3. Архітектура безпеки

Сервіси безпеки, якими б потужними вони не були, самі по собі не можуть гарантувати надійність програмно-технічного рівня захисту. Тільки перевірена архітектура здатна зробити ефективним об'єднання сервісів, забезпечити керованість інформаційної системи, її здатність розвиватися й протистояти новим загрозам при збереженні таких властивостей як висока продуктивність, простота й зручність використання.

Теоретичною основою рішення проблеми архітектурної безпеки є наступне фундаментальне твердження, що ми вже наводили, розглядаючи інтерпретацію "Помаранчевої книги" для мережевих конфігурацій.

"Нехай кожен суб'єкт (тобто процес, що діє від імені якого-небудь користувача) укладений усередині одного компонента й може здійснювати безпосередній доступ до об'єктів тільки в межах цього компонента. Далі нехай кожен компонент містить свій монітор обігів, що відслідковує всі локальні спроби доступу, і всі монітори проводять у життя погоджену політику безпеки. Нехай, нарешті, комунікаційні канали, що зв'язують компоненти, зберігають конфіденційність і цілісність переданої інформації. Тоді сукупність усіх моніторів утворить єдиний монітор обігів для всієї мережевої конфігурації."

Звернемо увагу на три принципи, які містяться в наведеному твердженні:

• необхідність розробки й впровадження в життя єдиної політики безпеки;

• необхідність забезпечення конфіденційності й цілісності при мережевих взаємодіях;

• необхідність формування складових сервісів по змістовному принципу, щоб кожен отриманий у такий спосіб компонентів мав повний набір захисних засобів і із зовнішньої точки зору представляв собою єдине ціле (не повинно бути інформаційних потоків, що йдуть до незахищених сервісів).

Якщо який-небудь (складовий) сервіс не має повного набору захисних засобів (склад повного набору описаний вище), необхідне залучення додаткових сервісів, які ми будемо називати екранованими. Екрановані сервіси встановлюються на шляхах доступу до не досить захищених елементів; у принципі, один такий сервіс може екранувати (захищати) велику кількість елементів.

Із практичної точки зору найбільш важливими є наступні принципи архітектурної безпеки:

• безперервність захисту в просторі й часі, неможливість оминути захисні засоби;

• наслідування визнаним стандартам, використання апробованих рішень;

• ієрархічна організація ІС із невеликою кількістю сутностей на кожному рівні;

• посилення найслабшої ланки;

• неможливість переходу в небезпечний стан;

• мінімізація привілеїв;

• поділ обов'язків;

• системність оборони;

• розмаїтість захисних засобів;

• простота й керованість інформаційної системи.

Пояснимо зміст перерахованих принципів.

Якщо у зловмисника або незадоволеного користувача з'явиться можливість оминути захисні засоби, він, зрозуміло, так і зробить. Визначені вище екрановані сервіси повинні виключити подібну можливість.

Наслідування визнаним стандартам і використання апробованих рішень підвищує надійність ІС і зменшує ймовірність потрапляння в тупикову ситуацію, коли забезпечення безпеки зажадає непомірно великих витрат і принципових модифікацій.

Ієрархічна організація ІС із невеликою кількістю сутностей на кожному рівні необхідна з технологічних міркувань. При порушенні даного принципу система стане некерованою й, отже, забезпечити її безпеку буде неможливо.

Надійність будь-якої оборони визначається найслабшою ланкою. Зловмисник не буде боротися проти сили, він віддасть перевагу легкій перемозі над слабкістю. (Зазвичай найслабшою ланкою виявляється не комп'ютер або програма, а людина, і тоді проблема забезпечення інформаційної безпеки набуває нетехнічного характеру).

Принцип неможливості переходу в небезпечний стан означає, що при будь-яких обставинах, у тому числі позаштатних, захисний засіб або повністю виконує свої функції, або повністю блокує доступ. Образно кажучи, якщо в міцності механізм звідного моста ламається, міст залишають піднятим, перешкоджаючи проходу ворога.

Стосовно програмно-технічного рівня принцип мінімізації привілеїв пропонує виділяти користувачам й адміністраторам тільки ті права доступу, які необхідні їм для виконання службових обов'язків. Цей принцип дозволяє зменшити збиток від випадкових або навмисних некоректних дій користувачів й адміністраторів.

Принцип поділу обов'язків припускає такий розподіл ролей і відповідальності, щоб одна людина не могла порушити критично важливий для організації процес або створити пролом у захисті за замовленням зловмисників. Зокрема, дотримання даного принципу особливо важливо, щоб запобігти зловмисним або некваліфікованим діям системного адміністратора.

Принцип ешелонованості оборони пропонує не покладатися на один захисний рубіж, яким би надійним він не здавався. Після засобів фізичного захисту повинні слідувати програмно-технічні засоби, за ідентифікацією й аутентифікацією – керування доступом й, як останній рубіж, – протоколювання й аудит. Ешелонована оборона здатна, принаймні, затримати зловмисника, а завдяки наявності такого рубежу, як протоколювання й аудит, його дії не залишаться непоміченими.

Принцип розмаїтості захисних засобів припускає створення різних за своїм характером оборонних рубежів, щоб від потенційного зловмисника вимагалося б оволодіння різноманітними й, по можливості, несумісними між собою навичками.

Для забезпечення високої доступності (безперервності функціонування) необхідно дотримуватися наступних принципів архітектурної безпеки:

• внесення в конфігурацію тієї або іншої форми надмірності (резервне устаткування, запасні канали зв'язку й т.п.);

• наявність засобів виявлення позаштатних ситуацій;

• наявність засобів реконфігурування для відновлення ізоляції й/або заміни компонентів, що відмовили або піддалися атаці на доступність;

• роззосередженість мережевого керування, відсутність єдиної крапки відмови;

• виділення підмереж та ізоляція груп користувачів один від одного. Даний захід, що є узагальненням поділу процесів на рівні операційної системи, обмежує зону поразки при можливих порушеннях інформаційної безпеки.

Ще один важливий архітектурний принцип – мінімізація обсягу захисних засобів, що виносять на клієнтські системи. Причин тому декілька:

• для доступу в корпоративну мережу можуть використовуватися споживчі пристрої з обмеженою функціональністю;

• конфігурацію клієнтських систем важко або неможливо контролювати.

До необхідного мінімуму варто віднести реалізацію сервісів безпеки на мережевому й транспортному рівнях і підтримку механізмів аутентифікації, стійких до мережевих загроз.