Раздел11_11

11 ЗАЩИТА ИНФОРМАЦИИ В СЕТЯХ

Потенциальные угрозы безопасности информации в ЛВС. Система защиты от НСД в ЛВС: от преднамеренного и случайного НСД. Средства управления защитой в ЛВС. Архивирование данных. Схема системы защиты информации в ЛВС. Оценка уровня безопасности от преднамеренного НСД в ЛВС.

(Сост. Никонов А.В.)

Любой способ соединения двух и более компьютеров с целью распределе-

ния ресурсов – файлов, принтеров и т. п. – можно назватьсетью.

ЛОКАЛЬНАЯ ВЫЧИСЛИТЕЛЬНАЯ СЕТЬ (ЛВС) представляет со-

бой тип сети, объединяющий близко расположенные системы, как пра-

вило, в пределах группы сотрудников или отдела предприятия. Все устройства ЛВС способны обмениваться информацией друг с другом непосред-

ственно.

Отдельные локальные сети объединяются в региональную вычислитель-

ную сеть (widearea network) – WAN.

Самое ОСНОВНОЕ СВОЙСТВО локальной сети – доступ к сетевым ресурсам.

За этой простотой стоит многое, чем пользователь рабочей станции может не подозревать. Так СЕТЕВОЕ ПРОГРАММНОЕ ОБЕСПЕЧЕНИЕ делится

на три категории:

–ПО управления сетевой платой;

–ПО, выполняющее правила (или протокол) общения в сети;

–ПО сетевой операционной системы.

ОПЕРАЦИОННАЯ СИСТЕМА РАБОЧЕЙ СТАНЦИИ – не единственная ОС в локальной сети. На файловом сервере работает особая ОС,

называемая сетевой ОС (СОС).

Если ЛВС поддерживает только одну операционную систему, т. е.

сам при помощи РЕКОНФИГУРИРУЕМЫХ БЮДЖЕТОВ пользователей.

Администратор сети контролирует эти бюджеты и определяет, что должен видеть и делать пользователь, зарегистрированный в сети.

11.1 Потенциальные угрозы безопасности информации в ЛВС

В общем случае автономную ЛВС можно представить как сеть, элементами которой являются малые комплексы средств автоматизации – ПЭВМ с различным набором внешних

устройств, а каналами связи – кабельные магистрали.

ПОТЕНЦИАЛЬНЫЕ УГРОЗЫ – это попытки несанкционирован-

ного доступа с целью модификации, разрушения, хищения информации

или ознакомления с нею. Возможные каналы несанкционированного доступа к

информации в ЛВС такие же, как в больших вычислительных сетях.

Отличием ЛВС, учитывая её относительно малую территорию раз-

мещения, является возможность расположения каналов связи ЛВС на охраняемой территории, что значительно сокращает количество по-

тенциальных нарушителей и в некоторых менее ответственных системах поз-

воляет с целью экономии уменьшить прочность защиты информации в кабель-

ных линиях связи. Малые габариты компьютера позволяют разместить его на столе в отдельном защищённом помещении и облегчают, с одной стороны, проблему контроля доступа к его внутренним линиям связи и монтажу устройств.

С другой стороны, возникает ВОПРОС КОНТРОЛЯ ЦЕЛОСТНОСТИ

ЛВС, т. е. схемы соединений сети, так как ЛВС – система по своей идее

децентрализованная.

Также возникает вопрос: А ВСЕГДА ЛИ НЕОБХОДИМ ТАКОЙ КОНТРОЛЬ? Считается, что в очень маленьких ЛВС с парой компьютеров, кото-

рые разделяют жёсткий диск и принтер, диагностика является излишеством.

Но по мере РОСТА сети возникает необходимость в мониторинге сети и еёдиагностике.

Большинство ЛВС имеют ПРОЦЕДУРЫ САМОТЕСТИРОВАНИЯ низкого уровня, которые должны запускаться при включении сети.

Эти тесты обычно охватывают кабель, конфигурацию аппаратных

средств, в частности плату интерфейса сети.

В составе БОЛЬШИХ ЛВС предусматриваются сложные системы с

двойным назначением – МОНИТОРИНГОМ ИДИАГНОСТИКОЙ.

ЦЕНТР УПРАВЛЕНИЯ СЕТЬЮ (ЦУС) – это пассивное монито-

ринговое устройство, КОТОРОЕ СОБИРАЕТ ДАННЫЕ о потоках со-

общенийв сети, еёхарактеристиках, сбоях, ошибках и т. д.

Данные о потоках сообщений показывают, КТО пользуется сетью, а также КОГДА и КАК она применяется.

Однако упомянутые выше средства диагностики ЛВС НЕ ОБНАРУЖИВАЮТ несанкционированное подключение к сети

ПОСТОРОННЕЙ ЭВМ.

Отключение компьютера от сети контролируется, иногда с перерывами по желанию оператора или по запросупользователя.

В больших ЛВС (до 10 км) кабельные линии могут выходить за

пределы охраняемой территории или в качестве линий связи могут использоваться телефонные

линии связи обычных АТС, на которых информация может подверг-

нуться несанкционированному доступу.

Кроме того, сообщения в локальной сети МОГУТ БЫТЬ ПРОЧИТАНЫ НА ВСЕХ ЕЕ УЗЛАХ, несмотря на специфические сетевые адреса. Посредством пользовательских модификаций последних все узлы сети

могут считывать данные, циркулирующие в данной ЛВС.

Таким образом, в число возможных КАНАЛОВ преднамеренного несанкционированного доступа к информации для ЛВСвходят:

–доступв ЛВС со стороны штатной ПЭВМ;

–доступв ЛВС со стороны кабельных линий связи.

НЕСАНКЦИОНИРОВАННЫЙ ДОСТУП СО СТОРОНЫ ШТАТНОЙ ПЭВМ (включая серверы) возможен по каналам для авто-

номного режима её работы.

Здесь необходимо защищаться и от пользователя-нарушителя, до-

пущенного только к определённой информации файл-сервера, и от ограниченного круга других пользователей данной ЛВС.

НЕСАНКЦИОНИРОВАННЫЙ ДОСТУП В ЛВС СО СТОРОНЫ КАБЕЛЬНЫХ ЛИНИЙ:

–со стороны штатного пользователя-нарушителя одной ПЭВМ

при обращении к информации другой, в том числе файл-серверу;

–при подключении посторонней ПЭВМ и другой посторонней ап-

паратуры;

–при побочных электромагнитных излучениях и наводках за счёт

переизлученияинформации.

Кроме того, в результате аварийных ситуаций, отказов аппаратуры,

ошибок операторови разработчиков ПО ЛВС,

возможны:

–переадресацияинформации;

–отображение и выдача её на рабочих местах, для неё не предназначенных;

–потеря информации в результате её случайного стирания или пожа-

ра.

Машинная память – достоинство автоматизированной системы. Но хране-

ние данных в этой изменчивой среде повышает вероятность потери данных:

несколько нажатий клавиш могут уничтожить результаты работы многих ча-

сов и даже лет.

Проникновение вируса в ПЭВМ может также неприятно отразиться на всей работе и информации ЛВС.

11.2 Система защиты информации от НСД в ЛВС

Анализ ЛВС как объекта защиты, возможных каналов несанкционированного доступа (ВКНСД) к информации ограниченного пользования и потенциальных угроз позволяет выбрать и построить соответствующую систему защиты.

11.2.1 Защита отпреднамеренного НСД

НСД со стороны пользователя-нарушителя, очевидно, потребует создания

на программном уровне ЛВС СИСТЕМЫ ОПОЗНАНИЯ И РАЗГРАНИЧЕНИЯ ДОСТУПА к информации (СОРДИ) со всеми её ат-

рибутами:

– средствами идентификации и аутентификации пользователей, а

также

– разграничения их полномочий по доступу к информации файл-

сервера и другим ПЭВМ данной ЛВС.

1 При этом ЗАЩИТА ДАННЫХ файл-сервера осуществляется од-

ним способом или в различных сочетаниях четырьмя способами:

а) входным паролем.

Это первый уровень сетевой защиты. Защита при входе в сеть применяется

по отношению ко всем пользователям. Чтобы выйти в файл-сервер, пользователю нужно знать своё «имя» и соответствующий пароль (6–8 символов).

Администратор безопасности может установить

ДОПОЛНИТЕЛЬНЫЕ ОГРАНИЧЕНИЯПО ВХОДУ в сеть:

1) ограничить период времени, в течение которого пользователь

может входить в сеть;

2)назначить рабочим станциям специальные адреса, с которыми разрешено входить в сеть;

3)ограничить количество рабочих станций, с которых можно выйти в сеть;

4)установить режим «запрета постороннего вторжения»,

когда ПРИ НЕСКОЛЬКИХ несанкционированных попытках С

НЕВЕРНЫМ ПАРОЛЕМустанавливается ЗАПРЕТ НА ВХОДв сеть.

Б) Попечительской защитойданных.

Это второй уровень защиты данных в сети – используется для управления

возможностями индивидуальных пользователей по работе с файлами

взаданном каталоге.

ПОПЕЧИТЕЛЬ – это пользователь, которому предоставлены привилегии или права для работы с каталогоми файлами внутринего.

Любой попечитель может иметь восемь разновидностей прав:

–Read – право Чтенияоткрытых файлов;

–Write– право Записив открытые файлы;

–Open– право Открытия существующего файла;

–Create – право Создания (и одновременно открытия) новых фай-

лов;

–Delete – право Удаления существующих файлов;

–Parental– Родительские права:

*право Создания, Переименования, Стирания подкатало-

говкаталога;

*право Установления попечителей и прав в каталоге;

*право Установления попечителей и прав в подкаталоге;

–Search – право Поиска каталога;

–Modify– право Модификации файловых атрибутов.

В) Защитой в каталоге.

Это третий уровень защиты данных в сети. Каждый каталог имеет

«маску максимальных прав».

Когда создаётся каталог, маска прав каталога содержит те же во-

семь разновидностей прав, что и попечитель.

Ограничения каталога применяются только в одном заданном каталоге. За-

щита в каталоге не распространяется на его подкаталоги.

Д) Защитой атрибутами файлов.

Защита атрибутами файлов – четвёртый уровень защиты данных в сети. При этом предусмотрена возможность устанавливать, может ли индивидуальный файл быть изменён или разделён.

Защита атрибутами файлов используется в основном для Предотвра-

щения Случайных ИзмененийИли Удаления отдельных файлов.

Такая защита, в частности, полезна для защиты информационных файлов общего пользования, которые обычно читаются многими пользователями. Эти файлы не должны допускать порчи при попытках изменений или стирания. В защите данных используются четыре файловых атрибута: «Запись–Чтение/Только чтение» и «Разделяемый/Неразделяемый».

2 Чтобы исключить ВОЗМОЖНОСТЬ ОБХОДА систем опозна-

ния и разграничения доступа в ПЭВМ и ЛВС путём применения отладоч-

ных программ, а также проникновения компьютерных вирусов,

РЕКОМЕНДУЕТСЯ,

если это возможно, в данной ЛВС применять ПЭВМ БЕЗ

ДИСКОВОДОВ или хотя бы ЗАБЛОКИРОВАТЬ ИХ МЕХАНИЧЕСКОЙ крышкой, опечатываемой администратором безопасности.

Данная мера, кроме того, защищает от кражи данных, которые можно скопировать на мобильные носители данных в течение нескольких минут. Эти носители легко спрятать и вынести за пределы даже охраняемой территории.

Многие поставщики сетей сейчас обеспечивают ВОЗМОЖНОСТЬ

ЗАГРУЗКИ локальных рабочих станций С ЦЕНТРАЛЬНОГО СЕРВЕРА

и таким образом делают ПЭВМ без диска пригодной для использования

всети.

Втех же случаях, когда требуется локальное запоминающее устрой-

ство, допускается возможность замены внешнего мобильного носителя на местный жёсткий диск.

3 Опознание пользователя и разграничение доступа в ЛВС можно

также организовать С ПОМОЩЬЮ ШИФРОВАЛЬНОГО

УСТРОЙСТВА.

Лучше всего для этой цели использовать аппаратное устройство, так

как его подмена или отключение нарушителю не помогут.

Такое устройство устанавливается в каждой ПЭВМ и тогда

ЗАКОННЫЙ ПОЛЬЗОВАТЕЛЬ ОБРАЩАЕТСЯ в сеть с помощью ключа-пароля, ОТВЕТНЫЕ ЗНАЧЕНИЯ которого ХРАНЯТСЯ НА ТЕХ рабочих СТАНЦИЯХ, к обмену с КОТОРЫМИ ОН ДОПУЩЕН.

В свою очередь на файл-сервере по этому паролю ему могут предоставлять-

ся персональные массивы данных.

Ещё одно достоинство этого метода в том, что КЛЮЧ-ПАРОЛЬ

ДАННОГО ПОЛЬЗОВАТЕЛЯ НЕ ХРАНИТСЯ НА ДАННОЙ ПЭВМ, а

ЗАПОМИНАЕТСЯ ПОЛЬЗОВАТЕЛЕМ или ХРАНИТСЯ НА специаль-

ном носителе типа КАРТОЧКИ.

Все ДАННЫЕ, включая коды паролей, которые ПОСТУПАЮТ В

СЕТЬ, и все данные, которые ХРАНЯТСЯ НА ЖЕСТКОМ ДИСКЕ, ДОЛЖНЫ БЫТЬ ЗАШИФРОВАНЫ.

При передаче данных в сеть, ДО НАЧАЛА ШИФРОВАНИЯ (с це-

лью привязки к передаваемой информации) идентификатор и (или) адрес

получателя и отправителя (передаваемые в открытом виде) совместно

синформацией ДОЛЖНЫ ПОДВЕРГАТЬСЯ ОБРАБОТКЕ

ОБЫЧНЫМИ СРЕДСТВАМИ ПОВЫШЕНИЯ ДОСТОВЕРНОСТИ,

результат которой одновременно с зашифрованной информацией поступает на ПЭВМ-получатель, где

после дешифрации принятая информация проверяется на совпадение.