3. Потенциальные проблемы с электронной почтой

Электронная почта (e-mail) - самый популярный вид использования Internet. С помощью электронной почты в Internete можно направить письмо миллионам людей по всей планете.

Аналогично политике использования телефона, организациям следует разработать политику правильного использования электронной почты.

Политика должна давать общие рекомендации в таких областях:

• Использование электронной почты для ведения деловой деятельности

• Использование электронной почты для ведения личных дел

• Управление доступом и сохранение конфиденциальности сообщений

• Администрирование и хранение электронных писем Электронную почту в Internet особенно легко подделать. Ей вообще нельзя доверять без применения таких расширений, как электронная подпись письма.

Принимающий хост доверяет тому, что заявляет о себе хост-отправитель, поэтому можно легко указать ложный источник письма, введя адрес электронной почты как адрес отправителя, который будет отли­чаться от истинного адреса. В результате, любой пользователь, не имеющий никаких привилегий, может фальсифицировать электронное письмо.

Случайные ошибки

• Можно легко допустить ошибку при работе с электронной почтой.

• Письмо может быть послано случайно.

• Простое нажатие клавиши или щелчок мышкой мо-гут послать письмо по неправильному адресу.

• Почтовые сообщения могут храниться годами, по­этому плохое выражение может аукнуться в дальнейшем.

• Архивы писем могут возрасти до таких масштабов, что система будет аварийно завершаться.

• Неправильно настроенная программа чтения групп новостей может привести к посылке сообщения не в те группы.

• Ошибки в списках рассылки могут привести к долгому блужданию писем между почтовыми серверами, причем число писем может увеличиться до такой степени, что почтовые серверы аварийно завершатся.

Некоторые из способов предотвращения ошибки:

• учить пользователя принимать решения при совершении ошибки и правильно работать с электронной почтой;

• конфигурировать программы электронной почты так, чтобы стандартные действия пользователя, использующие установки по умолчанию, были бы самыми безопасными;

• использовать программы, которые строго реализуют протоколы и соглашения системы Internet. Каждый раз, когда онлайновый сервис шлюзует письмо из частной почтовой системы в e-mail Internet, слышны вопли протеста при появлении большого числа сообщений с ошибками, возникшими в результате неправильных настроек почтовых серверов этого сервиса.

Ошибки, приводящие к неавторизованному доступу существуют из-за сложности программ и невозможности проверить их во всех средах, в которых они должны работать.

4. Проблемы, возникающие из-за брандмауэров

Помимо преимуществ использования брандмауэров, существует и ряд проблем, от которых брандмауэры не могут защитить. Брандмауэр не является панацеей от всех проблем безопасности, связанных с системой Internet. Имеется и ряд недостатков при их использовании. Рассмотрим некоторые из них.

Ограничение в доступе к нужным службам

Самым очевидным недостатком брандмауэра является то, что он может блокировать ряд служб, которые широко используют: TELNET, FTP, X Windows, NFS и др. Некоторые сети могут иметь топологию, которая не позволяет применить брандмауэр без серьезных ограничений при работе в сети.

Большое количество уязвимых мест

Брандмауэры не защищают от черных входов (люков) в сети. Например, если можно осуществить неограни­ченный доступ по модему в сеть, защищенную брандмауэром, атакующие могут эффективно обойти его. Скорости модемов достаточны для того, чтобы сделать возможным использование SLIP (Serial Line IP) и PPP (Point-to-Point Protocol). Эти соединение внутри защищенной сети по сути является уязвимым местом.

Плохая защита от атак собственных сотрудников

Брандмауэры обычно не обеспечивают защиты от внутренних угроз. Хотя брандмауэр может защищать от получения посторонними лицами критических данных, он не защищает от копирования своими сотрудниками данных на дискету и выноса ее за пределы сети.

Литература:

1. Колешко В.М. (Каф."Технология машиностроения" БНТУ) Безопасность в сети Интернет : [Метод. пособие для специальностей T.23.01 - "Интеллектуальные приборы, машины, технологии, производства", Т.23.02 - "Интегральные сенсорные системы", Э.01.08 - "Экономика и управление внешнеэкономической деятельностью"] / Колешко В.М., Колб А.А., Белорусская государственная политехническая академия. Кафедра "Интеллектуальные системы" . - Минск : БГПА, 2001. - 24 с..

Семенов Ю.А. Сети Интернет: Архитектура и протоколы / Семенов Ю.А. . - Москва : Блик плюс, 1998. - 423 с.

Лекция 5 Системы защиты информации (2ч)

1. Принципы построения системы защиты

2.Основные правила защиты информации.

3. Механизмы защиты информации операционных систем.

4. Защищенность ИС

1. Принципы построения системы защиты

1. Простота механизма защиты.

2. Постоянство защиты.

3. Всеобъемлющий контроль.

4. Несекретность проектирования.

5. Идентификация.

6. Разделение полномочий.

7. Минимальные полномочия.

8. Надежность.

9. Максимальная обособленность механизма защиты

10. Защита памяти.

11. Удобство для пользователей

12. Контроль доступа.

13. Авторизация

14. Отчетность.

15. Доступность к исполнению только тех команд операционной системы, которые не могут повредить операционную среду и результат контроля предыдущей аутентификации.

16. Наличие механизмов защиты от:

• несанкционированного чтения информации;

• модификации хранящейся и циркулирующей в сети информации;

• навязывания информации;

• несанкционированного отказа от авторства переданной информации.

17. Системный подход к защите информации

18. Возможность наращивания защиты.

19. Комплексный подход предполагает согласованное применение разнородных средств защиты информации.

20. Адекватность - обеспечение необходимого уровня защиты

21. Минимизация привилегий в доступе, предоставляемых пользователям,

22. Полнота контроля - обязательный контроль всех обращений к защищаемым данным.

23. Наказуемость нарушений. Наиболее распространенная мера наказания - отказ в доступе к системе.

24. Экономичность механизма - обеспечение минимальности расходов на создание и эксплуатацию механизма.

25. Принцип системности сводится к тому, что для обеспечения надежной защиты информации в современных ИС должна быть обеспечена надежная и согласованная защита во всех структурных элементах, на всех технологических участках автоматизированной об­работки информации и во все время функционирования ИС.

26. Специализация.

27. Принцип неформальности означает, что методология проектирования механизма защиты и обеспечения его функционирования в основе своей - неформальна.

28. Гибкость системы защиты.

29. Принцип непрерывности