8.5Архітектурна безпека

Сервіси безпеки, якими б потужними вони не були, самі по собі не можуть гарантувати надійність програмно-технічного рівня захисту. Тільки перевірена архітектура здатна зробити ефективним об'єднання сервісів, забезпечити керованість ІС, її здатність розвиватися і протистояти новим загрозам при збереженні таких властивостей, як висока продуктивність, простота і зручність використання.

Теоретичною основою рішення проблеми архітектурної безпеки три принципи, що отримані з інтерпретації "Оранжевої книги" для мережевих конфігурацій:

• необхідність вироблення і проведення в життя єдиної політики безпеки;

• необхідність забезпечення конфіденційності і цілісності при мережевих взаємодіях;

• необхідність формування складених сервісів за змістовним принципом, щоб кожен одержаний таким чином компонент володів повним набором захисних засобів і із зовнішньої точки зору був єдиним цілим (не повинно бути інформаційних потоків, що йдуть до незахищених сервісів).

З практичної точки зору найбільш важливими є наступні принципи архітектурної безпеки:

• безперервність захисту у просторі та часі, неможливість минути захисні засоби. Якщо у зловмисника або незадоволеного користувача з'явиться можливість минути захисні засоби, він, зрозуміло, так і зробить.

• слідування визнаним стандартам, використання апробованих рішень підвищує надійність ІС і зменшує вірогідність попадання в ситуацію, коли забезпечення безпеки зажадає непомірно великих витрат і принципових модифікацій.

• ієрархічна організація ІС з невеликим числом об’єктів на кожному рівні необхідна з технологічних міркувань. При порушенні даного принципу система стане некерованою і, отже, забезпечити її безпеку буде неможливо.

• посилення найслабкішої ланки. Надійність будь-якої оборони визначається найслабкішою ланкою. Зловмисник не боротиметься проти сили, він віддасть перевазі легку перемогу над слабкістю. (Часто найслабкішою ланкою виявляється не комп'ютер або програма, а людина, і тоді проблема забезпечення ІБ набуває нетехнічного характеру).

• неможливість переходу в небезпечний стан означає, що за будь-яких обставин, зокрема нештатних, захисний засіб або повністю виконує свої функції, або повністю блокує доступ. Образно кажучи, якщо у фортеці механізм підйомного моста ламається, міст залишають піднятим, перешкоджаючи проходу ворога.

• мінімізація привілеїв - виділяння користувачам і адміністраторам тільки ті права доступу, які необхідні їм для виконання службових обов'язків. Цей принцип дозволяє зменшити збиток від випадкових або умисних некоректних дій користувачів і адміністраторів.

• розділення обов'язків припускає такий розподіл ролей і відповідальності, щоб одна людина не могла порушити критично важливий для організації процес або створити пролом в захисті за замовленням зловмисників. Зокрема, дотримання даного принципу особливо важливо, щоб запобігти зловмисним або некваліфікованим діям системного адміністратора;

• ешелонування оборони означає, що не треба покладатися на один захисний рубіж, яким би надійним він не здавався. За засобами фізичного захисту повинні слідувати програмно-технічні засоби, за ідентифікацією і автентифікацією - управління доступом і, як останній рубіж, - протоколювання і аудит. Ешелонована оборона здатна, принаймні, затримати зловмисника, а завдяки наявності такого рубежу, як протоколювання і аудит, його дії не залишаться непоміченими.

• різноманітність захисних засобів припускає створення різних за своїм характером оборонних рубежів, щоб від потенційного зловмисника було потрібне оволодіння різноманітними і, по можливості, несумісними між собою навиками;

• простота і керованість ІС в цілому і захисних засобів особливо. Тільки для простого захисного засобу можна формально або неформально довести його коректність. Тільки у простій і керованій системі можна перевірити узгодженість конфігурації різних компонентів і здійснювати централізоване адміністрування.

Для забезпечення високої доступності (безперервності функціонування) необхідно дотримувати наступні принципи архітектурної безпеки:

• внесення до конфігурації тієї або іншої форми надмірності (резервне устаткування, запасні канали зв'язку тощо);

• наявність засобів виявлення нештатних ситуацій;

• наявність засобів реконфігурації для відновлення, ізоляції та/або заміни компонентів, що відмовили або піддалися атаці на доступність;

• розосередженість мережевого управління, відсутність єдиної точки відмови;

• виділення підмереж та ізоляція груп користувачів один від одного. Дана міра, що є узагальненням розділення процесів на рівні операційної системи, обмежує зону ураження при можливих порушеннях ІБ.

Ще один важливий архітектурний принцип - мінімізація об'єму захисних засобів, що виносяться на клієнтські системи. До необхідного мінімуму слід віднести реалізацію сервісів безпеки на мережевому і транспортному рівнях і підтримку механізмів автентифікації, стійких до мережевих загроз.