Билет 23.2 Способы защиты от нсд в ос. Классификация ос согласно требованиям защиты от нсд. Способы защиты ос коммутаторов и ос маршрутизаторов.

ORANGE BOOK! Что делать с protection? Любая ОС занимается защитой файловых систем. Это её функция, потому что подсистема ввода-вывода – это 2/3 кода ОС. Я разграничиваю доступ к файловой системе. Это софт.

1. Для зашиты от несанкционированного доступа нужно использовать организационные методы защиты. Консоль (клавиатура + терминал) должны быть локированы (доступ к ним по паролю). Любая ОС позволяет делать lock.

2. 3А (Authentication, Authorization, Audit)

1. Аутентификация - Пользователь доказывает, что он действительно тот, за кого себя выдает. Например, помимо логина он вводит пароль.

2. Авторизация - Предоставление пользователю определенных прав (authorities) согласно его роли в системе.

3. Аудит - Фиксация в системном журнале событий, связанных с доступом к защищаемым системным ресурсам.

3. На всех коммутаторах и роутерах должен быть класс защиты B3:

Все команды разделены на классы. Например, если я класс user, то могу выполнять только команды этого класса. Должны быть ACL (Access Control List). Это фильтр. Например, тебе можно иметь доступ к порту коммутатора, а тебе нельзя.

(Эта защита стоит тут, так как роутеры и коммутаторы являются «центральными» устройствами по отношению к серверам (много серверов подключены к одному коммутатору))

4. На всех серверах должен быть класс защиты C2:

   1. Все пользователи имеют какие-то права. (Например, read, write для файлов и т.д.) (Есть право, а есть привилегия – это право дать право.)

   2. Необходимо кодировать пароли при помощи AES / DES / Triple DES. (Потому что любая ИС ведет log (журнал), куда попадают все действия с системой, в том числе и пароли. Если этот файл найдут «хакеры», то пароли в нем должны быть закодированы).

5. Устройства, работающие с критической информацией по возможности не должны иметь доступа к сети

Классификация ОС согласно требованиям защиты от НСД.

Существуют классы ОС. Эти классы описаны в orange book department of health, это министерство безопасности штатов. Опередили нас, потому что у них драйвером всего была военная промышленность.

Класс D – самый низкий (dos), умеет делать только ААА (авторизация, аутентификация, аудит). Авторизация – (Предоставление прав на выполнение действий) Аутентификация – (проверка подлинности пользователя). Аудит – (логирование всех действий, мониторинг ресурсов)

Разница между login и attach. Login – вход в сессию и говорю давай мне ресурсы, я тебе объявился, я делаю это под твоим контролем. Attach – я просто приаттэчиваюсь к дисковому пространству, я не требую ресурсов на сессию, я диском на файл-сервере буду пользоваться с сервера СУБД.

Novell NetWare сказали давайте разделим всех пользователей, которые имеют логины, на группы, а каждой группе дадим свои права доступа к файловой системе. Это класс C1.

Класс С2 – у каждого пользователя, входящего в группу всё равно есть свои отличные права. Когда делается логин и вы входите в ОС файл-сервера, то в этом логине я могу сделать специальную команду, которая называются map (maping). Там я скажу, что для тебя сетевой диск F, а для тебя С, и ты будешь иметь такие-то права, ты такие. Будет системный и свой логин.

Для ОС коммутаторов этого недостаточно. Все они класс B. Тут у нас есть деление команд на уровни. Класс B1 – эти уровни не поименованные, просто 1,2,3,4,5. Класс B2 – уровни имеют имена (system-view, …). Плюс, если у ОС есть такая функция как ACL (Access Control List) – это фильтры, по которым ты, например можешь ограничить ip. Это класс B3 (VRP принадлежит этому классу).

Класс безопасности (protection) всей нашей системы определяется по наиболее слабому классу безопасности ее частей (если у кого-то B1, а у кого-то В3, то итоговый класс В1).

Есть ОС, имеющие класс С, но при этом поддерживают ACL. ОС класса А – это В3 с точки зрения функций, но написать мы ее не можем, так как для этого класса необходима сертификация от National Computer Security Center. Без сертификата продавать ОС такого класса нельзя.

(НЕМНОГО ПРО ШИФРОВАНИЕ, ЕСЛИ СПРОСИТ)

Любая ОС имеет аутентификацию, следовательно, поддерживает пароли. Пароли хранятся в зашифрованном виде, не могут быть simple (как мы делали в работах, пароль виден в логах). Вся информация системная кодируется по стандарту IBM (DES - Data Encryption Standard). У этого стандарта есть ответвления Advanced Encryption Standard (AES) и TripleDES. Это симметричный ключ для кодирования и раскодирования. В алгоритме DES вся информация разбивается на блоки по 64 байта и кодируется ключом длиной 64 байта. AES – это уже блоки по 128 байт, а кодируется ключом 256 байт. TripleDES – это просто троекратное повторение алгоритма DES.

(НЕМНОГО ПРО ЛОКИРОВАНИЕ, ЕСЛИ СПРОСИТ)

У всех ОС есть функция локирования клавиатуры. ОС настраивается в такой последовательности: базовые параметры, потом пользователи, прежде всего супервизоры, потом лок на клавиатуру и таким образом защитили доступ к консоли.

Способы защиты ОС коммутаторов и ОС маршрутизаторов.

После локирования защищается весь доступ к управлению (VLAN 100). С его помощью ставятся пароли на терминалы внешнего управления. Можно поставить пароли на telnet/ssh (5 уровень модели OSI). Таким же образом защищается доступ к TFTP-серверу, где хранятся копии всего, чем управляем.

Во всех ОС коммутаторов поддерживается протокол IEE 802.1x – это контроль доступа по MAC-адресам. Это маска доступа (вайтлист физических адресов). Это делается софтом (локи на клавиатуру, пароли, фильтр MAC-адресов). Если у устройств нету MAC-адресов, то применяется программа Radius (используется для VPN). Например, кто-то подключается без адреса, используя PPP (point-to-point protocol). В таком случае устройство обратится к коммутатору по протоколу EOP, а тот к серверу Radius по EAPOL (англ. extensible authentication protocol). И в базе данных Радиуса будет проверка, есть ли такой пользователь или нет. Так и устроен VPN, пользователь обращается к оператору связи, у того стоят серверы, которые на Радиусе ищут пользователя. Радиус надо использовать, когда есть устройства без физ. адресов (модемы, например), когда не получается применять 802.1х.

Любая ОС должна иметь протоколы 802.1p 802.1Q (это VLAN). Это организация пользователей в виртуальные сети с целью ограничения доступа (порты назначаются на VLAN). Можно разделить доступ по портам, по протоколам и по MAC-адресам, по IP адресам. По умолчанию VLAN 1 уже у ОС включен и туда занесены все порты. И у VLAN 1 разрешено управление. Поэтому и переименовывали в лабораторных управляющий vlan в 100. Стандарт 802.1p, 802.1Q – это VLAN в рамках одного или нескольких коммутаторов. VLAN делить по протоколам не следует – почти все сидят на IP, по MAC-адресам тоже, так как они могут поменяться (старые устройства поменяли на новые). VLAN по портам тоже плохо, так как пользователи могут переехать.

У ОС маршрутизаторов есть еще один способ защиты от НСД – NAT (Network Address Translation). У всех пользователей для выхода во внешний мир есть один белый IP и адреса как бы мультиплексируются. Адреса у пользователей статические. И ОС рутера переводит локальные IP в внешний. У части рутеров это реализовано хардвеерно.

Еще есть прокси – программы (дополнительные, не встроенные в ОС рутера). Эти программы, запущенные на рутере, будут отвечать на запросы вместо рабочей станции, подключенной к рутеру.

Firewall – это решение двадцатилетней давности. Firewall представляет из себя программу для рутера, которая работает как фильтр доступа. Он всегда ставится на границе между тем, кому доверяем и тем, кому не доверяем. Современные средства защиты доступа (вместо Firewall) называются DPI – Deep Packet Inspection, железо. Распознать, что приходит на рутер с помощью DPI можно, он позволяет читать все налету все вплоть до 7 уровня OSI. Для пропускной способности 10 Гбит/сек средствам DPI нужно читать 3 миллиона пакетов в секунду.

Немного про средства, входящие в состав ОС. Протокол syslog. Этот протокол позволяет собирать все события в единый лог, чтобы потом отправлять на сервер. Это аудит, то есть контроль потребления ресурсов пользователем. IEEE не требует наличия syslog в ОС, поэтому так себе средство – всех не опросишь.