2. Базові технології безпеки ос

1. Основні засоби захисту, убудовані в ос

Засоби захисту, вбудовані в ОС, займають особливе місце в системі безпеки. Їхнім основним завданням є захист інформації, що визначає конфігурацію системи, і потім – користувальницьких даних. Такий підхід є природним, оскільки можливість змінювати конфігурацію робить механізми захисту безглуздими.

Проблема захисту інформації в комп’ютерних системах прямо пов’язана з вирішенням двох головних питань:

• забезпечення схоронності інформації,

• контроль доступу до інформації (забезпечення конфіденційності).

Ці питання тісно взаємозалежні й не можуть вирішуватися окремо. Схоронність інформації означає захист її від руйнування й збереження структури збережених даних. Система контролю доступу до інформації повинна забезпечувати надійну ідентифікацію користувачів і блокувати будь-які спроби несанкціонованого читання й запису даних. У той же час система контролю не повинна знижувати продуктивність роботи інформаційних систем і звужувати коло розв’язуваних завдань.

Системні засоби аутентифікації користувачів. Перше, що повинна перевірити операційна система в тому випадку, якщо вона має хоча б мінімальні засоби захисту, – це чи треба їй взаємодіяти із суб’єктом, що намагається одержати доступ до яких-небудь інформаційних ресурсів. Для цього існує список поіменованих користувачів, відповідно до якого може бути побудована система розмежування доступу.

Під ідентифікацією розуміють визначення тотожності користувача або користувальницького процесу, необхідне для керування доступом. Після ідентифікації звичайно виробляється аутентификація. Під аутентифікацією користувача (суб’єкта) розуміють встановлення його дійсності. При вході в систему користувач повинен пред’явити ідентифікуючу інформацію, що визначає законність входу й права на доступ. Ця інформація перевіряється, визначаються повноваження користувача (аутентифікація), і користувачеві дозволяється доступ до різних об’єктів системи (авторизація). Під авторизацією (санкціонуванням) мається на увазі надання дозволу доступу до ресурсу системи.

У даній ситуації істотної виявляється політика керування користувальницькими паролями, що визначає правила їхнього призначення, зберігання, зміни й інші пов’язані із цим питання. Чим більші можливості для проведення подібної політики надає адміністраторові операційна система, тим більше шансів на те, що парольна аутентифікація буде діючим інструментом захисту.

Паролі з часом стають відомими. Це змушує періодично проводити їхню заміну. Вважається, що в інформаційних системах з низькими вимогами до забезпечення безпеки пароль повинен мінятися кожні три місяці, а в міру збільшення значущості питань, пов’язаних з несанкціонованим доступом, зазначений термін скорочується до шести тижнів.

Не менш важливим є і мінімально припустимий час між двома послідовними змінами паролів, оскільки така зміна – типова дія у випадку одержання ким-небудь несанкціонованого доступу до системи або ресурсів користувача.

Однією з розповсюджених загроз безпеки інформаційної системи є термінал, залишений користувачем без догляду під час роботи. Як контрзахід можна автоматично блокувати доступ або переривати сеанс роботи в системі через деякий час після припинення активності користувача.

Існують утиліти, що дозволяють проводити закриття екрана автоматично, однак застосовувати їх не рекомендується, оскільки при цьому виникають умови для установки програми, емулючої закриття екрана і зчитування користувальницького пароля.

Особливу небезпеку представляє віддалений вхід у систему через телефонну мережу. Оскільки контролювати цю мережу неможливо, то необхідна установка додаткових паролів на послідовні порти.

Розмежування доступу користувачів до ресурсів. Керування доступом може бути досягнуте при використанні дискреційного або мандатного керування доступом

Дискреційне керування доступом – найбільш загальний тип керування доступом. Основний принцип цього виду захисту полягає в тому, що індивідуальний користувач або програма, що працює від імені користувача, має можливість явно визначити типи доступу, які можуть здійснити інші користувачі (або програми, виконувані від їхнього імені) до інформації, що перебуває у веденні даного користувача. Дискреційне керування доступом відрізняється від мандатного захисту тим, що воно реалізує рішення з керування доступом, прийняті користувачем.

Мандатне керування доступом реалізується на основі результатів порівняння рівня допуску користувача і ступеня конфіденційності інформації.

Існують механізми керування доступом, що підтримують ступінь деталізації керування доступом на рівні наступних категорій:

• власник інформації;

• задана група користувачів;

• всі інші авторизовані користувачі.

Це дозволяє власникові файлу (або каталогу) мати права доступу, що відрізняються від прав усіх інших користувачів і визначати особливі права доступу для зазначеної групи людей або всіх інших користувачів.

У загальному випадку існують наступні права доступу:

• доступ для читання;

• доступ для запису;

• додаткові права доступу (тільки модифікація або тільки додавання);

• доступ для виконання всіх операцій.

Керування доступом користувача може здійснюватися на рівні каталогів або на рівні файлів. Керування доступом на рівні каталогу приводить до того, що права доступу для всіх файлів у каталозі стають однаковими. Наприклад, користувач, що має доступ для читання до каталогу, може читати (і, можливо, копіювати) будь-який файл у цьому каталозі. Права доступу до каталогу можуть також забезпечити явна заборона доступу, що запобігає будь-який доступ користувача до файлів у каталозі.

У деяких ОС можна управляти типами звертань до файлу крім контролю за тим, хто може мати доступ до файлу. Реалізації можуть надавати опцію керування доступом, що дозволяє власникові позначати файл як поділюваний або заблокований (монопольно використовуваний).

Поділювані файли дозволяють здійснювати паралельний доступ до файлу декільком користувачам одночасно. Блокований файл буде дозволяти доступ до себе тільки одному користувачеві в цей момент. Якщо файл доступний тільки для читання, призначення його поділюваним дозволяє групі користувачів паралельно читати його.

Механізми привілеїв дозволяють авторизованим користувачам ігнорувати обмеження на доступ або, інакше кажучи, легально обходити керування доступом, щоб виконати яку-небудь функцію, одержати доступ до файлу тощо. Механізм привілеїв повинен включати концепцію мінімальних привілеїв (принцип, відповідно до якого кожному суб’єктові в системі надається найбільш обмежена безліч привілеїв, необхідних для виконання завдання).

Принцип мінімальних привілеїв повинен застосовуватися, наприклад, при виконанні функції резервного копіювання. Користувач, який авторизований виконувати функцію резервного копіювання, повинен мати доступ для читання до всіх файлів, щоб копіювати їх на резервні носії інформації. Однак користувачеві не можна надавати доступ для читання до всіх файлів через механізм керування доступом.

Наявність декількох шляхів одержання підвищених привілеїв є потенційно уразливим місцем у захисті операційної системи. Особливо небезпечно, коли переустановка ідентифікатора користувача здійснюється не бінарним файлом, а програмою командного інтерпретатора, що пояснюється легкістю її модифікації.

Зазначена обставина змушує адміністратора системи контролювати штатні користувальницькі командні інтерпретатори. Оскільки більшість користувачів обходиться обмеженим набором додатків, у ряді випадків можна зафіксувати коло доступних програм, що особливо актуально при проведенні нормативної політики безпеки. Воля користувача обмежується межами його каталогу й можливістю використовувати програми тільки з дозволених каталогів.

Іноді користувач взагалі не має потреби в безпосередній взаємодії з операційною системою, працюючи постійно з яким-небудь додатком, наприклад клієнтом бази даних. У цьому випадку доцільно використовувати можливості розмежування доступу, які надаються СУБД.

Засіб перевірки коректності конфігурації ОС. Операційна система має велику кількість настроювань і конфігураційних файлів, що дозволяє адаптувати ОС для потреб конкретних користувачів інформаційної системи. Однак це створює небезпеку появи слабких місць, тому для перевірки цілісності і коректності поточної конфігурації в ОС повинна бути передбачена спеціальна утиліта.

При запуску утиліта спочатку проводить верифікацію прав доступу до системних файлів. Потім перевіряє системні файли й порівнює їх з описом у майстер-файлі, що містить установки, що відповідають вибраному рівню безпеки. У ході виконання завдання для системних файлів перевіряються власник і група, права доступу, розмір і контрольна сума, кількість посилань і час останньої модифікації.

Результати виконання програми записуються в текстовому виді в спеціальних файлах. Всі коректування, проведені програмою, протоколюються, і систему можна в будь-який момент повернути до колишнього стану, що страхує адміністратора від незворотних дій.

Інструмент системного аудиту. Питання інформаційної безпеки не можуть успішно вирішуватися, якщо немає засобів контролю за подіями, що відбуваються, оскільки тільки маючи хронологічний запис усіх здійснених користувачами дій, можна оперативно виявляти випадки порушення режиму інформаційної безпеки, визначати причини порушення, а також знаходити й усувати потенційно слабкі місця в системі безпеки. Крім того, наявність аудиту в системі відіграє роль стримуючого фактора: знаючи, що дії фіксуються, багато зловмисників не ризикують робити свідомо карних дій.

Програмні засоби, що здійснюють такий контроль, називаються засобами аудиту. Оскільки в інформаційній системі підприємства є кілька функціональних рівнів, на кожному з них бажані засоби моніторингу подій. Сьогодні наявність механізмів аудиту є обов’язковою вимогою до великих програмних продуктів, що працюють на кожному з рівнів.

Аудит неможливий без ідентифікації й аутентифікація користувачів. З цією метою при вході в систему програмою аудиту користувачеві присвоюється унікальний ідентифікатор. Реєстраційні дії виконуються спеціалізованим аудит-демоном, що проводить запис подій у реєстраційний журнал відповідно до поточної конфігурації. Аудит-демон стартує в процесі завантаження системи.

Кожна подія належить якому-небудь класу аудиту. Такий розподіл спрощує аналіз великої кількості подій. Приналежність подій до класів і набір класів можуть бути сконфігуровані системним адміністратором.

Існує біля двадцяти класів подій, що відслідковуються. Кожний клас має два імені - повне і скорочене. Для будь-якого класу встановлюється один із трьох прапорів аудита: аудит у випадку успішного виконання дії, аудит невдалих спроб, безумовний аудит.

Мережеві засоби захисту. Захист інформації на мережевому рівні має певну специфіку. Якщо на системному рівні проникнути в систему можна було лише в результаті розкриття користувальницького пароля, то у випадку розподіленої конфігурації стає можливим перехоплення користувальницьких імен і пароля технічними засобами. Наприклад, стандартний мережний сервіс telnet пересилає користувальницьке ім’я й пароль у відкритому виді. Це змушує знову розглядати завдання аутентифікації користувачів, але вже в розподіленому випадку, включаючи й аутентифікацію машин-клієнтів. Високий ступінь захисту досягається шляхом заміни стандартних відкритих сервісів на сервіси, що шифрують параметри користувача/ машини-клієнта, щоб навіть перехоплення пакетів не дозволяло розкрити ці дані. Нарешті, немаловажне значення має аудит подій, що відбуваються в розподіленому інформаційному середовищі, оскільки в цих умовах зловмисник не настільки помітний і має досить часу й ресурсів для виконання своїх завдань.

Стандартні засоби захисту, що існують в ОС, не є настільки ж всеохопними, що й на системному рівні. Справа в тому, що якщо на системному рівні однорідність гарантована і будь-які зміни можуть вводитися досить ефективно, те в умовах локальної мережі застосовується, як правило, набір різнорідного устаткування, що функціонує під керуванням різних ОС, виробники яких апріорно не зацікавлені у відповідності засобів цих систем концепції безпеки.