Билет 11

1. Классы защиты от несанкционированного доступа

Для защиты ОС используют функцию protection, которая сделана по стандарту Министерства безопасности штатов и описана в Orange Book

Согласно Orange Book существует четыре класса защиты:

Класс D – самый низкий, старый класс, Windows 3.x, DOS, умеет делать только ААА (авторизация, аутентификация, аудит).

Аутентификация – Вася не прикидывается Петей, он не входит, требуя ресурсов Пети, он входит как Вася по паролю. (проверка подлинности пользователя)

Авторизация – я вхожу в ОС и говорю «давай ресурсы, я Петя, приготовь мне буферы». (Предоставление прав на выполнение действий)

Аудит – кто какие ресурсы использует: кто полез в шесть вечера, а ему было нельзя, кто полез в подсистему, кто сделал логин ненужный. (логирование всех действий, мониторинг ресурсов)

Разница между login и attach.

Login – вход в сессию и говорю давай мне ресурсы, я тебе объявился, я делаю это под твоим контролем.

Attach – я просто приаттэчиваюсь к дисковому пространству, я не требую ресурсов на сессию, я диском на файл-сервере буду пользоваться с сервера СУБД.

Класс С:

Класс С1 - Novell NetWare сказали давайте разделим всех пользователей, которые имеют логины, на группы, а каждой группе дадим свои права доступа к файловой системе (появляется разделение на группы, каждая группа имеет разный уровень доступа к файловой системе)

Класс С2 – у каждого пользователя, входящего в группу всё равно есть свои отличные права. Когда делается логин и вы входите в ОС файл-сервера, то в этом логине я могу сделать специальную команду, которая называются map (mapping). Там я скажу, что для тебя сетевой диск F, а для тебя С, и ты будешь иметь такие-то права, ты такие. Будет системный и свой логин. Синхронные протоколы, но не синхронные процессы. (помимо разделения на группы и уровней доступа в группах, также появляются персональные права доступа)

В классах C1 и С2 пароли всегда кодируются.

Класс B:

Для ОС коммутаторов этого недостаточно. Все они класс B. Тут у нас есть деление команд на уровни.

Класс B1 – уровни команд не поименованные, просто 1,2,3,4,5.

Класс B2 – уровни имеют имена (system-view, …).

Класс B3 - если у ОС есть такая функция как ACL (Access Control List) – это фильтры, по которым ты, например можешь ограничить ip. (VRP принадлежит этому классу).

Класс безопасности (protection) всей нашей системы определяется по наиболее слабому классу безопасности ее частей (если у кого-то B1, а у кого-то В3, то итоговый класс В1).

Есть операционные системы, имеющие класс С, но при этом поддерживают ACL.

Класс А – это В3 с точки зрения функций, но написать мы ее не можем, так как для этого класса необходима сертификация от National Computer Security Center. Без сертификата продавать ОС такого класса нельзя.

У ОС роутеров также есть защита скорости, были придуманы два протокола P и Q, во-первых все VLANы соединяются в один VLAN, будет наблюдаться защита разных портов у разных коммутаторов, во вторых для поддержки скорости сделали расширение в протоколе 802.1Q (видимо от слова queue), который вводит специальный приоритет на уровне фреймов и понятие class of service.

2. Понятие промежуточного узла, автономной системы, административного расстояния. Понятие внутреннего протокола маршрутизации и протокола внешнего шлюза. Интерфейсы маршрутизаторов. Какие используются как управляющие? Какие из них консольные, LAN, WAN. Что такое dsu/csu интерфейсы?

Промежуточный узел — устройство передающее данные от одного узла к другому, не является источником или конечным получателем этих данных. Таким узлом может быть коммутатор, роутер, мост или повторитель.

Автономная система (Autonomous System — AS) — это набор сетей, которые находятся под единым административным управлением и в которых используются единая стратегия и правила маршрутизации. Автономная система для внешних сетей представляется как некий единый объект.

Административное расстояние: Самый короткий путь не всегда проложен через наименьшее количество роутеров - может где-то канал не работать, и мы вообще не попадем. Такая характеристика для роутеров, которая показывает наименьший работающий маршрут, называется - Административное расстояние, установленное как константа. И для разных метрик и протоколов оно зафиксированно.

.

Внутренние протоколы имеют общее название IGP (Interior Gateway Protocol — протоколы внутреннего шлюза). К ним относится любой протокол маршрутизации, используемый исключительно внутри автономной системы.

К таким протоколам принадлежат, например, RIP, IGRP, EIGRP и OSPF. Каждый IGP-протокол представляет один домен маршрутизации внутри AS. В пределах автономной системы может существовать множество IGP-доменов. Маршрутизаторы, поддерживающие один и тот же протокол IGP, обмениваются информацией друг с другом в пределах домена маршрутизации. Маршрутизаторы, работающие более чем с одним протоколом IGP, например, использующие протоколы RIP и OSPF, являются участниками двух отдельных доменов маршрутизации. Такие маршрутизаторы называются граничными.

Внешние протоколы EGP (Exterior Gateway Protocol — протоколы внешнего шлюза) — это протоколы, обеспечивающие маршрутизацию между различными автономными системами.

Протокол BGP (Border Gateway Protocol — протокол пограничного шлюза) является одним из наиболее известных межсистемных протоколов маршрутизации. Протоколы EGP обеспечивают соединение отдельных AS и транзит передаваемых данных между этими автономными системами и через них. Протоколы EGP только распознают автономные системы в иерархии маршрутизации, игнорируя внутренние протоколы маршрутизации. Граничные маршрутизаторы различных автономных систем обычно поддерживают какой-либо тип IGP через интерфейсы внутри своих AS и BGP или иной тип внешнего протокола через внешние интерфейсы, соединяющие собственную AS с удаленной.

Интерфейсы - адаптеры - физические соединения, которые будут соединять с внешним миром (LAN-адаптеры, WAN-адаптеры).

У рутора куча адаптеров, которые подсоединяют его ко внутреннему и внешнему миру и это всё должно поддерживаться ОС в качестве интерфейсов

• PAN - private - меньше 100 метров (дома, в метро)

• LAN - local - до 80 км, 100мб-1гигабит (ethernet)

• WAN - wide - больше 80 км, 10гигабит Адаптеры для них должны стоять (Serial)

• Консольный интерфейс (RS-232) - для начальной конфигурации роутера.

• AUX (усовершенствованный RS-232) - интерфейс для удаленного управления

• DSU/CSU - специальный адаптер, изображающий, будто к роутеру подключен специальный модем, позволяющий передавать данные на выбранные расстояния и модулировать сигнал - из кодировки роутера передавать в нужную кодировку роутера для канала передачи

• *** ISDN протокол - DSL интерфейс - старый интерфейс для передачи по телефонным линиям.

Чтобы выяснить принадлежность адаптера у роутера, следует читать Installation guide. aux, например, отвечает и за управление, и за WAN.

Интерфейсы рутора: Aux, Консоль, DTU, DCU, LAN, WAN (W24, W35, W42), Асинх и синх интерфейсы серийные тоже будут всегда в каком-то виде).