14.Специальные методы аутентификации и идентификации и управление доступом. Методы отражения атак.

К специальным методам И/А непосредственно предназначенных для защиты ОС относятся антивирусные программы и межсетевые экраны или так называемые брэндмауэры (файрволы и т.д.). На сегодняшний день используются несколько основных методик обнаружения компьютерных вирусов и защиты от них.

1. Сканирование

2. Эвристический анализ

3. Использование антивирусных мониторов

4. Обнаружение изменений

5. Использование антивирусов встроенных в BIOS.

Сканирование заключается в последовательном просмотре проверяемых файлов в поиске сигнатур известных вирусов. Под сигнатурой (sign, подпись) понимается уникальная последовательность бит, принадлежащих вирусу. Здесь мы видим очевидную связь с тем, что называется хэш-функция (с аутентификацией данных). Сканирование может обнаружить только уже известные вирусы, для которых определена сигнатура. Другой научной основой сканеров являются методы поиска вхождения подстрок (такая же технология используется в программе антиплагиат).

Эвристический анализ основан на предположениях авторов антивирусных программ о наиболее характерных сочетаниях внутренних элементов программного кода вируса. Такой подход позволяет, например, обнаружить, что проверяемая программа устанавливает резидентный модуль памяти машины или записывает данные в исполняемый файл. Этот метод позволяет обнаружить ранее неизвестные вирусы и не требует сбора предварительной информации. Практически все современные антивирусные программы реализуют в той или иной степени собственные методы эвристического анализа, однако и это следует из его названия, эффективность такого анализа целиком зависит от опыта и субъективных предположений разработчиков антивирусов.

Антивирусные мониторы – это программы, которые постоянно находятся в памяти машины и отслеживают все подозрительные действия, выполняемые другими программами. Монитор автоматически проверяет все запускаемые программы, открываемые, создаваемые или сохраняемые файлы программ и документов, полученные через интернет или скопированные на жесткий диск с внешних носителей. Антивирусный монитор сообщает пользователю о случаях, когда какая- либо программа пытается выполнить потенциально опасные действия. Частным случаем и самостоятельным классом такого ПО стали построенные на данном принципе межсетевые экраны, позволяющие контролировать активность и содержимое трафика сети.

Четвертый метод обнаружение изменений исторически появился одним из первых. Когда вирус заражает компьютер он изменяет содержимое жесткого диска, это происходит не всегда и существуют целый класс вирусов которые целиком находятся в оперативной памяти. Антивирусные программы, которые в этом случае называются ревизорами диска невыполняют поиск вирусов по сигнатуре, они запоминают предварительно характеристики всех областей диска а затем периодически проверяют (т.е. состав каталогов, длину файлов и т.д.). Такие ревизоры позволяют найти изменения сделанные как известным, так и неизвестным вирусом. Здесь возникает проблема – интервал между просмотрами данных.

Защита встроенная в BIOS. Как ясно из названия, это защита, встроенная в системную плату (посредственно в железо). Она позволяет контролировать все обращения к главной загрузочной записи жестких дисков, загрузочным секторам дисков и дискет. Однако эта защита не является абсолютно надежной, т.к. в литературе отмечаются вирусы, которые пытаются отключить энергонезависимую память CMOS, тем самым повлиять на BIOS.

В целом для эффективной антивирусной защиты важным является не только используемые индивидуальные программы, но и организация единой системы антивирусной защиты в рамках корпоративной сети. Выбор архитектуры такой системы и ее администрирование может существенно повлиять на результат.

Отметим, что к группе методов идентификации и аутентификации, предназначенных для защиты ОС следует отнести и методы управления доступом, реализующими связи между пользователями и данными. Таких методов всего два – дискреционный метод и мандатный.

Дискреционный метод управления доступом заключается в том, что индивидуальный пользователь или программа имеют возможность устанавливать типы доступа, которые могут осуществлять другие пользователи или программы к информации, имеющейся в ведении данного пользователя. Важная особенность дискреционная доступа, что при неправильном распределении информации доступ может быть нарушен через новую информацию.

При мандатном методы доступа, доступ пользователя к информации осуществляется на основании результатов сравнения, независимо установленных и предписанных уровней доступа пользователя и степени конфиденциальности информации, которые носят название ярлыков или мандатов. Первый метод отличается от второго тем, что он реализует решение по управлению доступом, принятые пользователем.

Механизмы управления доступом могут поддерживать разную степень детализации управления доступом как на уровне категории пользователя (владелец информации, группа пользователей и т.д.) так и на уровне данных (отдельные файлы, каталоги и т.д.).

Методы отражения атак включают в себя следующие группы:

1. Методы, направленные на отпугивание нарушителя (звуковые сигналы, сирены)

2. Методы прерывания доступа (его прекращение или ограничение) (после многократного введения пароля вы не зашли в систему, вас отключают). 1-2 пассивные методы

3. Различные методы, связанные с реконфигурацией системы защиты при обнаружении атаки.

4. Методы ловушки, заводят нарушителя в заранее приготовленную западню. 3-4 будущее в системах

Меры защищенности информационных систем.

Такие методы были предложены впервые в 1983 году министерством обороны, принятые под названием “Оранжевая книга”.

Класс C1 – в ОС поддерживается избирательное ограничение доступа (пользователь должен аутентифицироваться).

C2 – все требования C1 и дополнительно вводится следующее – все субъекты и объекты ОС должны иметь уникальный идентификатор, все действия всех субъектов доступа неразрешенные явно запрещены. События потенциально опасные для поддержания защищенности системы регистрируются в специальном журнале, с которым могут работать только привилегированные пользователи. Вся информация подлежащая удалению из ОП или с внешних носителей удаляется физически.

B1 – все что в классе С2 а также поддерживается мандатное ограничение доступа к объектам ОС. Поддерживается маркировка экспортируемой информации.

B2 включает в себя B1, а также подсистема защиты ОС реализует формально определенный и полностью документированная модель безопасности. Интерфейс подсистемы защиты четко и формально определен и полностью документирован. Повышаются требования к И/А при разграничении доступа. На этом уровне общепользовательских систем нет

В3 расширяет В2 тем, что гарантии защиты становятся более строгими. Требуется также выделенный администратор защиты системы а также процедуры восстановления после сбоя и оповещение администратора о нарушении защиты.

А1 полностью включает В3 и увеличивает требования ко всем параметрам защиты – это самый надежный класс защиты.

Отличия ГТК от Оранжевой книги: начиная с пятого класса, вводятся требования связанные с поддержанием целостности комплекса средств защиты. В 5ом классе предъявляются менее строгие требования к И А чем в С2 оранжевой книги. С 4ого класса усиливаются требования к запрету повторного использования удаленной информации

Таблица классов ГТК.

	Классы защиты
	3Б	3А	2Б	2А	1Д	1Г	1В	1Б	1А
1.Подсистема управления доступом 1.1 Идентификация. Проверка подлинности, контроль субъектов:
Вход в систему	+	+	+	+	+	+	+	+	+
К терминалам ЭВМ, узнал сети ЭВМ				+		+	+	+	+
К программам				+		+	+	+	+
К томам, каталогам, файлам, записям, полям записей				+			+	+	+
1.2 Управление потоками информации				+			+	+	+
2.Подсистема регистрации и учета 2.1 Регистрация и учет
Входа/выхода субъектов доступа из системы	+	+	+	+	+	+	+	+	+
Выдачи печатных выходных документов		+		+		+	+	+	+
2.2 Учет носителей информации	+	+	+	+	+	+	+	+	+
2.3 Очистка освобождаемых областей ОП		+		+		+	+	+	+
2.4 Сигнализация попыток нарушения защиты							+	+	+
3.Криптографическая подсистема
3.1 Шифрование конфиденциальной информации				+				+	+
3.2 Шифрование информации принадлежащей различным субъектам доступа на разных ключах				+				+	+
3.3 Использование аттестованных криптографических средств				+				+	+
4.Подсистема обеспечения целостности
4.1 Обеспечение целостности программных средств и обрабатываемой информации	+	+	+	+	+	+	+	+	+
4.2 Физическая охрана	+	+	+	+	+	+	+	+	+
4.6 Использование сертифицированных средств защиты		+		+					+

72