5.2. Реалізація методів захисту інформації в стандартних мережних операційних системах

Використання розподіленої моделі міжмережевої взаємодії клієнт-сервер є загальним елементом архітектури будь-якої сучасної мережної операційної системи. Можуть бути реалізовані наступні варіанти архітектур системи захисту [3].

Варіанти архітектур системи захисту проілюстровано на рис. 5.2.

Рис. 5.2. Варіанти архітектур системи захисту

Виникає необхідність обґрунтованого вибору архітектури системи захисту, а у випадку вибору централізовано-розподіленої архітектури – завдання функціонального розподілу завдань захисту між архітектурними компонентами.

Розподілена архітектура системи захисту являє собою вихідний варіант системи без забезпечення функцій мережного контролю і керування з виділеного робочого місця адміністратора безпеки (яке для даної архітектури відсутнє). Всі механізми захисту і функції їхнього адміністрування реалізуються безпосередньо на об’єкті. При цьому який-небудь елемент централізації системи відсутній як такий.

Централізована архітектура системи захисту ґрунтується на принципі вилученої реалізації захисту об'єктів із центральної консолі адміністратора безпеки. Всі функції із забезпечення інформаційної безпеки об'єктів, що захищаються, делеговані одному компоненту системи захисту – серверу безпеки. Таким чином, в основі централізованих систем лежить побудова віртуальної мережної системи захисту, накладеної на опорну мережу передачі даних. Даній архітектурі властиві переваги й недоліки, діаметрально протилежні розподіленій архітектурі.

Централізовано-розподілена архітектура системи захисту покликана об'єднати в собі всі переваги архітектурних рішень, розглянутих вище (відповідно усунути їхні недоліки).

Зупиняючись на розгляді переваг і недоліків розподіленої й централізованої архітектур системи захисту, природно буде зробити припущення про оптимальність розподілу функціональних завдань між компонентами централізовано-розподіленої мережної системи захисту:

• повністю розподіл повинен вирішуватися завданнями захисту робочих станцій і серверів ЛОМ. Реалізовуватися це повинно встановленою на них клієнтською частиною системи захисту;

• централізовано повинні вирішуватися:

• адміністрування клієнтських частин системи захисту;

• обробка реєстраційної інформації, що збирається клієнтськими частинами системи захисту;

- контроль за діями користувачів на об’єктах, що захищаються.

Все це повинно вироблятися у серверній частині системи захисту – сервері безпеки.

5.3. Стандартні системи захисту інформації в локальних і глобальних мережах

Стандартні системи захисту інформації в локальних і глобальних мережах, а також у мережі Internet мають такий набір компонентів [3]:

- Клієнтська частина системи захисту – забезпечує реалізацію механізмів захисту на об'єкті. Використовується для проведення контрольних перевірок і реєстрації дій користувачів на локальних робочих станціях і інформаційних серверах ЛОМ. Забезпечує формування системних журналів у відповідному форматі й відображення їх на локальній консолі при запуску відповідного інтерфейсного модуля.

- Модуль керування локальної бази даних (ЛБД) вузла ЛОМ – забезпечує формування ЛБД адміністратора безпеки на основі збору й попередньої обробки локальних системних журналів (власних і базових журналів використовуваної платформи й прикладного ПЗ), сигналів синхронізації від центральної бази даних (ЦБД), а також сигналів адміністратора із налагодження й забезпечення відповідної політики безпеки у ЛОМ.

- Мережний агент – програмний модуль, забезпечує кодування, що маскує (шифрування) і передачу сигналів керування, сигналів синхронізації між локальними й вилученими модулями системи захисту, а також забезпечує цілісність з'єднань агент-елемент-менеджер.

- Мережний менеджер – забезпечує на додаток до агента мультиплексування/демультиплексування сигналів, переданих між ЦБД і ЛБД. Таким чином, їм надається зв'язок точка-багатоточка на прикладному рівні моделі протоколів ISO/OSI. Крім того, мережний менеджер реалізує сеансову авторизацію клієнтських частин системи захисту при їхньому з'єднанні із серверною частиною.

- Мережна підсистема – забезпечує емуляцію консолі вилученої станції з передачею сигналів керування й зворотного зв'язку по мережному інтерфейсі агент-елемент-менеджер.

- Модуль ЦБД – забезпечує зберігання й синхронізацію даних у ЛБД і ЦБД, а також ініціалізацію облікових даних користувачів ресурсів ЛОМ.

- Інтерфейсний модуль – забезпечує перегляд і редагування ЦБД відповідно до прийнятої політики безпеки.

Набір компонентів стандартних систем захисту інформації в локальних і глобальних мережах, а також у мережі Internet наведено на рис. 5.3.

них

вання

Рис. 5.3. Набір компонентів стандартних систем захисту інформації в локальних і глобальних мережах, а також у мережі Internet