Учебное пособие 800434

Наиболее оптимальным с точки зрения ряда критериев является принцип централизованного накопления информации при условии непосредственного доступа к ней со стороны пользователей (принцип "единого информационного пространства"). Конкретной реализацией этого принципа является интегрированный банк данных, представляющий собой на логическом уровне целостную систему взаимосвязанных баз данных, которые при этом могут быть физически расположены на разных серверах и сегментах сети. Именно структурированные базы данных обладают необходимыми свойствами для наиболее оптимального хранения информации: позволяют хранить данные различных типов и форматов наиболее органичным для них способом; раскладывать каждый элемент данных на свою "полку", что облегчает поиск и извлечение информации. Если с базами данных предполагается работа многих пользователей, то существенными с точки зрения ЗИ становятся такие элементы, как методы организации доступа к данным и их обработки, а также СЗИ СУБД.

Существует два основных способа сетевого доступа пользователей к базе данных - так называемые "файл-сервер" и "клиент-сервер". При использовании метода "файл-сервер" обработка данных по запросу клиента производится приложением, запущенным на его сетевой станции, для чего по сети два раза передается весь массив данных, к которому было обращение. По методу "клиент-сервер" по сети передаются только сам запрос и ответ на него в клиентское приложение посредством специальных драйверов, а сама обработка данных производится в исходном массиве так называемым SQL-сервером. Очевидно, что второй метод существенно снижает нагрузку на сетевую среду (за счет резкого уменьшения трафика) и позволяет достигать гораздо более высокой производительности системы. Данная технология также существенно безопаснее первой, т.к. ни пользователь, ни запускаемые им приложения не имеют прямого доступа (на чтение и модификацию данных) к БД, а сами БД могут быть размещены на выделенных серверах. Технология "клиент-сервер" получила в настоящее время

167

наибольшее распространение в корпоративных информационных системах.

В случае организации web-интерфейсов для работы с БД через web-сервер реализуется трехуровневая модель доступа к базам данных "клиент – сервер приложений – сервер БД", которая является еще более эффективной и защищенной, чем классическая модель "клиент - сервер".

Важным направлением развития этой технологии является использование концепции "распределенных баз данных". Потребность в ее использовании обусловлена необходимостью хранения больших объемов разнообразной информации и организации доступа нескольких групп корпоративных пользователей к информационным ресурсам разной степени конфиденциальности по различным каналам

ресурсов по степени использования оборудования и нагрузки на базы данных;

-разделить информационные ресурсы по сегментам сети, режимам доступа и группам пользователей.

-выполнить требования оптимального размещения данных с точек зрения ввода, трансляции, исполнения запросов, администрирования и защиты информации.

13.ПРОГРАММНЫЕ СЗИ В КС

13.1.Классификация программных СЗИ

Данная открывает раздел курса, в котором рассматриваются программные средства защиты информации (ПСЗИ). К ним мы будем относить как чисто программные, так и программноаппаратные средства (в которых аппаратная часть играет вспомогательные функции). Попытаемся классифицировать

168

различные средства, относящиеся к данному классу. В качестве классифицирующих признаков выберем уровни функционирования ПСЗИ, направления выполнения функций и виды практической реализации.

Уровни функционирования :

-ПСЗИ для локального однопользовательского ПК; -ПСЗИ для многопользовательского ПК:

-ПК с несколькими пользователями; -ПК в составе одноранговой сети;

-ПСЗИ для корпоративной КС: -КС масштаба локальной сети;

-КС масштаба корпоративной сети. Направления выполнения функций: -Аутентификация;

-Защита от несанкционированного чтения/копирования: -управление правами доступа; -шифрование файлов и дисковых областей;

-Защита от несанкционированных действий, изменяющих состояние КС (модификация, удаление, запуск программ...);

-Управление правами доступа; -Защита от несанкционированного проникновения извне:

-защита подсистем удаленного доступа; -защита каналов выхода КС в глобальные сети.

Виды реализации:

-ПСЗИ встроенные (подсистемы безопасности): -в операционных системах; -в СУБД;

-в пользовательских программах; -Специализированные ПСЗИ:

-ПСЗИ в виде надстроек к штатным подсистемам безопасности; -ПСЗИ, выполняющие самостоятельные функции;

-По используемым средствам: -чисто программные; -программно-аппаратные.

169

13.2.Обзор современных программных СЗИ

Впоследующих х будут более или менее подробно рассмотрены подсистемы безопасности (ПСБ) наиболее распространенных программных систем и наиболее широко представленные на рынке специализированные ПСЗИ:

-ПСБ системного ПО (операционных систем); -ПСБ хранилищ данных под управлением СУБД; -средства защиты файлов и дисков;

-средства создания защищенных каналов передачи информации; -средства защиты от вторжений из глобальных сетей.

Подсистемы безопасности операционных систем.

Наиболее распространенными в России ОС на данный момент являются продукты фирмы Microsoft. В классе домашних, офисных, клиентских – это повсеместно ОС группы Windows

95/98/XP. В классе серверных платформ преобладают ОС Windows NT/2000, затем следуют ОС Nowell Netware и на третьем месте – различные релизы LINUX удельный вес которых постоянно растет.

Типовыми функциями подсистемы безопасности ОС (ПСБ) являются:

-защита жизненно важных компонентов самой ОС; -аутентификация пользователей; -управление доступом пользователей к ресурсам и функциям; -аудит работы ОС и пользователей.

Общеизвестно, что ОС Windows 95/98 фактически являются однопользовательскими системами, и в них практически отсутствуют ПСБ. То есть, любой пользователь, получивший доступ к компьютеру, на котором они установлены, обладает полным доступом ко всем ресурсам и функциям этих ОС. При

организации одноранговых сетей из компьютеров, оснащенных

многопользовательскими, как при использовании в качестве рабочей станции, так и в качестве сервера. При инициации эти ОС создают по умолчанию суперпользователя ―АДМИНИСТРАТОР‖ с полным набором прав доступа, от имени которого можно создавать затем других пользователей, имеющих собственные идентификаторы, пароли, а также различные (ограниченные) права доступа к ресурсам и функциям, даже если они работают на одном

итом же компьютере. Сетевой доступ к серверам на базе этих ОС также является более безопасным и гибко настраиваемым.

ОС Nowell Netware являются в чистом виде сетевыми и устанавливаются только на выделенные серверы, консоль которых в принципе может использоваться только для администрирования системы и только одним пользователем (SUPERVISOR). Он также может создавать других пользователей и наделять их различными правами доступа к объектам сетевой файловой системы (NDS).

Многопользовательская ОС LINUX может использоваться в качестве пользовательской и серверной платформы. Полным набором прав доступа к этой ОС обладает суперпользователь ROOT, только от имени которого могут запускаться почти все сервисы администрирования системы. ПСБ LINUX имеет несколько степеней защиты – от упрощенного до ―параноидального‖. Кроме стандартных средств аутентификации, управления доступом и аудита, в нее встроены программные маршрутизаторы и межсетевые экраны. К достоинствам ПСБ LINUX следует отнести также ―бесследное‖ удаление файлов (в отличие от ОС Windows и Netware). Следует также отметить, что для ОС LINUX имеются средсва эмуляции серверов Windows NT 4.0 (SAMBA) и Nowell Netware 3.12 (MARS), поддерживающие все функции ПСБ этих ОС.

Средства ЗИ в системах управления базами данных (СУБД).

Внастоящее время существует большое количество классов СУБД, позволяющих создавать базы данных различных масштабов

иуровней защищенности – от однопользовательских ―настольных‖ БД до мощных корпоративных хранилищ данных, используемых сотнями и тысячами пользователей посредством удаленного доступа по различным каналам.

171

Однопользовательские (―настольные‖) СУБД практически не имеют собственных средств ЗИ. Основная проблема заключается в том, что пользователь, получивший доступ к работе с данными, накопленными в БД, через некий стандартный интерфейс (приложение) одновременно получает права на уровне ОС на чтение/модификацию файлов БД. Как правило, эти файлы можно прочитать каким-либо внешним средством просмотра:

-для наиболее распространенных файлов типа dbase - это различные вьюеры в файловых менеджерах типа Norton Commander, MS Excell, программа Dbview и т.п.;

-ряд форматов файлов БД можно читать просто любым текстовым редактором или вьюером, поскольку они записаны просто в структурированный ASCII-файл.

При этом, даже если файлы данных нельзя прочитать напрямую в связи с использованием какого-либо специального формата или средств шифрования, их можно скопировать, испортить или удалить.

К этому классу относятся следующие СУБД: клоны Dbase,

технологию ―файл-сервер‖ (см. лекцию 13) являются, как правило, расширениями ―настольных‖ СУБД и наследуют их недостатки в сфере информационной безопасности. Так, например, удаленные пользователи имеют те же права на файлы данных, что и локальные пользователи.

Наиболее защищенными являются СУБД, поддерживающие различные варианты технологии ―клиент-сервер‖ (см. лекцию 13). Их глобальными преимуществами являются:

-наличие механизма, отделяющего пользователей от файлов БД (системы драйверов);

-возможность располагать файлы БД на разных физических носителях и серверах, доступ к которым пользователям закрыт;

-наличие гибкой системы разграничения полномочий пользователей (групп) к различным объектам БД (таблицам, их столбцам и строкам).

К этому классу относятся следующие СУБД: MS SQL-server, 172

Informix, DB2, "Oracle", "Линтер". На примере двух последних будут рассмотрены механизмы работы СЗИ СУБД данного класса.

ПСЗИ для персональных компьютеров.

Поскольку ПК являются наиболее массовым вариантом

использования компьютерной техники, в дальнейшем изучении

ПСЗИ будет также уделено внимание рассмотрению

специализированных средств, повышающих уровень безопасности

ПК, обеспечиваемый с помощью штатных ОС. Учитывая, что

основными проблемами ОС W95/98 являются отстутствие средств аутентификации, управления доступом и защиты от вторжений извне, в последующих х планируется изучение:

-программных средств для аутентификации доступа к

компьютеру;

-ПО для создания защищенных файлов, папок, логических

дисков; -средств защиты ПК при работе в "Интернет".

ПСЗИ первой группы блокируют штатный (незащищенный) процесс старта ОС W95/98 и заменяют его процессом авторизованного входа в систему, как при старте NT (например, программа Access Denied).

Средства второй группы обеспечивают дифференцированный доступ разных пользователей к объектам файловой системы (файлам, папкам, логическим дискам). При этом, как правило, с помощью данных средств пользователи защищают собственные конфиденциальные информационные ресурсы. Основным методом, используемым в них, является шифрование. К данным средствам относятся: Secret Disc, Dallas Lock, Norton Your Eays Only и т.п.

К средствам третьей группы относятся различные классы программ:

-ПСБ стандартных броузеров (IE Explorer, Mozilla, Opera...);

-персональные брандмауэры ( ); -антивирусные средства (AVP, Doctor WEB...);

-программы поиска ―шпионов‖ и ―закладок‖(AD-Aware...).

являющихся интегрированными решениями в данном секторе.

173

Специализированные ПСЗИ для локальных и корпоративных сетей.

Локальные сети с точки зрения информационной безопасности характеризуются ограниченностью в пространстве (как правило, в пределах контролируемой зоны внутри одного здания), отсутствием прямых соединений с другими ЛС, единой транспортной средой (кабель, протоколы, интерфейсы).

Специализированные программные СЗИ для локальных сетей являются, как правило, надстройками над сетевыми ОС и обеспечивают более удобное управление их ПСБ и (или) добавляют некоторые дополнительные эксклюзивные функции безопасности. К подобным средствам относятся, например, сетевые компоненты программно-аппаратных комплексов "Secret Net" и "СНЕГ-ЛВС".

Корпоративные сети характеризуются, наоборот, наличием переходов между различными физическими сетями и линиями связи, а также значительной территориальной распределенностью.

В роли специализированных ПСЗИ для корпоративных сетей выступают:

-брандмауэры и маршрутизаторы; -средства организации виртуальных частных сетей;

-средства обнаружения и блокирования сетевых атак; средства защиты электронной почты (антивирусы, системы

ЭЦП).

14. ПОДСИСТЕМЫ БЕЗОПАСНОСТИ ОПЕРАЦИОННЫХ СИСТЕМ

14.1.Типовая структура подсистемы безопасности ОС

Основные функции ОС:

1)управление ресурсами ЦП и ОЗУ;

2)управление операциями ввода-вывода и взаимодействиями

свнешними устройствами;

174

3) создание и поддержание файловой структуры дисковой подсистемы.

Подсистема безопасности ―защищенной‖ операционной системы должна контролировать выполнение этих функций ОС с точек зрения обеспечения бесперебойности работы КС и защищенности ее информационных ресурсов.

Типовыми функциями (ПСБ) являются:

-защита жизненно важных функций и компонентов самой

ОС;

-управление адресацией и разделение ресурсов памяти; -планирование и синхронизация задач; -обеспечение корректности доступа к объектам; -предотвращение тупиковых ситуаций;

-восстановление работоспособности ОС после сбоев; -аутентификация пользователей; -собственно идентификация + аутентификация;

-управление доступом пользователей к ресурсам и функциям; -авторизация:

-сопоставление пользователей с их полномочиями; -выполнение задач и файловых операций от имени

конкретных пользователей; -разрешение/блокирование действий пользователей; -аудит работы ОС и пользователей; -фиксация действий пользователей; -фиксация ―критических‖ состояний ОС.

Термины, применяемые при рассмотрении ПСБ ОС.

Объект доступа - любой элемент операционной системы, доступ к которому пользователей и других субъектов доступа может быть произвольно ограничен (файлы, папки...).

Метод доступа к объекту - операция, определенная для некоторого объекта (для файлов методы доступа "чтение", "запись" и "добавление").

Субъект доступа - любая сущность, способная инициировать выполнение операций над объектами доступа (логические пользователи).

Владелец - субъект, которому принадлежит данный объект и

175

который несет ответственность за конфиденциальность содержащейся в объекте информации, а также за целостность и доступность объекта (обычно субъект, создавший данный объект).

Привилегия - право на доступ по некоторому методу или группе методов ко всем объектам операционной системы, поддерживающим данный метод доступа (если субъект имеет привилегию отлаживать программы, он имеет право доступа ко всем объектам типа "процесс" и "поток" по группе методов, используемых отладчиками при отладке программ).

Разграничение доступа субъектов к объекту - совокупность правил, определяющая, разрешен ли доступ данного субъекта к данному объекту по данному методу.

14.2. Подсистема безопасности в Windows NT/2000

Подсистема безопасности NT представляет собой сложную комбинацию тесно связанных между собой "зон ответственности", таких, как политика учетных записей, права пользователей, политики аудита, списки контроля доступа, административные полномочия и системные службы.

Архитектура NT – с точки зрения безопасности. Структурно Windows NT может быть представлена в

виде двух частей: часть операционной системы, работающая в режиме пользователя, и часть операционной системы, работающая в режиме ядра (рис. 42).

176