Добавил:
ivanov666
Опубликованный материал нарушает ваши авторские права? Сообщите нам.
Вуз:
Предмет:
Файл:Программно-аппаратные средства защиты информации. В 3 частях. Ч.1. Учебное пособие.pdf
Выделяют два основных подхода к анализу безопасности программного
обеспечения:
1) статический анализ;
2) динамическое тестирование.
Динамическое тестирование нашло широкое применение при анализе
программного обеспечения с помощью способа, когда доступны только некоторые отдельные интерфейсы программы.
Статический анализ обычно задействуется в случаях, когда имеется полный доступ к программе. Этот способ использует исходные и загрузочные модули программного приложения и дополнительную информацию, которая связана со средой компиляции и выполнением программных компонентов. Статический анализ позволяет увеличить степень автоматизации процесса проверок
на наличие различного рода неточностей и дефектов программного обеспечения исходя из их конструктивных признаков. К тому же в данном случае не
нужно проводить длительные прогоны программного обеспечения в разных
условиях.
Пассивное сканирование. Данное сканирование позволяет обнаружить
уязвимые места по вторичным показателям и признакам, т.е. без подтверждения её наличия. Главными преимуществами этого способа являются простота и
быстрота выполнения сканирования.
Активное сканирование. В данном способе имитируется попытка взлома, в результате которой используется проверяемая уязвимость, другими словами, происходит активный анализ. Этот способ не так быстр, как пассивное
сканирование, однако он позволяет удостовериться в присутствии или отсутствии уязвимости на устройстве.
Тест на проникновение (англ. Penetration testing). Этот способ позволяет
найти уязвимые места в системе за определённый временной интервал и проверить на практике, возможно ли реализовать эти угрозы, после чего выдать сове-
21
ты по обеспечению защиты. Другими словами, тест на проникновение – это
дружественный взлом.
Пентест обычно состоит из:
− аудита инфраструктуры;
− аудита приложения (веб, бизнес);
− исследования.
Аудит инфраструктуры. Объектами аудита инфраструктуры являются
внешний периметр или внутренняя сеть. Основной задачей такого аудита является поиск всех возможных уязвимостей программного обеспечения за ограниченное количество времени в конкретной модели нарушителя, недостатков настроек конфигурации, парольной политики, особенностей архитектуры и пр.
С помощью этих уязвимостей пентестеры пытаются осуществить реальные
атаки.
Аудит приложения. Объектом аудита приложений является само приложение и его окружение. Главная задача – проанализировать приложение за ограниченное количество времени в конкретной модели нарушителя, найти необнаруженные ранее уязвимости, при этом добиться максимальной полноты изучения.
Исследование. Объектами исследования являются базовые компоненты
информационной инфраструктуры. Основной задачей исследования является
поиск неизвестных уязвимостей. Данный способ наиболее интересен и сложен,
он редко встречается, так как применяется в основном государством, спецслужбами, некоммерческими заказчиками.
1.3. ПРИНЦИПЫ СОЗДАНИЯ ПРОГРАММНО-АППАРАТНЫХ
Среди основных принципов создания программно-аппаратных средств
выделают пять:
22
СРЕДСТВ ЗАЩИТЫ ИНФОРМАЦИИ
1) обоснованности доступа;
2) достаточной глубины контроля доступа;
3) разграничения потоков информации;
4) чистоты повторно используемых ресурсов;
5) персональной ответственности.
Поясним эти принципы.
Принцип обоснованности доступа. Для предоставления пользователю
доступа к системе необходимо, чтобы исполнитель имел достаточную форму
допуска к закрытой информации соответствующего уровня конфиденциальности, и данные сведения должны быть нужны исполнителю для выполнения его
профессиональных обязанностей. Таким образом, исполнитель должен работать в своей исполнительной среде, т.е. иметь возможность видеть только доступную ему информацию. Правила создания такой среды представляются в виде математической модели управления доступом. В этой модели должна быть
предусмотрена возможность изменения взаимодействия пользователей и информационных ресурсов в системе.
Принцип достаточной глубины контроля доступа. Данный принцип
предполагает, что средства защиты информации должны включать механизмы
контроля доступа ко всем видам информационных и программных ресурсов.
Принцип разграничения потоков информации. Данный способ не позволяет записывать закрытые данные на незащищённые накопители. Достигается за счёт нанесения специальных пометок на такие накопители и ведением
их учёта.
Принцип чистоты повторно используемых ресурсов. Если какой-либо
ресурс системы будет уничтожен или заменён исполнитель другим пользователем, он должен быть освобождён от закрытых данных.
Принцип персональной ответственности. Исполнитель должен нести
персональную ответственность за свою деятельность в системе, включая все
действия с защищаемой информацией.
23
Необходимо выполнение трёх требований:
1) идентифицировать всех пользователей и процессы, запущенные от их
имени;
2) удостоверение подлинности пользователя;
3) регистрация или протоколирование механизмами контроля доступа
всех попыток доступа к защищаемой информации, в том числе и неудачных.
Принцип целостности средств защиты. Средства защиты должны точно
выполнять свои функции и быть изолированы от пользователя. Все средства
защиты должны выполняться в виде отдельного модуля, называемого «монитор
обращения».
КОНТРОЛЬНЫЕ ВОПРОСЫ К ГЛАВЕ 1
1. Какие средства информационной безопасности относятся к программ-
ным?
2. Какие средства информационной безопасности относятся к аппарат-
ным?
3. Приведите пример классификации программно-аппаратных средств
обеспечения информационной безопасности.
4. Назовите и поясните основные принципы создания программно-
аппаратных средств обеспечения информационной безопасности.
24
2. СИСТЕМЫ ИДЕНТИФИКАЦИИ И АУТЕНТИФИКАЦИИ ПОЛЬЗОВАТЕЛЕЙ
2.1. ПРЕДНАЗНАЧЕНИЕ И КЛАССИФИКАЦИЯ СИСТЕМ
ИДЕНТИФИКАЦИИ И АУТЕНТИФИКАЦИИ ПОЛЬЗОВАТЕЛЕЙ
Осуществление входа в информационную систему и получения полномо-
чий доступа к информации представляет собой три этапа:
1) идентификация;
2) удостоверение подлинности;
3) авторизация.
Идентификация – присвоение субъектам и объектам идентификатора
и(или) сравнение идентификатора с перечнем присвоенных идентификаторов.
Аутентифика9ция (англ. authentication) – проверка принадлежности субъекту доступа предъявленного им идентификатора; подтверждение его подлинности.
Авторизация (англ. authorization) – процесс предоставления определённому лицу прав на выполнение некоторых действий в соответствии с его полномочиями.
Различают три основных типа удостоверения подлинности: «человек–
компьютер», «человек–человек» и «компьютер–компьютер».
Для осуществления идентификации и удостоверения подлинности используют три типа факторов:
1) фактор знания – некоторая запоминаемая или хранящаяся на каком-
либо носителе информация, скрытая от третьих лиц (например, пароль, персональный идентификационный код (PIN), определённая последовательность
действий и т.п.);
25
2) фактор владения – обладание уникальным идентификатором (карта с
магнитной полосой, электронные ключи классов touchmemory и eToken, смарткарта, дискета и т.п.);
3) биометрический фактор – неотъемлемая сторона самого объекта,
его биометрические свойства (отпечатки пальцев, голос, геометрия лица, особенности сетчатки и радужной оболочки глаз и т.п.).
Удостоверение подлинности «человек–компьютер» предназначено для
установления личности пользователя компьютерной системы в целях предоставления или отклонения прав и полномочий доступа к защищённым данным.
У пользователя могут быть запрошены аутентификационные данные о том, что
ему принадлежит (биометрия), что он знает (пароли, процедуры), чем он владеет (портативные устройства) или где он находится (географическое положение
или адрес).
Удостоверение подлинности «компьютер–компьютер» – это взаимное
удостоверение подлинности хостов в сети. Необходимость этого процесса обусловлена возникновением таких запросов, как, например:
− следует ли пропускать межсетевому экрану в корпоративной сети «А»
пакет, принятый из компьютерной сети «В»;
− следует ли терминалу загружать ядро операционной системы с данно-
го процессингового центра;
− следует ли маршрутизатору или компьютеру доверять принятому со-
общению типа «сеть недоступна» с маршрутизатора другой сети?
Существует множество видов действий с этим типом удостоверения подлинности. Допустимо использовать пароли, цифровые подписи и шифрование.
Удостоверение подлинности, основанное на именах компьютеров, может рассматриваться как недостаточность проверки. Названия хостов существуют
только для комфорта пользователей. Для работы с именами компьютеров используется система доменных имён DNS (Domain Naming System).
26
Иногда при удостоверении подлинности «компьютер–компьютер» пароли
отправляются в виде обычного текста. Недостатком этого способа является то,
что пароли могут попасть в руки нарушителя, который анализирует сетевой
трафик.
ЭЦП обеспечивают целостность передаваемых данных, помимо идентификации отправителя. Однозначная идентификация отправителя означает, что
используется надёжный криптографический алгоритм, ключевые данные которого не скомпрометированы. Эта технология может использоваться для удостоверения подлинности как компьютеров, так и пользователей. Если требуется
абсолютная секретность, используется асимметричное шифрование с закрытыми и открытыми ключами.
Удостоверение подлинности «человек–человек» применяется для взаимного опознавания пользователей при удалённой коммуникации. Наиболее
известными методами являются: криптографический протокол Kerberos и цифровые подписи. При этом Kerberos5 KDC (Key Distribution Center) использует
центр распределения ключей. Все участники, включая клиентские и серверные
программы, должны подтвердить подлинность друг друга с помощью центра
распределения ключей.
2.2. ПРОБЛЕМЫ ВНЕДРЕНИЯ СИСТЕМ АУТЕНТИФИКАЦИИ
Надёжность подсистемы идентификации и удостоверения подлинности
пользователя в системе защиты информации (СЗИ) во многом определяет стойкость самой СЗИ к взлому, которая определяется тем, что третье лицо не сможет авторизоваться, скомпрометировав чужой аутентификатор.
Удостоверение подлинности огромного количества участников – сложный и дорогостоящий вопрос. Количество проблем управления и администрирования повышается при внесении дополнительных средств удостоверения
подлинности заранее. Важность информации, несомненно, определяет стои-
27
мость и качество используемых средств удостоверения подлинности, поэтому
при выборе метода удостоверения подлинности необходимо учесть эту зависимость. Повышение производительности комплекса обычно сопровождается
увеличением его стоимости. Эксперты утверждают, что обеспечение безопасности информации требует комплексного подхода с использованием нескольких методов предотвращения мошенничества и частичного лишения секретной
информации, необходимой для удостоверения подлинности.
Так, например, методы биометрического удостоверения подлинности в
большинстве случаев используются в комплексе с паролями или PIN-кодами
для подтверждения прав пользователей, а смарт-карты или цифровые сертификаты предоставляют информацию о местонахождении человека. Информационная безопасность не ставит своей целью повышение сложности и удорожание
средств удостоверения подлинности.
Цена устройства, которое предназначено для считывания аутентификаторов, достаточно невысока. Тем не менее стоимость средств, предназначенных
для хранения и обработки, например биометрических аутентификаторов, является достаточно высокой.
Сложные по своей структуре методы удостоверения подлинности являются дорогими в аспекте их установки, настройки, поддержки и сопровождения
программной и аппаратной составляющих.
При использовании централизованного контроля доступа повышается нагрузка на каналы связи в распределённых сетях.
Система удостоверения подлинности является необходимой составляющей системы безопасности организации, поэтому должна проектироваться, устанавливаться и управляться комплексно. Если невозможно правильно разделить уровни доступа пользователей к информации, то и их однозначная идентификация является бесполезной.
28
В чём смысл системы контроля доступа, если невозможно точно определить, кто является пользователем, от имени которого получен запрос на доступ
к ресурсам? Поэтому такие комплексные решения (Identify and Access
Management) вынесены в отдельный тип корпоративных систем. Сейчас уже
повсеместно используются системы контроля и управления доступом (СКУД),
которые работают в гетерогенной среде с множеством прикладных инфраструктур. Примером такой системы является eTrust IAM. Она обеспечивает централизованную защиту сетевой инфраструктуры, администрирование пользователей в гетерогенной среде, защиту корпоративных приложений с интегрированными приложениями и управление конфигурациями, единую централизованную авторизацию пользователей на всех ресурсах и объединённое хранение
всех данных.
В такой системе централизованного удостоверения подлинности человеку
необходимо авторизоваться один раз, при этом сложность авторизации не ограничена, после чего субъекту предоставляется контролируемый доступ к информационным ресурсам (различного рода серверы и веб-ресурсы). Такие системы называются Single Sign On. Данная система упрощает аутентификацию,
а также облегчает работу с паролями путём их регулярной автоматической смены.
Системы сбора и анализа информации позволяют обнаруживать и предотвращать попытки нелегитимного доступа. Все события безопасности обрабатываются централизованно в независимости от характера воздействия.
Существуют СКУД, которые позволяют динамически выбирать необходимые средства авторизации в зависимости от предъявляемых требований.
ПО практически всех систем удостоверения подлинности устанавливается на клиентском оборудовании. Это неизбежно предполагает необходимость
централизованного администрирования рабочих станций в масштабе информационной системы организации. Это единственный способ гарантирования того,
29
что используемое ПО сертифицировано и пригодно для работы в корпоративной сети.
Для надёжной и безопасной передачи данных удостоверения подлинности в сетевой системе, содержащей на каждом хосте свою базу данных пользователей, разработаны протоколы и стандарты для безопасной передачи информации (протоколы SOAP, SAML – Security Assertion Markup Language, спецификации WS-Security), работает организация OASIS (Organization for the
Advancement of Structured Information Standards), предлагается соответствующее
программное обеспечение.
ГОСТ Р ИСО 7498-2–99 «Информационная технология. Взаимосвязь открытых систем. Базовая эталонная модель. Часть 2. Архитектура защиты информации» введён в действие с 01.01.2000 г. и содержит общее описание тех
услуг и соответствующих механизмов защиты, которые могут быть обеспечены
эталонной моделью взаимосвязи открытых систем (ЭМВОС); определяет те позиции в рамках ЭМВОС, в которых могут обеспечиваться эти услуги и механизмы; расширяет область применения ГОСТ Р ИСО/МЭК 7498-1, охватывая
вопросы защиты процесса обмена данными между открытыми системами.
2.3. ПАРОЛЬНАЯ АУТЕНТИФИКАЦИЯ
Парольные системы – одни из первых методов удостоверения подлинности пользователей в системах защиты информации, поскольку они являются
относительно недорогими по сравнению с аппаратными и биометрическими
методами. По этой же причине они до сих пор являются одними из основных.
В этом случае аутентификационная информация пользователей содержит секретный набор символов, известный только законному пользователю.
Система удостоверения подлинности по паролю чаще всего подвергается
атакам злоумышленников в целях хищения учётных данных пользователей, поскольку парольные системы выступают в качестве первой линии обороны.
30