Учебно-методическое пособие по дисциплине Методы и средства защиты компьютерной информации
.pdf
21
Пример симметричной системы представлен на рисунке 6.
|
|
|
Шифрование |
|
Расшифрование |
|
|||||
|
|
|
|
|
|
|
|
|
|
|
|
Открытый текст |
|
|
Шифротекст |
Канал |
|
Открытый |
|
|
Открытый текст |
||
|
|
|
текст |
|
|
||||||
М |
|
|
C=Ek(M) |
передачи |
|
|
|
М |
|||
|
|
|
M=Dk(C) |
|
|
||||||
|
|
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Ключ К |
|
|
Ключ К |
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
Рисунок 6. Симметричная криптосистема
2. Асимметричные криптосистемы
Асимметричные криптосистемы характеризуются тем, что в них используются различные ключи для шифрования и дешифрования информации. Ключ для шифрования (открытый ключ) можно сделать общедоступным, с тем чтобы любой желающий мог зашифровать сообщение для некоторого получателя. Получатель же, являясь единственным обладателем ключа для дешифрования (секретный ключ), будет единственным, кто сможет расшифровать зашифрованное для него сообщение. Пример асимметричной системы представлен на рисунке 7.
|
|
|
Шифрование |
|
Расшифрование |
|
|||||
|
|
|
|
|
|
|
|
|
|
|
|
Открытый текст |
|
|
Шифротекст |
Канал |
|
Открытый |
|
|
Открытый текст |
||
|
|
|
текст |
|
|
||||||
М |
|
|
C=EKp(M) |
передачи |
|
|
|
М |
|||
|
|
|
M=DKs(C) |
|
|
||||||
|
|
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Открытый |
|
|
Закрытый |
|
|
|
||
|
|
|
ключ |
|
|
ключ |
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
Рисунок 7. Пример асимметричной системы
Примеры асимметричных криптосистем – RSA и схема Эль-Гамаля. Симметричные и асимметричные криптосистемы, а также различные их
комбинации используются в АС прежде всего для шифрования данных на различных носителях и для шифрования трафика.
Методы защиты внешнего периметра
Подсистема защиты внешнего периметра АС обычно включает в себя два основных механизма: средства межсетевого экранирования и средства обнаружения вторжений.
22
Межсетевое экранирование
Межсетевой экран (МЭ) выполняет функции разграничения информационных потоков на границе защищаемой АС. Это позволяет:
·повысить безопасность объектов внутренней среды за счёт игнорирования неавторизованных запросов из внешней среды;
·контролировать информационные потоки во внешнюю среду;
·обеспечить регистрацию процессов информационного обмена.
Контроль информационных потоков производится посредством
фильтрации информации, т.е. анализа её по совокупности критериев и принятия решения о распространении в АС или из АС.
В зависимости от принципов функционирования, выделяют несколько классов межсетевых экранов. Основным классификационным признаком является уровень модели ISO/OSI, на котором функционирует МЭ.
1.Фильтры пакетов.
Простейший класс межсетевых экранов, работающих на сетевом и
транспортном уровнях модели ISO/OSI. Фильтрация пакетов обычно осуществляется по следующим критериям:
·IP-адрес источника;
·IP-адрес получателя;
·порт источника;
·порт получателя;
·специфические параметры заголовков сетевых пакетов. Фильтрация реализуется путём сравнения перечисленных параметров
заголовков сетевых пакетов с базой правил фильтрации.
2. Шлюзы сеансового уровня
Данные межсетевые экраны работают на сеансовом уровне модели ISO/OSI. В отличие от фильтров пакетов, они могут контролировать допустимость сеанса связи, анализируя параметры протоколов сеансового уровня.
3. Шлюзы прикладного уровня
Межсетевые экраны данного класса позволяют фильтровать отдельные виды команд или наборы данных в протоколах прикладного уровня. Для этого используются прокси-сервисы – программы специального назначения, управляющие трафиком через межсетевой экран для определённых высокоуровневых протоколов (http, ftp, telnet). Примеры реализации шлюзов прикладного уровня представлены на рисунке 8.
|
23 |
|
|
|
|
|
http |
|
|
А |
|
В |
||
|
|
|
||
|
|
|
||
|
|
|
|
|
а) Без использования прокси-сервисов
А |
Proxy |
|
http |
|
Proxy |
|
http |
В |
|
клиент |
|
|
|
сервер |
|
|
|
||
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
б) С использованием прокси-сервисов
Рисунок 8. Шлюзы прикладного уровня:
а) Без использования прокси-сервисов, б) С использованием прокси-сервисов
Если без использования прокси-сервисов сетевое соединение устанавливается между взаимодействующими сторонами А и В напрямую, то в случае использования прокси-сервиса появляется посредник – прокси-сервер, который самостоятельно взаимодействует со вторым участником информационного обмена. Такая схема позволяет контролировать допустимость использования отдельных команд протоколов высокого уровня, а также фильтровать данные, получаемые прокси-сервером извне.
При этом прокси-сервер на основании установленных политик может принимать решение о возможности или невозможности передачи этих данных клиенту А.
4. Межсетевые экраны экспертного уровня
Наиболее сложные межсетевые экраны сочетают в себе элементы всех трёх приведённых выше категорий. Вместо прокси-сервисов в таких экранах используются алгоритмы распознавания и обработки данных на уровне приложений.
Большинство используемых в настоящее время межсетевых экранов относится к категории экспертных. Наиболее известные и распространённые -
CISCO PIX, CheckPoint FireWall 1.
Системы обнаружения вторжений
Обнаружение вторжений представляет собой процесс выявления несанкционированного доступа (или попыток такового) к ресурсам АС.
Система обнаружения вторжений (Intruction Detection System, IDS) в
общем случае представляет собой программно-аппаратный комплекс, решающий данную задачу.
24 |
|
Ее алгоритм представлен на рисунке 9. |
|
Сенсор получает сетевой пакет |
|
Пакет передаётся ядру |
|
Совпадение с сигнатурами |
Нет |
|
|
Да |
|
Предупреждающее сообщение на консоль |
|
Вызов модуля ответного реагирования
Рисунок 9. Алгоритм функционирования IDS
Функционирование систем IDS
Сенсоры получают сетевой трафик, а ядро путём сравнения полученного трафика с записями имеющейся базы сигнатур атак пытается выявить следы попыток несанкционированного доступа. Модуль ответного реагирования представляет собой опциональный компонент, который может быть использован для оперативного блокирования угрозы: например, может быть сформировано правило для межсетевого экрана, блокирующее источник нападения. Структурная схема функционирования IDS представлена на рисунке 10.
25
Сетевой |
Консоль |
|
интерфейс |
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Сенсор |
|
|
Ядро |
|
|
|
|
||
|
|
|
|
|
|
|
||||
|
|
|
(модуль анализа) |
|
|
|
|
|||
|
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Модуль |
|
Модуль |
|
||
|
ответного |
База сигнатур |
|||
протоколирования |
|
||||
|
реагирования |
|
|||
|
|
|
|||
|
|
|
|
|
|
|
Рисунок 10. Структурная схема IDS |
|
|||
Существуют две основные категории IDS:
1.IDS уровня сети. Сенсор функционирует на выделенном для этих целей хосте в защищаемом сегменте сети. Хост – любое устройство, предоставляющее сервисы формата «клиент-сервер» в режиме сервера по каким-либо условиям. Обычно сетевой адаптер данного хоста функционирует в режиме прослушивания (promiscuous mode), что позволяет анализировать весь проходящий в сегменте сетевой трафик.
2.IDS уровня хоста. В случае, если сенсор функционирует на уровне хоста, для анализа может быть использована следующая информация:
·записи стандартных средств протоколирования операционной системы;
·информация об используемых ресурсах;
·профили ожидаемого поведения пользователей.
Каждый из типов имеет свои достоинства и недостатки. IDS уровня сети не снижает общую производительность системы, однако IDS уровня хоста более эффективно выявляет атаки и позволяет анализировать активность, связанную с отдельным хостом. На практике лучше использовать системы, совмещающие оба подхода.
26
Построение систем защиты от угроз нарушения целостности
Принцип обеспечения целостности
Большинство механизмов, реализующих защиту информации от угроз нарушения конфиденциальности, в той или иной степени способствует обеспечению целостности информации.
Основные принципы обеспечения целостности (сформулированы Кларком и Вилсоном):
1.Корректность транзакций. То есть, данные должны модифицироваться исключительно таким образом, чтобы обеспечивалось сохранение их целостности.
2.Аутентификация пользователей. Изменение данных может осуществляться только аутентифицированными для выполнения соответствующих действий пользователями.
3.Минимизация привилегий. Процессы должны быть наделены теми и только теми привилегиями в АС, которые минимально достаточны для их выполнения.
4.Разделение обязанностей. Для выполнения критических или необратимых операций требуется участие нескольких независимых пользователей. На практике это может быть реализовано либо организационными методами, либо с использованием криптографических схем разделения секрета.
5.Аудит произошедших событий. Принцип требует создания механизма подотчётности пользователей, позволяющего отследить моменты нарушения целостности информации.
6.Объективный контроль. Оперативное выделение данных, контроль целостности которых является оправданным.
7.Управление передачей привилегий. Порядок передачи привилегий должен полностью соответствовать организационной структуре предприятия.
Структура системы защиты от угроз нарушения целостности представлена на рисунке 11.
27
Аутентификация пользователей
Минимизация привилегий
Разделение обязанностей
Механизм обеспечения корректности транзакций
Механизмы выявления, протоколирования и аудита нарушения целостности
Криптографические механизмы обеспечения целостности
Рисунок 11. Структура системы защиты от угроз нарушения целостности
Как видно из рисунка, принципиально новыми по сравнению с сервисами, применявшимися для построения системы защиты от угроз нарушения конфиденциальности, являются криптографические механизмы обеспечения целостности.
Построение систем защиты от угроз нарушения доступности
В общем случае обеспечение защиты от угроз нарушения доступности информации реализуется путём создания той или иной избыточности. Структурная схема подобной системы представлена на рисунке 12.
28
управление надёжностью оборудования
дублирование серверов |
|
использование кластеров |
|||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Обработка |
Получение |
|
|
|
|
Передача |
||||
информации |
информации |
|
|
|
|
информации |
||||
|
|
|
|
|||||||
|
|
|
|
|
|
|
|
|
|
|
дублирование |
|
|
|
|
|
|
то же, что и для |
|||
|
|
|
|
|
|
|||||
Хранение |
|
|
|
|
||||||
каналов связи |
|
|
|
|
получения информации |
|||||
информации |
|
|
|
|
||||||
дублирование |
|
|
|
|
|
избыточные маршруты |
||||
|
|
|
|
|
|
|
||||
|
создание |
|
|
|
|
|||||
узких мест |
|
|
|
|
|
|||||
|
RAID массивов |
|
|
|
|
(динамическая |
||||
(шлюзов, МЭ) |
|
|
|
|
|
|||||
|
|
|
|
|
|
|
маршрутизация) |
|||
|
|
|
резервное |
|
|
|
|
|||
|
|
|
|
|
|
|
|
|
||
запас в пропускной |
|
копирование |
|
|
|
|
|
|
||
|
|
|
|
|
|
|
||||
|
|
|
|
|
|
|
|
|
||
способности сете- |
|
информации |
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
||
вого оборудования |
|
|
|
|
|
|
|
|
|
|
|
|
|
зеркалирование |
|
|
|
|
|
|
|
|
|
|
серверов |
|
|
|
|
|
|
|
Рисунок 12. Структурная схема системы защиты от угроз нарушения доступности
Дублирование каналов связи может осуществляться как в пределах АС, так и в отношении каналов, связывающих АС с внешней средой (использование каналов доступа к Internet от нескольких независимых провайдеров).
Дублирование шлюзов и межсетевых экранов позволяет избежать ситуации, когда связность АС нарушается из-за неисправности узла, представляющего собой «узкое место» - единую точку входа для всего трафика.
Например, дублирование может осуществляться, как показано на рисунке 13. В нормальных условия функционирования работает межсетевой экран FW1. Связь FO (failover) обеспечивает непрерывную синхронизацию FW1 c FW2, и в случае сбоя FW1 всё управление берёт на себя FW2.
Резервное копирование – один из важнейших механизмов, обеспечивающих её доступность и целостность. Методы:
1.Полное (full). Все без исключения файлы, потенциально подвергаемые резервному копированию, переносятся на резервный носитель.
2.Инкрементальное (incremental). Резервному копированию подвергаются только файлы, изменённые с момента последнего инкрементального копирования.
29
|
|
|
|
|
|
|
|
|
|
|
Internet |
|
FW1 |
|
|
|
|
ЛВС |
|||
|
|
|||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
FW0
FW2
Рисунок 13. Дублирование межсетевых экранов
3.Дифференциальное (differential). Копируются файлы, изменённые с момента полного резервного копирования. Количество копируемых данных с каждым разом возрастает. На практике резервное копирование обычно осуществляется следующим образом: периодически производится полное резервное копирование, в промежутках – дифференциальное или инкрементальное. Инкрементальное копирование производится быстрее (!), однако в случае дифференциального копирования легче восстановить оригинал по резервной копии.
RAID-массивы (Redundant Arrays of Inexpensive Disks, избыточный массив независимых данных/дисков) решают задачу оптимального (с точки зрения надёжности и производительности) распределения данных по нескольким дисковым накопителям. Типы:
·Уровень 0. Несколько дисков представляются как один виртуальный диск. Защита от сбоев не обеспечивается.
·Уровень 1. Реализуется зеркалирование – идентичные данные хранятся на нескольких дисках. Обеспечивает надёжную защиту от сбоев носителя, однако является чрезвычайно неэффективным.
·Уровень 2. Биты данных поочередно размещаются на различных дисках; имеются выделенные диски, содержащие контрольные суммы. Для контроля ошибок используется код Хэмминга. Всего используется 39 дисков: 32 с данными и семь с контрольными суммами. Используется крайне редко.
·Уровень 3, 4. Байты и блоки данных записываются на различные диски, биты чётности – на выделенный диск.
·Уровень 5. Данные и контрольные суммы распределяются по всем дискам. Достоинство: возможно одновременное выполнение нескольких операций чтения и записи, что повышает производительность системы.
·Уровень 6. Функционирование аналогично массивам уровня 5, дополнительно на аппаратном уровне реализовано представление массива в виде единого виртуального диска.
Иногда на практике используются и другие уровни, представляющие
собой нестандартизированные комбинации вышеперечисленных.
30
Зеркалирование серверов в целом аналогично зеркалированию дисковых накопителей: идентичные данные в целях защиты от сбоев оборудования записываются на два независимых сервера. Речь идёт исключительно о хранении данных.
Дублирование серверов позволяет обеспечить полноценную замену сервера в случае его сбоя за счёт передачи управления резервному серверу, как показано на рисунке 14. В случае отказа основного сервера резервный сервер, постоянно синхронизирующийся с основным с использованием failover-связи, оперативно перехватит управление.
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
О |
|
|
|
|
|
|
Р |
|
с |
|
|
|
|
е |
с |
||
с |
|
|
|
|
||||
е |
|
|
|
|
з |
е |
||
н |
|
|
|
|
||||
р |
|
|
|
|
е |
р |
||
о |
|
|
|
|
||||
в |
|
|
|
|
р |
в |
||
в |
|
|
|
|
||||
е |
|
|
|
|
в |
е |
||
н |
|
Failover |
|
|||||
о |
р |
|
|
|
|
н |
р |
|
|
|
|
|
|
|
ы |
|
|
й |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
й |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Рисунок 14. Дублирование серверов
Использование кластеров позволяет наиболее эффективно обеспечить балансировку нагрузки между несколькими серверами.
Кластером называется группа независимых серверов, управляемых как единая система. В отличие от механизма дублирования, все серверы являются активными и принимают участие в обслуживании запросов.
Избыточная маршрутизация позволяет за счёт использования избыточных маршрутизаторов и дополнительных соединений гарантировать возможность передачи информации за пределы АС в случае недоступности части маршрутов.
Надёжность оборудования в общем случае решается с привлечением методов теории надёжности. Стоит отметить, что оценка надёжности аппаратных средств вычислительной техники плохо поддаётся формализации и выбор требуемых механизмов обеспечения надёжности (резервирование и дублирование аппаратуры) осуществляется исходя из наихудших сценариев возможного развития событий.