13. Защита информации в компьютерных сетях

Основные причины, облегчающие нарушителю реализа­цию угроз безопасности информации в распределенных КС:

• отсутствие выделенного канала связи между объектами распределенной КС (наличие широковещательной среды передачи данных, например среды Ethernet), что позволяет нарушителю анализировать сетевой трафик в подобных системах;

• возможность взаимодействия объектов распределенной КС без установления виртуального канала между ними, что не позволяет надежно идентифицировать объект или субъект распределенной КС и организовать защиту передаваемой информации;

• использование недостаточно надежных протоколов иден­тификации объектов распределенной КС перед ус­тановлением виртуального канала между ними, что по­зволяет нарушителю при перехвате передаваемых со­общений выдать себя за одну из сторон соединения;

• отсутствие контроля создания и использования виртуаль­ных каналов между объектами распределенной КС, что позволяет нарушителю добиться реализации угрозы отказа в обслуживании в КС (например, любой объект распределенной КС может анонимно послать любое число сообщений от имени других объектов КС);

• отсутствие возможности контроля маршрута получае­мых сообщений, что не позволяет подтвердить адрес отправителя данных и определить инициатора удален­ной атаки на КС;

• отсутствие полной информации об объектах КС, с кото­рыми требуется создать соединение, что приводит к не­обходимости отправки широковещательного запроса или подключения к поисковому серверу (нарушитель при этом имеет возможность внедрения ложного объ­екта в распределенную КС и выдать один из ее объек­тов за другой);

• отсутствие шифрования передаваемых сообщений, что позволяет нарушителю получить несанкционированный доступ к информации в распределенной КС.

Выделим основные методы создания безопасных рас­пределенных КС:

• использование выделенных каналов связи путем физиче­ского соединения каждой пары объектов распре­деленной КС или применения топологии «звезда» и се­тевого коммутатора, через кото­рый осуществляется связь между объектами;

• разработка дополнительных средств идентификации объ­ектов распределенной КС перед созданием вирту­ального канала связи между ними и применение средств шифрования передаваемой по этому каналу информации;

• контроль маршрута поступающих сообщений;

• контроль создания и использования виртуального соеди­нения между объектами распределенной КС (на­пример, ограничение числа запросов от одного из объ­ектов и разрыв соединения после истечения определен­ного интервала времени);

• разработка распределенной КС с полной информацией об ее объектах, если это возможно, или организация взаимодействия между объектом КС и поисковым сер­вером только с созданием виртуального канала.

Среди программно-аппаратных и программных средств обеспечения информационной безопасности распределенных КС можно выделить межсетевые экраны (МСЭ), средства анализа защищенности и средства обнаружения атак.

Межсетевой экран (брандмауэр) (нем. brandmauer, англ. firewall) – это система или комбинация систем, позволяющих разделить сеть на две или более частей и реализовать набор правил, определяющих условия прохождения пакетов из одной части в другую (рис.15). Чаще всего эта граница проводится между локальной сетью и интернет, хотя ее можно провести и внутри локальной сети. Брандмауэр, таким образом, пропус­кает через себя весь трафик. Для каждого проходящего пакета брандмауэр принимает решение пропускать его или отбросить. Для того чтобы брандмауэр мог принимать эти решения, ему необходимо определить набор правил.

Рис.15. Брандмауэр в компьютерной сети

Как правило, брандмауэры функционируют на какой-либо UNIX платформе – чаще всего это BSDI, SunOS, AIX, IRIX и т.д., реже – DOS, VMS, WNT, Windows NT/2000/XP. Из аппаратных платформ встречаются INTEL, Sun SPARC, RS6000, Alpha, HP PA-RISC, семейство RISC процессоров R4400-R5000. Помимо Ethernet, многие брандмауэры поддер­живают FDDI, Token Ring, 100Base-T, 100VG-AnyLan, различ­ные серийные устройства. Требования к оперативной памяти и объему жесткого диска зависят от количества машин в защи­щаемом сегменте сети.

Обычно в операционную систему, под управлением кото­рой работает брандмауэр, вносятся изменения, цель которых – повышение защиты самого брандмауэра. Эти изменения затра­гивают как ядро ОС, так и соответствующие файлы конфигу­рации. На самом брандмауэре не разрешается иметь счета пользователей (а значит и потенциальных дыр), только счет администратора. Некоторые брандмауэры работают только в однопользовательском режиме. Многие брандмауэры имеют систему проверки целостности программных кодов. При этом контрольные суммы программных кодов хранятся в защищен­ном месте и сравниваются при старте программы во избежание подмены программного обеспечения.

Все брандмауэры можно разделить на три типа:

• пакетные фильтры (packet filter);

• сервера прикладного уровня (application gateways);

• сервера уровня соединения (circuit gateways).

Все типы могут одновременно встретиться в одном брандмауэре.