна обеспечивать:

Целостность данных - защиту от сбоев, ведущих к потере информации, а также неавторизованного создания или уничтожения данных;

Конфиденциальность информации и, одновременно,

Следует также отметить, что отдельные сферы деятельности (банковские и финансовые институты, информационные сети, системы государственного управления, оборонные и специальные структуры) требуют специальных мер безопасности данных и предъявляют повышенные требования к надежности функционирования информационных систем.

При рассмотрении проблем защиты данных в сети прежде всего возникает вопрос о классификации сбоев и нарушений прав доступа, которые могут привести к уничтожению или нежелательной модификации данных. Среди таких потенциальных "угроз" можно выделить:

1. Сбои оборудования:

Сбои кабельной системы;

Перебои электропитания;

Сбои дисковых систем;

Сбои систем архивации данных;

Сбои работы серверов, рабочих станций, сетевых карт и т. д.;

2. Потери информации из-за некорректной работы ПО:

Потеря или изменение данных при ошибках ПО;

Потери при заражении системы компьютерными вирусами;

3. Потери, связанные с несанкционированным доступом:

Несанкционированное копирование, уничтожение или подделка информации;

Ознакомление с конфиденциальной информацией, составляющей тайну, посторонних лиц;

4. Потери информации, связанные с неправильным хранением архивных данных.

5. Ошибки обслуживающего персонала и пользователей.

Случайное уничтожение или изменение данных;

Некорректное использование программного и аппаратного обеспечения, ведущее к уничтожению или изменению данных.

В зависимости от возможных видов нарушений работы сети многочисленные виды защиты информации объединяются в три основных класса:

Средства физической защиты, включающие средства защиты кабельной системы, систем электропитания, средства архивации, дисковые массивы и т. д.

Программные средства защиты, в том числе: антивирусные программы, системы разграничения полномочий, программные средства контроля доступа.

Административные меры защиты, включающие контроль доступа в помещения, разработку стратегии безопасности фирмы, планов действий в чрезвычайных ситуациях и т.д.

Следует отметить, что подобное деление достаточно условно, поскольку современные технологии развиваются в направлении сочетания программных и аппаратных средств защиты.

Системы архивирования и дублирования информации

Организация надежной и эффективной системы архивации данных является одной из важнейших задач по обеспечению сохранности информации в сети. В небольших сетях, где установлены один-два сервера, чаще всего применяется установка системы архивации непосредственно в свободные слоты серверов. В крупных корпоративных сетях наиболее предпочтительно организовать выделенный специализированный архивационный сервер.

Такой сервер автоматически производит архивирование информации с жестких дисков серверов и рабочих станций в указанное администратором локальной вычислительной сети время, выдавая отчет о проведенном резервном копировании. При этом обеспечивается управление всем процессом архивации с консоли администратора, например, можно указать конкретные тома, каталоги или отдельные файлы, которые необходимо архивировать.

Возможна также организация автоматического архивирования по наступлении того или иного события ("event driven backup"), например, при получении информации о том, что на жестком диске сервера или рабочей станции осталось мало свободного места, или при выходе из строя одного из "зеркальных" дисков на файловом сервере.

Для обеспечения восстановления данных при сбоях магнитных дисков в последнее время чаще всего применяются системы дисковых массивов - группы дисков, работающих как единое устройство, соответствующих стандарту RAID (Redundant Arrays of Inexpensive Disks).

Защита от компьютерных вирусов

На сегодняшний день дополнительно к тысячам уже известных вирусов появляется 100-150 новых штаммов ежемесячно. Наиболее распространенными методами защиты от вирусов по сей день остаются различные антивирусные программы.

Однако в качестве перспективного подхода к защите от компьютерных вирусов в последние годы все чаще применяется сочетание программных и аппаратных методов защиты. Среди аппаратных устройств такого плана можно отметить специальные антивирусные платы, которые вставляются в стандартные слоты расширения компьютера.

Защита от несанкционированного доступа

Проблема защиты информации от несанкционированного доступа особо обострилась с широким распространением локальных и, особенно, глобальных компьютерных сетей. Необходимо также отметить, что зачастую ущерб наносится не из-за "злого умысла", а из-за элементарных ошибок пользователей, которые случайно портят или удаляют жизненно важные данные. В связи с этим, помимо контроля доступа, необходимым элементом защиты информации в компьютерных сетях является разграничение полномочий пользователей.

В компьютерных сетях при организации контроля доступа и разграничения полномочий пользователей чаще всего используются встроенные средства сетевых операционных систем

Существует достаточно много возможных направлений утечки информации и путей несанкционированного доступа в системах и сетях. В их числе:

чтение остаточной информации в памяти системы после выполнения санкционированных запросов;

· копирование носителей информации и файлов информации с преодолением мер защиты;

· маскировка под зарегистрированного пользователя;

· маскировка под запрос системы;

· использование программных ловушек;

· использование недостатков операционной системы;

· незаконное подключение к аппаратуре и линиям связи;

· злоумышленный вывод из строя механизмов защиты;

· внедрение и использование компьютерных вирусов.

Обеспечение безопасности информации достигается комплексом организационных, организационно-технических, технических и программных мер.

К организационным мерам защиты информации относятся:

· ограничение доступа в помещения, в которых происходит подготовка и обработка информации;

· допуск к обработке и передаче конфиденциальной информации только проверенных должностных лиц;

· хранение магнитных носителей и регистрационных журналов в закрытых для доступа посторонних лиц сейфах;

· исключение просмотра посторонними лицами содержания обрабатываемых материалов через дисплей, принтер и т.д.;

· использование криптографических кодов при передаче по каналам связи ценной информации;

· уничтожение красящих лент, бумаги и иных материалов, содержащих фрагменты ценной информации.

Организационно-технические меры защиты информации включают:

· осуществление питания оборудования, обрабатывающего ценную информацию от независимого источника питания или через специальные сетевые фильтры;

· установку на дверях помещений кодовых замков;

· использование для отображения информации при вводе-выводе жидкокристаллических или плазменных дисплеев, а для получения твёрдых копий - струйных принтеров и термопринтеров, поскольку дисплей даёт такое высокочастотное электромагнитное излучение, что изображение с его экрана можно принимать на расстоянии нескольких сотен километров;

· уничтожение информации, при списании или отправке ЭВМ в ремонт;

· установка клавиатуры и принтеров на мягкие прокладки с целью снижения возможности снятия информации акустическим способом;

· ограничение электромагнитного излучения путём экранирования помещений, где происходит обработка информации, листами из металла или из специальной пластмассы.

Технические средства защиты информации - это системы охраны территорий и помещений с помощью экранирования машинных залов и организации контрольно-пропускных систем. Защита информации в сетях и вычислительных средствах с помощью технических средств реализуется на основе организации доступа к памяти с помощью:

· контроля доступа к различным уровням памяти компьютеров;

· блокировки данных и ввода ключей;

· выделение контрольных битов для записей с целью идентификации и др.

Архитектура программных средств защиты информации включает:

· контроль безопасности, в том числе контроль регистрации вхождения в систему, фиксацию в системном журнале, контроль действий пользователя;

· реакцию (в том числе звуковую) на нарушение системы защиты контроля доступа к ресурсам сети;

· контроль мандатов доступа;

· формальный контроль защищённости операционных систем (базовой общесистемной и сетевой);

· контроль алгоритмов защиты;

· проверку и подтверждение правильности функционирования технического и программного обеспечения.

Для надёжной защиты информации и выявления случаев неправомочных действий проводится регистрация работы системы: создаются специальные дневники и протоколы, в которых фиксируются все действия, имеющие отношение к защите информации в системе. Используются также специальные программы для тестирования системы защиты. Периодически или в случайно выбранные моменты времени они проверяют работоспособность аппаратных и программных средств защиты.

К отдельной группе мер по обеспечению сохранности информации и выявлению несанкционированных запросов относятся программы обнаружения нарушений в режиме реального времени. Программы данной группы формируют специальный сигнал при регистрации действий, которые могут привести к неправомерным действиям по отношению к защищаемой информации. Сигнал может содержать информацию о характере нарушения, месте его возникновения и другие характеристики. Кроме того, программы могут запретить доступ к защищаемой информации или симулировать такой режим работы (например, моментальная загрузка устройств ввода-вывода), который позволит выявить нарушителя и задержать его соответствующей службой.

Один из распространённых способов защиты - явное указание секретности выводимой информации. Это требование реализуется с помощью соответствующих программных средств.

Оснастив сервер или сетевые рабочие станции, например, устройством чтения смарт-карточек и специальным программным обеспечением, можно значительно повысить степень защиты от несанкционированного доступа. В этом случае для доступа к компьютеру пользователь должен вставить смарт-карту в устройство чтения и ввести свой персональный код.

Смарт-карты управления доступом позволяют реализовать, в частности, такие функции, как контроль входа, доступ к устройствам персонального компьютера, доступ к программам, файлам и командам.

В мостах и маршрутизаторах удаленного доступа применяется сегментация пакетов - их разделение и передача параллельно по двум линиям, - что делает невозможным "перехват" данных при незаконном подключении "хакера" к одной из линий. К тому же используемая при передаче данных процедура сжатия передаваемых пакетов гарантирует невозможность расшифровки "перехваченных" данных. Кроме того, мосты и маршрутизаторы удаленного доступа могут быть запрограммированы таким образом, что удаленные пользователи будут ограничены в доступе к отдельным ресурсам сети главного офиса.

Механизмы обеспечения безопасности

1. Криптография.

Для обеспечения секретности применяется шифрование, или криптография, позволяющая трансформировать данные в зашифрованную форму, из которой извлечь исходную информацию можно только при наличии ключа.

В основе шифрования лежат два основных понятия: алгоритм и ключ. Алгоритм - это способ закодировать исходный текст, в результате чего получается зашифрованное послание. Зашифрованное послание может быть интерпретировано только с помощью ключа.

Все элементы систем защиты подразделяются на две категории - долговременные и легко сменяемые. К долговременным элементам относятся те элементы, которые относятся к разработке систем защиты и для изменения требуют вмешательства специалистов или разработчиков. К легко сменяемым элементам относятся элементы системы, которые предназначены для произвольного модифицирования или модифицирования по заранее заданному правилу, исходя из случайно выбираемых начальных параметров. К легко сменяемым элементам относятся, например, ключ, пароль, идентификация и т.п.

Секретность информации обеспечивается введением в алгоритмы специальных ключей (кодов). Использование ключа при шифровании предоставляет два существенных преимущества. Во-первых, можно использовать один алгоритм с разными ключами для отправки посланий разным адресатам. Во-вторых, если секретность ключа будет нарушена, его можно легко заменить, не меняя при этом алгоритм шифрования. Таким образом, безопасность систем шифрования зависит от секретности используемого ключа, а не от секретности алгоритма шифрования.

Важно отметить, что возрастающая производительность техники приводит к уменьшению времени, требующегося для вскрытия ключей, и системам обеспечения безопасности приходится использовать всё более длинные ключи, что, в свою очередь, ведёт к увеличению затрат на шифрование.

Поскольку столь важное место в системах шифрования уделяется секретности ключа, то основной проблемой подобных систем является генерация и передача ключа.

Существуют две основные схемы шифрования: симметричное шифрование (его также иногда называют традиционным или шифрованием с секретным ключом) и шифрование с открытым ключом (иногда этот тип шифрования называют асимметричным).

При симметричном шифровании отправитель и получатель владеют одним и тем же ключом (секретным), с помощью которого они могут зашифровывать и расшифровывать данные.

Электронная подпись

При помощи электронной подписи получатель может убедиться в том, что полученное им сообщение послано не сторонним лицом, а имеющим определённые права отправителем. Электронные подписи создаются шифрованием контрольной суммы и дополнительной информации при помощи личного ключа отправителя. Таким образом, кто угодно может расшифровать подпись, используя открытый ключ, но корректно создать подпись может только владелец личного ключа. Для защиты от перехвата и повторного использования подпись включает в себя уникальное число - порядковый номер.

Аутентификация

Аутентификация является одним из самых важных компонентов организации защиты информации в сети. Прежде чем пользователю будет предоставлено право получить тот или иной ресурс, необходимо убедиться, что он действительно тот, за кого себя выдаёт.

При получении запроса на использование ресурса от имени какого-либо пользователя сервер, предоставляющий данный ресурс, передаёт управление серверу аутентификации. После получения положительного ответа сервера аутентификации пользователю предоставляется запрашиваемый ресурс.

При аутентификации используется, как правило, принцип, получивший название “что он знает”, - пользователь знает некоторое секретное слово, которое он посылает серверу аутентификации в ответ на его запрос. Одной из схем аутентификации является использование стандартных паролей. Пароль - вводится им в начале сеанса взаимодействия с сетью, а иногда и в конце сеанса (в особо ответственных случаях пароль нормального выхода из сети может отличаться от входного). Эта схема является наиболее уязвимой с точки зрения безопасности - пароль может быть перехвачен и использован другим лицом.

Чаще всего используются схемы с применением одноразовых паролей. Даже будучи перехваченным, этот пароль будет бесполезен при следующей регистрации, а получить следующий пароль из предыдущего является крайне трудной задачей. Для генерации одноразовых паролей используются как программные, так и аппаратные генераторы, представляющие собой устройства, вставляемые в слот компьютера. Знание секретного слова необходимо пользователю для приведения этого устройства в действие.

Защита сетей

В последнее время корпоративные сети всё чаще включаются в Интернет или даже используют его в качестве своей основы. Для защиты корпоративных информационных сетей используются брандмауэры. Брандмауэры - это система или комбинация систем, позволяющие разделить сеть на две или более частей и реализовать набор правил, определяющих условия прохождения пакетов из одной части в другую. Как правило, эта граница проводится между локальной сетью предприятия и INTERNETOM, хотя её можно провести и внутри. Однако защищать отдельные компьютеры невыгодно, поэтому обычно защищают всю сеть. Брандмауэр пропускает через себя весь трафик и для каждого проходящего пакета принимает решение - пропускать его или отбросить. Для того чтобы брандмауэр мог принимать эти решения, для него определяется набор правил.

Брандмауэр может быть реализован как аппаратными средствами (то есть как отдельное физическое устройство), так и в виде специальной программы, запущенной на компьютере.

Как правило, в операционную систему, под управлением которой работает брандмауэр, вносятся изменения, цель которых - повышение защиты самого брандмауэра. Эти изменения затрагивают как ядро ОС, так и соответствующие файлы конфигурации. На самом брандмауэре не разрешается иметь разделов пользователей, а следовательно, и потенциальных дыр - только раздел администратора.

Некоторые брандмауэры работают только в однопользовательском режиме, а многие имеют систему проверки целостности программных кодов.

Брандмауэр обычно состоит из нескольких различных компонентов, включая фильтры или экраны, которые блокируют передачу части трафика.

Все брандмауэры можно разделить на два типа:

· пакетные фильтры, которые осуществляют фильтрацию IP-пакетов средствами фильтрующих маршрутизаторов;

· серверы прикладного уровня, которые блокируют доступ к определённым сервисам в сети.

Таким образом, брандмауэр можно определить как набор компонентов или систему, которая располагается между двумя сетями и обладает следующими свойствами:

· весь трафик из внутренней сети во внешнюю и из внешней сети во внутреннюю должен пройти через эту систему;

· только трафик, определённый локальной стратегией защиты, может пройти через эту систему;