Hakeri i virusi na AS/400? To je nemoguće. Oni samo piratiraju Unix i PC.

Sjećam se filma "Park iz doba jure", na kraju kojeg djevojka prilazi kompjuteru na kojem je izvršena sabotaža koja je dovela do oslobađanja dinosaurusa. "Ovo je Unix!" uzvikuje ona, otvarajući njegovu odbranu i odmah rješavajući problem. Tada sam sebi rekao: "Naravno, šta si hteo od Unixa." A u filmu "Dan nezavisnosti" virus je lansiran u kompjuter vanzemaljske letjelice. Većina gledalaca nije imala pojma da vanzemaljci koriste Apple Macintosh računare. Ali, hvala Bogu, ispalo je tako, virus je proradio i naš svijet je spašen.

Općenito, u filmovima zlikovci često prodiru u tuđe računare ili nezadovoljni zaposlenik ubacuje virus u kompjutersku mrežu kompanije. Lijepo je znati da se ništa slično ne može dogoditi na AS / 400. Ili može biti?

Kao i mnoge druge karakteristike, AS / 400, za razliku od većine drugih sistema, ima sigurnost ugrađenu od samog početka, a ne dodata nakon njegovog početka. Međutim, nikakva sredstva zaštite neće pomoći ako ih ne koristite, a mnogi AS / 400 korisnici to čine. Na primjer, u okruženju klijent/server, moraju se poduzeti posebne mjere opreza za zaštitu AS/400 podataka od neosiguranih klijenata kao što su Windows 95 i Windows NT. Štaviše, u današnjem umreženom svijetu, mnogi AS / 400-i su povezani na Internet, u ovom slučaju također treba primijeniti određena sredstva zaštite informacijskih resursa. Srećom, integrisana odbrana AS / 400 pruža solidnu osnovu sigurnosti za cijeli sistem. U ovom poglavlju ćemo pogledati AS / 400 sigurnosne karakteristike i razgovarati o tome kako ih najbolje koristiti.

Integrisana zaštita

U prošlosti je osiguranje računarskog sistema bilo relativno lako. Obično je bilo dovoljno ubaciti bravu na vrata računarske sobe i natjerati krajnje korisnike da unesu lozinku prilikom prijavljivanja na sistem. Savremeni svijet više nije tako jednostavan. AS / 400 su najviše izloženi riziku kada su povezani na računarsku mrežu: internu LAN ili globalnu mrežu kao što je Internet. U svakom slučaju, AS / 400 pruža sredstva za minimiziranje ili uklanjanje rizika od neovlaštenog pristupa. Problemi obezbeđivanja kompjuterskog sistema su veoma slični onima koji se javljaju prilikom zaštite kuće ili automobila: morate pravilno izračunati odnos troškova i prihvatljivog stepena rizika.

Očigledno, AS / 400 treba različite nivoe zaštite u različitim situacijama. Korisnik bi trebao imati mogućnost samostalnog odabira ovog nivoa. Dobar sigurnosni sistem je dizajniran tako da računar može da radi bez zaštite, sa ograničenom zaštitom ili sa punom zaštitom, ali u svim slučajevima sistem zaštite mora biti aktivan.

A sada postoje sistemi zaključani u prostorijama u kojima je pristup strogo ograničen. Jasno je da im nije potreban isti nivo zaštite kao računaru povezanom na Internet. Ali vremenom, zahtjevi za zaštitom ovih sistema mogu se povećati. Integrirana AS / 400 sigurnost je dovoljno fleksibilna da se prilagodi kako se vaši zahtjevi mijenjaju.

AS / 400 sigurnost je kombinacija OS / 400 sigurnosti i SLIC sigurnosti. OS / 400 implementira sigurnosne slojeve za cijeli sistem, pri čemu se OS / 400 oslanja na sigurnosne karakteristike objekata MI-sloja. Na primjer, kao što je spomenuto u Objektima, MI vrši provjeru dozvola svaki put kada se pristupi nekom objektu. SLIC je odgovoran za radnje MI za zaštitu objekata. Vrsta zaštite koju implementira naziva se autorizacija i dizajnirana je da zaštiti objekt od neovlaštenog pristupa ili modifikacije.

Neke od sigurnosnih karakteristika AS / 400 potpuno su iznad MI u OS / 400, kao što je postavljanje sigurnosnih opcija sistema. Drugi, kao što je kontrola pristupa objektima, u potpunosti su implementirani ispod MI u SLIC-u. Treće komponente zaštite su implementirane djelimično iznad, a djelimično ispod MI. Primjer je podrška za privilegirane komande i posebna ovlaštenja. Pogledajmo bliže komponente iznad i ispod MI.

Nivoi zaštite

AS / 400 su dizajnirani za širok spektar primjena u različitim poljima ljudske aktivnosti. Shodno tome, zahtjevi za njihovu sigurnost kreću se od stepena njegovog potpunog odsustva do nivoa zaštite koji je sertifikovan od strane vlade. Postavljanjem odgovarajućih sistemskih parametara možete odabrati jedan od pet nivoa: bez zaštite, zaštita lozinkom, zaštita resursa, zaštita OS-a i certificirana zaštita. Prilikom konfiguriranja AS / 400, moraju se specificirati četiri sigurnosna sistemska parametra: QAUDJRL, QMAXSIGN, QRETSVRSEC i QSECURITY.

Sistemski parametar koji određuje razinu sigurnosti je QSECURITY. System / 38 i rani AS / 400 imali su samo tri nivoa sigurnosti sistema, OS / 400 V1R3 je dodao četvrti, a V2R3 je dodao peti, najviši nivo sigurnosti. Važeće vrijednosti QSECURITY su 10, 20, 30, 40 i 50.

AS / 400 takođe podržava opcionu funkciju revizije. Kada je omogućeno, određeni sigurnosni događaji se evidentiraju. Specifični događaji za prijavu u dnevnik revizije sigurnosti određeni su vrijednošću sistemskog parametra QAUDJRL i trenutnom razinom sigurnosti. Mogu se evidentirati događaji kao što su pokušaji neovlaštenog pristupa, brisanje objekata, identifikacija programa pomoću privilegiranih komandi itd. Sadržaj sigurnosnog dnevnika analizira administrator sigurnosti.

Maksimalan broj neuspjelih pokušaja prijave je postavljen sistemskim parametrom QMAXSIGN. Ako broj takvih pokušaja prelazi vrijednost ovog parametra, terminal ili uređaj s kojeg su pokušani se isključuje iz sistema i veza između njih i sistema se prekida. Ova metoda vam omogućava da spriječite pokušaje da pogodite lozinku za prijavu na sistem. Vrijednost za QMAXSIGN parametar za svaki uređaj se resetuje nakon uspješne prijave.

Sistemski parametar QRETSVRSEC (Zadrži sigurnosne podatke servera) određuje da li server može zapamtiti informacije koje zahtijeva AS / 400 za autentifikaciju korisnika na drugom sistemu preko sučelja klijent/server. Ako su informacije zapamćene, server ih koristi. Ako nije, server će tražiti ID korisnika i lozinku za drugi sistem. Sistemski parametar FFQRETSVRSEC se koristi za TCP / IP klijent / server sučelja, Novell NetWare i Lotus Notes.

Pogledajmo sada svaki od pet nivoa zaštite, počevši od najnižeg.

Nedostatak zaštite (nivo 10)

Nivo 10 znači najniži nivo sigurnosti - nema sigurnosti. Za pristup sistemu nije potrebna lozinka i svakom korisniku je dozvoljen pristup svim sistemskim resursima i objektima bez ograničenja. Jedini uslov je da ne možete uticati na zadatke drugih korisnika sistema.

Nivo sigurnosti sistema 10 se obično koristi samo kada fizička zaštita sistemi kao što je brava na vratima turbinske sobe. Svaki korisnik koji ima fizički pristup do automobila, može ući u sistem. Međutim, nije dužan registar... Registracija korisnika pretpostavlja da postoji korisnički profil negdje u sistemu. Takav profil se automatski generiše kada se koristi nivo sigurnosti 10 ako već ne postoji.

Zaštita lozinkom (nivo 20)

Ako želite samo sigurnost prijave, koristite nivo 20. Ovaj nivo sigurnosti zahtijeva da je AS / 400 korisnik prijavljen i da zna ispravnu lozinku. Nakon dobijanja dozvole za ulazak u sistem, korisnik ima pristup svim njegovim resursima bez ograničenja. Kao što vidite, razlika u odnosu na nivo 10 je beznačajna.

Samo u jednom posebnom slučaju je korisnikov pristup sistemu na nivou 20 ograničen: ako je to posebno navedeno u korisničkom profilu. Korisnik sa invalidnosti može odabrati samo stavke menija. Većina sistemskih menija ima komandnu liniju, a ova funkcija ograničava upotrebu sistemskih komandi.

Pretpostavimo da postoji grupa radnika u organizaciji čije odgovornosti uključuju prihvatanje narudžbi za robu i unos odgovarajućih podataka u sistem. Za takve korisnike preporučljivo je napraviti poseban meni i omogućiti im da djeluju samo u tom okviru, za šta treba da budu registrovani kao korisnici sa invaliditetom i da u svojim profilima postave meni kojem im je dozvoljen pristup.

Ali čak i korisniku sa invaliditetom je dozvoljeno da izvrši četiri neophodne komande: da pošalje poruke, da prikaže poruke, da prikaže status posla i da se odjavi. Koje komande su otvorene za korisnika sa invaliditetom mogu se podesiti pojedinačno. Ograničenje također određuje koja polja korisnik može promijeniti kada se prijavi.

Nivoi 20 i 10 ne pružaju sistemu sigurnost, jer nakon što se korisnik registruje u sistemu, on može tamo obavljati sve operacije. Ne bih preporučio da se ograničavate na tako niske stepene zaštite, osim u posebnim slučajevima kada je sam sistem praktički nedostupan spolja.

Zaštita resursa (nivo 30)

Minimalni preporučeni nivo sigurnosti je nivo 30. Na ovom nivou, kao i na nivou 20, korisnik mora biti registrovan i znati ispravnu lozinku za prijavu na sistem. Nakon prijave u sistem, provjerava se da li korisnik ima prava pristupa sistemskim resursima; neovlašteni pristup nije dozvoljen. Na nivou 30, korisnik se može registrovati i sa invaliditetom.

Pojedinačnim korisnicima se mogu dodijeliti prava pristupa sistemskim objektima kao što su datoteke, programi i uređaji. Korisnički profili pružaju ovu mogućnost, a uskoro ćemo govoriti više o tome kako to rade. Razmotrit ćemo i druge opcije za dodjelu prava korisnika na sistemske objekte: korištenje grupnih ili općih prava.

Nivo sigurnosti 30 bio je najviši u System / 38. Ali ne pravi razliku između prilagođenih objekata i objekata koje koristi samo OS. Ozbiljan problem je nastao zbog dostupnosti MI asemblera na System / 38 i dostupnosti određenih informacija o unutrašnjoj strukturi objekata. ISV su počeli pisati pakete aplikacija koji zavise od interne strukture objekata, što je narušilo tehnološku nezavisnost MI.

Rani AS/400 modeli koristili su iste nivoe sigurnosti. Iako AS/400 nije imao MI asembler, a mi nismo objavili informacije o internim strukturama, stručnjaci su ubrzo shvatili da je AS/400 System/38. Stoga su i na AS/400 radili programi koji zavise od interne strukture objekata.

Shvatili smo da pri prelasku na klijent/server računarstvo, AS/400 treba bolju sigurnost, blokirajući pristup većini internih objekata. U vezi sa prelaskom na RISC procesore, unutrašnja struktura je takođe pretrpela promene. Ali ako bismo samo implementirali novi, povećani nivo zaštite, onda bi programi koji zavise od unutrašnje strukture objekata prestali da rade, što bi izazvalo nezadovoljstvo kupaca.

Najavili smo da ćemo u V1R3 ugraditi novi nivo zaštite i da na ovom nivou neće biti pristupa internim objektima. Takođe smo počeli da tražimo ISV-ove koji su koristili interne objekte da im daju standardne sistemske API-je, sa informacijama koje su im potrebne za njihove programe.

Većina ovih programa bili su uslužni programi koji su koristili informacije iz nekih polja unutar sistemskog objekta. Na primjer, sistem upravljanja trakom može trebati neke informacije zaglavlja trake. Takve informacije se mogu dobiti na jedini način - prodiranjem u sistemski objekat. Napravili smo stotine API-ja za pružanje ove vrste informacija putem MI (u stvari, ovi API-ji su bili nove MI komande) i osigurali da će raditi na svim budućim verzijama OS-a. Tako smo razvezali ruke i počeli mijenjati unutrašnje strukture.

Postoji još jedna ozbiljna tema vezana za sigurnost: tema otvorenosti AS/400. Prilično dugo vremena, mnogi ISV-ovi ne samo da su koristili interne elemente, već su insistirali da IBM otvori unutrašnje dijelove OS-a i na taj način da zeleno svjetlo programerima softvera. Kao odgovor, IBM je tvrdio da ako se MI komande zloupotrebe, postoji veliki potencijal za softverske greške za koje se ne može smatrati odgovornim. Kompromis (upravljana otvorenost preko API-ja) je postignut, dijelom kao rezultat niza zajedničkih grupnih sastanaka koje su inicirali ISV-ovi i drugi korisnici. Rad ISV-a i definiciju novih API-ja vodio je Ron Fess, jedan od glavnih programera softvera sa velikim iskustvom u CPF-u i OS/400. Rezultat ovog rada je AS/400 implementacija Jedinstvene UNIX specifikacije i drugih standardnih API-ja. AS / 400 je postao otvoreniji za korisnike.

OS zaštita (nivo 40)

Nivo 40 uveden je u V1R3 OS / 400. Svi novi AS / 400 danas se isporučuju sa ovim nivoom zaštite, umjesto 10 kao nekada. Ali starije verzije OS / 400 će zadržati trenutni nivo koji je postavio korisnik čak i kada se nadogradi. Sada lozinka šefa sigurnosti (korisnika sa najvišim nivoom prava pristupa) postaje nevažeća nakon prvog ulaska u sistem i mora se promijeniti. Ranije se korisnici AS/400 često nisu trudili mijenjati zadanu lozinku, što je stvaralo jasnu sigurnosnu rupu.

Na nivou 40, AS / 400 korisnik također mora biti prijavljen, mora znati ispravnu lozinku da bi se prijavio na sistem i mora imati dozvolu za pristup sistemskim resursima. Međutim, korisnici sa invaliditetom su takođe podržani ovim nivoom zaštite.

Za razliku od nivoa 10-30, na nivou sigurnosti 40, pristup nestandardnim interfejsima je blokiran. Nisu sve MI komande sada dostupne korisniku, već samo njihov dozvoljeni skup, uključujući stotine API-ja razvijenih za ISV-ove. Ostale komande su blokirane, odnosno sistem ih neće izvršiti u korisničkom programu.

Međutim, komande u zaključanom skupu su i dalje dostupne OS / 400. Da bi se napravila razlika između OS / 400 programa i korisničkih programa, uvedeni su koncepti sistemski i korisničko stanje, koji se može pripisati bilo kojem procesu na AS / 400. Upotreba blokiranih komandi i pristup, dakle, nekim objektima sistema dozvoljeni su samo u stanju sistema.

Radi dodatne sigurnosti, adresiranje zasnovano na karakteristikama je također uklonjeno u V1R3, a sva prava pristupa su uklonjena iz sistemskih pokazivača koji se pružaju korisnicima.

Odbrana C2 (nivo 50)

Nivo 40 pruža sistemu dovoljnu sigurnost u većini slučajeva. Međutim, neke državne ugovorne firme zahtijevaju nivo zaštite certificiran od strane američke vlade. Postoji nekoliko takvih sertifikata, uključujući i takozvani C2 nivo. To uključuje odredbe kao što je zaštita resursa korisnika od drugih korisnika i sprječavanje jednog korisnika da preuzme sve sistemske resurse, kao što je memorija. Inače, slični zahtjevi se sada primjenjuju u mnogim nevladinim organizacijama.

Za kupce koji zahtijevaju vladine certifikate, nadogradili smo sigurnosni nivo 40 na AS / 400 kako bi zadovoljili spomenuti nivo C2. Ovako se pojavila zaštita nivoa 50 u verziji V2R3.

Ali prije nego što sistem bude prepoznat kao usklađen sa C2 standardom, mora proći sveobuhvatan test. Trenutno je takva provjera u toku.

Vlada SAD je definisala nivoe zaštite od A do D, gde je A najviši nivo zaštite, a D najniži. Klase B i C imaju nekoliko podnivoa. Sigurnosni nivo C2 je najviši nivo koji se obično koristi u poslovanju. U budućnosti, ako se ukaže potreba, možda ćemo moći uključiti podršku za više razine sigurnosti u AS / 400.

Zaštita od neovlaštenog pristupa (zaštita od neovlaštenog pristupa) je prevencija ili značajna komplikacija neovlaštenog pristupa.

Sredstvo zaštite informacija od neovlaštenog pristupa (SZI od neovlaštenog pristupa) je softver, hardver ili softver i hardverski alat dizajniran da spriječi ili značajno ometa neovlašteni pristup.

Imenovanje i opšta klasifikacija sistema bezbednosti informacija.

Sistem informacione bezbednosti iz NSD-a može se podeliti na univerzalna i specijalizovana (prema oblasti primene), na privatna i kompleksna rešenja (prema setu zadataka koji se rešavaju), na ugrađene sistemske alate i dodatna (prema način implementacije).

Klasifikacija je izuzetno važna, jer prilikom izgradnje sistema informacione bezbednosti svakog tipa, programeri formulišu i rešavaju potpuno različite probleme (ponekad su u suprotnosti jedni s drugima). Dakle, koncept zaštite univerzalnih sistemskih alata zasniva se na principima „potpunog povjerenja u korisnika“, čija je zaštita u velikoj mjeri beskorisna u korporativnim sistemima, na primjer, kada se rješavaju problemi suprotstavljanja internim IT prijetnjama. U velikoj većini današnjih, sistemi informacione bezbednosti kreirani su da ojačaju mehanizme zaštite ugrađene u univerzalne operativne sisteme, koji se primenjuju u korporativnom okruženju. Ako govorimo o skupu zadataka koje treba riješiti, onda treba govoriti o integraciji mehanizama kako u smislu efikasnog rješavanja konkretnog problema zaštite, tako i u smislu rješavanja skupa zadataka.

Potrošačka svojstva (namjena) dodatnog sistema informacione sigurnosti iz NSD-a određena su mjerom u kojoj se dodatnim sredstvom eliminišu arhitektonski nedostaci sigurnosnih mehanizama ugrađenih u OS, primijenjenih na rješavanje potrebnih zadataka u korporativnim aplikacijama, te koliko sveobuhvatno (efikasno) rješava ovaj skup problema sigurnosti informacija.

Pitanja procjene efikasnosti informacija o sigurnosti informacija iz NSD-a

Efikasnost sistema informacione bezbjednosti iz NSD-a može se ocijeniti ispitivanjem pitanja ispravnosti implementacije zaštitnih mehanizama i dovoljnosti seta zaštitnih mehanizama u odnosu na praktične uslove korištenja.

Procjena ispravnosti implementacije zaštitnih mehanizama

Na prvi pogled ovakvu procjenu nije teško izvesti, ali u praksi to nije uvijek slučaj. Jedan primjer: u NTFS-u, objekt datoteke se može identificirati na različite načine: objektima datoteke specificiranim dugim imenima može se pristupiti kratkim imenom (na primjer, direktoriju programskih datoteka može se pristupiti kratkim imenom “Progra ~ 1”) , a nekim programskim objektima datoteka se pristupa ne po imenu, već po ID-u. Ako informacioni sistem bezbednosti informacija instaliran u informacionom sistemu ne presretne i analizira samo jedan sličan način pristupa datotečnom objektu, tada on, u velikoj meri, postaje potpuno beskoristan (pre ili kasnije napadač će otkriti nedostatak zaštitnih sredstava i koristiti). Spomenimo i da objekti fajlova koji se ne dijele između korisnika sistema i aplikacija mogu poslužiti kao “kanal” za snižavanje kategorije dokumenta, čime se negira zaštita povjerljivih informacija. Takvih primjera ima mnogo.

Zahtevi za ispravnost implementacije zaštitnih mehanizama definisani su u normativnom dokumentu „Državna tehnička komisija Rusije. Vodeći dokument. Računarska oprema. Zaštita od neovlaštenog pristupa informacijama. Indikatori sigurnosti od NSD do informacija“; koristi se za sertifikaciju sistema informacione bezbednosti od NSD.

Ovi zahtjevi su prisutni u dokumentu u potrebnom obimu, ispravni su, ali su formulisani na generalni način (inače, u suprotnom bi bilo potrebno kreirati svoj regulatorni dokument za svaku familiju OS-a, a moguće i za svaku implementaciju OS-a). ista porodica), a za ispunjenje jednog zahtjeva može biti potrebna primjena više mehanizama zaštite. Posljedica ovoga je nejasnoća tumačenja ovih zahtjeva (u smislu pristupa njihovoj implementaciji) i mogućnost suštinski različitih pristupa implementaciji mehanizama zaštite u sistemu informacione sigurnosti od strane NSD-a od strane programera. Rezultat je različita efikasnost informacija o sigurnosti informacija od NSD-a među proizvođačima koji implementiraju iste formalizovane zahtjeve. Ali nepoštovanje bilo kojeg od ovih zahtjeva može poništiti sve napore da se osigura sigurnost informacija.

Procjena dovoljnosti (potpunosti) seta zaštitnih mehanizama

Zahtevi za dovoljnost (kompletnost, u odnosu na uslove korišćenja) seta zaštitnih mehanizama određeni su dokumentom „Državna tehnička komisija Rusije. Vodeći dokument. Automatizovani sistemi. Zaštita od neovlaštenog pristupa informacijama. Indikatori sigurnosti od neovlaštenog pristupa informacijama“, koji se koristi pri certificiranju objekata informatizacije, uključujući i pri korištenju informacionog sistema sigurnosti informacija od neovlaštenog pristupa u AS. Međutim, i ovdje je situacija u velikoj mjeri slična gore opisanoj.

Dakle, preporučljivo bi bilo formulisanje zahteva za dovoljnost mehanizama u sistemu informacione bezbednosti od strane NSD-a za zaštitu poverljivih podataka u regulatornim dokumentima, u kojima postoji nejasnoća u određivanju šta se pripisuje zaštićenim resursima. proširiti, na primjer, kako slijedi: pojedini uređaji, u skladu sa uslovima praktične upotrebe zaštićenog računarskog objekta, i kontrolu pristupa subjekata zaštićenim resursima, posebno uređajima dozvoljenim za povezivanje."

Imajte na umu da su mehanizmi za kontrolu pristupa resursima koji su uvijek prisutni u sistemu objekti datoteka, objekti OS registra itd. - a priori zaštićeni, i moraju biti prisutni u sistemu informacione bezbednosti u svakom slučaju od neovlašćenog sistema, a što se tiče eksternih resursa, uzimajući u obzir namenu sistema informacione bezbednosti. Ako je svrha sistema informacione sigurnosti da zaštiti računare u mreži, onda on mora imati mehanizme za kontrolu pristupa mrežnim resursima; ako služi za zaštitu autonomnih računara, onda treba da obezbedi kontrolu (zabranu) povezivanja mrežnih resursa na računar. Ovo pravilo se, po našem mišljenju, bez izuzetka uklapa u sve resurse i može se koristiti kao osnovni uslov za set mehanizama zaštite prilikom atestiranja objekata informatizacije.

Pitanja dovoljnosti mehanizama zaštite treba razmatrati ne samo u odnosu na skup resursa, već iu odnosu na probleme zaštite informacija koji se rješavaju. Postoje samo dva takva zadatka u obezbeđivanju računarske bezbednosti - suzbijanje internih i eksternih IT pretnji.

Opšti zadatak suprotstavljanja internim IT pretnjama je da se obezbedi razgraničenje pristupa resursima u skladu sa zahtevima za obradu podataka različitih kategorija poverljivosti. Postoje različiti pristupi definisanju diferencijacije: po računu, po procesu, na osnovu kategorije pročitanog dokumenta. Svaki od njih postavlja svoje zahtjeve za dovoljnost. Dakle, u prvom slučaju, morate izolovati međuspremnik između korisnika; u drugom - između procesa; za treći slučaj, generalno je potrebno radikalno revidirati cjelokupnu politiku razgraničenja pristupa svim resursima, budući da isti korisnik može obrađivati ​​podatke različitih kategorija povjerljivosti sa istom aplikacijom.

Postoji na desetine metoda međuprocesne komunikacije (imenovani kanali, memorijski sektori itd.), stoga je potrebno osigurati zatvorenost softverskog okruženja – spriječiti mogućnost pokretanja programa koji implementira takav kanal razmjene. Tu su i pitanja resursa neodvojivih od sistema i aplikacija, kontrole tačne identifikacije subjekta pristupa, zaštite samog ISS-a od neovlašćenog pristupa (lista neophodnih zaštitnih mehanizama za efikasno rešavanje ovog problema je veoma impresivna). Većina njih nije eksplicitno navedena u regulatornim dokumentima.

Zadatak efektivnog suprotstavljanja vanjskim IT prijetnjama, po našem mišljenju, može se riješiti samo ako se postavi politika razgraničenja za subjekt „procesa“ (odnosno „proces“ treba smatrati nezavisnim subjektom pristupa resursima). To je zbog činjenice da je on taj koji nosi prijetnju vanjskog napada. Takav zahtjev izričito ne postoji u regulatornim dokumentima, ali u ovom slučaju rješavanje problema zaštite informacija zahtijeva radikalnu reviziju osnovnih principa za implementaciju politike razgraničenja pristupa resursima.

Ako su pitanja dovoljnosti mehanizama zaštite u odnosu na skup zaštićenih resursa još nekako podložna formalizaciji, onda u odnosu na zadatke zaštite informacija takve zahtjeve nije moguće formalizirati.

U ovom slučaju, sistemi informacione sigurnosti NSD-a različitih proizvođača koji su u skladu sa formalizovanim zahtjevima regulatornih dokumenata također mogu imati kardinalne razlike kako u implementiranim pristupima i tehničkim rješenjima, tako i u djelotvornosti ovih alata općenito.

U zaključku napominjemo da ne treba potcijeniti značaj zadatka odabira sistema informacione sigurnosti od NSD-a, budući da se radi o posebnoj klasi tehničkih sredstava čija efikasnost ne može biti visoka ili niska. Uzimajući u obzir složenost procjene stvarne efikasnosti sistema informacione sigurnosti iz NSD-a, preporučujemo da potrošač uključi stručnjake (po mogućnosti iz redova programera koji se praktično suočavaju sa ovim problemima) u fazi odabira sistema informacione sigurnosti iz NSD-a. .

Neovlašteni pristup informacijama (neovlašteni pristup informacijama)- radi se o pristupu podacima kojim se krše pravila za razlikovanje pristupa primenom određenih sredstava, a to su računarska tehnologija ili automatizovani sistemi. Prema mišljenju stručnjaka, postoje načini neovlaštenog pristupa:

• Sklonost saradnji
• Proaktivna saradnja
• Izvlačenje, izvlačenje
• Prisluškivanje
• Krađa
• Opservacija
• Lažna (promjena)
• Kopiranje
• Uništenje
• Presretanje
• Ilegalna veza
• Fotografisanje
• Neizgovoreno poznanstvo

Proaktivna saradnjačesto se manifestuje u određenim situacijama, kada su nezadovoljne osobe spremne na nezakonite radnje radi zarade. Razlozi mogu biti veoma različiti, finansijski, moralni, politički itd. Takva osoba se može lako nagovoriti da sarađuje u pružanju povjerljivih informacija preduzeća, ako, naravno, ima pristup.

Sklonost saradnji- obično su to nasilne metode od strane uljeza. Takve metode su zasnovane na zastrašivanju, podmićivanju ili ucjeni. Zapošljavanje radnika vrši se realnim prijetnjama uz provođenje ucjene. Ovo je najagresivniji metod koji postoji, jer se mirna posjeta može pretvoriti u nasilna djela zastrašivanja.

Izvlačenje, izvlačenje- Ovo je vrsta aktivnosti koja se zasniva na postavljanju naivnih pitanja zaposlenom kako bi se dobila određena informacija. Također možete izvući podatke lažnim poslovima ili drugim radnjama.

Prisluškivanje- Ovo je metoda za industrijsku špijunažu ili obavještajnu djelatnost koju koriste posebni ljudi (posmatrači, doušnici) uz posebno prisluškivanje. Prisluškivanje se može realizovati direktno percepcijom akustičnih talasa ili posebnim sredstvima na daljinu.

Opservacija- Ovo je metoda iz obavještajnih podataka o statusu aktivnosti posmatranog. Ova metoda se izvodi pomoću optičkih instrumenata. Takav proces oduzima mnogo vremena i novca, pa se ova metoda obično provodi svrsishodno, u određeno vrijeme sa kvalifikovanim ljudima.

Krađa- Radi se o namjernom oduzimanju tuđih sredstava, dokumenata itd. Grubo govoreći, kradu sve što je loše, tako da morate pažljivo postupati prema povjerljivim nosiocima podataka.

Kopiranje- Obično se kopiraju dokumenti koji sadrže vrijedne informacije. Pristup se dobija na nezakonit način, često zbog loše sigurnosti informacija.

Lažna- ovo je promjena podataka, koja je u realnosti konkurencije velika. Lažiraju sve kako bi dobili vrijedne podatke.

Uništenje- Brisanje podataka na tehničkim medijima za skladištenje. Ako pogledamo apstraktnije, uništavaju se ljudi, dokumenti i drugi elementi informacionog sistema koji imaju određeno značenje.

Ilegalna veza- razumjeti beskontaktno ili kontaktno povezivanje na različite žice za različite svrhe.

Presretanje- Ovo je sticanje obavještajnih informacija zbog prijema signala elektromagnetne energije pasivnim metodama prijema. Svi signali u radio komunikaciji ili žičanoj komunikaciji podložni su presretanju.

Neizgovoreno poznanstvo- Ovo je način dobijanja podataka kojima subjekt nema pristup, ali pod određenim okolnostima može nešto naučiti. Na primjer, pogledajte ekran računara ili otvorite dokument koji leži na stolu.

Fotografisanje- metoda za dobijanje slika objekata na fotografskom materijalu. Karakteristika metode je dobivanje detaljnih podataka prilikom dešifriranja slike.

Prema mišljenju stručnjaka, takva lista nije ukrštana i nezavisna na određenom nivou apstrakcije. Omogućava vam da zajedno razmotrite određeni skup uzoraka takvih metoda. Slika 1 prikazuje generalizirani model metoda neovlaštenog pristupa izvorima povjerljivih informacija.

Nije tajna da specijalne službe pomno prate svoje optužbe, koristeći razne kontraobavještajne službe. Istovremeno, morate razumjeti kroz koji način dobivanja informacija dolazi do neovlaštenog pristupa. Way- Ovo je tehnika ili postupak za radnje koje vode ka ostvarenju cilja. Metoda neovlaštenog pristupa(NSD metoda) je skup radnji i tehnika s ciljem pribavljanja podataka na nezakonit način sa dodatnim uticajem na te informacije.

U današnje vrijeme, metode NSD-a prema podacima su različite: primjena posebnih tehničkih sredstava, korištenje propusta u sistemima ili drugo, kao što je prikazano na sl. 1. Pored toga, metode NSD-a su direktno povezane sa karakteristikama izvora povjerljivih podataka.
Imati set izvori informacije i skup načina NSD do njih, možete izračunati vjerovatnoću i izgraditi model njihove povezanosti. Mnoge metode se primjenjuju na izvore — tehnologiju obrade i ljude. Iako druge metode, ne na primjer, ne utječu na takve uobičajene izvore, njihova opasnost može biti još veća.

Stepen opasnosti NSD metode gleda na nastalu štetu. Koliko informacija danas ima cijenu, sama činjenica sticanja informacija je ekvivalentna primanju novca. Napadač ima tri gola:

• dobiti podatke za konkurente i prodati.
• promjena podataka u informacionoj mreži. Dezinformacije.
• Uništi podatke.

Slika - 1 (za pregled kliknite na sliku)

Osnovni cilj je pribavljanje informacija o stanju, sastavu i aktivnostima objekata od povjerljivog interesa za vlastite potrebe ili bogaćenje. Drugi cilj je promjena informacija koje postoje u informacijskoj mreži. Ova metoda može dovesti do dezinformacija u određenim oblastima aktivnosti, promijeniti rezultat dodijeljenih zadataka. Istovremeno, vrlo je teško implementirati takvu šemu dezinformacija, potrebno je provesti čitav niz akcija i predvidjeti mnogo događaja. Najopasnija meta je uništavanje podataka. I izbor radnji i njihove kvalitativne ili kvantitativne karakteristike zavise od zadataka.

Metode NSD do informiranja korištenjem tehničkih sredstava

Svaki elektronski sistem koji sadrži skup čvorova, elemenata i provodnika i istovremeno posjeduje izvore informacijskih signala - postoje kanali curenja povjerljivih informacija. LPA metode i kanali curenja su objektivno povezani. Opcije veze su prikazane u tabeli. jedan.

Tabela 1

Iz svakog izvora formira se kanal curenja podataka, dok se njegovi specifični parametri proučavaju i metode napada testiraju u laboratorijama. Radnje mogu biti aktivne ili pasivne. Pasivno se odnosi na implementaciju tehničkih kanala curenja informacija bez direktnog kontakta ili veze. Metode su obično vođene podacima. Aktivne metode povezuju se na komunikacijske linije. Komunikacione linije mogu biti:

• Žičani (optička vlakna).
• Bežično (Wi-Fi).

Načini ometanja komunikacionih linija

Često se telefonske linije ili optičke linije koriste kao komunikacijske linije. Metode prisluškivanja telefonskih linija prikazane su na slici 2.

Crtež - 2

Postoje i sistemi prisluškivanja koji ne zahtevaju direktan kontakt sa telefonskom linijom. Takvi sistemi koriste induktivne metode prikupljanja podataka. Takvi sistemi se ne koriste široko, jer su vrlo veliki zbog prisustva nekoliko stupnjeva pojačanja slabog niskofrekventnog signala i, osim toga, vanjskog izvora napajanja.

Ali danas linije optičkih stubova imaju širi raspon implementacije. Informacije kroz takav kanal se prenose u obliku pulsirajućeg svjetlosnog toka, na koji ne utječu magnetske i električne smetnje. Također je teže presresti podatke preko takvog kanala, što povećava sigurnost prijenosa. U ovom slučaju, brzina prijenosa doseže gigabajta u sekundi. Za povezivanje na takav komunikacijski kanal uklanjaju se zaštitni slojevi kabela. Zatim odvode reflektirajući omotač i savijaju kabel pod posebnim kutom kako bi uhvatili informacije. U tom slučaju, jačina signala će odmah osjetno pasti. Možete se i beskontaktno povezati na komunikacijski kanal, ali za to morate imati određeni nivo znanja i obučenosti.

Načini diranja u bežične komunikacijske linije

Prijenos podataka korištenjem visokofrekventnih HFW i VHF opsega omogućava implementaciju prijenosa informacija i kompjuterske mreže gdje je teško postaviti konvencionalne žičane kanale. U takvim komunikacijskim kanalima moguć je prijenos informacija brzinom do 2 Mbit/s. U tom slučaju postoji mogućnost ometanja i presretanja informacija. Presretanje podataka radi na bazi presretanja elektromagnetnog zračenja uz dalju analizu i dešifrovanje. Presretanje informacija putem takvih kanala ima svoje karakteristike:

• podaci se mogu dobiti bez direktnog kontakta sa izvorom;
• na signal ne utječe sezona/dan;
• prijem podataka se odvija u realnom vremenu;
• presretanje se provodi prikriveno.
• domet presretanja je ograničen samo karakteristikama talasa širenja.

Zaštita od neovlaštenog pristupa

Postoji priča o tome kako pohraniti informacije. Mora biti u jednom primjerku na kompjuteru smještenom u blindiranom sefu, isključen sa svih mreža i bez struje. Ova metoda je, najblaže rečeno, veoma surova, ali bilo je i takvih slučajeva. Da biste zaštitili podatke od neovlaštenog pristupa, morate razumjeti koji pristup se smatra ovlaštenim, a koji nije. Za ovo vam je potrebno:

• raščlaniti informacije u klase koje se obrađuju ili pohranjuju na PC-u
• podijeliti korisnike u klase za pristup podacima
• rasporediti ove klase u određene veze za razmjenu podataka između sebe

Sistemi zaštite podataka od neovlaštenog neovlaštenog pristupa trebali bi podržavati implementaciju sljedećih funkcija:

• autentifikaciju
• identifikaciju
• diferencijacija pristupa korisnika računarima
• diferencijacija pristupa korisnika mogućnostima u odnosu na informacije
• administracija:
  • obrada dnevnika
  • definisanje prava pristupa resursima
  • pokretanje sistema zaštite na računaru
  • demontirani sistemi zaštite računara
• Zaključak o pokušajima neovlaštenih lica
• registracija događaja:
  • kršenja pristupa
  • prijava/odjava korisnika
• praćenje performansi i integriteta sistema zaštite
• održavanje informacione sigurnosti tokom popravnih i preventivnih radova i vanrednih situacija

Prava pristupa korisnika resursima opisana su tabelama na osnovu kojih se provjerava autentifikacija pristupa korisnika. Ukoliko Korisnik ne može dobiti tražena prava pristupa, tada se registruje činjenica neovlašćenog servisa i poduzimaju se određene radnje.

Autentifikacija i identifikacija korisnika

Da bi korisnik pristupio sistemskim resursima, mora proći kroz proces:

• Identifikacija- proces pružanja sistemu od strane korisnika njegovog imena ili drugog identifikatora
• Autentifikacija- proces potvrde od strane sistema korisnika na osnovu identifikatora i lozinke ili drugih informacija (vidi,)

Na osnovu toga, da biste izvršili ove procedure, potrebno je:

• postojao je program za autentifikaciju
• korisniku su bile dostupne jedinstvene informacije

Postoje dva oblika čuvanja identifikacionih podataka korisnika, interni (zapis u bazi) ili eksterni (kartica). Svaki nosilac podataka koji sistem treba da prepozna ima korespondenciju u sistemu autentikacije:

• ID i - nepromjenjivi identifikator i-tog korisnika, koji je za sistem analogan korisničkom imenu
• K i - podaci za autentifikaciju korisnika

Postoje dvije tipične sheme za autentifikaciju i identifikaciju. Prva shema:

U takvoj šemi E i = F (ID i, K i), gdje je nepopravljivost K i se smatra određenim pragom intenziteta rada T 0 za vraćanje K i iz E i i ID i. Za par K i i K j, moguća podudarnost vrijednosti E. U vezi s ovom situacijom, vjerovatnoća lažna autentifikacija korisnici sistema ne bi trebalo da prelaze određeni prag P 0. U praksi daju sljedeće vrijednosti: T 0 = 10 20… .10 30, P 0 = 10 -7… .10 -9.

Za takvu šemu postoji protokol autentifikacije i identifikacije:

• Korisnik daje svoj ID
• Izračunava se vrijednost E = F (ID, K).

U drugoj šemi, E i = F (S i, K i), gdje je S nasumični vektor koji je specificiran prilikom kreiranja korisničkog ID-a. F je funkcija koja ima aspekt nepopravljivo vrijednosti K i po E i i S i.

Protokol za drugu šemu autentifikacije i identifikacije:

• Korisnik sistemu pokazuje svoj ID
• Ako postoji takav ID i, gdje je ID = ID i, onda je autentifikacija korisnika bila uspješna, inače ne.
• Vektoru S dodjeljuje ID identifikatora
• Algoritam za autentifikaciju traži od korisnika da unese svoj autentifikator K
• Izračunava se vrijednost E = F (S, K).
• Ako je E = E 1 onda je autentifikacija proslijeđena, inače nije.

Druga shema se koristi u UNIX OS-u. Korisnik upisuje svoje ime (Login) kao identifikator, a lozinku kao autentifikator. Funkcija F je DES algoritam šifriranja. (cm. )

U posljednje vrijeme metode biometrijske identifikacije i autentifikacije uzimaju maha, a to je olakšano:

• Visok stepen punomoći za karakteristike zbog njihove jedinstvenosti
• Teško krivotvorenje ovih znakova

Kao korisničke karakteristike mogu se koristiti sljedeće:

• otisci prstiju
• retine i šarenice
• oblik ruke
• oblik uha
• oblik lica
• glasovne karakteristike
• rukopis

Prilikom registracije korisnik mora pokazati svoje biometrijske karakteristike. Skenirana slika se upoređuje sa slikom koja postoji u bazi podataka. Sistemi identifikacije očiju imaju vjerovatnoću ponavljanja ovih karakteristika - 10 -78. Dakle, sistemi su najpouzdaniji među ostalim biometrijskim sistemima. Ovakvi sistemi se koriste u zonama odbrambenih i vojnih objekata. Sistemi identifikacije otisaka prstiju najčešći. Razlog masovnosti je što postoji velika baza otisaka prstiju. Hvala policiji. Sistemi za identifikaciju lica i glasa najpristupačniji zbog niske cijene. Takvi sistemi se koriste za daljinsku identifikaciju, na primjer, u mrežama.

Treba napomenuti da upotreba biometrijskih karakteristika za identifikaciju subjekata još nije dobila odgovarajuću regulatornu podršku, u obliku standarda. Stoga je korištenje ovakvih sistema dozvoljeno samo tamo gdje se obrađuju podaci koji predstavljaju poslovnu ili službenu tajnu.

Međusobna autentikacija korisnika

Strane koje ulaze u razmjenu informacija trebaju međusobnu autentifikaciju. Ovaj proces se obično provodi na početku sesije razmjene. Za autentifikaciju postoje načini:

• mehanizam vremenskog žiga ( privremeni utikač)
• mehanizam zahtjev-odgovor

Mehanizam zahtjev-odgovor podrazumijeva situaciju kada korisnik A želi biti siguran da podaci koje korisnik B šalje nisu lažni. Da bi to uradio, korisnik A šalje nepredvidivu stavku - zahtjev X, na kojem korisnik B mora izvršiti unaprijed određenu operaciju i poslati rezultat korisniku A. Korisnik A provjerava rezultat s onim što je trebao izaći. Nedostatak ove metode je što možete vratiti obrazac između zahtjeva i odgovora.

Mehanizam vremenskog žiga uključuje snimanje vremena za svaku poslanu poruku. U ovom slučaju, korisnik interneta može odrediti koliko zastarjelo poruka. U oba slučaja mora se primijeniti dodatno šifriranje.

Postoji također mehanizam rukovanja, koji se zasniva na prethodna dva mehanizma i sastoji se u međusobnoj verifikaciji ključeva koje koriste razmjene. Ovaj princip se koristi za stvaranje veze između glavnog računala i tako dalje u mrežama.

Kao primjer, razmotrite dva korisnika A i B koji dijele isti privatni ključ K AB.

• Korisnik A pokreće mehanizam i šalje korisniku B svoj ID A u otvorenom obliku
• Korisnik B prima identifikator ID A, pronalazi ključ K AB za dalju upotrebu
• Korisnik A generiše sekvencu S koristeći generator PG i šalje korisniku B u obliku kriptograma E K AB S
• Korisnik B dešifruje ovaj kriptogram
• Oba korisnika mijenjaju niz S koristeći jednosmjernu funkciju f
• Korisnik B šifrira poruku f (S) i šalje kriptogram E K AB (f (S)) korisniku A
• Korisnik A dešifruje takav kriptogram i upoređuje originalni f (S) i dešifrovani. Ako su jednaki, onda se dokazuje identitet korisnika B i korisnika A.

Korisnik B dokazuje autentičnost A na isti način. Prednost ovog mehanizma je što učesnici komunikacije ne dobijaju nikakve tajne informacije tokom mehanizma.

Takođe možete koristiti DLP sisteme. Ovakvi sistemi se zasnivaju na analizi tokova podataka koji se ukrštaju sa podacima zaštićenog informacionog sistema. Kada se potpis aktivira, aktivira se aktivni element sistema, a prijenos paketa, toka, sesije je blokiran. Takvi sistemi su zasnovani na dvije metode. Prvi koji je analizirao formalne znakove informacija. Na primjer, oznake, vrijednosti hash funkcija itd. Ova metoda vam omogućava da izbjegnete lažne pozitivne rezultate (greške 1. vrste), ali za to je potrebno dokumente obraditi dodatnom klasifikacijom. Drugi način je analiza sadržaja. Omogućava lažne pozitivne rezultate, ali omogućava otkrivanje prijenosa povjerljivih podataka ne samo među obrađenim dokumentima. Osnovni zadatak ovakvih sistema je da spreče prenos poverljivih podataka van informacionog sistema. Takvo curenje može biti namjerno ili nenamjerno. Praksa pokazuje da se 75% incidenata ne dešava namerno, već zbog grešaka, nemara ili nemara samih zaposlenih. Takva curenja nije teško otkriti, teže je identificirati posebne napade. Ishod borbe zavisi od mnogo parametara i nemoguće je garantovati 100% uspeh.

Sumirajući, treba napomenuti da je NSD namjerna prijetnja s pristupom. Postoji mnogo načina da to učinite. Služba za sigurnost informacija treba pažljivo pratiti tokove informacija, kao i korisnike informacionog sistema. Razvojem tehnologija pojavljuju se nove metode NDM-a i njihova implementacija. Nadležni treba da dodijele sredstva za ažuriranje i unapređenje sigurnosnog sistema informacionog sistema, jer on vremenom zastareva i gubi sposobnost da spriječi nove napade. Mora se imati na umu da ne postoji apsolutna zaštita, ali joj se mora težiti.

Neovlašteni pristup informacijama je neplanirano upoznavanje, obrada, kopiranje, korištenje različitih virusa, uključujući i one koji uništavaju softverske proizvode, kao i modifikacija ili uništavanje informacija kršeći utvrđena pravila kontrole pristupa.

Stoga je zaštita informacija od neovlaštenog pristupa osmišljena tako da spriječi napadača da pristupi nosaču informacija. Tri su glavna pravca u zaštiti informacija računara i mreža od NSD-a:

- fokusira se na sprečavanje uljeza da pristupi računarskom okruženju i zasniva se na posebnim tehničkim sredstvima identifikacije korisnika;

- odnosi se na zaštitu računarskog okruženja i zasniva se na izradi posebnog softvera;

- povezana sa upotrebom posebnih sredstava za zaštitu računarskih informacija od neovlašćenog pristupa.

Treba imati na umu da se za rješavanje svakog od problema koriste različite tehnologije i različita sredstva. Zahtjevi za zaštitnu opremu, njihove karakteristike, funkcije koje obavlja i njihova klasifikacija, kao i pojmovi i definicije za zaštitu od neovlaštenog pristupa dati su u uputstvima Državne tehničke komisije:

- „Automatizovani sistemi. Zaštita od neovlaštenog pristupa informacijama. Klasifikacija AU i zahtjevi za zaštitu informacija“;

- „Kompjuterski kapaciteti. Zaštita od neovlaštenog pristupa informacijama. Indikatori sigurnosti od neovlaštenog pristupa informacijama“;

- „Zaštita od neovlašćenog pristupa informacijama. Termini i definicije". Tehnička znači da se funkcije zaštite uređaja mogu podijeliti na:

o ugrađeni;

o eksterni.

Ugrađena sredstva zaštite personalnog računara i softvera (slika 3.12) uključuju sredstva za zaštitu lozinkom za BIOS, operativni sistem i DBMS. Ovi alati mogu biti iskreno slabi - BIOS sa lozinkom nadzora, Win95 / 98 zaštita lozinkom, ali mogu biti mnogo jači - BIOS bez lozinki nadzora, Windows NT zaštita lozinkom, ORACLE DBMS. Korištenje prednosti ovih alata omogućava vam da značajno ojačate sistem za zaštitu informacija od neovlaštenog pristupa.

Eksterni alati su dizajnirani da zamjene ugrađene alate kako bi se pojačala zaštita ili da bi ih dopunili funkcijama koje nedostaju.

To uključuje:

- pouzdani hardver za pokretanje;

- hardverski i softverski sistemi za odvajanje prava pristupa korisnika;

- sredstva jake autentifikacije mrežnih veza.

Pouzdani hardver za pokretanje je proizvod, koji se ponekad naziva i "elektronska brava", čija je funkcija da bezbedno identifikuje korisnika, kao i da potvrdi integritet softvera računara. Obično je ovo PC kartica za proširenje sa potrebnim softverom upisanim ili u fleš memoriju kartice ili na hard disk računara.

Njihov princip rada je jednostavan. Tokom procesa pokretanja pokreću se BIOS i ploče za zaštitu od neovlaštenog otvaranja. Traži korisnički ID i upoređuje ga s onim pohranjenim u flash memoriji kartice. Identifikator se može dodatno zaštititi lozinkom. Zatim se pokreće ugrađeni operativni sistem ploče ili računara (najčešće je to varijanta MS-DOS-a), nakon čega se pokreće program za provjeru integriteta softvera. U pravilu se provjeravaju sistemske oblasti diska za pokretanje, datoteke za pokretanje i datoteke koje je korisnik postavio za verifikaciju. Provjera se provodi ili na osnovu imitacije algoritma GOST 28147-89, ili na osnovu funkcije heširanja algoritma GOST R 34.11-34 ili drugog algoritma. Rezultat testa se poredi sa onim pohranjenim u fleš memoriji kartice. Ako se, kao rezultat poređenja, prilikom provjere identifikatora ili integriteta sistema otkrije razlika sa standardom, ploča će blokirati daljnji rad i prikazati odgovarajuću poruku na ekranu. Ako su provjere pozitivne, ploča prenosi kontrolu na personalni računar radi daljeg učitavanja operativnog sistema.

Sve identifikacije i provjere integriteta se evidentiraju. Prednosti uređaja ove klase su njihova visoka pouzdanost, jednostavnost i niska cijena. U nedostatku višekorisničkog rada na računaru, zaštitne funkcije ovog alata obično su dovoljne.

Hardverski i softverski sistemi za razdvajanje prava pristupa koriste se u slučaju da više korisnika radi na jednom računaru, ako je zadatak da razdvoje svoja ovlašćenja za međusobno pristup podacima. Rješenje ovog problema se zasniva na: 01 zabrani korisnicima pokretanja određenih aplikacija i procesa; P Omogućavanje korisnicima i aplikacijama koje pokreću samo određenu vrstu radnje s podacima.

Sprovođenje zabrana i dozvola ostvaruje se na različite načine. Po pravilu, prilikom pokretanja operativnog sistema, pokreće se i program protiv neovlašćenog pristupa. Prisutan je u memoriji računara kao rezidentni modul i kontroliše radnje korisnika za pokretanje aplikacija i pristup podacima. Sve radnje korisnika se bilježe u dnevnik, koji je dostupan samo administratoru sigurnosti. Sredstva ove klase obično se shvataju kao sredstva zaštite od neovlašćenog pristupa. Radi se o hardversko-softverskim kompleksima koji se sastoje od hardvera - provjerene kompjuterske boot board, koja sada dodatno provjerava integritet softvera samog sistema zaštite od neovlaštenog pristupa na hard disku, i softverskog dijela - administratorskog programa, rezidentnog modula. . Ovi programi se nalaze u posebnom direktoriju i dostupni su samo administratoru. Ovi sistemi se mogu koristiti u sistemu za jednog korisnika kako bi ograničili korisnika da instalira i pokrene programe koji mu nisu potrebni u svom radu.

Sredstva poboljšane autentifikacije mrežnih veza koriste se kada rad radnih stanica kao dijela mreže nameće zahtjeve za zaštitu resursa radne stanice od prijetnje neovlaštenog ulaska u radnu stanicu sa strane mreže i promjene informacija ili softvera, kao i kao pokretanje neovlašćenog procesa. Zaštita od neovlaštenog pristupa sa strane mreže postiže se poboljšanom autentifikacijom mrežnih veza. Ova tehnologija se naziva tehnologija virtuelne privatne mreže.

Jedan od glavnih zadataka zaštite od neovlaštenog pristupa je osigurati pouzdanu identifikaciju korisnika (slika 3.13) i mogućnost autentifikacije bilo kojeg korisnika mreže koji se može jedinstveno identificirati činjenicom da:

- predstavlja sebe.

Šta korisnik zna? Vaše ime i lozinka. Šeme identifikacije lozinki su zasnovane na ovom znanju. Nedostatak ovih šema je u tome što on treba da pamti složene lozinke, što se vrlo često ne dešava: ili je lozinka odabrana slaba, ili je jednostavno upisana u svesku, na komad papira itd. U slučaju korišćenja samo zaštitu lozinkom, poduzimaju se odgovarajuće mjere kako bi se osigurala kontrola kreiranja lozinki, njihovog čuvanja, praćenja isteka njihove upotrebe i blagovremenog brisanja. Zatvaranje kriptografske lozinke može u velikoj mjeri riješiti ovaj problem i otežati napadaču da zaobiđe mehanizam provjere autentičnosti.

Šta korisnik može imati? Naravno, poseban ključ je jedinstveni identifikator, kao što je dodirna memorija tableta (I-dugme), e-token, pametna kartica ili kriptografski ključ koji šifrira svoj unos u bazu podataka korisnika. Takav sistem je najsigurniji, međutim, zahtijeva da korisnik uvijek ima kod sebe identifikator, koji se najčešće zakači na privjesak s ključevima i često se zaboravi kod kuće ili izgubi. Biće ispravno ako administrator ujutro izda identifikatore i upiše o tome u dnevnik i uveče ih prihvati nazad za skladištenje, ponovo unevši u dnevnik.

Šta je korisnik? Ovo su karakteristike koje su svojstvene samo ovom korisniku, samo njemu, koje pružaju biometrijsku identifikaciju. Identifikator može biti otisak prsta, crtež šarenice očiju, otisak dlana, itd. Ovo je trenutno najperspektivniji pravac u razvoju sredstava za identifikaciju. Pouzdani su i istovremeno ne zahtijevaju dodatno poznavanje nečega ili trajno posjedovanje nečega od korisnika. Sa razvojem tehnologije i trošak ova sredstva postaju dostupna svakoj organizaciji.

Zadatak je različitih mehanizama identifikacije i autentikacije da osiguraju provjeru identiteta korisnika.

Svakom korisniku (grupi korisnika) na mreži se dodeljuje određena karakteristična osobina – identifikator i on se upoređuje sa odobrenom listom. Međutim, samo deklarirani identifikator na mreži ne može pružiti zaštitu od neovlaštenih povezivanja bez provjere identiteta korisnika.

Proces provjere identiteta korisnika naziva se autentikacija. To se događa uz pomoć posebne prepoznatljive osobine koju predstavlja korisnik - autentifikatora koji mu je svojstven. Učinkovitost autentifikacije je prvenstveno određena karakterističnim karakteristikama svakog korisnika.

Specifični mehanizmi identifikacije i autentifikacije u mreži mogu se implementirati na osnovu sljedećih sredstava i procedura za zaštitu informacija:

- lozinke;

- tehnička sredstva;

- biometrijska sredstva;

- kriptografija sa jedinstvenim ključevima za svakog korisnika.

Pitanje upotrebljivosti određenog alata odlučuje se u zavisnosti od identifikovanih pretnji, tehničkih karakteristika štićenog objekta. Ne može se jednoznačno reći da će upotreba hardvera koji koristi kriptografiju dati sistemu veću pouzdanost od upotrebe softvera.

Analiza sigurnosti informacijskog objekta i identifikacija prijetnji njegovoj sigurnosti je izuzetno složena procedura. Jednako komplikovana procedura je i izbor tehnologija i sredstava zaštite za otklanjanje identifikovanih pretnji. Bolje je povjeriti rješavanje ovih problema stručnjacima s bogatim iskustvom.

Zaštita od neovlaštenog pristupa podacima

Neovlašteni pristup (NSD) napadača računaru opasan je ne samo mogućnošću čitanja i/ili modifikacije obrađenih elektronskih dokumenata, već i mogućnošću uvođenja kontroliranog softverskog bookmark-a od strane napadača, koji će mu omogućiti da preuzme sljedeće radnje:

2. Presretnite različite ključne informacije koje se koriste za zaštitu elektronskih dokumenata.

3. Koristite oteti računar kao odskočnu dasku za otmicu drugih računara na lokalnoj mreži.

4. Uništite informacije pohranjene na računaru ili onemogućite računar pokretanjem zlonamjernog softvera.

Zaštita računara od neovlaštenog pristupa jedan je od glavnih problema informacione sigurnosti, stoga većina operativnih sistema i popularnih softverskih paketa ima ugrađene različite podsisteme za zaštitu od neovlaštenog pristupa. Na primjer, izvođenje provjere autentičnosti korisnika prilikom prijavljivanja na operativne sisteme Windows porodice. Međutim, nema sumnje da ugrađeni alati operativnih sistema nisu dovoljni za ozbiljnu zaštitu od neovlaštenog pristupa. Nažalost, implementacija podsistema zaštite za većinu operativnih sistema često izaziva kritike zbog redovno otkrivanih ranjivosti koje omogućavaju pristup zaštićenim objektima zaobilazeći pravila kontrole pristupa. Servisni paketi i popravci koje su objavili proizvođači softvera objektivno zaostaju za informacijama o otkrivenim ranjivostima. Stoga je pored standardnih sredstava zaštite potrebno koristiti i posebna sredstva za ograničavanje ili ograničavanje pristupa.
Ova sredstva se mogu podijeliti u dvije kategorije:

1. Sredstva za ograničavanje fizičkog pristupa.

2. Sredstva zaštite od neovlašćenog pristupa preko mreže.

Sredstva za ograničavanje fizičkog pristupa

Najpouzdanije rješenje za problem ograničavanja fizičkog pristupa računaru je korištenje hardvera za zaštitu informacija od neovlaštenih manipulacija, koje se izvodi prije učitavanja operativnog sistema. Zaštite u ovoj kategoriji nazivaju se "elektronske brave". Primjer elektronske brave prikazan je na Sl. 5.3.

Slika 5.3 - Elektronska brava za PCI sabirnicu

U teoriji, bilo koji softver za kontrolu pristupa može biti napadnut od strane napadača kako bi se izobličio algoritam takvog alata i zatim dobio pristup sistemu. Gotovo je nemoguće to učiniti hardverskim sigurnosnim alatom: elektronska brava obavlja sve radnje za kontrolu pristupa korisnika u vlastitom pouzdanom softverskom okruženju, koje nije podložno vanjskim utjecajima.
U pripremnoj fazi korištenja elektroničke brave ona se instalira i konfigurira. Konfiguracija uključuje sljedeće radnje, koje obično obavlja odgovorna osoba - administrator sigurnosti:

1. Kreiranje liste korisnika kojima je dozvoljen pristup zaštićenom računaru. Za svakog korisnika se formira ključ medij (u zavisnosti od interfejsa koje podržava određena brava - disketa, elektronski tablet iButton ili pametna kartica) koji će se koristiti za autentifikaciju korisnika na ulazu. Lista korisnika je pohranjena u trajnoj memoriji brave.

2. Formiranje liste fajlova čiji se integritet kontroliše zaključavanjem pre učitavanja operativnog sistema računara. Važni fajlovi operativnog sistema podležu kontroli, na primer, sledeće:

Sistemske biblioteke Windows;

Izvršni moduli korištenih aplikacija;

Predlošci dokumenata Microsoft Word itd.

Kontrola integriteta datoteke je izračunavanje njihove referentne kontrolne sume, na primjer, raspršivanje prema algoritmu GOST R 34.11-94, pohranjivanje izračunatih vrijednosti u nepromjenjivu memoriju brave, a zatim izračunavanje stvarnih kontrolnih suma datoteka i njihovo poređenje sa referentnim. U normalnom režimu rada, elektronska brava dobija kontrolu od BIOS-a zaštićenog računara nakon što se potonji uključi. U ovoj fazi se izvode sve radnje za kontrolu pristupa računaru (pogledajte pojednostavljeni dijagram algoritma na slici 5.4), i to:

Slika 5.4 - Pojednostavljeni dijagram algoritma elektronske brave

1. Brava traži od korisnika medij sa ključnim informacijama potrebnim za njegovu autentifikaciju. Ako ključne informacije traženog formata nisu date, ili ako korisnik identifikovan na osnovu datih informacija nije uključen u listu korisnika zaštićenog računara, zaključavanje će blokirati pokretanje računara.

2. Ako je autentifikacija korisnika uspješna, brava izračunava kontrolne sume datoteka sadržanih u kontroliranoj listi i upoređuje primljene kontrolne sume sa referentnim. Ako je narušen integritet najmanje jedne datoteke sa liste, računar je blokiran od učitavanja. Za dalji rad na ovom računaru, problem mora da reši Administrator, koji mora da otkrije razlog promene kontrolisanog fajla i, u zavisnosti od situacije, preduzme jednu od sledećih radnji kako bi omogućio dalji rad sa zaštićenim računarom:

Oporavi originalni fajl;

Uklonite fajl sa kontrolisane liste.

3. Ako su sve provjere uspješne, zaključavanje vraća kontrolu računaru da učita standardni operativni sistem.

Budući da se gore navedeni koraci izvode prije učitavanja operativnog sistema računara, brava obično učitava svoj operativni sistem (koji se nalazi u njegovoj nepromjenjivoj memoriji - obično ovaj MS-DOS ili slično OS, koji ne nameće velike zahtjeve za resursima), u kojem se obavljaju autentikacija korisnika i provjere integriteta datoteke. Ovo takođe ima smisla sa sigurnosne tačke gledišta - sopstveni operativni sistem brave nije podložan nikakvim spoljnim uticajima, što sprečava napadača da utiče na gore opisane kontrolne procese. Informacije o prijavljivanju korisnika na računar, kao io pokušajima neovlašćenog pristupa, pohranjuju se u dnevnik, koji se nalazi u nepromjenjivoj memoriji brave. Dnevnik može pregledati administrator. Postoji niz problema pri korištenju elektronskih brava, a posebno:

1. BIOS Neki savremeni računari mogu se konfigurisati na takav način da se kontrola ne prenosi na BIOS zaključavanja tokom pokretanja. Da bi se suprotstavilo takvim postavkama, zaključavanje mora biti u mogućnosti da blokira pokretanje računara (na primjer, zatvaranjem kontakata Resetovati) ako brava nije dobila kontrolu u određenom vremenskom intervalu nakon uključivanja napajanja.

2. Napadač može jednostavno izvući bravu iz računara. Međutim, postoji niz protumjera:

Razne organizacione i tehničke mjere: zaptivanje kućišta računara, osiguranje da korisnici nemaju fizički pristup sistemskoj jedinici računara itd.

Postoje elektronske brave koje mogu zaključati kućište računara iznutra posebnom bravom na komandu administratora - u ovom slučaju se brava ne može ukloniti bez značajnijeg oštećenja računara.

Vrlo često se elektroničke brave strukturno kombiniraju s hardverskim enkoderom. U ovom slučaju, preporučena mjera zaštite je korištenje brave u kombinaciji sa softverskim alatom za transparentno (automatsko) šifriranje logičkih diskova na računaru. U ovom slučaju, ključevi za šifriranje mogu biti izvedeni iz ključeva koji se koriste za autentifikaciju korisnika u elektronskoj bravi, ili odvojenih ključeva, ali pohranjeni na istom mediju kao i ključevi korisnika za prijavu na računar. Ovakvo sveobuhvatno sredstvo zaštite neće zahtijevati od korisnika bilo kakve dodatne radnje, ali će također spriječiti napadača da dobije pristup informacijama čak i kada je hardver elektronske brave uklonjen.

Sredstva za zaštitu od neovlaštenog pristupa mreži

Najefikasnije metode zaštite od neovlašćenog pristupa preko računarskih mreža su virtuelne privatne mreže ( VPN - Virtuelna privatna mreža) i zaštitni zid. Razmotrimo ih detaljno.

Virtuelne privatne mreže

VPN-ovi pružaju automatsku zaštitu integriteta i povjerljivosti poruka koje se prenose preko različitih javnih mreža, prvenstveno interneta. zapravo, VPN Je skup mreža na čijem su vanjskom perimetru instalirane VPN-agenti (sl.5.5). VPN-agent je program (ili softversko-hardverski kompleks) koji zapravo pruža zaštitu prenesenih informacija izvođenjem dolje opisanih operacija.

Rice. 5.5 - Šema izgradnje VPN-a

Prije slanja bilo koje IP-paket VPN-agent radi sljedeće:

1. Iz naslova IP-informacije o paketu o njegovom primaocu su istaknute. Prema ovim informacijama zasnovanim na sigurnosnoj politici ovog VPN-agent, biraju se algoritmi zaštite (ako VPN-agent podržava nekoliko algoritama) i kriptografskih ključeva kojima će ovaj paket biti zaštićen. U slučaju da je sigurnosna politika VPN-agent nije predviđen za slanje IP-paket datom primaocu, ili IP-paket sa ovim karakteristikama, slanje IP-paket je blokiran.

2. Koristeći odabrani algoritam zaštite integriteta, generira se i dodaje IP- paket elektronskog digitalnog potpisa (EDS), imitator ili sličan kontrolni zbir.

3. Koristeći odabrani algoritam šifriranja, vrši se šifriranje IP-paket.

4. Koristeći uspostavljeni algoritam enkapsulacije paketa, šifriran IP- paket se stavlja u IP-paket spreman za prenos, u čijem se zaglavlju, umesto originalnih podataka o primaocu i pošiljaocu, nalazi informacija o VPN-agent primaoca i VPN-agent pošiljaoca. One. translacija mrežnih adresa je u toku.

5. Paket je poslan VPN- agentu primaoca. Ako je potrebno, dijeli se i rezultirajući paketi se šalju jedan po jedan.

Prilikom prijema IP-paket VPN-agent radi sljedeće:

1. Iz naslova IP-informacije o paketu o njegovom pošiljaocu su istaknute. U slučaju da pošiljalac nije među dozvoljenim (prema sigurnosnoj politici) ili nepoznat (na primjer, prilikom prijema paketa sa namjerno ili slučajno oštećenim zaglavljem), paket se ne obrađuje i odbacuje.

2. U skladu sa sigurnosnom politikom, biraju se algoritmi za zaštitu ovog paketa i ključevi uz pomoć kojih će se paket dešifrirati i provjeriti njegov integritet.

3. Informativni (inkapsulirani) dio paketa se odvaja i dešifruje.

4. Integritet paketa se prati na osnovu izabranog algoritma. Ako se otkrije kršenje integriteta, paket se ispušta.

5. Paket se šalje primaocu (putem interne mreže) prema informacijama u njegovom originalnom zaglavlju.

VPN-agent se može locirati direktno na zaštićenom računaru (npr. računari "udaljenih korisnika" na slici 5.5). U ovom slučaju štiti razmjenu informacija samo računala na kojem je instaliran, međutim, principi njegovog rada opisani gore ostaju nepromijenjeni.
Osnovno pravilo konstrukcije VPN- komunikacija između zaštićenog LAN-a i otvorene mreže treba da se obavlja samo preko VPN-agenti. Ne bi trebalo kategorički postojati metode komunikacije koje zaobilaze zaštitnu barijeru u formi VPN-agent. One. mora se definisati zaštićeni perimetar sa kojim se komunikacija može ostvariti samo putem odgovarajućih zaštitnih sredstava. Sigurnosna politika je skup pravila prema kojima se uspostavljaju sigurni kanali komunikacije između pretplatnika. VPN... Takvi kanali se obično nazivaju tuneli, analogija s kojom se može vidjeti u sljedećem:

1. Sve informacije koje se prenose unutar jednog tunela zaštićene su od neovlašćenog pregleda i modifikacije.

2. Enkapsulacija IP- paketi vam omogućavaju da postignete sakrivanje topologije internog LAN-a: sa Interneta, razmjena informacija između dva zaštićena LAN-a se vidi kao razmjena informacija samo između njihovih VPN-agenti, pošto su svi interni IP-adrese koje se prenose preko Interneta IP-paketi se u ovom slučaju ne pojavljuju.

Pravila stvaranja tunela se formiraju u zavisnosti od različitih karakteristika IP-paketi, na primjer, glavni kod izgradnje većine VPN protokol IPSec (Sigurnosna arhitektura za IP) postavlja sljedeći skup ulaznih podataka, kojim se odabiru parametri tuneliranja i donosi se odluka prilikom filtriranja određenog IP-paket:

1. IP-adresa izvora. To može biti ne samo jedna IP adresa, već i adresa podmreže ili raspon adresa.

2. IP- adresa odredišta. To također može biti eksplicitni raspon adresa koristeći podmrežnu masku ili obrazac.

3. Identifikator korisnika (pošiljalac ili primalac).

4. Protokol transportnog sloja ( TCP / UDP).

5. Broj porta sa kojeg ili na koji je paket poslan.

Vatrozid je softver ili softver i hardverski alat koji štiti lokalne mreže i pojedinačne računare od neovlašćenog pristupa sa eksternih mreža filtriranjem dvosmjernog toka poruka prilikom razmjene informacija. U stvari, zaštitni zid je "skinut" VPN- agent koji ne šifrira pakete i ne kontrolira njihov integritet, ali u nekim slučajevima ima niz dodatnih funkcija, od kojih su najčešće sljedeće:

Antivirusno skeniranje;

Kontrola ispravnosti paketa;

Praćenje ispravnosti veza (na primjer, uspostavljanje, korištenje i isključenje TCP-sesije);

Kontrola sadržaja.

Pozivaju se zaštitni zidovi koji nemaju gore opisane funkcije i samo vrše filtriranje paketa filteri paketa... Po analogiji sa VPN-agenti, postoje i lični firewall koji štite samo računar na kojem su instalirani. Vatrozidovi se takođe nalaze na perimetru zaštićenih mreža i filtriraju mrežni saobraćaj prema konfigurisanoj bezbednosnoj politici.

Elektronska brava se može razviti na osnovu hardverskog uređaja za šifrovanje. U ovom slučaju se dobiva jedan uređaj koji obavlja funkcije enkripcije, generiranja slučajnih brojeva i zaštite od neovlaštenog pristupa. Takav enkriptor je sposoban da bude centar sigurnosti čitavog računara, na osnovu čega je moguće izgraditi potpuno funkcionalan sistem kriptografske zaštite podataka, koji pruža, na primer, sledeće mogućnosti:

1. Zaštita vašeg računara od fizičkog pristupa.

2. Zaštita vašeg računara od neovlaštenog pristupa mreži i organizovanja VPN.

3. Šifriranje datoteka na zahtjev.

4. Automatsko šifriranje logičkih diskova računara.

5. Proračun/verifikacija EDS-a.

6. Zaštita e-mail poruka.