15. Захист від віддалених мережевих атак

Один из путей защиты информации при подключении к локальной или глобальной сети – использование либо прикладных программ со встроенной защитой, либо специальных программ защиты файлов и трафика. В этом случае каждое из приложений имеет свою собственную систему защиты и при постоянном обновлении программного обеспечения приходится постоянно задумываться о средствах защиты информации в новых приложениях. Например, программа PGPnet является надежным средством прозрачного шифрования трафика в локальных сетях.

Иной способ защиты локальной сети состоит в использовании так называемых межсетевых экранов (firewall, брэндмауэр). Межсетевой экран – это локальное (однокомпонентное) или функционально–распределенное программное (программно-аппаратное) средство (комплекс), реализующее контроль за информацией, поступающей в автоматизированную систему и/или выходящей из автоматизированной системы. Межсетевой экран пропускает или блокирует информацию на основе ее анализа по некоторому набору правил, устанавливаемых администратором сети. При этом адреса всех прошедших или заблокированных информационных пакетов фиксируется в специальных журналах. Таким образом, межсетевой экран, установленный на границе локальной и глобальной сетей позволяет установить контроль над входящей и исходящей информацией, отсечь ее нежелательную часть, пресечь попытки несанкционированного доступа к ресурсам локальной сети и установить адреса злоумышленников, совершающих подобные попытки.

Межсетевые экраны представляют собой эффективное средство защиты от несанкционированного доступа к внутренним ресурсам сети. Однако необходимость пропуска разрешенного трафика, составляющая одну из функций экрана, оставляет лазейку для проникновения в защищенную сеть. Межсетевой экран не решает также проблему разграничения доступа внутри самой локальной сети.

Межсетевые экраны могут быть программными (пакетные фильтры), аппаратными или программно–аппаратными. Первые предоставляют самый низкий уровень защиты и являются самыми дешевыми. В зависимости от масштаба предприятия и стоимости защищаемых данных выбирается соответствующий комплекс средств защиты.

Технология виртуальных сетей (VPN-технология) позволяет организовать корпоративную сеть, защищенную от несанкционированного доступа, используя при этом любые каналы связи: коммутируемые и выделенные каналы, локальные и глобальные сети передачи данных и т.д.

Защита информации в VPN строится с использованием следующих технических приемов:

• Шифрование исходного IР-пакета, что обеспечивает секретность содержащихся в пакете данных, таких как поля IР-заголовка и поле данных;

• Цифровая подпись IР-пакетов, что обеспечивает аутентификацию пакета и источника-отправителя пакета;

• Инкапсуляция IР-пакета в новый защищенный IР—пакет с новым заголовком, содержащим IР-адрес устройства защиты, что маскирует топологию внутренней сети.

Теперь немного о принципе работы этой технологии. VPN-устройство располагается между внутренней сетью и Internet на каждом конце соединения. Когда вы передаете данные через УРЫ, они исчезают “с поверхности” в точке отправки и вновь появляются только в точке назначения. Этот процесс принято называть “туннелированием”. Как

можно догадаться из названия, это означает создание логического туннеля в сети Internet, который соединяет две крайние точки. Благодаря туннелированию частная информация становится невидимой для других пользователей IP. Прежде чем попасть в Internet - туннель, данные еще и шифруются, что обеспечивает их дополнительную защиту. Протоколы шифрования бывают разные. Все зависит от того, какой протокол туннелирования поддерживается тем или иным VPN -решением. IРsес поддерживает самый широкий спектр стандартов шифрования. Еще одной важной характеристикой VPN-решений является диапазон поддерживаемых протоколов аутентификации. Большинство популярных продуктов работают со стандартами, основанными на использовании открытого ключа, такими как Х.509. Это означает, что, усилив свою виртуальную частную сеть соответствующим протоколом аутентификации, вы сможете гарантировать, что доступ к вашим защищенным туннелям получат только известные вам люди.

В режиме построения VPN (режиме туннелирования) IРsес обеспечивает безопасность связи в Интернете «упаковкой» IР-пакета в новый IР-пакет с применением к нему различных преобразований — шифрации и электронных подписей

В зависимости от требований к IР используется два вида заголовков, и, соответственно, предоставляется два режима функциональности протокола. В одном случае ЕSР предоставляется возможность передавать зашифрованные данные, электронно подписывать передаваемые данные и включать в заголовок специальный счетчик — число, которое увеличивается на 1 в каждом новом пакете, предотвращая повторное использование данных. Таким образом, обеспечивается секретность, неизменность предаваемых данных, невозможность их повторного использования и подтверждается личность их отправителя. Причем можно использовать все эти возможности как одновременно, так и по отдельности. Во втором случае АН позволяет включать электронную подпись всего пакета и счетчик. Таким образом, гарантируется все то, что обеспечивает ЕSР, кроме секретности. Но АН обеспечивает электронную подпись всего пакета, в том числе и внешнего IР-заголовка (адреса и другие надписи на конверте), в то время как ЕР защищает только улакованный пакет. При необходимости эти два заголовка могут использоваться совместно, что применяется в случае, когда необходимо и обеспечить секретность данных, и гарантировать целостность всего пакета.

16. Критерії захищеності автоматизованих систем. Профіль захисту

Для оценки защищенности компьютерных систем (КС) в 1983 г. в США впервые были формально определены критерии оценки безопасности КС Министерства Обороны США – TCSEC – «Оранжевая Книга».

1986 г. – Европейские критерии.

1992 г. – документы Гостехкомиссии России, Федеральные критерии (заменили «Оранжевую книгу», появилось понятие «профиль»).

1993 г. – Канадские критерии.

1999 г.– единые критерии- утверждены Международной организацией по стандар-дартизации ISO в качестве международного стандарта информационной безопас-ности.

1999 г. – Украинские критерии.

Профиль состоит из трех частей:

название класса:

1. – одномашинный однопользовательский комплекс

2. – локализованный многомашинный многопользовательский комплекс

3. – распределенный многомашинный многопользовательский комплекс

виды угроз, от которых обеспечивается защита:

К – конфиденциальность, Ц – целостность, Д – доступность

номер профиля – 1.К.1={НР-1, …, НТ-1}

Функциональный профиль – упорядоченное перечисление уровней функциональных услуг, которое может использоваться в качестве формальной спецификации функциональности КС.

Функциональные критерии разбиты на 4 группы:

конфиденциальность – КД – доверительная конфиденциальность (4 уровня КД-1, …, КД-4),

КА – административная (КА-1, …, КА-4),

КО – повторное использование объектов;

целостность – ЦД – доверительная целостность, ЦБ – при обмене;

доступность;

наблюдательность – НИ – идентификация и аутентификация, НР – регистрация (НР-1, …, НР‑5).