Раздел15_11

Рисунок 15.4 – Истинные и кажущиеся информационные потоки

Более общим методом сокрытия информации о топологии защищаемой сети является трансляция “внутренних” сетевых адресов, которая попутно решает проблему расширения адресного пространства, выделенного организации.

Ограничивающий интерфейс также можно рассматривать как разновидность экранирования.

На невидимый объект трудно нападать, особенно с помощью фиксированного набора средств. В этом смысле Web-интерфейс обладает естественной защитой, особенно в том случае, когда гипертекстовые документы формируются динамически. Каждый видит лишь то, что ему положено.

Экранирующая роль Web-сервиса наглядно проявляется и тогда, когда этот сервис осуществляет посреднические (интегрирующие) функции при доступе к другим ресурсам, в частности таблицам базы данных. Здесь не только контролируются потоки запросов, но и скрывается реальная организация баз данных.

15.5.2 Безопасность программной среды

Идея СЕТЕЙ С АКТИВНЫМИ АГЕНТАМИ, когда между компь-

ютерами передаются не только пассивные, но и АКТИВНЫЕ испол-

няемые данные (то есть программы), не нова. Первоначально цель состо-

яла в том, чтобы уменьшить сетевой трафик, выполняя основную часть обработки там, где располагаются данные (приближение про-

грамм к данным).

На практике это означало перемещение программ на серверы. Клас-

сический пример реализации подобного подхода – это хранимые процедуры в реляционных СУБД.

Для Web-серверов аналогом хранимых процедур являются программы, обслуживающие об-

щий шлюзовой интерфейс (Common Gateway Interface - CGI).

служивать только пользовательский интерфейс и осуществлять сетевое взаимодействие с сервером. Программа не может работать с файлами хотя бы потому, что на Java-терминале их, возможно, не будет. Более содержательные действия должны производиться на серверной стороне или осуществляться программами, локальными для клиентской системы.

Если в процессе работы приложения необходимо выполнить сомнительный командный файл, порождается подчиненный командный интерпретатор, обладающий ограниченной функциональностью (например, из него могут быть удалены средства работы с файлами и сетевые возможности). В результате потенциально опасные программы оказываются заключенными в ячейки, защищающие пользовательские системы от враждебных действий. Для выполнения действий, которые считаются привилегированными, подчиненный интерпретатор может обращаться с запросами к главному. Здесь просматривается аналогия с разделением адресных пространств операционной системы и пользовательских процессов, и использованием последними системных вызовов. Подобная модель уже более 30 лет является стандартной для многопользовательских ОС.

15.5.3 Защитаweb-серверов

Наряду с обеспечением безопасности программной среды, важнейшим будет

вопрос о разграничении доступа к объектам Web-сервера.

Для решения этого вопроса необходимо уяснить, ЧТО является объ-

ектом, как идентифицируются субъекты и какая модель управления доступом(принудительная или произвольная) применяется.

В Web-серверах объектами доступа выступают универсальные ло-

каторы ресурсов (URL – Uniform (Universal) Resource Locator). За этими

локаторами могут стоять различные сущности – HTML-файлы, CGI-

процедуры и т. п.

Как правило, субъекты доступа идентифицируются по IP-адресам

и/или именам компьютеров и областей управления. Кроме того, может

использоваться парольная аутентификация пользователей или более

сложные схемы, основанные на криптографических технологиях.

В большинстве Web-серверов права разграничиваются с точностью до ка-

талогов (директорий) с применением произвольного управления доступом. Мо-

фирма-разработчик операционной среды гарантирует корректную инсталляцию и работу приложения в данной ОС.

Многообразие периферийных устройств усложняет организацию обраще-

ния к ним из ОС и прикладных программ. Поэтому РЕКОМЕНДУЕТСЯ ПРИ

ВЫБОРЕ ОПЕРАЦИОННОЙ СРЕДЫ обращать особое внимание:

–на ее оснащенность драйверами и утилитами;

–перекрестную сертификацию оборудования и ПО;

–избегать использования доморощенных приложений.

Помимо потенциальной несовместимости, в последних отсутствует поддержка производителя.

15.6 Требования по применению способов, методов и средств защиты

Рекомендуется применение следующих способов, методов и средств, ко-

торые предполагают ИСПОЛЬЗОВАНИЕ:

а) интерфейсов с передачей сигналов в виде последовательного кода и в режиме многократных повторений;

б) мультиплексных режимов обработки информации, а также СВТ и системного обеспечения, базирующихся на многоразрядных

платформах, интерфейсов с передачей сигналов в виде многоразрядного парал-

лельного кода;

в) рациональных способов монтажа, при которых обеспечивается

минимальная протяженность электрических связей и коммуникаций;

д) технических средств, в состав которых входят устойчивые к самовоз-

буждению схемы, развязывающие и фильтрующие элементы, комплектующие

с низкими уровнями ЭМИ;

е) сетевых фильтров для блокирования утечки информации по цепям электропитания, а также линейных (высокочастотных) филь-

тров для блокирования утечки информации по линиям связи;

ж) технических средств в защищенном исполнении;

и) средствпространственного и линейного «зашумления»;

к) средств локального либо общего экранирования;

л) способов оптимального размещения технических средств с целью минимизации контролируемой зоны безопасности информации.

15.6.1 Разработка сетевых аспектов политики безопасности

При разработке и проведении ее в жизнь целесообразно руководство-

ваться следующими принципами:

а)невозможность миновать защитные средства;

б)усиление самого слабого звена;

в) невозможность перехода в небезопасное состояние;

д) минимизация привилегий;

е) разделение обязанностей;

ж) эшелонированность обороны;

и) разнообразие защитных средств;

к) простота и управляемость информационной системы;

л) обеспечение всеобщей поддержки мер безопасности.

Если у злоумышленника появится возможность миновать защитные средства,

он так и сделает. Применительно к межсетевым экранам данный принцип означает, что все информационные потоки в защищаемую сеть и из нее должны проходить через экран. Не должно быть «тайных» модемных входов или тестовых линий,

идущих в обход экрана.

Надежность любой обороны определяется самым слабым звеном. Зло-

умышленник не будет бороться против силы, он предпочтет легкую победу. Ча-

сто САМЫМ СЛАБЫМ звеном оказывается не компьютер или програм-

ма, а ЧЕЛОВЕК, и тогда проблема обеспечения информационной безопасности приобретает нетехнический характер.

Зачастую ОС имеют широкий спектр ролей и делегируемых полномочий, базирующихся на полномочиях учётной записи "Администратор", создаваемой при установке системы (напр.,Windows2000).

При объединении компьютеров в логическую единицу – домен (domain),

управление системами строится на основе полномочий учётной записи "Администратор" ПЕРВОГО КОНТРОЛЛЕРА домена.

Контроллер домена – это компьютер, на который возложены функции

централизованного управления доменом.

Несколько доменов могут объединяться в иерархическую структуру, называемую "ЛЕСОМ" (forest). Хотя в такой структуре защищаемой единицей является домен, администратор одного домена не имеет никаких прав (по умолча-

нию) или привилегий в другом домене.

Но существует группа "Администраторы предприятия" (Enterprise Admins),

участники которой ИМЕЮТ ПРАВО УПРАВЛЯТЬ ЛЮБЫМИ ДОМЕНАМИ ле-

са. Первый участник этой группы – по умолчанию Администратор первой си-

стемы леса (корневой домен).

То есть, имея доступ к учётным записям администраторов, можно управлять сетью.

АНАЛИЗ РИСКОВ – важнейший этап выработки политики безопасности.

При оценке рисков, которым подвержены Intranet-системы, нужно учи-

тывать следующие обстоятельства:

а) новые угрозы по отношению к старым сервисам, вытекающие из возможности пассивного или активного прослушивания сети.

Пассивное прослушивание означает чтение сетевого трафика,

а активное – его изменение (кражу, дублирование или модификацию передаваемых данных). Например, аутентификация удаленного клиента с помощью

пароля многократного использования не может считаться надежной в сетевой среде, независимо от длины пароля;

б)новые(сетевые) сервисыи ассоциированные с ними угрозы.

Как правило, в Intranet-системах следует придерживаться принципа

«ВСЕ, ЧТО НЕ РАЗРЕШЕНО, ЗАПРЕЩЕНО»,

поскольку “лишний” сетевой сервис может предоставить канал проникно-

вения в корпоративную систему. В принципе, ту же мысль выражает положение

“все непонятное опасно”.

Важно хранить все важные приложения во внутренней сети компании, поддерживать отношения с несколькими местными провайдерами, заранее изыскать путь оповещения стратегических клиентов об изменении электронного адреса и требовать от провайдера проведения мероприятий, обеспечивающих его оперативное восстановление после несчастного случая.

Технология КЛАСТЕРИЗАЦИИ предполагает, что несколько

компьютеров функционируют как единое целое.

Кластеризуют, как правило, серверы. Один из серверов кластера может функционировать в режиме "горячего" резерва (не совершая транзакций), в полной готовности перенять эстафету от основной машины в случае ее выхода из строя.

Возможна и параллельная обработка информации несколькими серверами.

Кластерные технологии дороги, и потому наибольшее распространение в настоящее время получили кластеры из двух машин.

Продолжением технологии кластеризации стала ГЕОГРАФИЧЕСКАЯ, ИЛИраспределённая кластеризация,

при которой через глобальную сеть объединяются несколько кластерных серверов, разнесенных на большое расстояние.

Конечно, процесс обработки в данном случае не распараллеливает-

Система защиты информации должна иметь специальное программное обеспечение обработки угроз, ВКЛЮЧАЮЩЕЕ:

а) регистрацию событий в системном журнале, защищенном от по-

пыток изменения со стороны программ пользователей;

б) использование собранных сведений для анализа качественного решения проблемы защиты информации и разработки мероприятий по ее совершенствованию.

Перечисленные требования и мероприятия по обеспечению сохранности информации показывают, что она связана с решением серьезных математических и технических проблем.

Одним из ключевых моментов, обеспечивающих ВОССТАНОВЛЕНИЕ системы при аварии, является резервное копиро-

вание рабочих программ и данных.

Несмотря на очевидность этой процедуры и ее относительную несложность, в некоторых организациях она производится недостаточно часто или игнорируется вообще.

ром, то все неприятности случаются в пятницу же, но в районе обеда.

Резервное копирование должно сопровождаться целым рядом организаци-

онных мероприятий.

Носители – должны храниться за пределами серверной комнаты.

Поскольку носитель используется многократно, нужно знать стандарты на

число допустимых перезаписей, и тесты, позволяющие определить степень его изношенности.

Широкий выбор устройств для копирования также может сыграть злую шутку с пользователями: о совместимости этих устройств следует позаботиться до того, как одно из них выйдет из строя.

Помимо резервного копирования, которое производится при возникновении внештатной ситуации либо по заранее составленному расписанию, для большей

сохранности данных на жестких дисках применяют специальные тех-