МІНІСТЕРСТВО ОСВІТИ І НАУКИ, МОЛОДІ ТА СПОРТУ УКРАЇНИ

ДОНЕЦЬКИЙ НАЦІОНАЛЬНИЙ ТЕХНІЧНИЙ УНІВЕРСИТЕТ

МЕТОДИЧНІ ВКАЗІВКИ

ДО КОНТРОЛЬНОЇ РОБОТИ З ДИСЦИПЛІНИ

«Безпека комп’ютерних систем і мереж »

Галузь знань: 0501 «Інформатика та обчислювальна техніка»

Напрям підготовки: 8.050102 «Комп’ютерна інженерія»

Спеціальність: „ Спеціалізовані комп’ютерні системи ”

Розглянуто на засіданні кафедри

«Автоматизовані системи управління»

Протокол № від __________ 20__ р.

Затверджено на засіданні

учбової – видавничої ради ДОННТУ

Протокол № ___ від ___ ________ 20__ р.

Донецьк ДНТУ 2010

Методичні вказівки до контрольної роботи з дисципліни " Безпека комп’ютерних систем і мереж" для студентів спеціальності «Спеціалізовані комп’ютерні системи» (КСД). / Склали: Меркулова К.В.- Донецьк: ДНТУ, 2010. – 20с.

Методичні вказівки містять короткі теоретичні відомості, методичні рекомендації і завдання до виконання контрольної роботи з дисципліни «Безпека комп’ютерних систем і мереж»».

Укладачі: доц. Меркулова К.В.

Рецензент: _________________

Відповідальний за випуск: зав. каф. АСУ Скобцов Ю.О.

Зміст

1. Завдання.

2. Теоретичні відомості

3. Об’єкти захисту.

4. Вимоги до захисту апаратних і системних засобів.

5. Прикладні засоби забезпечення інформаційної безпеки.

6. Вимоги до адміністративних і технічних заходів захисту.

7. Висновки.

8. Список літератури.

Контрольна робота

Мета роботи: Спроектувати і описати підсистему безпеки для ІУС згідно теми магістерської роботи.

Відповідно до наміченої мети основними завданнями будуть: визначення основних понять, вивчення теоретичних матеріалів з ​​обраної теми і вироблення рекомендацій з проектування системи захисту даних.

Теоретичні відомості

Щоб розробити систему захисту, необхідно, перш за все, визначити, що таке "загроза безпеці інформації", виявити можливі канали витоку інформації та шляхи несанкціонованого доступу к даними.

Під "несанкціонованим доступом " розуміється порушення встановлених правил розмежування доступу, що по слідувало в результаті випадкових чи навмисних дій користувачів або інших суб'єктів системи розмежування, що є складовою частиною системи захисту інформації. З точки зору захисту інформації несанкціонований доступ може мати такі наслідки: витік оброблюваної конфіденційної інформації, а також її спотворення або руйнування в результаті навмисного руйнування працездатності системи.

Під "каналом несанкціонованого доступу" до інформації розуміється послідовність дій осіб та виконуваних ними технологічних процедур, які або виконуються несанкціоновано, або обробляються неправильно в результаті помилок персоналу або збою обладнання, що призводять до несанкціонованого доступу.

Апаратна частина - Linux;

Програмні засоби:

- Система Zserver - це засіб захисту конфіденційної інформації, що зберігається та обробляється на корпоративних серверах;

- ALT Linux 4.0 Server Edition - серверний дистрибутив із широким спектром можливостей, що включає комплект готових рішень для актуальних завдань організацій: побудови корпоративної мережі і середовища обміну інформацією. Прості веб-інтерфейси управління, включені в дистрибутив, дозволяють істотно прискорити розгортання корпоративного сервера%

- Sendmail - найкращий інструмент для побудови системи управління поштовою кореспонденцією.

Захист мережі

Якщо ми маємо справу з мережею будь-яких розмірів, швидше за все, у нас в мережі існує кілька різних категорій систем. Зокрема, у нас напевно є клієнтські системи, з якими працює велика частина користувачів. У мережі існує також сервер (або два), який зберігає на собі для користувача файли і забезпечує доступ до мережних служб друку (як правило, домашні каталоги всіх користувачів за допомогою NFS монтуються в рамках клієнтських файлових систем, те ж саме відбувається з електронною поштою та іншими даними). Якщо мережа має підключенням до Інтернету, швидше за все, в ній встановлена ​​система, що виконує функції брандмауера, а також, можливо, функції маскування внутрішніх IP-адрес (IP-masquerading).

Розглянемо деякі вразливі місця, властиві клієнтам Linux, що працює в нашій мережі, і їх вплив на захист серверів.

Залежно від використовуваної мережевої моделі на клієнтах Linux можуть існувати облікові записи різних видів. Як правило, на клієнтських машинах розміщується істотно скорочений файл / etc / password. Однак незалежно від того, чи ми використаємо NIS, клієнти з повними закодованими обліковими записами або xdm, завдяки чому клієнти підключаються прямо до сервера, файл / etc / shadow, розміщений на клієнтських машинах, слід вважати вразливим місцем. Це означає, що ми зобов'язані включити в нього обліковий запис root в самій першій позиції, однак пароль цього облікового запису на клієнтських машинах повинен відрізнятися від пароля облікового запису root на сервері, який у свою чергу повинен відрізнятися від пароля облікового запису root на системі, яка виконує функції брандмауера, який знову ж таки повинен відрізнятися від пароля облікового запису root на будь-який з машин, безпосередньо підключених до Інтернету.

При цьому ми також повинні переконатися в тому, що клієнти довіряють серверів, але при цьому сервери не довіряють клієнтам. Не існує жодних причин, за якими сервер повинен довіряти клієнтам. Необхідно також завжди розглядати клієнтські системи як найбільш вразливі елементи мережі.

Основна вимога до сервера мережі - стабільність і надійність у роботі. Одним з популярних типів атак на сервер мережі є атака типу DDoS (Distributed Denial of Service). При класичній DDoS-атаці сервер піддається численним некоректним запитам на з'єднання і їх обробка займає все процесорний час або пропускну здатність каналу. Захист від атак подібного роду здійснюється за допомогою правильно налаштованого між мережного екрану, інакше firewall'а. Для Linux існує безліч програмних рішень між мережевих екранів, наприклад iptables або ipchains, які займаються обробкою проходить через сервер мережевого трафіку і здійснюють фільтрацію паразитного сміттєвого трафіку, характерного, наприклад, для DDoS-атаки. Подібні програми під Linux дозволяють гнучко настроїти правила обробки, ґрунтуючись на наступних параметрах:

- IP-адресу джерела пакету;

- IP-адреса призначення пакета;

- Інтерфейс, який прийняв пакет;

- Протокол, за яким здійснюється передача пакета;

- Порт призначення пакета.

Ґрунтуючись на даних аналізу проходить пакету, між мережевий екран може здійснити над ним певний набір дій:

- Пропустити пакет;

- Підрахувати розмір пакета;

- Змінити значення полів пакету IP-адрес, портів, ttl;

- Знищити без обробки.

Між мережеві екрани під Linux часто використовуються не тільки як засіб забезпечення безпеки, їх широкі можливості з управління трафіком дозволяють організувати з їхньою допомогою системи підрахунку трафіку, збору статистики, розподілу трафіку, організувати віртуальні під мережі з виходом в Інтернет з одного IP-адреси і багато іншого.

Непоганий принцип, яким варто керуватися при налаштуванні між мережевого екрану на сервері Linux, - заборонено все, що явно не дозволено. На початку вибираються діапазони IP-адрес мережі, потім інтерфейси сервера, через які проходитиме оброблюваний трафік, потім параметри пропускається трафіку (тип пакетів, порти, розмір, значення ttl). Потім обраний тип трафіку явно дозволяється, забезпечується обмеженнями, а інші пакети явно забороняються.

Система виявлення вторгнень

Крім DDoS-атак на сервер можуть робитися так звані DoS-атаки. Для атак подібного типу не потрібна участь безлічі комп'ютерів, на відміну від DDoS ці атаки проходять непомітно, і видно тільки їх кінцевий результат - непрацездатність сервера, зникнення даних, небажана мережна активність. Для виявлення спроб подібних вторгнень ззовні в ОС Linux існує велика кількість спеціалізованого ПЗ. Ці програми об'єднані під загальною назвою IDS (Intrusion Detection System - системи виявлення вторгнень). Найпопулярнішою IDS на сьогоднішній день вважається система Snort.

Snort використовує спеціальну мову правил, якими дається опис потенційно небезпечного мережевого трафіку. Формат правил схожий на формат пакетних між мережевих екранів під Linux. У правилах можна задати реакцію на підозрілу вміст будь-якої частини IP-пакета. Snort володіє модульною архітектурою і може контролювати мережеву активність на будь-якому рівні мережного інтерфейсу, починаючи з канального і закінчуючи прикладним. При виявленні трафіку, що підпадає під задані правила, snort може розірвати з'єднання з комп'ютером, від якого він виходить, заблокувати його IP-адресу та внести запис до журналу.

Захист поштового сервера

Робота в якості mail-сервера - одне з найпоширеніших застосувань серверів під управлінням Linux. Проблема безпеки повідомлень електронної пошти з'явилася одночасно з введенням досить небезпечних протоколів обміну mail-повідомленнями, таких як POP3 і SMTP. За часів їх створення мало хто замислювався, що передача такої інформації, як ім'я користувача, пароль, та й змісту листа у відкритому вигляді є не найкращою реалізацією схеми обміну інформацією. В обох протоколах не було передбачено можливості точної ідентифікації відправника і його зворотної адреси. Звідси основні проблеми електронної пошти - анонімні спам-повідомлення, розсилка вірусів і перехоплення поштового трафіку.

Головним засобом реалізації поштового сервера на базі Linux є програмний пакет Sendmail. Можна сказати, що на сьогоднішній момент Sendmail - найкращий інструмент для побудови системи управління поштовою кореспонденцією. За допомогою Sendmail можна організувати практично будь-яку теоретично можливу схему управління поштою. Приємною особливістю його архітектури є реалізований у ньому інтерфейс роботи з зовнішніми модулями - milter. Завдяки milter з'являється можливість відправляти поштові повідомлення на обробку зовнішніх програм, що підтримує взаємодію з цього інтерфейсу.

Обмеження ушкоджень

На даному етапі ми встановили систему і перевірили відсутність найбільш явних дірок в системі безпеки. Ми дізналися конфігурацію мережі, ми перевірили кожну з пропонованих нами служб і зупинили роботу тих служб, які ми не маємо наміру використовувати. Тепер слід ретельніше проаналізувати служби, які ми маємо намір зробити доступними для зовнішнього світу.

Тільки користувач root має право пов'язувати привілейовані порти. Саме через ці порти зломщик намагається отримати доступ до командного оболонці і таким чином зламати систему.

У нас є дві можливості. По-перше, ми можемо перенаправляти будь-які з'єднання з привілейованого порту на непривілейований порт, який використовується від особи непривілейованого користувача. По-друге, ми можемо запустити привілейований процес у в'язниці зі зміненим коренем (change root jail). Слід враховувати, що далеко не кожну службу можна запустити як непривілейованих. Наприклад, демон протоколу мережевого часу повинен мати можливість перенастроювати системний годинник, а правом на це має тільки користувач root. Таким чином, приймаючи рішення, ми повинні добре розуміти, що саме робить той чи інший демон і які можливості він повинен володіти. Однак якщо служба всього лише читає статичні документи, то якщо ми зробимо її непривілейований і будемо перенаправляти їй будь-які запити, що надходять на стандартний порт цієї служби, ніяких проблем не виникне. Таким чином, якщо ми маємо справу з демоном, який не здійснює яку-небудь запис (так само як і не вносить у систему будь-яких інших змін), ми можемо запустити цей демон від імені непривілейованого користувача, якому дозволяється тільки читати документи, з якими працює ця служба (документи, як і раніше належать користувачеві root, однак можуть бути прочитані користувачем, від імені якого запущений даний демон). Цей демон повинен бути пов'язаний з портом, номер якого більше 1024, проте ми можемо використовувати спеціальну програму, яка буде перехоплювати запити, які надходять через стандартний порт, і перенаправляти їх у порт, з яким пов'язаний даний демон.

Відновлення після атаки

Якщо виявили, що хто-небудь володіє доступом до нашої системи на рівні привілеїв root, можемо діяти відповідно до одного з трьох варіантів. Перший варіант передбачає повну переустановку всієї системи і всіх програм - зробимо резервну копію робочих даних, від форматуємо кожен з розділів і почнемо формування системи з нуля. Це гарантований і найкращий метод (самий простий, що дає повну впевненість у вирішенні проблеми і самий практичний), однак цей варіант далеко не завжди є прийнятним. Якщо ми от форматуєте увсі розділи і виконаєте установку заново, ми знищите всі сліди злому. При цьому ми також втратимо всі конфігураційні файли, дані і т. п. Іноді подібне неприпустимо.

Другий варіант - нічого не робити. Насправді це не варіант. Якщо в системі є хоча б що-небудь цінне для вас, напевно ми не можемо собі дозволити, щоб абсолютно сторонні люди робили все що їм заманеться з цінними. Якщо в системі немає нічого цінного і у нас є свіжі резервні копії всіх конфігураційних файлів і файлів даних, значить, переустановлення системи - це найкращий для нас вихід.

Третій варіант вимагає значного часу. Необхідно ідентифікувати будь-які змінені файли і замініть їх файлами, про які ви знаєте, що вони коректні. Відразу ж після того, як ми відновимо захист системи, слід спробувати визначити, яким чином зломщик проник в систему. Якщо ми не зможемо визначити, яким чином зловмисник реалізував свій задум, можливо, після запуску системи ми знову виявимо його всередині системи. Таким чином, перш ніж робити які-небудь інші дії, слід скопіювати конфігураційні файли на іншу систему.

В даний час під інформаційною безпекою розуміють безпеку комп'ютерну. У нинішньому суспільстві велику роль відіграє інформація на електронних носіях. Така інформація дуже вразлива і визначена низкою факторів: великі обсяги, анонімність доступу та інформаційна диверсія. Через це завдання захисту інформації в комп'ютерному середовищі, стає складною проблемою.

Якщо сказати про відмінності підходів вирішення проблеми інформаційної безпеки на різних рівнях, то такі відмінності просто не існують. Забезпечення безпеки Державної автоматизованої системи "Вибори" не відрізняється від забезпечення безпеки локальної мережі в маленькій фірмі. Забезпечення інформаційної безпеки в даній роботі розглядаються на прикладах діяльності окремої організації.