Раздел11_11

Данная процедура позволит обнаружить подмену идентификато-

ра и (или) адреса, т. е. попытку навязывания ложной информации при несанк-

ционированном подключении к сети.

Шифрованию НЕ ДОЛЖНЫ подвергаться ВСЕМ ИЗВЕСТНЫЕ

формализованные запросы и сообщения, так как, ЗНАЯ ЗАКОН

ПРЕОБРАЗОВАНИЯ, нарушитель путём перебора известных формали-

зованных сообщений может вычислить действительное значение ключа, с помощью которого одно из них закрыто, а знание последнего позволит

нарушителю ознакомиться с остальной зашифрованной информацией.

Поступающая в сеть зашифрованная ключом отправителя информация дешифруется на ПЭВМ-получателе с помощью ключа, значение которого соответствует идентификатору и (или) адресу отправителя.

(Ключи шифрования отправителей хранятся в ПЭВМ-получателе в зашифрованном виде,

они зашифрованы ключом-паролем получателя информации.)

4 В менее ответственных ЛВС для защиты от модификации инфор-

мации при её передаче по телефонным каналам используется система

«ОБРАТНЫЙ ВЫЗОВ». ????????????????????????????????????

Если нужно подключиться к ПЭВМ, где имеется система защиты «обрат-

ный вызов», следует сообщить об этом системе, и тогда её устройство

защиты подготавливается для «обратного вызова» на ваше местонахождение.

Другими словами, система имеет в памяти полный листинг на каж-

дого допущенного пользователя. В этот файл включены:

ВОЛОКОННО-ОПТИЧЕСКОГО КАБЕЛЯ, использующего тонкий стеклян-

ный световод, но которому передача информации осуществляется путём модуляции света.

Однако появились сообщения о возможности съёма информации и с этих кабе-

лей. Поэтому наилучшим средством защиты от вышеуказанных угроз СЛУЖИТ ШИФРОВАНИЕ передаваемой информации, о котором сооб-

щалось выше.

Данное шифрование и шифрование, упоминаемое выше при описании средств защиты информации в ПЭВМ, не одно и то же, хотя оно и может выполняться на одном и том же устройстве

(аппаратном или программном). В одном случае оно может быть предназначено для персонального использования (закрытия информации на флоппи-дисках), в другом – для сетевого контроля и разграничения доступа.

6 Средства защиты будут выполнять свою задачу, если они со-

ставляют ЗАМКНУТЫЙ КОНТУР ЗАЩИТЫ и имеют СРЕДСТВА СИГНАЛИЗАЦИИ И БЛОКИРОВКИ ДОСТУПА,

а в случаях невозможности создание последних обладают такой прочностью, время на преодоление которой больше времени жизни защищаемой ин-

формации или финансовые затраты на преодоление которой превышают стоимость защищаемой информации.

Задачи ОБЪЕДИНЕНИЯ РАЗЛИЧНЫХ СРЕДСТВ ЗАЩИТЫ (со-

здания замкнутого контура) и обеспечения их функционирования выпол-

няют СРЕДСТВА ЦЕНТРАЛИЗОВАННОГО УПРАВЛЕНИЯ И КОНТРОЛЯ ЗАЩИТОЙ.

Схема распределения средств защиты по ВКНСД приведена в таб-

лице11.1.

Таблица 11.1 – Распределение средств зашиты по ВКНСД ЛВС

Для РАСЧЁТА И ОЦЕНКИ УРОВНЯ БЕЗОПАСНОСТИ информа-

ции в ЛВСпредлагается

В ЗАВИСИМОСТИ от заданной модели нарушителя, ценности и

важности обрабатываемой информации использовать

ТРИ КЛАССА ЗАЩИТЫ.

Значение ПРОЧНОСТИ КАЖДОГО СРЕДСТВА ЗАЩИТЫ определяется по формуле (10.1), и условие прочности преграды с обнаружением и блокировкой НСД по (10.2) – с использованием операции «ИЛИ», так как зло-

умышленник реализует несанкционированное действие только в одном месте из

многих.

РСЗИ = ( 1 – РНР) ( 1 – РОБХ1) ( 1 – РОБХ2) … ( 1 – Робхk),

(11.1)

где РНР – вероятность преодоления за время меньшее, чем время жиз-

ниинформации;

k – число путей обхода преграды.

где TД – период опроса датчиков;

tСР – время срабатываниятревожной сигнализации;

tОМ – время определения местадоступа;

tБЛ – время блокировки доступа;

tН – время, за которое нарушитель преодолеет защиту.

Итоговая оценка уровня прочности защиты информации в ЛВС определяется в следующемподразделе.

11.2.2 Средства управления защитой информации в ЛВС

Средства ЦЕНТРАЛИЗОВАННОГО КОНТРОЛЯ И УПРАВЛЕНИЯ ЗАЩИТОЙ ИНФОРМАЦИИв ЛВС включают:

– персональное автоматизированное рабочее место службы безопасности информации(АРМ СБИ);

–специальное программное обеспечение(СПО);

–организационные мероприятия.

А) В качестве АРМ СБИ (рисунок 11.1) в больших ЛВС лучше всего использовать специально выделенную ПЭВМ, введённую в состав сети и размещённую в отдельном помещении, оборудованном средствами охран-

ной сигнализации.

Рисунок 11.1 – Схема АРМ службы безопасности информации

В менее ответственных системах целесообразно выполнение задач

АРМ СБИ совместить с выполнением задач управления ЛВС на ПЭВМ администратора сети, выполняющей также роль супервизора системы.

Однако согласно принципу разделения привилегий, исключающему сосредоточение ВСЕХ ПОЛНОМОЧИЙ у одного человека, в ответ-

ственных системах функции службы безопасности необходимо разделить между СБИ и руководством фирмы, в конторах – между СБИ и владельцем

ЛВС.

Это означает, что функции автоматизированного управления безопасностью могут выполняться С ДВУХ ПЭВМ: администратора и руководителя.

Нормальный режим работы ЛВС – когда функции управления выполняет администратор, а руководитель контролирует его действия и при необходимо-

сти может в этот процесс вмешаться.

Все изменения, вносимые администратором (руководителем) в си-

стему, должны автоматически регистрироваться И сообщаться на ПЭВМ руководителя (администратора) в виде отображения на его дисплее краткого сообщения о характерепроизведённых изменений.

Далее руководитель (администратор) может специальным запросом уточнить информацию. Совмещение указанных задач, однако, не означает отключе-

ние, даже на короткий период времени, функций обнаружения и блоки-

ровки НСД, а также контроля функционирования средств защиты.

Б) СПЕЦИАЛЬНОЕ ПРОГРАММНОЕ ОБЕСПЕЧЕНИЕ системы безопасности информации включаетследующие программы:

–ввода списков идентификаторов пользователей сети;

–генерации и ввода кодов ключей-паролей(КП);

–ввода и контроля полномочий пользователей;

–регистрации и отображения сообщений о фактах НСД: несовпадений КП, нарушений полномочий с указанием времени, места и даты события;

–регистрации обращений к информации, хранимой в файл-сервере и рабо-

чих станциях с указанием автора обращения, времени и даты выдачи информации;

–ведения журнала учёта и регистрации доступа к информации;

–формирования и выдачи необходимых справок по НСД;

–контроля целостности программного обеспечения ЛВС;

–контроля конфигурации ЛВС;

–управления шифрованиеминформации;

–периодического тестирования и контроля функционирования пе-

речисленных функций;

–документирования перечисленных работ;

–ведения статистики НСД.

Особое внимание следует обратить на необходимость постоянного

контроля НСД и выработки сигнала тревожной сигнализации на АРМ СБИ, так как во многих подобных программах ограничиваются только регистрацией события.

Отсутствие механизма немедленного отображения сигнала НСД с указанием его места возникновения существенно снижает безопасность информации

и даёт время нарушителю на выполнение своей задачи, так как просмотр журна-

ла регистрации может быть отложен или забыт по каким-либо причинам.

В) ОРГАНИЗАЦИОННЫЕ МЕРОПРИЯТИЯ по управлению и контролю доступа к техническим средствам и информации необходимы для проведения централизованной защиты на ЛВС в целом, а так-

же

для дублирования в целях усиления прочности наиболее слабых зве-

ньев защиты.

Правильная и чёткая организация защиты – залог её высокой эффективности. Однако необходимо помнить, что гарантированные результаты даёт только автоматика, а не человек со всеми слабостями человеческой натуры.

11.2.3 Защита информации ЛВС от случайных НСД

Методы и средства защиты от них в ЛВС аналогичны методам и средствам, применяемым в больших вычислительных сетях.

Однако в ЛВС на персональных компьютерах этому вопросу уде-

ляют специальное внимание, акцентируя его на следующих методах и сред-

ствах защиты, специфичных для ЛВС.

ДЛЯ РЕЗЕРВИРОВАНИЯ ДАННЫХ можно использовать несколько различных типов оборудования и средств: резервные мобильные носители данных, вспомогательный жёсткий диск, дисковод со сменны-

ми жёсткими дисками, лентопротяжное устройство со сменными кассетами.

Весьма желательно хранить резервные ключи отдельно от оригинальных.

Резервные копии, хранящиеся в одном месте с первичными данными, могут быть уничтожены в одной и той же аварийной ситуации.

Возможность хранения сколь угодно больших объёмов данных особенно важна при создании архивов.

ОТКАЗОУСТОЙЧИВОСТЬ – другая область защиты данных, которая

может быть использована с системой резервирования.

Отказоустойчивость обеспечивается дополнительными компонентами системы для предотвращения потери данных или простоя из-за

отказа элемента системы.

Благодаря своей базовой архитектуре ЛВС обладает высокой степенью отказо-

устойчивости. Отказ отдельной рабочей станции не влияет на работу ЛВС, а отказ сервера или другого оборудования ЛВС не мешает использовать рабочую станцию как изолированную ПЭВМ.

Однако ЛВС все чаще применяется для управления критическими данными и критическими прикладными программами, что требует большей эффективно-