- •Анализ текущего состояния дел по защите сетей эвм
- •71% - Не уверены в защищенности своих сетей.
- •10 Советов от Ernst&Young по защите информации
- •Особенности защиты информации в сетях эвм
- •Методы и механизмы защиты сетей
- •Особенности защиты различных классов сетей
- •Организационные меры обеспечения защиты информации
Особенности защиты различных классов сетей
Выше мы рассмотрели общие методы и механизмы защиты сетей. Однако каждая сеть, как и каждая система, должна иметь индивидуально разработанную защиту, учитывающую ее особенности. Прежде всего необходимо учитывать класс сети (локальная или территориальная, централизованная или распределенная и т. д. ) и используемое программное и аппаратное обеспечение, а также набор протоколов (вообще говоря протоколы должны выбираться с учетом требований безопасности). К числу таких особенностей можно отнести также состав и количество пользователей, протяженность линий связи, особенности топологии, режим работы и т. д.
Естественно предположить, что требования к защите будут определяться назначением и функциями сети. Поэтому защита локальной и территориальной, централизованной и распределенной сетей, сетей с различной топологией будет различаться. Ниже мы рассмотрим особенности организации защиты некоторых классов сетей.
Важнейшей особенностью защиты сетей является единство характера сети и механизмов защиты Другими словами, защита должна соответствовать принципам организации сети: если сеть централизованная, то и защита должна быть централизованной; если сеть распределенная, то и защита должна быть распределенной. Ниже (таблица 2) приводятся некоторые различия между сетями централизованной и распределенной организации и вытекающие из этих различий способы защиты.
Таблица 2.
Различия способов защиты при различной организации сетей ЭВМ
|
|
Централизованная
|
Распределенная
|
|
Рабочая среда
|
Обычно замкнутая для определенной группы пользователей, работающих с ограниченным кругом задач. Механизмы защиты обычно реализуют соответствие "пользователь-задача" или "пользователь-набор данных".
|
Потенциально открытая для взаимодействия с другими системами и сетями. Механизмы защиты должны учитывать возможность работы с различными группами пользователей: локальными, удаленными, "своими", "чужими" и др.
|
|
Информационная база
|
Определена и контролируется. Механизмы защиты ориентированы на защиту центрального узла.
|
Не определена, контроль зависит от пользователей. Механизмы защиты распределены по узлам сети в зависимости от выполняемых функций + механизмы защиты сетевой среды.
|
|
Потоки информации
|
Точка-точка. Защита выполняет минимальные функции.
|
Неупорядочены. Механизмы защиты должны упорядочивать потоки информации в соответствии с политикой безопасности.
|
|
Физический контроль доступа
|
Критичен для центрального узла. Механизмы защиты сосредоточены на центральном узле.
|
Минимален.
|
|
Логический контроль доступа.
|
Защита набора данных и среды выполнения, аутентификации периферийных пользователей.
|
Защита наборов данных и целостности сети, аутентификации на каждом узле.
|
Подобные различия характерны и для сетей различной топологии. Однако, между моделью организации обработки и топологией существует некоторая связь. Так например, для централизованной обработки больше всего подходит топология "звезда", для распределенной - "общая шина", характеризующаяся высокой скоростью передачи данных и сравнительно быстрым доступом к узлу. Ниже приводятся некоторые особенности защиты для сетей различных топологий (таблица 3)
Таблица 3.
Особенности защиты в сетях с различными топологиями
|
Топология |
Достоинства |
Недостатки |
Комментарий |
|
Звезда
|
Легкость подключения новых устройств без реконфигурации сети. Центральный узел может осуществлять коммутацию каналов, сообщений и пакетов.
|
В случае сбоя на центральном узле вся сеть выходит из строя. Центральный узел требует жесткой физической и логической защиты. Установленное соответствие "точка-точка", широковещательные передачи невозможны.
|
Основная информация содержится на центральном узле, периферийные узлы играют роль терминалов.
|
|
Кольцо (узлы сети равноправны)
|
Нет центрального узла, с которым ассоциируются проблемы безопасности. Каждый узел имеет равноправные возможности для передачи сообщения.
|
Разрыв кольца выводит систему из строя. При добавлении нового узла требуется реконфигурация сети. Передача сообщения через другие узлы снижает безопасность сети.
|
Каждый узел должен быть достаточно производительным. Передача сообщения через промежуточный узел позволяет производить с ним любые манипуляции, криптозащита приведет к потере производительности.
|
|
Шина
|
Нет центрального узла. Разрыв шины, изоляция одного устройства не влияют на работу остальных. Легкость расширения.
|
Пропускная способность может снижаться при повышении нагрузки. Возможность прослушивания сообщений, предназначенных другим узлам. Необходимы более жесткие средства аутентификации.
|
Наиболее удобная и производительная организация, но требует более жестких мер защиты. Особенно на уровне протоколов низкого уровня.
|
Способы и методы защиты сети также зависят от назначения сети. Ниже приводятся некоторые особенности защиты локальных и корпоративных локальных сетей (таблица 4)
Таблица 4.
Особенности защиты локальных и корпоративных сетей
|
|
|
|
|
|
Локальные сети
|
Корпоративные сети
|
|
Характерные особенности
|
Более или менее определенный круг пользователей. Малая протяженность линий связи. Высокая скорость передачи данных. Широкие возможности протоколов, в т. ч. для организации распределенной обработки.
|
Неопределенный круг пользователей. Большая протяженность линий связи. Неопределенный (иногда) маршрут сообщений. Более низкая скорость передачи данных. Могут связывать отдельные терминалы, локальные сети, другие территориальные сети.
|
|
Уязвимые места
|
Отдельный узел, злоумышленник - обычно пользователь.
|
Оконечные устройства, каналы связи, промежуточные устройства (ретрансляторы, шлюзы, модемы и т. д. ).
|
|
Характерные нарушения
|
Несанкционированный доступ на другой узел (для доступа к набору данных, использования ресурсов, запуска программы) - любой вид атаки с верхнего уровня. "Маскарад". Редко - манипулирование отдельными сообщениями.
|
Все нарушения, характерные для локальных сетей, особенно проникновение. Манипулирование сообщениями (подделка, удаление, переупорядочивание и т. д. ) и потоками - любой вид атаки с нижнего уровня.
|
|
Меры защиты
|
Контроль доступа в соответствии с принятой политикой безопасности. Аутентификация. Контроль целостности сети с помощью служебных сообщений. Редко - оконечное шифрование и контроль целостности.
|
Контроль доступа, аутентификация, цифровая подпись, контроль целостности (в т. ч. с помощью служебных сообщений), управление сообщениями и потоками, заполнение текста, шифрование (оконечное и канальное) и др.
|
|
|
Криптозащита, заполнение текста, контроль целостности требуют много ресурсов и ведут к снижению скорости передачи данных.
|
Защита от нападений с верхнего уровней зависит от возможностей соответствующих протоколов. Наиболее опасным является проникновение.
|
|
Комментарий
|
Контроль целостности с помощью служебных сообщений: узлы сети периодически посылают идентификационные сообщения, содержащие информацию об идентификаторе и статусе узла. Узел, не пославший вовремя такое сообщение, считается вышедшим из строя. Благодаря этим сообщениям такие события как наличие узлов с одинаковыми идентификаторами, отсутствие узла, узел с некорректным идентификатором будут быстро вокализованы. Естественно, протоколы сети должны быть составлены с учетом этих возможностей
| |
Существует, однако, один вид нарушений, который одинаково опасен и для локальных, и для территориальных сетей - доступ с помощью коммутируемых линий связи (например, телефонных). Их опасность заключается в том, что любой, знающий адрес сети и имеющий соответствующее оборудование (компьютер и модем), может получить доступ к сети. При этом идентифицировать этого пользователя очень сложно - можно зафиксировать только номер абонента, и то далеко не всегда. Доступ к сети с помощью коммутируемых линий связи считается потенциально наиболее опасным.
Для поддержания безопасности сети на должном уровне любой вход через коммутируемые линии связи, будь то удаленный терминал или другая сеть, необходимо аутентифицировать. В качестве механизма аутентификации может использоваться парольная защита, проверка по списку разрешенных номеров и т. д. Можно также использовать устройства автоматического повторного вызова (automatic call-back), если вызывающий абонент имеет несколько номеров. При запросе доступа вызываемый узел разрывает связь, осуществляет аутентификацию, а затем в зависимости от результата проверки либо производит повторное соединение (возможно, с другим номером), либо прекращает сеанс. Однако при использовании таких устройств необходимо внимательно следить за списком доступных номеров.