Hakeri i virusi na AS / 400? To je nemoguće. Oni samo piratiraju Unix i računala.

Sjećam se filma "Park iz doba Jure", na kraju kojeg djevojka prilazi kompjuteru na kojem je počinjena sabotaža koja je dovela do oslobađanja dinosaura. "Ovo je Unix!" uzvikuje ona otvarajući njegovu obranu i odmah rješavajući problem. Tada sam sam sebi rekao: "Naravno, što si htio od Unixa." A u filmu "Dan neovisnosti" virus je lansiran u računalo vanzemaljske letjelice. Većina gledatelja nije imala pojma da vanzemaljci koriste Apple Macintosh računala. Ali, hvala Bogu, ispalo je tako, virus je proradio i naš svijet je spašen.

Općenito, u filmovima zlikovci često prodiru u tuđa računala ili nezadovoljni zaposlenik ubacuje virus u računalnu mrežu tvrtke. Lijepo je znati da se ništa slično ne može dogoditi na AS / 400. Ili može biti?

Kao i mnoge druge značajke, AS / 400, za razliku od većine drugih sustava, ima sigurnost ugrađenu od početka, a ne dodanu nakon svog početka. Međutim, nikakva sredstva zaštite neće pomoći ako ih ne koristite, a mnogi korisnici AS / 400 to čine. Na primjer, u okruženju klijent/poslužitelj, moraju se poduzeti posebne mjere opreza za zaštitu AS/400 podataka od nezaštićenih klijenata kao što su Windows 95 i Windows NT. Štoviše, u današnjem umreženom svijetu, mnogi AS / 400 su spojeni na Internet, u ovom slučaju također biste trebali primijeniti određena sredstva zaštite informacijskih resursa. Srećom, integrirana obrana AS / 400 pruža čvrst temelj sigurnosti za cijeli vaš sustav. U ovom ćemo poglavlju pogledati AS / 400 sigurnosne značajke i razgovarati o tome kako ih najbolje koristiti.

Integrirana zaštita

U prošlosti je osiguranje računalnog sustava bilo relativno jednostavno. Obično je bilo dovoljno umetnuti bravu na vrata računalne sobe i natjerati krajnje korisnike da unesu lozinku prilikom prijave u sustav. Suvremeni svijet više nije tako jednostavan. AS / 400 su najviše izloženi riziku kada su spojeni na računalnu mrežu: interni LAN ili globalnu mrežu kao što je Internet. U svakom slučaju, AS / 400 pruža sredstva za minimiziranje ili uklanjanje rizika od neovlaštenog pristupa. Problemi osiguranja računalnog sustava vrlo su slični onima koji se javljaju kod zaštite doma ili automobila: morate ispravno izračunati omjer cijene i prihvatljivog stupnja rizika.

Očito, AS / 400 treba različite razine zaštite u različitim situacijama. Korisnik bi trebao moći samostalno odabrati ovu razinu. Dobar sigurnosni sustav je dizajniran tako da računalo može raditi bez zaštite, s ograničenom zaštitom ili s punom zaštitom, ali u svim slučajevima zaštitni sustav mora biti aktivan.

A sada postoje sustavi zaključani u prostorijama gdje je pristup strogo ograničen. Jasno je da im nije potrebna ista razina zaštite kao računalu spojenom na Internet. Ali s vremenom se zahtjevi za zaštitom ovih sustava mogu povećati. Integrirana AS / 400 sigurnost dovoljno je fleksibilna da se prilagodi kako se vaši zahtjevi mijenjaju.

AS / 400 sigurnost je kombinacija OS / 400 sigurnosti i SLIC sigurnosti. OS / 400 implementira sigurnosne slojeve za cijeli sustav, pri čemu se OS / 400 oslanja na sigurnosne značajke objekata MI-sloja. Na primjer, kao što je spomenuto u Objekti, MI izvodi provjeru dopuštenja svaki put kada se pristupi objektu. SLIC je odgovoran za radnje MI za zaštitu objekata. Vrsta zaštite koju provodi naziva se autorizacija i dizajnirana je za zaštitu objekta od neovlaštenog pristupa ili modifikacije.

Neke od sigurnosnih značajki AS / 400 potpuno su iznad MI u OS / 400, kao što je postavljanje sigurnosnih opcija sustava. Drugi, kao što je kontrola pristupa objektima, u potpunosti su implementirani ispod MI u SLIC-u. Treće komponente zaštite implementirane su djelomično iznad, a djelomično ispod MI. Primjer je podrška za privilegirane naredbe i posebna ovlaštenja. Pogledajmo pobliže komponente iznad i ispod MI.

Razine zaštite

AS / 400 su dizajnirani za širok raspon primjena u različitim područjima ljudske djelatnosti. Sukladno tome, zahtjevi za njihovu sigurnost kreću se od razine potpune odsutnosti do razine zaštite koju je ovjerila vlada. Postavljanjem odgovarajućih parametara sustava možete odabrati jednu od pet razina: bez zaštite, zaštita lozinkom, zaštita resursa, zaštita OS-a i certificirana zaštita. Prilikom konfiguriranja AS / 400, moraju se specificirati četiri sigurnosna parametra sustava: QAUDJRL, QMAXSIGN, QRETSVRSEC i QSECURITY.

Sistemski parametar koji određuje razinu sigurnosti je QSECURITY. System / 38 i rani AS / 400 imali su samo tri razine sigurnosti sustava; OS / 400 V1R3 dodao je četvrtu, a V2R3 petu, najvišu razinu sigurnosti. Važeće vrijednosti QSECURITY su 10, 20, 30, 40 i 50.

AS / 400 također podržava opcijsku značajku revizije. Kada je omogućeno, bilježe se određeni sigurnosni događaji. Specifični događaji za prijavu u dnevnik revizije sigurnosti određeni su vrijednošću sistemskog parametra QAUDJRL i trenutnom razinom sigurnosti. Mogu se bilježiti događaji poput pokušaja neovlaštenog pristupa, brisanja objekata, identifikacije programa pomoću privilegiranih naredbi itd. Sadržaj sigurnosnog dnevnika analizira administrator sigurnosti.

Maksimalan broj neuspjelih pokušaja prijave je postavljen parametrom sustava QMAXSIGN. Ako broj takvih pokušaja premašuje vrijednost ovog parametra, terminal ili uređaj s kojeg su pokušani isključuju se iz sustava i prekida se veza između njih i sustava. Ova metoda vam omogućuje da spriječite pokušaje pogađanja lozinke za prijavu na sustav. Vrijednost parametra QMAXSIGN za svaki uređaj se resetira nakon uspješne prijave.

Parametar sustava QRETSVRSEC (Zadrži sigurnosne podatke poslužitelja) određuje može li poslužitelj zapamtiti informacije koje zahtijeva AS / 400 za provjeru autentičnosti korisnika na drugi sustav putem sučelja klijent/poslužitelj. Ako su informacije zapamćene, poslužitelj ih koristi. Ako nije, poslužitelj će tražiti korisnički ID i lozinku za drugi sustav. Sistemski parametar FFQRETSVRSEC koristi se za TCP / IP klijent / poslužitelj sučelja, Novell NetWare i Lotus Notes.

Pogledajmo sada svaku od pet razina zaštite, počevši od najniže.

Nedostatak zaštite (razina 10)

Razina 10 znači najnižu razinu sigurnosti – nema sigurnosti. Za pristup sustavu nije potrebna lozinka i svakom korisniku je dopušten pristup svim resursima i objektima sustava bez ograničenja. Jedini uvjet je da ne možete utjecati na zadatke drugih korisnika sustava.

Razina sigurnosti sustava 10 obično se koristi samo kada fizička zaštita sustava kao što je brava na vratima turbinske sobe. Svaki korisnik koji ima fizički pristup do automobila, može ući u sustav. Međutim, nije dužan Registar... Registracija korisnika pretpostavlja da negdje u sustavu postoji korisnički profil. Takav profil se automatski generira kada se koristi razina sigurnosti 10 ako već ne postoji.

Zaštita lozinkom (razina 20)

Ako želite samo sigurnost prijave, koristite razinu 20. Ova razina sigurnosti zahtijeva da je AS / 400 korisnik prijavljen i da zna ispravnu lozinku. Nakon dobivanja dopuštenja za ulazak u sustav, korisnik ima pristup svim njegovim resursima bez ograničenja. Kao što vidite, razlika u odnosu na razinu 10 je beznačajna.

Samo u jednom posebnom slučaju korisniku je ograničen pristup sustavu na razini 20: ako je to izričito navedeno u korisničkom profilu. Korisnik sa invalidnosti može odabrati samo stavke izbornika. Većina izbornika sustava ima naredbeni redak, a ova značajka ograničava korištenje naredbi sustava.

Pretpostavimo da postoji grupa radnika u organizaciji čije su odgovornosti prihvaćanje narudžbi za robu i unos odgovarajućih podataka u sustav. Za takve korisnike preporučljivo je izraditi poseban izbornik i omogućiti im djelovanje samo u tom okviru, za što bi trebali biti registrirani kao korisnici s invaliditetom i u svojim profilima postaviti izbornik kojem im je dopušten pristup.

Ali čak i korisniku s invaliditetom dopušteno je izvršiti četiri potrebne naredbe: za slanje poruka, za prikaz poruka, za prikaz statusa posla i za odjavu. Koje su naredbe otvorene korisniku s invaliditetom može se postaviti pojedinačno. Ograničenje također određuje koja polja korisnik može promijeniti kada se prijavi.

Razine 20 i 10 ne pružaju sustavu sigurnost, jer nakon što se korisnik registrira u sustav, on može tamo obavljati sve operacije. Ne bih preporučio ograničavanje na tako niske stupnjeve zaštite, osim u posebnim slučajevima kada je sam sustav izvana praktički nedostupan.

Zaštita resursa (razina 30)

Minimalna preporučena razina sigurnosti je razina 30. Na ovoj razini, kao i na razini 20, korisnik mora biti registriran i znati ispravnu lozinku za prijavu u sustav. Nakon prijave u sustav, provjerava se ima li korisnik prava pristupa resursima sustava; neovlašteni pristup nije dopušten. Na razini 30 može se registrirati i korisnik s invaliditetom.

Pojedinačnim korisnicima mogu se dodijeliti prava pristupa sistemskim objektima kao što su datoteke, programi i uređaji. Korisnički profili pružaju ovu mogućnost, a uskoro ćemo govoriti više o tome kako to rade. Razmotrit ćemo i druge opcije za dodjelu prava pristupa korisniku objektima sustava: korištenjem grupnih ili općih prava.

Sigurnosna razina 30 bila je najviša u System / 38. Ali ne pravi razliku između prilagođenih objekata i objekata koje koristi samo OS. Ozbiljan problem nastao je zbog dostupnosti MI asemblera na System / 38 i dostupnosti određenih informacija o unutarnjoj strukturi objekata. ISV-ovi su počeli pisati pakete aplikacija koji ovise o unutarnjoj strukturi objekata, što je narušilo MI-jevu tehnološku neovisnost.

Rani AS / 400 modeli koristili su iste razine sigurnosti. Iako AS / 400 nije imao MI asembler, te nismo objavili podatke o unutarnjim strukturama, stručnjaci su ubrzo shvatili da je AS / 400 System / 38. Stoga su i na AS / 400 radili programi koji ovise o unutarnjoj strukturi objekata.

Shvatili smo da pri prelasku na računalstvo klijent/poslužitelj AS/400 treba bolju sigurnost, blokirajući pristup većini internih objekata. U vezi s prelaskom na RISC procesore, unutarnja struktura također je doživjela promjene. Ali kada bismo samo implementirali novu, povećanu razinu zaštite, onda bi programi koji ovise o unutarnjoj strukturi objekata prestali raditi, što bi izazvalo nezadovoljstvo kupaca.

Najavili smo da ćemo u V1R3 ugraditi novu razinu zaštite, te da na toj razini neće biti pristupa unutarnjim objektima. Također smo počeli tražiti ISV-ove koji su koristili interne objekte kako bi im pružili standardne API-je sustava, s informacijama koje su im bile potrebne za svoje programe.

Većina tih programa bili su uslužni programi koji su koristili informacije iz nekih polja unutar objekta sustava. Na primjer, sustav za upravljanje trakom može trebati neke informacije zaglavlja trake. Takve se informacije mogle dobiti na jedini način - prodorom u objekt sustava. Napravili smo stotine API-ja za pružanje ove vrste informacija putem MI-ja (u stvari, ti API-ji su bili nove MI naredbe) i osigurali da će raditi na svim budućim verzijama OS-a. Tako smo razvezali ruke i počeli mijenjati unutarnje strukture.

Postoji još jedna ozbiljna tema vezana za sigurnost: tema otvorenosti AS/400. Već dugo vremena mnogi ISV-ovi ne samo da su koristili interne elemente, već su inzistirali da IBM otvori unutarnje dijelove OS-a i na taj način da zeleno svjetlo programerima softvera. Kao odgovor, IBM je ustvrdio da ako se MI naredbe zlouporabe, postoji veliki potencijal za softverske greške za koje se ne može smatrati odgovornim. Kompromis (upravljana otvorenost putem API-ja) je postignut, dijelom kao rezultat niza zajedničkih grupnih sastanaka koje su pokrenuli ISV-ovi i drugi korisnici. Rad ISV-a i definiranje novih API-ja vodio je Ron Fess, jedan od glavnih programera softvera s velikim iskustvom u CPF-u i OS / 400. Rezultat ovog rada je AS / 400 implementacija Jedinstvene UNIX specifikacije i drugih standardnih API-ja. AS / 400 je postao otvoreniji za korisnike.

OS zaštita (razina 40)

Razina 40 uvedena je u V1R3 OS / 400. Svi novi AS / 400 danas se isporučuju s ovom razinom zaštite, umjesto 10 kao nekada. Ali starije verzije OS / 400 zadržat će trenutnu razinu koju je postavio korisnik čak i kada se nadogradi. Sada lozinka šefa sigurnosti (korisnika s najvišom razinom prava pristupa) postaje nevažeća nakon prvog ulaska u sustav i mora se promijeniti. Ranije se korisnici AS / 400 često nisu trudili mijenjati zadanu lozinku, što je stvaralo jasnu sigurnosnu rupu.

Na razini 40, AS / 400 korisnik također mora biti prijavljen, mora znati ispravnu lozinku za prijavu na sustav i mora imati dopuštenje za pristup resursima sustava. Međutim, korisnici s invaliditetom također su podržani ovom razinom zaštite.

Za razliku od razina 10-30, na razini sigurnosti 40 pristup nestandardnim sučeljima je blokiran. Nisu sve MI naredbe sada dostupne korisniku, već samo njihov dopušteni skup, uključujući stotine API-ja razvijenih za ISV-ove. Ostale naredbe su blokirane, odnosno sustav ih neće izvršiti u korisničkom programu.

Međutim, naredbe u zaključanom skupu i dalje su dostupne OS / 400. Da bismo razlikovali OS / 400 i korisničke programe, uvedeni su koncepti sustavno i korisničko stanje, što se može pripisati bilo kojem procesu na AS / 400. Korištenje blokiranih naredbi i pristup, dakle, nekim objektima sustava dopušteni su samo u stanju sustava.

Radi dodatne sigurnosti, adresiranje temeljeno na značajkama također je uklonjeno u V1R3, a sva prava pristupa su uklonjena iz pokazivača sustava koji se pružaju korisnicima.

Obrana C2 (razina 50)

Razina 40 pruža sustavu dovoljnu sigurnost u većini slučajeva. Međutim, neke državne ugovorne tvrtke zahtijevaju razinu zaštite certificirane od strane američke vlade. Postoji nekoliko takvih certifikata, uključujući i takozvanu C2 razinu. To uključuje odredbe kao što su zaštita resursa korisnika od drugih korisnika i sprječavanje jednog korisnika da preuzme sve resurse sustava, kao što je memorija. Inače, slični zahtjevi sada se primjenjuju u mnogim nevladinim organizacijama.

Za kupce koji zahtijevaju državne certifikate, nadogradili smo razinu sigurnosti 40 na AS / 400 kako bi zadovoljili spomenutu razinu C2. Tako se u verziji V2R3 pojavila zaštita razine 50.

No prije nego što se sustav može prepoznati kao usklađen sa standardom C2, mora proći sveobuhvatan test. Trenutno je takva provjera u tijeku.

Vlada SAD-a definirala je razine zaštite od A do D, gdje je A najviša razina zaštite, a D najniža. Klase B i C imaju nekoliko podrazina. Sigurnosna razina C2 je najviša razina koja se obično koristi u poslovanju. U budućnosti, ako se ukaže potreba, možda ćemo moći uključiti podršku za više razine sigurnosti u AS / 400.

Zaštita od neovlaštenog pristupa (zaštita od neovlaštenog pristupa) je sprječavanje ili značajna komplikacija neovlaštenog pristupa.

Sredstvo zaštite informacija od neovlaštenog pristupa (SZI od neovlaštenog pristupa) je softver, hardver ili softver i hardverski alat dizajniran da spriječi ili značajno ometa neovlašteni pristup.

Imenovanje i opća klasifikacija sustava informacijske sigurnosti.

Sustav informacijske sigurnosti iz NSD-a može se podijeliti na univerzalne i specijalizirane (prema području primjene), na privatna i kompleksna rješenja (prema skupu zadataka koje treba riješiti), na ugrađene sistemske alate i dodatna (prema način provedbe).

Klasifikacija je iznimno važna, budući da pri izgradnji sustava informacijske sigurnosti svake vrste programeri formuliraju i rješavaju potpuno različite probleme (ponekad su međusobno proturječni). Dakle, koncept zaštite univerzalnih alata sustava temelji se na načelima "potpunog povjerenja u korisnika", čija je zaštita uglavnom beskorisna u korporativnim sustavima, na primjer, pri rješavanju problema suprotstavljanja internim IT prijetnjama. U velikoj većini današnjice, sustavi informacijske sigurnosti stvoreni su kako bi se ojačali zaštitni mehanizmi ugrađeni u univerzalne operativne sustave, koji se primjenjuju na korištenje u korporativnom okruženju. Ako govorimo o skupu zadataka koje treba riješiti, onda treba govoriti o integraciji mehanizama kako u smislu učinkovitog rješavanja konkretnog problema zaštite, tako i u smislu rješavanja skupa zadataka.

Potrošačka svojstva (svrha) dodatnog informacijskog sigurnosnog sustava iz NSD-a određena su mjerom u kojoj dodatna sredstva otklanjaju arhitektonske nedostatke sigurnosnih mehanizama ugrađenih u OS, primijenjenih na rješavanje potrebnih zadataka u korporativnim aplikacijama, te koliko sveobuhvatno (djelotvorno) rješava ovaj skup problema informacijske sigurnosti.

Pitanja procjene učinkovitosti informacija o informacijskoj sigurnosti iz NSD-a

Učinkovitost sustava informacijske sigurnosti iz NSD-a može se ocijeniti ispitivanjem pitanja ispravnosti implementacije zaštitnih mehanizama i dostatnosti skupa zaštitnih mehanizama u odnosu na praktične uvjete korištenja.

Procjena ispravnosti provedbe zaštitnih mehanizama

Na prvi pogled takvu ocjenu nije teško provesti, no u praksi to nije uvijek slučaj. Jedan primjer: u NTFS-u se objekt datoteke može identificirati na različite načine: objektima datoteke određenim dugim nazivima može se pristupiti kratkim imenom (na primjer, direktoriju programskih datoteka može se pristupiti kratkim nazivom "Progra ~ 1") , a nekim programskim objektima datoteka ne pristupa se po imenu, već po ID-u. Ako informacijski sustav informacijske sigurnosti instaliran u informacijskom sustavu ne presretne i analizira samo jedan sličan način pristupa datotečnom objektu, tada on, u velikoj mjeri, postaje potpuno beskoristan (prije ili kasnije napadač će otkriti nedostatak zaštitnih sredstava i iskoristi). Spomenimo i da objekti datoteka koji se ne dijele između korisnika sustava i aplikacija mogu poslužiti kao “kanal” za snižavanje kategorije dokumenta, što negira zaštitu povjerljivih informacija. Mnogo je takvih primjera.

Zahtjevi za ispravnost provedbe zaštitnih mehanizama definirani su u normativnom dokumentu „Državna tehnička komisija Rusije. Vodeći dokument. Računalni objekti. Zaštita od neovlaštenog pristupa informacijama. Pokazatelji sigurnosti od NSD-a do informacija“; koristi se za certificiranje sustava informacijske sigurnosti od NSD-a.

Ovi zahtjevi su prisutni u dokumentu u potrebnom obimu, ispravni su, ali su formulirani općenito (inače, inače bi bilo potrebno izraditi vlastiti regulatorni dokument za svaku obitelj OS, a moguće i za svaku implementaciju OS-a). ista obitelj), a za ispunjavanje jednog zahtjeva može biti potrebna implementacija više zaštitnih mehanizama. Posljedica toga je dvosmislenost tumačenja ovih zahtjeva (u smislu pristupa njihovoj implementaciji) i mogućnost suštinski različitih pristupa implementaciji zaštitnih mehanizama u sustav informacijske sigurnosti od strane NSD-a od strane programera. Rezultat je različita učinkovitost informacija o informacijskoj sigurnosti od NSD-a među proizvođačima koji implementiraju iste formalizirane zahtjeve. Ali nepoštivanje bilo kojeg od ovih zahtjeva može poništiti sve napore da se osigura sigurnost informacija.

Procjena dostatnosti (potpunosti) skupa zaštitnih mehanizama

Zahtjevi za dostatnost (potpunost, u odnosu na uvjete uporabe) skupa zaštitnih mehanizama određeni su dokumentom „Državna tehnička komisija Rusije. Vodeći dokument. Automatizirani sustavi. Zaštita od neovlaštenog pristupa informacijama. Pokazatelji sigurnosti od neovlaštenog pristupa informacijama", koji se koristi pri certificiranju objekata informatizacije, uključujući i pri korištenju informacijskog sigurnosnog informacijskog sustava od neovlaštenog pristupa u AS. Međutim, i ovdje je situacija uvelike slična gore opisanoj.

Dakle, formuliranje zahtjeva za dostatnost mehanizama u sustavu informacijske sigurnosti od NSD-a za zaštitu povjerljivih podataka u regulatornim dokumentima, u kojima postoji nejasnoća u određivanju što se pripisuje zaštićenim resursima, bilo bi preporučljivo. proširiti, na primjer, kako slijedi: pojedini uređaji, u skladu s uvjetima praktične uporabe zaštićenog računalnog objekta, i kontrolu pristupa subjekata zaštićenim resursima, posebice uređajima dopuštenim za povezivanje."

Imajte na umu da su mehanizmi za kontrolu pristupa resursima koji su uvijek prisutni u sustavu objekti datoteka, objekti OS registra itd. - a priori zaštićeni, a moraju biti prisutni u sustavu informacijske sigurnosti u svakom slučaju od neovlaštenog sustava, a što se tiče vanjskih resursa, vodeći računa o namjeni sustava informacijske sigurnosti. Ako je svrha sustava informacijske sigurnosti zaštita računala u mreži, tada mora imati mehanizme za kontrolu pristupa mrežnim resursima; ako služi za zaštitu autonomnih računala, tada bi trebao osigurati kontrolu (zabranu) povezivanja mrežnih resursa na računalo. Ovo pravilo, po našem mišljenju, bez iznimke se uklapa u sve resurse i može se koristiti kao temeljni zahtjev za skup zaštitnih mehanizama prilikom atestiranja objekata informatizacije.

Pitanja dostatnosti mehanizama zaštite treba razmatrati ne samo u odnosu na skup resursa, već iu odnosu na probleme zaštite informacija koji se rješavaju. Postoje samo dva takva zadatka u osiguravanju računalne sigurnosti - suzbijanje unutarnjih i vanjskih IT prijetnji.

Opći zadatak suprotstavljanja internim IT prijetnjama je osigurati razgraničenje pristupa resursima u skladu sa zahtjevima za obradu podataka različitih kategorija povjerljivosti. Postoje različiti pristupi definiranju diferencijacije: po računu, po procesu, na temelju kategorije pročitanog dokumenta. Svaki od njih postavlja svoje zahtjeve za dostatnost. Dakle, u prvom slučaju morate izolirati međuspremnik između korisnika; u drugom - između procesa; za treći slučaj općenito je potrebno radikalno revidirati cjelokupnu politiku razgraničenja pristupa svim resursima, budući da isti korisnik može obrađivati ​​podatke različitih kategorija povjerljivosti s istom aplikacijom.

Postoje deseci metoda međuprocesne komunikacije (imenovani kanali, memorijski sektori itd.), stoga je potrebno osigurati zatvorenost softverskog okruženja – spriječiti mogućnost pokretanja programa koji implementira takav kanal razmjene. Tu su i pitanja resursa neodvojivih od sustava i aplikacija, kontrola točne identifikacije subjekta pristupa, zaštita samog informacijskog sigurnosnog sustava od neovlaštenog pristupa (popis potrebnih zaštitnih mehanizama za učinkovito rješavanje ovog problema je vrlo impresivan). Većina njih nije izričito navedena u regulatornim dokumentima.

Zadatak učinkovitog suprotstavljanja vanjskim IT prijetnjama, po našem mišljenju, može se riješiti samo ako se postavi politika razgraničenja za subjekt "procesa" (odnosno, "proces" treba smatrati neovisnim subjektom pristupa resursima). To je zbog činjenice da je on taj koji nosi prijetnju vanjskog napada. Takav zahtjev izričito ne postoji u regulatornim dokumentima, ali u ovom slučaju rješavanje problema zaštite informacija zahtijeva radikalnu reviziju temeljnih načela za provedbu politike razgraničenja pristupa resursima.

Ako su pitanja dostatnosti mehanizama zaštite u odnosu na skup zaštićenih resursa još nekako podložna formalizaciji, onda u odnosu na zadaće zaštite informacija takve zahtjeve nije moguće formalizirati.

U tom slučaju sustavi informacijske sigurnosti NSD-a različitih proizvođača koji ispunjavaju formalizirane zahtjeve regulatornih dokumenata također mogu imati kardinalne razlike kako u implementiranim pristupima i tehničkim rješenjima, tako i u učinkovitosti ovih alata općenito.

Zaključno, napominjemo da ne treba podcjenjivati ​​važnost zadatka odabira informacijskog sigurnosnog sustava od NSD-a, budući da se radi o posebnoj klasi tehničkih sredstava čija učinkovitost ne može biti visoka ili niska. Uzimajući u obzir složenost procjene stvarne učinkovitosti sustava informacijske sigurnosti iz NSD-a, preporučujemo da potrošač uključi stručnjake (po mogućnosti među programerima koji se praktički suočavaju s tim problemima) u fazi odabira sustava informacijske sigurnosti iz NSD-a. .

Neovlašteni pristup informacijama (neovlašteni pristup informacijama)- radi se o pristupu podacima kojim se krše pravila za razlikovanje pristupa primjenom određenih sredstava, a to su računalna tehnologija ili automatizirani sustavi. Prema riječima stručnjaka, postoje načini neovlaštenog pristupa:

• Sklonost suradnji
• Proaktivna suradnja
• Izvlačenje, izvlačenje
• Prisluškivanje
• Krađa
• Promatranje
• Lažna (promjena)
• Kopiranje
• Uništenje
• Presretanje
• Ilegalna veza
• Fotografiranje
• Neizgovoreno poznanstvo

Proaktivna suradnjačesto se manifestira u određenim situacijama, kada su nezadovoljne osobe spremne poduzeti nezakonite radnje radi zarade. Razlozi mogu biti vrlo različiti, financijski, moralni, politički itd. Takvu osobu je lako nagovoriti na suradnju u pružanju povjerljivih informacija poduzeća, ako, naravno, ima pristup.

Sklonost suradnji- obično su to nasilne metode od strane uljeza. Takve se metode temelje na zastrašivanju, podmićivanju ili ucjeni. Zapošljavanje zaposlenika provodi se stvarnim prijetnjama uz provođenje ucjene. Ovo je najagresivnija metoda koja postoji, jer se miran posjet može pretvoriti u nasilna djela zastrašivanja.

Izvlačenje, izvlačenje- Riječ je o vrsti aktivnosti koja se temelji na postavljanju naivnih pitanja zaposleniku kako bi se dobila određena informacija. Također možete dobiti podatke lažnim poslovima ili drugim radnjama.

Prisluškivanje- Riječ je o metodi za industrijsku špijunažu ili obavještajnu djelatnost koju koriste posebni ljudi (promatrači, doušnici) uz posebno prisluškivanje. Prisluškivanje se može realizirati izravno percepcijom akustičnih valova ili posebnim sredstvima na daljinu.

Promatranje- Ovo je metoda iz obavještajnih podataka o statusu aktivnosti promatranog. Ova metoda se provodi pomoću optičkih instrumenata. Takav proces oduzima puno vremena i novca, pa se ova metoda obično provodi namjerno, u određeno vrijeme s kvalificiranim ljudima.

Krađa- Radi se o namjernom oduzimanju tuđih sredstava, dokumenata i sl. Grubo govoreći, kradu sve što je loše, tako da morate pažljivo postupati s povjerljivim nositeljima podataka.

Kopiranje- Obično se kopiraju dokumenti koji sadrže vrijedne podatke. Pristup se dobiva na nezakonit način, često zbog slabe informacijske sigurnosti.

Lažna- ovo je promjena podataka, koja je u stvarnosti konkurencije velika. Lažiraju sve kako bi dobili vrijedne podatke.

Uništenje- Brisanje podataka na tehničkim medijima za pohranu. Ako pogledamo apstraktnije, uništavaju se ljudi, dokumenti i drugi elementi informacijskog sustava koji imaju određeno značenje.

Ilegalna veza- razumjeti beskontaktno ili kontaktno povezivanje na različite žice za različite svrhe.

Presretanje- To je stjecanje obavještajnih informacija zbog primanja signala elektromagnetske energije pasivnim metodama prijema. Svi signali u radijskoj ili žičanoj komunikaciji podložni su presretanju.

Neizgovoreno poznanstvo- Ovo je način dobivanja podataka kojem ispitanik nema pristup, ali pod određenim okolnostima može nešto naučiti. Na primjer, pogledajte zaslon računala ili otvorite dokument koji leži na stolu.

Fotografiranje- metoda za dobivanje slika objekata na fotografskom materijalu. Značajka metode je dobivanje detaljnih podataka prilikom dešifriranja slike.

Prema mišljenju stručnjaka, takav popis nije presijecan i neovisan na određenoj razini apstrakcije. Omogućuje vam da zajedno razmotrite određeni skup uzoraka takvih metoda. Slika 1. prikazuje generalizirani model metoda neovlaštenog pristupa izvorima povjerljivih informacija.

Nije tajna da specijalne službe pomno prate svoje optužbe, koristeći razne protuobavještajne službe. Istodobno, morate razumjeti putem koje metode dobivanja informacija dolazi do neovlaštenog pristupa. Put- Ovo je tehnika ili postupak za radnje koje dovode do ostvarenja cilja. Metoda neovlaštenog pristupa(NSD metoda) je skup radnji i tehnika s ciljem dobivanja podataka nezakonitim putem s dodatnim utjecajem na te informacije.

Danas su metode NSD-a prema podacima različite: primjena posebnih tehničkih sredstava, korištenje praznina u sustavima ili druge, kao što je prikazano na slici 1. Osim toga, metode NSD-a izravno su povezane s karakteristikama izvora povjerljivih podataka.
Imati set izvori informacije i skup načina NSD do njih, možete izračunati vjerojatnost i izgraditi model njihove povezanosti. Mnoge se metode primjenjuju na izvore — tehnologiju obrade i ljude. Iako druge metode, ne na primjer, ne utječu na takve uobičajene izvore, njihova opasnost može biti još veća.

Stupanj opasnosti NSD metode gleda na nastalu štetu. Koliko informacija danas ima cijenu, sama činjenica stjecanja informacija jednaka je primanju novca. Napadač ima tri gola:

• dobiti podatke za konkurente i prodati.
• promjena podataka u informacijskoj mreži. Dezinformacija.
• Uništiti podatke.

Slika - 1 (za pregled kliknite na sliku)

Glavni cilj je dobiti informacije o stanju, sastavu i djelatnostima objekata od povjerljivog interesa za vlastite potrebe ili obogaćivanje. Drugi cilj je promijeniti informacije koje postoje u informacijskoj mreži. Ova metoda može dovesti do dezinformacija u određenim područjima aktivnosti, promijeniti rezultat dodijeljenih zadataka. Istodobno, vrlo je teško provesti takvu shemu dezinformacija, morate provesti cijeli niz akcija i predvidjeti mnogo događaja. Najopasniji cilj je uništavanje podataka. I izbor radnji i njihove kvalitativne ili kvantitativne karakteristike ovise o zadacima.

Metode NSD do informiranja pomoću tehničkih sredstava

Svaki elektronički sustav koji sadrži skup čvorova, elemenata i vodiča i istovremeno posjeduje izvore informacijskih signala - postoje kanali curenja povjerljivih informacija. LPA metode i kanali curenja objektivno su povezani. Opcije povezivanja prikazane su u tablici. jedan.

stol 1

Iz svakog izvora formira se kanal curenja podataka, a proučavaju se njegovi specifični parametri i testiraju metode napada u laboratorijima. Radnje mogu biti aktivne i pasivne. Pasivno se odnosi na implementaciju tehničkih kanala curenja informacija bez izravnog kontakta ili veze. Metode se obično temelje na podacima. Aktivne metode povezuju se na komunikacijske linije. Komunikacijske linije mogu biti:

• Žičani (optička vlakna).
• Bežični (Wi-Fi).

Načini diranja u komunikacijske linije

Često se kao komunikacijske linije koriste telefonske linije ili optičke linije. Metode prisluškivanja telefonskih linija prikazane su na slici 2.

Crtež - 2

Postoje i sustavi prisluškivanja koji ne zahtijevaju izravan kontakt s telefonskom linijom. Takvi sustavi koriste induktivne metode prikupljanja podataka. Takvi sustavi nisu široko korišteni, jer su vrlo veliki zbog prisutnosti nekoliko stupnjeva pojačanja slabog niskofrekventnog signala i, osim toga, vanjskog izvora napajanja.

Ali danas linije optičkih stupova imaju širi raspon implementacije. Informacija se kroz takav kanal prenosi u obliku pulsirajućeg svjetlosnog toka, na koji ne utječu magnetske i električne smetnje. Također je teže presresti podatke preko takvog kanala, što povećava sigurnost prijenosa. U tom slučaju brzina prijenosa doseže gigabajta / sekundi. Za spajanje na takav komunikacijski kanal uklanjaju se zaštitni slojevi kabela. Zatim odvode reflektirajući omotač i savijaju kabel pod posebnim kutom kako bi uhvatili informacije. U tom će slučaju jačina signala odmah osjetno pasti. Na komunikacijski kanal možete se povezati i beskontaktno, ali za to morate imati određenu razinu znanja i obuke.

Načini diranja u bežične komunikacijske linije

Prijenos podataka pomoću visokofrekventnih HFW i VHF pojaseva omogućuje implementaciju prijenosa informacija i računalne mreže gdje je teško postaviti konvencionalne žičane kanale. U takvim komunikacijskim kanalima moguć je prijenos informacija brzinom do 2 Mbit / s. U tom slučaju postoji mogućnost smetnji i presretanja informacija. Presretanje podataka radi na temelju presretanja elektromagnetskog zračenja uz daljnju analizu i dešifriranje. Presretanje informacija putem takvih kanala ima svoje karakteristike:

• podaci se mogu dobiti bez izravnog kontakta s izvorom;
• na signal ne utječe godišnje doba/dan;
• prijem podataka odvija se u stvarnom vremenu;
• presretanje se provodi prikriveno.
• raspon presretanja ograničen je samo karakteristikama valova širenja.

Zaštita od neovlaštenog pristupa

Postoji priča o tome kako pohraniti informacije. Mora biti u jednom primjerku na računalu koje se nalazi u blindiranom sefu, isključeno iz svih mreža i bez napajanja. Ova metoda je, blago rečeno, vrlo okrutna, ali bilo je i takvih slučajeva. Da biste zaštitili podatke od neovlaštenog pristupa, morate razumjeti koji se pristup smatra ovlaštenim, a koji ne. Za ovo vam je potrebno:

• raščlaniti informacije u klase koje se obrađuju ili pohranjuju na računalu
• podijeliti korisnike u klase za pristup podacima
• rasporediti te klase u određene veze za razmjenu podataka među sobom

Sustavi zaštite podataka od neovlaštenog neovlaštenog pristupa trebali bi podržavati provedbu sljedećih funkcija:

• ovjera
• identifikacija
• diferencijacija pristupa korisnika računalima
• diferencijacija pristupa korisnika prilikama u odnosu na informacije
• administracija:
  • obrada trupaca
  • definiranje prava pristupa resursima
  • pokretanje zaštitnog sustava na računalu
  • demontirani sustavi zaštite računala
• Zaključak o pokušajima neovlaštenih osoba
• prijava događaja:
  • kršenja pristupa
  • prijava/odjava korisnika
• praćenje rada i integriteta zaštitnih sustava
• održavanje informacijske sigurnosti tijekom popravnih i preventivnih radova i izvanrednih situacija

Prava pristupa korisnika resursima opisana su tablicama na temelju kojih se provjerava autentifikacija pristupa korisnika. Ako Korisnik ne može dobiti tražena prava pristupa, tada se registrira činjenica neovlaštenog servisa i poduzimaju se određene radnje.

Autentifikacija i identifikacija korisnika

Da bi korisnik mogao pristupiti resursima sustava, mora proći kroz postupak:

• Identifikacija- postupak da korisnik sustavu daje svoje ime ili drugi identifikator
• Ovjera- postupak potvrde od strane sustava korisnika na temelju identifikatora i lozinke ili drugih podataka (vidi,)

Na temelju toga, da biste izvršili ove postupke, trebate:

• postojao je program za provjeru autentičnosti
• korisniku su bile dostupne jedinstvene informacije

Postoje dva oblika pohranjivanja identifikacijskih podataka korisnika, interni (zapis u bazi) ili vanjski (kartica). Svaki nositelj podataka koji sustav mora prepoznati ima korespondenciju u autentifikacijskom sustavu:

• ID i - nepromjenjivi identifikator i-tog korisnika, koji je za sustav analogan korisničkom imenu
• K i - podaci za autentifikaciju korisnika

Postoje dvije tipične sheme za provjeru autentičnosti i identifikaciju. Prva shema:

U takvoj shemi E i = F (ID i, K i), gdje je nepopravljivost K i se smatra određenim pragom intenziteta rada T 0 za vraćanje K i iz E i i ID i. Za par K i i K j, moguća podudarnost vrijednosti E. U vezi s ovom situacijom, vjerojatnost lažna autentifikacija korisnici sustava ne bi trebali prijeći određeni prag P 0. U praksi se daju sljedeće vrijednosti: T 0 = 10 20… .10 30, P 0 = 10 -7… .10 -9.

Za takvu shemu postoji protokol za autentifikaciju i identifikaciju:

• Korisnik daje svoj ID
• Izračunava se vrijednost E = F (ID, K).

U drugoj shemi, E i = F (S i, K i), gdje je S slučajni vektor koji je naveden prilikom kreiranja korisničkog ID-a. F je funkcija koja ima aspekt nepopravljivo vrijednosti K i po E i i S i.

Protokol za drugu shemu provjere autentičnosti i identifikacije:

• Korisnik sustavu pokazuje svoj ID
• Ako postoji takav ID i, gdje je ID = ID i, onda je provjera autentičnosti korisnika bila uspješna, inače ne.
• Vektoru S dodjeljuje se ID identifikatora
• Algoritam za provjeru autentičnosti traži od korisnika da unese svoj autentifikator K
• Izračunava se vrijednost E = F (S, K).
• Ako je E = E 1 onda je provjera autentičnosti proslijeđena, inače nije.

Druga shema se koristi u UNIX OS-u. Korisnik upisuje svoje ime (Login) kao identifikator, a lozinku kao autentifikator. Funkcija F je DES algoritam šifriranja. (cm.)

U posljednje vrijeme biometrijske metode identifikacije i autentifikacije dobivaju na zamahu, a to je omogućeno:

• Visok stupanj punomoći za značajke zbog njihove jedinstvenosti
• Teško krivotvorenje ovih znakova

Kao korisničke karakteristike mogu se koristiti sljedeće:

• otisci prstiju
• uzorak retine i šarenice
• oblik ruke
• oblik uha
• oblik lica
• glasovne značajke
• rukopis

Prilikom registracije korisnik mora pokazati svoje biometrijske karakteristike. Skenirana slika uspoređuje se sa slikom koja postoji u bazi podataka. Sustavi za identifikaciju očiju imaju vjerojatnost ponavljanja ovih karakteristika - 10 -78. Stoga su sustavi najpouzdaniji među ostalim biometrijskim sustavima. Takvi se sustavi koriste u zonama obrambenih i vojnih objekata. Sustavi za identifikaciju otiska prsta najčešći. Razlog masovnosti je što postoji velika baza otisaka prstiju. Hvala policiji. Sustavi za identifikaciju lica i glasa najpristupačniji zbog niske cijene. Takvi se sustavi koriste za daljinsku identifikaciju, na primjer, u mrežama.

Treba napomenuti da upotreba biometrijskih karakteristika za identifikaciju ispitanika još nije dobila odgovarajuću regulatornu potporu, u obliku standarda. Stoga je korištenje takvih sustava dopušteno samo tamo gdje se obrađuju podaci koji predstavljaju poslovnu ili službenu tajnu.

Međusobna provjera autentičnosti korisnika

Strane koje ulaze u razmjenu informacija trebaju međusobnu autentifikaciju. Ovaj se proces obično provodi na početku sesije razmjene. Za provjeru autentičnosti postoje načini:

• mehanizam vremenskog žiga ( privremeni čep)
• mehanizam zahtjev-odgovor

Mehanizam zahtjev-odgovor podrazumijeva situaciju kada korisnik A želi biti siguran da podaci koje korisnik B šalje nisu lažni. Da bi to učinio, korisnik A šalje nepredvidljivu stavku - zahtjev X, na kojem korisnik B mora izvesti unaprijed određenu operaciju i poslati rezultat korisniku A. Korisnik A provjerava rezultat s onim što je trebao izaći. Nedostatak ove metode je što možete vratiti uzorak između zahtjeva i odgovora.

Mehanizam vremenskog žiga uključuje bilježenje vremena za svaku poslanu poruku. U ovom slučaju, korisnik mreže može odrediti koliko zastario poruka. U oba slučaja mora se primijeniti dodatna enkripcija.

Postoji također mehanizam rukovanja, koji se temelji na prethodna dva mehanizma i sastoji se u međusobnoj provjeri ključeva koje koriste razmjene. Ovaj princip se koristi za stvaranje veze između glavnog računala i tako dalje u mrežama.

Kao primjer, razmotrite dva korisnika A i B koji dijele isti privatni ključ K AB.

• Korisnik A pokreće mehanizam i šalje korisniku B svoj ID A u otvorenom obliku
• Korisnik B prima identifikator ID A, pronalazi ključ K AB za daljnju upotrebu
• Korisnik A generira sekvencu S pomoću generatora PG i šalje korisniku B u obliku kriptograma E K AB S
• Korisnik B dešifrira ovaj kriptogram
• Oba korisnika mijenjaju slijed S pomoću jednosmjerne funkcije f
• Korisnik B šifrira poruku f (S) i šalje kriptogram E K AB (f (S)) korisniku A
• Korisnik A dešifrira takav kriptogram i uspoređuje izvorni f (S) i dešifrirani. Ako su jednaki, dokazuje se identitet korisnika B i korisnika A.

Korisnik B na isti način dokazuje A-ovu autentičnost. Prednost ovog mehanizma je što sudionici komunikacije ne primaju nikakve tajne informacije tijekom mehanizma.

Također možete koristiti DLP sustave. Takvi se sustavi temelje na analizi tokova podataka koji se presijecaju s podacima zaštićenog informacijskog sustava. Kada se potpis aktivira, aktivira se aktivni element sustava, a prijenos paketa, toka, sesije je blokiran. Takvi se sustavi temelje na dvije metode. Prvi koji je analizirao formalne znakove informacija. Na primjer, oznake, vrijednost hash funkcija itd. Ova metoda omogućuje izbjegavanje lažnih pozitivnih rezultata (pogreške 1. vrste), ali za to je potrebno dokumente obraditi dodatnom klasifikacijom. Drugi način je analiza sadržaja. Dopušta lažne pozitivne rezultate, ali omogućuje otkrivanje prijenosa povjerljivih podataka ne samo među obrađenim dokumentima. Glavni zadatak takvih sustava je spriječiti prijenos povjerljivih podataka izvan informacijskog sustava. Takvo curenje može biti namjerno ili nenamjerno. Praksa pokazuje da se 75% incidenata ne događa namjerno, već zbog grešaka, nemara ili nemara samih zaposlenika. Takva curenja nije teško otkriti, teže je identificirati posebne napade. Ishod borbe ovisi o mnogim parametrima i nemoguće je jamčiti 100% uspjeh.

Sumirajući, treba napomenuti da je NSD namjerna prijetnja s pristupom. Postoji mnogo načina da to učinite. Služba informacijske sigurnosti treba pažljivo pratiti tokove informacija kao i korisnike informacijskog sustava. Razvojem tehnologija pojavljuju se nove metode NDM-a i njihova implementacija. Vlasti trebaju dodijeliti sredstva za ažuriranje i poboljšanje sigurnosnog sustava informacijskog sustava, jer s vremenom on zastari i gubi sposobnost sprječavanja novih napada. Mora se zapamtiti da ne postoji apsolutna zaštita, ali joj se treba težiti.

Neovlašteni pristup informacijama je neplanirano upoznavanje, obrada, kopiranje, korištenje raznih virusa, uključujući i one koji uništavaju softverske proizvode, kao i izmjena ili uništavanje informacija kršeći utvrđena pravila kontrole pristupa.

Stoga je zaštita informacija od neovlaštenog pristupa osmišljena kako bi spriječila napadača da pristupi nositelju informacija. Tri su glavna smjera u zaštiti informacija računala i mreža od NSD-a:

- usmjeren je na sprječavanje uljeza u pristupu računalnom okruženju i temelji se na posebnim tehničkim sredstvima identifikacije korisnika;

- odnosi se na zaštitu računalnog okruženja i temelji se na izradi posebnog softvera;

- povezana s korištenjem posebnih sredstava zaštite računalnih informacija od neovlaštenog pristupa.

Treba imati na umu da se za rješavanje svakog od problema koriste i različite tehnologije i različita sredstva. Zahtjevi za zaštitnu opremu, njezine karakteristike, funkcije koje obavlja i njihova klasifikacija, kao i pojmovi i definicije za zaštitu od neovlaštenog pristupa dani su u uputama Državnog tehničkog povjerenstva:

- “Automatizirani sustavi. Zaštita od neovlaštenog pristupa informacijama. Klasifikacija AU i zahtjevi za zaštitu informacija";

- “Računalni objekti. Zaštita od neovlaštenog pristupa informacijama. Pokazatelji sigurnosti od neovlaštenog pristupa informacijama“;

– „Zaštita od neovlaštenog pristupa informacijama. Termini i definicije". Tehnička sredstva koja implementiraju funkcije zaštite mogu se podijeliti na:

o ugrađeni;

o vanjski.

Ugrađena sredstva zaštite osobnog računala i softvera (slika 3.12) uključuju sredstva za zaštitu lozinkom za BIOS, operativni sustav i DBMS. Ovi alati mogu biti iskreno slabi - BIOS s lozinkom nadzora, Win95 / 98 zaštita lozinkom, ali mogu biti mnogo jači - BIOS bez lozinki nadzora, Windows NT zaštita lozinkom, ORACLE DBMS. Korištenje prednosti ovih alata omogućuje značajno jačanje sustava za zaštitu informacija od neovlaštenog pristupa.

Vanjski alati dizajnirani su za zamjenu ugrađenih alata kako bi se pojačala zaštita ili nadopunila funkcijama koje nedostaju.

To uključuje:

- pouzdani hardver za pokretanje;

- hardverski i softverski sustavi za odvajanje prava pristupa korisnika;

- sredstva snažne provjere autentičnosti mrežnih veza.

Pouzdani hardver za pokretanje je proizvod, koji se ponekad naziva i "elektronička brava", čija je funkcija sigurna identifikacija korisnika i provjera integriteta softvera računala. Obično je to PC kartica za proširenje s potrebnim softverom upisanim u flash memoriju kartice ili na tvrdi disk računala.

Njihov princip rada je jednostavan. Tijekom procesa pokretanja pokreću se BIOS i ploče za zaštitu od neovlaštenog otvaranja. Traži korisnički ID i uspoređuje ga s onim pohranjenim u flash memoriji kartice. Identifikator se može dodatno zaštititi lozinkom. Zatim se pokreće ugrađeni operativni sustav ploče ili računala (najčešće je to varijanta MS-DOS-a), nakon čega se pokreće program za provjeru integriteta softvera. U pravilu se provjeravaju sistemska područja diska za podizanje sustava, datoteke za pokretanje i datoteke koje je korisnik postavio za provjeru. Provjera se provodi ili na temelju oponašanja algoritma GOST 28147-89, ili na temelju funkcije raspršivanja algoritma GOST R 34.11-34 ili nekog drugog algoritma. Rezultat testiranja uspoređuje se s onim pohranjenim u flash memoriji kartice. Ako se, kao rezultat usporedbe, prilikom provjere identifikatora ili integriteta sustava otkrije razlika sa standardom, ploča će blokirati daljnji rad i prikazati odgovarajuću poruku na ekranu. Ako su provjere pozitivne, ploča prenosi kontrolu na osobno računalo za daljnje učitavanje operativnog sustava.

Sve identifikacije i provjere integriteta se bilježe. Prednosti uređaja ove klase su njihova visoka pouzdanost, jednostavnost i niska cijena. U nedostatku višekorisničkog rada na računalu, zaštitne funkcije ovog alata obično su dovoljne.

Hardverski i softverski sustavi za razdvajanje prava pristupa koriste se u slučaju da više korisnika radi na jednom računalu, ako je zadatak razdvojiti ovlasti za međusobno pristup podacima. Rješenje ovog problema temelji se na: 01 zabrani korisnicima pokretanja određenih aplikacija i procesa; Q Dopuštanje korisnicima i aplikacijama koje pokreću samo određenu vrstu radnje s podacima.

Provedba zabrana i dopuštenja ostvaruje se na različite načine. U pravilu se tijekom pokretanja operativnog sustava pokreće i program za zaštitu od neovlaštenog pristupa. Prisutan je u memoriji računala kao rezidentni modul i kontrolira radnje korisnika za pokretanje aplikacija i pristup podacima. Sve radnje korisnika bilježe se u dnevnik, koji je dostupan samo administratoru sigurnosti. Sredstva ove klase obično se shvaćaju kao sredstva zaštite od neovlaštenog pristupa. Radi se o hardversko-softverskim kompleksima koji se sastoje od hardvera – provjerene računalne ploče za podizanje sustava, koja sada dodatno provjerava integritet softvera samog sustava zaštite od neovlaštenog otvaranja na tvrdom disku, te softverskog dijela – administratorskog programa, rezidentnog modula. . Ti se programi nalaze u posebnom imeniku i dostupni su samo administratoru. Ovi se sustavi mogu koristiti u sustavu za jednog korisnika kako bi ograničili korisnika da instalira i pokrene programe koji mu nisu potrebni u svom radu.

Sredstva poboljšane provjere autentičnosti mrežnih veza koriste se kada rad radnih stanica kao dijela mreže nameće zahtjeve za zaštitu resursa radne stanice od prijetnje neovlaštenog ulaska u radnu stanicu sa strane mreže i promjene informacija ili softvera, kao i kao pokretanje neovlaštenog procesa. Zaštita od neovlaštenog pristupa s mrežne strane postiže se poboljšanom provjerom autentičnosti mrežnih veza. Ova tehnologija se naziva tehnologija virtualne privatne mreže.

Jedan od glavnih zadataka zaštite od neovlaštenog pristupa je osigurati pouzdanu identifikaciju korisnika (slika 3.13) i mogućnost provjere autentičnosti svakog korisnika mreže koji se može jedinstveno identificirati činjenicom da:

- predstavlja sebe.

Što korisnik zna? Vaše ime i lozinka. Sheme identifikacije lozinki temelje se na tom znanju. Nedostatak ovih shema je što on treba zapamtiti složene lozinke, što se vrlo često ne događa: ili je lozinka odabrana slaba, ili je jednostavno zapisana u bilježnicu, na komad papira itd. U slučaju korištenja samo zaštitu lozinkom, poduzimaju se odgovarajuće mjere kako bi se osigurala kontrola stvaranja lozinki, njihova pohrana, praćenje isteka njihove uporabe i pravovremeno brisanje. Zatvaranje kriptografske lozinke može uvelike riješiti ovaj problem i otežati napadaču da zaobiđe mehanizam provjere autentičnosti.

Što korisnik može imati? Naravno, poseban ključ je jedinstveni identifikator, kao što je dodirna memorija tableta (I-gumb), e-token, pametna kartica ili kriptografski ključ koji šifrira svoj unos u bazu podataka korisnika. Takav sustav je najsigurniji, međutim, zahtijeva da korisnik uvijek ima kod sebe identifikator koji se najčešće pričvršćuje na privjesak s ključevima i često se zaboravi kod kuće ili izgubi. Bit će ispravno ako administrator ujutro izda identifikatore i zapiše o tome u zapisnik te ih navečer prihvati natrag na pohranu, ponovno upisavši u dnevnik.

Što je korisnik? To su značajke koje su svojstvene samo ovom korisniku, samo njemu, koje pružaju biometrijsku identifikaciju. Identifikator može biti otisak prsta, crtež šarenice očiju, otisak dlana itd. Trenutno je ovo najperspektivniji smjer u razvoju sredstava za identifikaciju. Pouzdani su i istovremeno ne zahtijevaju dodatno poznavanje nečega niti trajno posjedovanje nečega od korisnika. S razvojem tehnologije i trošak ova sredstva postaju dostupna svakoj organizaciji.

Zadatak je različitih mehanizama identifikacije i provjere autentičnosti osigurati provjeru identiteta korisnika.

Svakom korisniku (skupini korisnika) na mreži dodjeljuje se određena karakteristična osobina - identifikator i uspoređuje se s odobrenom listom. Međutim, samo deklarirani identifikator na mreži ne može pružiti zaštitu od neovlaštenih povezivanja bez provjere identiteta korisnika.

Proces provjere identiteta korisnika naziva se autentikacija. To se događa uz pomoć posebne prepoznatljive značajke koju je predstavio korisnik - autentifikatora koji mu je svojstven. Učinkovitost provjere autentičnosti određena je prvenstveno karakterističnim karakteristikama svakog korisnika.

Specifični mehanizmi identifikacije i autentifikacije u mreži mogu se implementirati na temelju sljedećih sredstava i postupaka za zaštitu informacija:

- lozinke;

- tehnička sredstva;

- biometrijska sredstva;

- kriptografija s jedinstvenim ključevima za svakog korisnika.

Pitanje primjenjivosti pojedinog alata odlučuje se ovisno o identificiranim prijetnjama, tehničkim karakteristikama štićenog objekta. Ne može se jednoznačno reći da će korištenje hardvera koji koristi kriptografiju dati sustavu veću pouzdanost od korištenja softvera.

Analiza sigurnosti informacijskog objekta i utvrđivanje prijetnji njegovoj sigurnosti iznimno je složen postupak. Jednako kompliciran postupak je odabir tehnologija i sredstava zaštite za uklanjanje identificiranih prijetnji. Bolje je povjeriti rješavanje ovih problema stručnjacima s bogatim iskustvom.

Zaštita od neovlaštenog pristupa podacima

Neovlašteni pristup (NSD) napadača računalu opasan je ne samo mogućnošću čitanja i/ili modifikacije obrađenih elektroničkih dokumenata, već i mogućnošću uvođenja kontrolirane softverske oznake od strane napadača, koja će mu omogućiti da preuzme sljedeće radnje:

2. Presretnite različite ključne informacije koje se koriste za zaštitu elektroničkih dokumenata.

3. Koristite oteto računalo kao odskočnu dasku za otmicu drugih računala na lokalnoj mreži.

4. Uništite informacije pohranjene na računalu ili onemogućite računalo pokretanjem zlonamjernog softvera.

Zaštita računala od neovlaštenog pristupa jedan je od glavnih problema informacijske sigurnosti, stoga većina operacijskih sustava i popularnih softverskih paketa ima ugrađene različite podsustave za zaštitu od neovlaštenog pristupa. Na primjer, provođenje provjere autentičnosti korisnika prilikom prijave na operacijske sustave obitelji Windows. No, nema sumnje da ugrađeni alati operativnih sustava nisu dovoljni za ozbiljnu zaštitu od neovlaštenih neovlaštenih radnji. Nažalost, implementacija zaštitnih podsustava za većinu operacijskih sustava često izaziva kritike zbog redovito otkrivanih ranjivosti koje omogućuju pristup zaštićenim objektima zaobilazeći pravila kontrole pristupa. Servisni paketi i popravci koje su objavili proizvođači softvera objektivno zaostaju za informacijama o otkrivenim ranjivostima. Stoga je uz standardna sredstva zaštite potrebno koristiti posebna sredstva ograničavanja ili ograničavanja pristupa.
Ova sredstva se mogu podijeliti u dvije kategorije:

1. Sredstva za ograničavanje fizičkog pristupa.

2. Sredstva zaštite od neovlaštenog pristupa preko mreže.

Sredstva za ograničavanje fizičkog pristupa

Najpouzdanije rješenje za problem ograničavanja fizičkog pristupa računalu je korištenje hardvera za zaštitu informacija od neovlaštenog neovlaštenog pristupa, koje se izvodi prije učitavanja operativnog sustava. Zaštite u ovoj kategoriji nazivaju se "elektroničke brave". Primjer elektronske brave prikazan je na Sl. 5.3.

Slika 5.3 - Elektronska brava za PCI sabirnicu

U teoriji, svaki softver za kontrolu pristupa može biti napadnut od strane napadača kako bi narušio algoritam takvog alata i zatim dobio pristup sustavu. Gotovo je nemoguće to učiniti hardverskim sigurnosnim alatom: elektronička brava obavlja sve radnje za kontrolu pristupa korisnika u vlastitom pouzdanom softverskom okruženju, koje nije podložno vanjskim utjecajima.
U pripremnoj fazi korištenja elektroničke brave ona se instalira i konfigurira. Konfiguracija uključuje sljedeće radnje, koje obično obavlja odgovorna osoba - administrator sigurnosti:

1. Izrada popisa korisnika kojima je dopušten pristup zaštićenom računalu. Za svakog korisnika formira se medij ključa (ovisno o sučeljima koje podržava određena brava - disketa, elektronički tablet iButton ili pametna kartica) koji će služiti za autentifikaciju korisnika na ulazu. Popis korisnika pohranjuje se u nepromjenjivu memoriju brave.

2. Formiranje popisa datoteka čiji se integritet kontrolira zaključavanjem prije učitavanja operacijskog sustava računala. Važne datoteke operativnog sustava podliježu kontroli, na primjer, sljedeće:

Knjižnice sustava Windows;

Izvršni moduli korištenih aplikacija;

Predlošci dokumenata Microsoft Word itd.

Kontrola integriteta datoteke je izračun njihovog referentnog kontrolnog zbroja, na primjer, raspršivanje prema algoritmu GOST R 34.11-94, pohranjivanje izračunatih vrijednosti u nepostojanu memoriju zaključavanja, a zatim izračunavanje stvarnih kontrolnih zbroja datoteka i njihovo uspoređivanje s referentnim. U normalnom načinu rada, elektronička brava dobiva kontrolu iz BIOS-a zaštićenog računala nakon što se potonje uključi. U ovoj se fazi izvode sve radnje za kontrolu pristupa računalu (pogledajte pojednostavljeni dijagram algoritma na slici 5.4), i to:

Slika 5.4 - Pojednostavljeni dijagram algoritma elektroničke brave

1. Brava od korisnika traži medij s ključnim podacima potrebnim za njegovu autentifikaciju. Ako ključni podaci traženog formata nisu navedeni ili ako korisnik identificiran na temelju navedenih podataka nije uključen u popis korisnika zaštićenog računala, zaključavanje će blokirati pokretanje računala.

2. Ako je provjera autentičnosti korisnika uspješna, zaključavanje izračunava kontrolne zbrojeve datoteka sadržanih u kontroliranom popisu i uspoređuje primljene kontrolne zbroje s referentnim. Ako je narušen integritet barem jedne datoteke s popisa, računalo je blokirano od učitavanja. Za daljnji rad na ovom računalu problem mora riješiti Administrator, koji mora otkriti razlog promjene kontrolirane datoteke i, ovisno o situaciji, poduzeti jednu od sljedećih radnji kako bi omogućio daljnji rad sa zaštićenim računalom:

Obnova izvorne datoteke;

Uklonite datoteku s kontroliranog popisa.

3. Ako su sve provjere uspješne, zaključavanje vraća kontrolu računalu za učitavanje standardnog operativnog sustava.

Budući da se gore navedeni koraci izvode prije učitavanja operacijskog sustava računala, brava obično učitava vlastiti operativni sustav (smješten u njegovoj nepomičnoj memoriji - obično ovaj MS-DOS ili slično OS, što ne nameće velike zahtjeve za resursima), u kojem se provode autentifikacija korisnika i provjere integriteta datoteke. To ima smisla i sa sigurnosne točke gledišta - vlastiti operativni sustav brave nije podložan nikakvim vanjskim utjecajima, što sprječava napadača da utječe na gore opisane upravljačke procese. Podaci o korisničkim prijavama na računalo, kao io pokušajima neovlaštenog pristupa, pohranjuju se u zapisnik koji se nalazi u nepromjenjivoj memoriji brave. Zapisnik može vidjeti administrator. Postoji niz problema pri korištenju elektroničkih brava, a posebno:

1. BIOS Neka moderna računala mogu se konfigurirati na takav način da se kontrola ne prenosi na BIOS zaključavanja tijekom pokretanja. Kako bi se spriječile takve postavke, zaključavanje mora moći blokirati pokretanje računala (na primjer, zatvaranjem kontakata Resetiraj) ako brava nije dobila kontrolu unutar određenog vremenskog intervala nakon uključivanja napajanja.

2. Napadač može jednostavno izvući bravu iz računala. Međutim, postoji niz protumjera:

Razne organizacijske i tehničke mjere: brtvljenje kućišta računala, osiguranje da korisnici nemaju fizički pristup sistemskoj jedinici računala itd.

Postoje elektroničke brave koje mogu zaključati kućište računala iznutra posebnom bravom na naredbu administratora – u tom slučaju se brava ne može ukloniti bez značajnijeg oštećenja računala.

Vrlo često se elektroničke brave strukturno kombiniraju s hardverskim koderom. U ovom slučaju, preporučena mjera zaštite je korištenje brave u kombinaciji sa softverskim alatom za transparentno (automatsko) šifriranje logičkih pogona na računalu. U ovom slučaju, ključevi za šifriranje mogu biti izvedeni iz ključeva koji se koriste za provjeru autentičnosti korisnika u elektroničkoj bravi ili zasebnih ključeva, ali pohranjeni na istom mediju kao i ključevi korisnika za prijavu na računalo. Takav opsežan zaštitni alat neće zahtijevati od korisnika dodatne radnje, ali će također spriječiti napadača da dobije pristup informacijama čak i kada je hardver elektroničke brave uklonjen.

Sredstva zaštite od neovlaštenog neovlaštenog pristupa u mreži

Najučinkovitije metode zaštite od neovlaštenog pristupa preko računalnih mreža su virtualne privatne mreže ( VPN - Virtualna privatna mreža) i vatrozid. Razmotrimo ih detaljno.

Virtualne privatne mreže

VPN-ovi osiguravaju automatsku zaštitu integriteta i povjerljivosti poruka koje se prenose putem različitih javnih mreža, prvenstveno interneta. Zapravo, VPN Je skup mreža, na čijem su vanjskom perimetru instalirane VPN-agensi (sl.5.5). VPN-agent je program (ili softversko-hardverski kompleks) koji zapravo pruža zaštitu prenesenih informacija izvodeći dolje opisane operacije.

Riža. 5.5 - Shema izgradnje VPN-a

Prije slanja bilo koje IP-paket VPN- agent radi sljedeće:

1. Iz naslova IP-informacije o paketu o njegovom primatelju su istaknute. Prema ovim informacijama na temelju sigurnosne politike ovog VPN-agent, odabiru se zaštitni algoritmi (ako VPN-agent podržava nekoliko algoritama) i kriptografskih ključeva kojima će ovaj paket biti zaštićen. U slučaju da je sigurnosna politika VPN-agent nije predviđen za slanje IP-paket zadanom primatelju, odn IP-paket sa ovim karakteristikama, slanje IP-paket je blokiran.

2. Koristeći odabrani algoritam zaštite integriteta, generira se i dodaje IP- paket elektroničkog digitalnog potpisa (EDS), imitator ili sličan kontrolni zbroj.

3. Koristeći odabrani algoritam šifriranja, provodi se šifriranje IP-paket.

4. Korištenje utvrđenog algoritma enkapsulacije paketa, šifrirano IP- paket se stavlja u IP-paket spreman za prijenos, čije zaglavlje, umjesto izvornih podataka o primatelju i pošiljatelju, sadrži podatke o VPN-agent adresata i VPN-agent pošiljatelja. Oni. u tijeku je prijevod mrežne adrese.

5. Paket je poslan VPN- agentu adresata. Ako je potrebno, dijeli se i nastali paketi se šalju jedan po jedan.

Prilikom primanja IP-paket VPN- agent radi sljedeće:

1. Iz naslova IP-informacije o paketu o njegovom pošiljatelju su istaknute. U slučaju da pošiljatelj nije među dopuštenim (prema sigurnosnoj politici) ili nepoznat (primjerice, kod primanja paketa s namjerno ili slučajno oštećenim zaglavljem), paket se ne obrađuje i odbacuje.

2. Prema sigurnosnoj politici odabiru se algoritmi za zaštitu ovog paketa i ključevi uz pomoć kojih će se paket dešifrirati i provjeriti njegov integritet.

3. Informacijski (inkapsulirani) dio paketa se odvaja i dešifrira.

4. Integritet paketa se prati na temelju odabranog algoritma. Ako se otkrije kršenje integriteta, paket se ispušta.

5. Paket se šalje primatelju (putem interne mreže) prema podacima u izvornom zaglavlju.

VPN-agent se može nalaziti izravno na zaštićenom računalu (npr. računala "udaljenih korisnika" na sl. 5.5). U ovom slučaju štiti razmjenu informacija samo računala na kojem je instalirano, međutim, principi njegovog rada opisani gore ostaju nepromijenjeni.
Osnovno pravilo građenja VPN- komunikacija između zaštićenog LAN-a i otvorene mreže smije se obavljati samo putem VPN-agenti. Ne treba kategorički postojati komunikacijske metode koje zaobilaze zaštitnu barijeru u obliku VPN-agent. Oni. mora se definirati zaštićeni perimetar, komunikacija s kojim se može ostvariti samo putem odgovarajućih zaštitnih sredstava. Sigurnosna politika je skup pravila prema kojima se uspostavljaju sigurni komunikacijski kanali između pretplatnika. VPN... Takvi se kanali obično nazivaju tuneli, analogija s kojom se može vidjeti u sljedećem:

1. Sve informacije koje se prenose unutar jednog tunela zaštićene su od neovlaštenog pregleda i izmjene.

2. Inkapsulacija IP- paketa omogućuje skrivanje topologije internog LAN-a: s interneta se razmjena informacija između dva zaštićena LAN-a vidi kao razmjena informacija samo između njihovih VPN-agenti, budući da svi interni IP-adrese koje se prenose putem interneta IP-paketi se u ovom slučaju ne pojavljuju.

Pravila izrade tunela formiraju se ovisno o različitim karakteristikama IP-paketi, na primjer, glavni kod izgradnje većine VPN protokol IPSec (Sigurnosna arhitektura za IP) postavlja sljedeći skup ulaznih podataka kojim se odabiru parametri tuneliranja i donosi odluka prilikom filtriranja određenog IP-paket:

1. IP- adresa izvora. To može biti ne samo jedna IP adresa, već i adresa podmreže ili niz adresa.

2. IP- adresa odredišta. Također može biti eksplicitni raspon adresa pomoću maske podmreže ili uzorka.

3. Identifikator korisnika (pošiljatelj ili primatelj).

4. Protokol transportnog sloja ( TCP / UDP).

5. Broj porta s kojeg je ili na koji je paket poslan.

Vatrozid je softverski ili softverski i hardverski alat koji štiti lokalne mreže i pojedinačna računala od neovlaštenog pristupa iz vanjskih mreža filtriranjem dvosmjernog tijeka poruka prilikom razmjene informacija. Zapravo, vatrozid je "skinut" VPN- agent koji ne šifrira pakete i ne kontrolira njihov integritet, ali u nekim slučajevima ima niz dodatnih funkcija, od kojih su najčešće sljedeće:

Antivirusno skeniranje;

Kontrola ispravnosti paketa;

Praćenje ispravnosti veza (na primjer, uspostavljanje, korištenje i isključenje TCP-sjednice);

Kontrola sadržaja.

Pozivaju se vatrozidovi koji nemaju gore opisane funkcije i samo provode filtriranje paketa filteri paketa... Po analogiji s VPN-agenti, postoje i osobni firewall koji štite samo računalo na kojem su instalirani. Vatrozidovi se također nalaze na obodu zaštićenih mreža i filtriraju mrežni promet prema konfiguriranoj sigurnosnoj politici.

Na temelju hardverskog enkodera može se razviti elektronička brava. U ovom slučaju dobiva se jedan uređaj koji obavlja funkcije enkripcije, generiranja slučajnih brojeva i zaštite od neovlaštenog pristupa. Takav enkriptor može biti sigurnosni centar cijelog računala, na temelju kojeg je moguće izgraditi potpuno funkcionalan sustav kriptografske zaštite podataka, pružajući, na primjer, sljedeće mogućnosti:

1. Zaštita vašeg računala od fizičkog pristupa.

2. Zaštita vašeg računala od neovlaštenog pristupa mreži i organiziranja VPN.

3. Šifriranje datoteka na zahtjev.

4. Automatsko šifriranje logičkih pogona računala.

5. Izračun / provjera EDS-a.

6. Zaštita e-mail poruka.