5.2.2. Защита информации в автоматизированных системах

 

Информационная безопасность является составной частью информационных технологий. Под информационной безопасностью понимается защищённость информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, направленных на нанесение ущерба владельцам или пользователям информации и поддерживающей инфраструктуры.

В обеспечении информационной безопасности выделяются следующие категории:  доступность,  целостность,  конфиденциальность.

Доступность – это возможность за приемлемое время получить требуемую информационную услугу. Целостность информации представляет собой свойство информации сохранять свою структуру и содержание в процессе передачи и хранения. Конфиденциальность информации – это свойство информации быть доступной только ограниченному кругу пользователей информационной системы, в которой циркулирует данная информация.

Для защиты информации в организации реализуется политика безопасности, которая представляет собой совокупность норм, правил и практических рекомендаций, регламентирующих работу компьютерной системы (сети) от заданного множества угроз безопасности. В настоящее время существуют следующие технологии информационной безопасности [16]:

– комплексный подход, обеспечивающий рациональное сочетание технологий и средств информационной защиты;

– применение защищённых виртуальных частных сетей (VPN) для защиты информации, предаваемой по открытым каналам связи;

– криптографическое преобразование данных для обеспечения целостности, подлинности и конфиденциальности информации;

– применение межсетевых экранов для защиты вычислительной сети от внешних угроз при подключении к общедоступным сетям связи;

– управление доступом на уровне пользователей и защита от несанкционированного доступа к информации;

– гарантированная идентификация пользователей путём применения токенов (touch-memory, ключи для USB и т. д.);

– поддержка инфраструктуры управления открытыми ключами (PKI);

– защита информации на файловом уровне путём шифрования файлов и каталогов;

– защита от вирусов с использованием специализированных комплексов профилактики и защиты;

– технологии обнаружения вторжений (Intrusion Detection) и активного исследования защищённости информационных ресурсов;

– централизованное управление средствами информационной безопасности.

Широкое использование Интернета и других публичных сетей для организации различных связей требует защиты информации при её передаче. Эта задача решается средствами VPN в публичных сетях с коммутацией пакетов. В общем случае VPN – это объединение локальных сетей и отдельных компьютеров, подключённых к сети общего пользования, в единую виртуальную (наложенную) сеть, обеспечивающую конфиденциальность и целостность передаваемой по ней информации.

Наложенную корпоративную сеть, построенную на базе сети общего пользования, превращают в виртуальную защищённую сеть три фундаментальных свойства: конфиденциальность (с помощью шифрования), аутентификация (проверка подлинности) и управление доступом. Только реализация этих свойств позволяет защитить пользовательские компьютеры, серверы и данные, передаваемые по физически не защищённым каналам, от утечки информации и несанкционированных действий.

Средства VPN могут эффективно поддерживать защищённые каналы следующих типов:

– с удалёнными и мобильными сотрудниками (защищённый удалённый доступ);

– сетями филиалов (защита intranet);

– сетями организаций-партнёров (защита extranet).

Для обеспечения защиты передаваемой информации в VPN-технологиях используется ряд криптографических преобразований: алгоритмы шифрования, аутентификация, вычисления хэш-функции, формирование и проверка цифровой подписи. При этом применяется комплекс стандартов Интернет IPSec (IP Security). В комплексе стандартов IPSec определены два алгоритма аутентификации с секретными ключами и семь алгоритмов симметричного шифрования. Выбор алгоритмов шифрования целиком зависит от пользователя, что обеспечивает дополнительную защиту информации, так как нарушитель должен не только вскрыть шифр, но первоначально определить, какой шифр ему надо вскрывать.

Межсетевой экран и VPN являются взаимодополняемыми системами и решают две связанные задачи:

– использование открытых сетей в качестве канала недорогой связи (VPN);

– обеспечение защиты от атак из открытых сетей при работе с открытой информацией, содержащейся в этих сетях (межсетевой экран).

При использовании общих ресурсов сети необходимо дифференцировано распознавать пользователей, так как они отличаются правами доступа. Их практически нельзя идентифицировать, анализируя только IP-дреса. Поэтому в межсетевых экранах необходимо поддерживать собственные средства работы с учётной информацией пользователей и средств аутентификации.

В настоящее время в корпоративных сетях применяются средства аутентификации, основанные на централизованной службе каталогов, таких как NDS компании «Novell» или Active Directory компании «Microsoft» для Windows 2000. Эти системы аутентификации обладают следующими свойствами:

– обеспечивают единый логический вход пользователя в сеть;

– администратор работает с единственной записью учётных данных о каждом пользователе и системном ресурсе;

– система хорошо масштабируется;

– доступ к данным каталога осуществляется с помощью LDAP.

Эффективное средство повышения надёжности защиты данных на основе гарантийной идентификации пользователя – электронные токены, которые представляют собой своего рода контейнеры для хранения персональных данных пользователя системы. Эта информация всегда находится на носителе и предъявляется только во время доступа к системе или компьютеру.

При большом числе пользователей схемы аутентификации на основе индивидуальных паролей не всегда эффективны, так как требуют ввода в систему и хранения каждого пароля. Для повышения эффективности АС используются технологии аутентификации на основе цифровых сертификатов стандарта Х.509 и PKI.

Сертификаты позволяют разделить пользователей на несколько категорий и предоставлять разные права доступа в зависимости от принадлежности пользователя к определённой категории. Инфраструктура управления открытыми ключами служит для обеспечения жизненного цикла сертификатов и позволяет, в частности, удостовериться в подлинности предъявленного сертификата за счёт проверки подлинности цифровой подписи сертифицирующей организации или цепочки сертифицирующих организаций.

Поддержка цифровых сертификатов и PKI приводит к хорошо масштабируемым системам аутентификации, так как в этом случае в системе необходимо хранить только открытые ключи нескольких корневых сертифицирующих организаций и поддерживать протоколы взаимодействия с их серверами сертификатов.

Информация пользователя на жестком диске компьютера или на дискетах может быть надёжно защищена путём шифрования содержимого файлов каталогов, дисков с применением криптоалгоритмов. Доступ к зашифрованной информации предоставляется только после предъявления криптографического ключа, который может вводиться с клавиатуры или токенов.

Важным элементом комплексной защиты информации является антивирусная защита. Необходимо отметить, что защищённый трафик не может контролироваться антивирусными средствами. Поэтому эти средства устанавливаются в узлах, на которых информация хранится, обрабатывается и передаётся в открытом виде.

Средства обнаружения вторжений позволяют повысить уровень защищённости вычислительной сети и хорошо дополняют защитные функции межсетевых экранов. Если межсетевые экраны отсекают потенциально опасный трафик и не пропускают его в защищаемые сегменты, то средства обнаружения вторжений анализируют результирующий трафик в защищаемых сегментах и выявляют атаки на ресурсы сети или потенциально опасные действия. Кроме того, они могут использоваться в незащищённых сегментах, например перед межсетевыми экранами, для получения общей картины об атаках, которым подвергается сеть извне.

Централизованное управление средствами безопасности предполагает наличие единой политики безопасности организации. Каждое устройство защиты, работающее в информационной системе организации, должно поддерживать взаимодействие с централизованной системой управления и получать от неё защищённым образом правила локальной политики безопасности, относящиеся к данному устройству. Наличие централизованных средств управления продуктами безопасности является обязательным требованием для возможности их применения в организации.