Hackeri și viruși pe AS/400? Este imposibil. Ei piratează doar pe Unix și PC.

Îmi amintesc de filmul Jurassic Park, la sfârșitul căruia o fată se apropie de un computer care a fost sabotat și i-a eliberat pe dinozauri. "Este Unix!" exclamă ea, deschizându-și apărarea și remediandu-i imediat problemele. Apoi mi-am spus: „Desigur, ce ai vrut de la Unix”. Și în filmul „Ziua Independenței” virusul a fost lansat în computerul unei nave spațiale extraterestre. Majoritatea telespectatorilor habar n-aveau înainte că extratereștrii foloseau computere Apple Macintosh. Dar, slavă Domnului, așa s-a dovedit, virusul a funcționat și lumea noastră a fost salvată.

În general, în filme, răufăcătorii pătrund adesea în computerele altor persoane sau un angajat nemulțumit introduce un virus în rețeaua de calculatoare a companiei. Este plăcut să știi că nimic ca asta nu se poate întâmpla pe AS/400. Sau poate totul?

La fel ca multe alte caracteristici, AS/400, spre deosebire de majoritatea celorlalte sisteme, a avut securitate încorporată de la început, nu a fost adăugată după ce a fost construit. Cu toate acestea, nicio măsură de securitate nu va ajuta dacă nu sunt utilizate, iar mulți utilizatori AS/400 o fac. De exemplu, într-un mediu client/server, trebuie avută o grijă deosebită pentru a proteja datele AS/400 de clienții nesiguri, cum ar fi Windows 95 și Windows NT. Mai mult, în lumea de astăzi în rețea, multe AS/400 sunt conectate la Internet și, în acest caz, ar trebui aplicate și unele mijloace de protejare a resurselor de informații. Din fericire, securitatea integrată a AS/400 oferă o bază solidă pentru securitatea întregului sistem. În această prelegere, vom arunca o privire asupra caracteristicilor de securitate AS/400 și vom discuta despre cum să le folosim cel mai bine.

Protectie integrata

În trecut, era relativ ușor să securizeze un sistem de calcul. De obicei, era suficient să introduceți un încuietor pe ușa camerei computerului și să forțați utilizatorii finali să introducă o parolă atunci când se conectează. Lumea modernă nu mai este atât de simplă. AS/400-urile sunt cele mai expuse riscului dacă sunt conectate la o rețea de calculatoare: o rețea LAN din interiorul companiei sau o rețea globală, cum ar fi Internetul. În ambele cazuri, AS/400 oferă instrumente pentru a minimiza sau elimina riscul accesului neautorizat. Problemele de protecție a unui sistem informatic sunt foarte asemănătoare cu cele care apar atunci când protejați o casă sau o mașină: Trebuie să calculați corect raportul dintre preț și gradul de risc acceptabil.

Evident, AS/400 are nevoie de niveluri diferite de protecție în diferite situații. Utilizatorul ar trebui să poată selecta independent acest nivel. Un sistem de securitate bun este conceput astfel încât computerul să poată funcționa fără nicio protecție, cu protecție limitată sau cu protecție completă, dar în toate cazurile, sistemul de protecție trebuie să fie activ.

Și acum există sisteme blocate în camere unde accesul este strict limitat. Este clar că nu au nevoie de același nivel de protecție ca un computer conectat la Internet. Dar, în timp, cerințele de protecție a acestor sisteme pot crește și ele. Securitatea integrată AS/400 este suficient de flexibilă pentru a evolua pe măsură ce cerințele se modifică.

Securitatea AS/400 este o combinație de securitate OS/400 și securitate SLIC. OS/400 implementează straturi de securitate la nivelul întregului sistem, OS/400 bazându-se pe caracteristicile de securitate a obiectelor la nivelul MI. De exemplu, așa cum este menționat în „Obiecte”, MI efectuează o verificare a permisiunii de fiecare dată când este accesat un obiect. SLIC este responsabil pentru activitățile de protecție a obiectelor ale MI. Tipul de protecție pe care îl implementează se numește autorizare și este conceput pentru a proteja un obiect de accesul sau modificarea neautorizată.

Unele componente de securitate AS/400 stau în întregime deasupra MI în OS/400, cum ar fi setarea opțiunilor de securitate a sistemului. Altele, cum ar fi controlul accesului la obiect, sunt complet implementate sub MI în SLIC. Cele trei componente de protecție sunt implementate parțial deasupra și parțial sub MI. Un exemplu este suportul pentru comenzi privilegiate și drepturi speciale de acces. Să aruncăm o privire mai atentă asupra componentelor atât de deasupra cât și de sub MI.

Niveluri de protecție

AS/400 sunt destinate unei ample aplicații în diverse domenii ale activității umane. În consecință, cerințele pentru securitatea acestora variază de la nivelul absenței sale complete până la nivelul de protecție certificat de guvern. Prin setarea parametrilor de sistem corespunzători, puteți alege unul dintre cele cinci niveluri: fără protecție, protecție prin parolă, protecție a resurselor, protecție a sistemului de operare și protecție certificată. Există patru parametri de sistem legați de securitate care trebuie setați la configurarea AS/400: QAUDJRL, QMAXSIGN, QRETSVRSEC și QSECURITY.

Parametrul de sistem care determină nivelul de securitate este QSECURITY. System/38 și începutul AS/400 au avut doar trei niveluri de protecție a sistemului, V1R3 OS/400 a adăugat un al patrulea, iar V2R3 a adăugat un al cincilea, cel mai înalt nivel de protecție. Valorile valide pentru QSECURITY sunt 10, 20, 30, 40 și 50.

AS/400 acceptă și o funcție opțională de audit. Dacă această caracteristică este activată, anumite evenimente legate de securitate sunt înregistrate. Evenimentele specifice care trebuie înregistrate în jurnalul de audit de securitate sunt determinate de valoarea parametrului de sistem QAUDJRL și nivelul de securitate curent. Pot fi înregistrate evenimente precum încercările de acces neautorizat, ștergerea obiectelor, identificarea programelor care folosesc comenzi privilegiate etc.. Conținutul jurnalului de securitate este analizat de administratorul de securitate.

Numărul maxim de încercări eșuate de conectare este setat de parametrul de sistem QMAXSIGN. Dacă numărul de astfel de încercări depășește valoarea acestui parametru, atunci terminalul sau dispozitivul din care au fost realizate sunt deconectate de la sistem și conexiunea dintre acestea și sistem este întreruptă. Această metodă vă permite să preveniți încercările de a ghici parola pentru a intra în sistem. Valoarea parametrului QMAXSIGN pentru fiecare dispozitiv este resetată după o conectare cu succes.

Parametrul de sistem QRETSVRSEC (Retain Server Security Data) determină dacă informațiile cerute de AS/400 pentru autentificarea unui utilizator la alt sistem prin interfețele client/server pot fi reținute de server. Dacă informațiile sunt reținute, atunci serverul le folosește. Dacă nu, serverul va cere un ID de utilizator și o parolă pentru alt sistem. Setarea de sistem FFQRETSVRSEC este utilizată pentru interfețele client/server TCP/IP, Novell NetWare și Lotus Notes.

Acum să ne uităm la fiecare dintre cele cinci niveluri de protecție, începând cu cel mai scăzut.

Fără protecție (nivel 10)

Nivelul 10 înseamnă cel mai scăzut grad de securitate - nu așa. Nu este necesară nicio parolă pentru a accesa sistemul și oricărui utilizator i se permite accesul la toate resursele și obiectele sistemului fără restricții. Singura condiție este că nu puteți influența sarcinile altor utilizatori ai sistemului.

Nivelul de protecție a sistemului 10 este de obicei aplicat numai atunci când protectie fizica sisteme, de exemplu, o încuietoare pe ușa sălii mașinilor. Orice utilizator care are acces fizic la mașină, se poate conecta. Cu toate acestea, el nu este obligat Inregistreaza-te. Înregistrarea utilizatorului necesită un profil de utilizator undeva în sistem. Un astfel de profil este creat automat la utilizarea nivelului de protecție 10 dacă nu există deja.

Protecție prin parolă (nivel 20)

Dacă aveți nevoie doar de securitate de conectare, utilizați nivelul 20. Acest nivel de securitate necesită ca utilizatorul AS/400 să fie conectat și să cunoască parola corectă. După obținerea permisiunii de a intra în sistem, utilizatorul are acces la toate resursele sale fără restricții. După cum puteți vedea, diferența față de nivelul 10 este nesemnificativă.

Doar într-un caz special este restricționat accesul unui utilizator la sistem la nivelul 20: dacă profilul utilizatorului o spune în mod specific. Utilizator de la handicapat poate selecta doar elemente de meniu. Majoritatea meniurilor de sistem au o linie de comandă, iar acest instrument limitează utilizarea comenzilor de sistem.

Să presupunem că o organizație are un grup de angajați a căror sarcină este să preia comenzi pentru bunuri și să introducă datele relevante în sistem. Pentru astfel de utilizatori, este recomandabil să creeze un meniu special și să le permită să funcționeze numai în acest cadru, pentru care ar trebui să fie înregistrați ca utilizatori cu dizabilități și să stabilească în profilurile lor meniul la care au voie să acceseze.

Dar chiar și unui utilizator cu dizabilități i se permite să execute cele patru comenzi necesare: să trimită mesaje, să afișeze mesaje, să afișeze starea jobului și să se deconecteze. Ce comenzi sunt deschise unui utilizator cu dizabilități pot fi setate individual. Restricția de capacitate determină, de asemenea, ce câmpuri poate modifica un utilizator atunci când se conectează.

Nivelurile 20 și 10 nu asigură securitatea sistemului, deoarece după ce utilizatorul s-a înregistrat în sistem, acesta poate efectua orice operațiuni acolo. Nu aș recomanda să vă limitați la grade atât de scăzute de protecție, cu excepția cazurilor speciale când sistemul în sine este practic inaccesibil din exterior.

Protecția resurselor (nivel 30)

Nivelul minim de securitate recomandat este nivelul 30. La acest nivel, precum și la nivelul 20, utilizatorul trebuie să fie înregistrat și să cunoască parola corectă pentru a se autentifica. După autentificare, se verifică dacă utilizatorul are drepturi de acces la resursele sistemului; accesul neautorizat nu este permis. La nivelul 30, un utilizator poate fi înscris și cu dizabilități.

Utilizatorilor individuali li se pot acorda drepturi de acces la obiecte de sistem, cum ar fi fișiere, programe și dispozitive. Profilurile de utilizator fac acest lucru și vom vorbi mai multe despre cum o fac în curând. Vom lua în considerare și alte opțiuni pentru acordarea dreptului de acces utilizator la obiectele sistemului: folosirea drepturilor de grup sau generale.

Nivelul de securitate 30 a fost cel mai ridicat din System/38. Dar nu face distincție între obiectele utilizator și obiectele utilizate numai de sistemul de operare. Odată cu disponibilitatea asamblatorului MI pe System/38 și disponibilitatea anumitor informații despre structura internă a obiectelor, a apărut o problemă serioasă. ISV-urile au început să scrie pachete de aplicații care depindeau de structura internă a obiectelor, ceea ce a încălcat independența tehnologică a MI.

Modelele timpurii ale AS/400 foloseau aceleași niveluri de protecție. Deși AS/400 nu avea asamblator MI și nu am publicat informații despre structurile interne, experții și-au dat seama curând că AS/400 era System/38. Prin urmare, programele care depindeau de structura internă a obiectelor au funcționat și pe AS/400.

Știam că, pe măsură ce treceam la computerul client/server, AS/400 avea nevoie de o securitate mai puternică pentru a bloca accesul la majoritatea obiectelor interne. În legătură cu trecerea la procesoarele RISC, structura internă a suferit și ea modificări. Dar dacă doar am implementa un nou nivel de protecție crescut, atunci programele care depind de structura internă a obiectelor ar înceta să funcționeze, ceea ce ar provoca nemulțumiri în rândul clienților.

Am anunțat că vom construi un nou strat de securitate în V1R3 și că nu va exista acces la obiectele interne la acest nivel. De asemenea, am început să căutăm acei ISV-uri care foloseau obiecte interne pentru a le furniza API-uri de sistem standard, cu informațiile de care aveau nevoie pentru programele lor.

Majoritatea acestor programe erau utilitare care foloseau informațiile din anumite câmpuri din obiectul sistem. De exemplu, un sistem de gestionare a benzilor poate avea nevoie de unele informații despre antetul benzii. Astfel de informații ar putea fi obținute în singurul mod - prin pătrunderea în obiectul sistem. Am creat sute de API-uri pentru a furniza acest tip de informații prin MI (de fapt, aceste API-uri erau noi comenzi MI) și ne-am asigurat că vor funcționa în toate versiunile ulterioare ale sistemului de operare. Astfel, ne-am eliberat mâinile și am început să facem schimbări în structurile interne.

Un alt subiect important legat de securitate este deschiderea AS/400. Pentru o perioadă destul de lungă, mulți ISV nu numai că au folosit obiecte interne, ci au insistat și ca IBM să deschidă elementele interne ale sistemului de operare și, prin urmare, să dea undă verde dezvoltatorilor de software. Ca răspuns, IBM a susținut că, dacă comenzile MI au fost utilizate incorect, există o mare posibilitate de defecțiuni software pentru care nu ar putea fi făcut responsabil. Compromisul (deschiderea prin API) a fost atins, parțial ca urmare a unei serii de întâlniri COMUNE inițiate de ISV și alți utilizatori. Lucrarea ISV și definirea noilor API-uri a fost condusă de Ron Fess, unul dintre principalii dezvoltatori de software cu experiență vastă în CPF și OS/400. Rezultatul acestei lucrări este o implementare pe specificația UNIX unică AS/400 și alte API-uri standard. AS/400 a devenit mai deschis pentru utilizatori.

Protecție OS (nivel 40)

Nivelul 40 a fost introdus în V1R3 OS/400. Astăzi, toate noile AS/400 sunt livrate cu acest nivel de protecție, în loc de 10 ca anterior. Dar versiunile mai vechi de OS/400 păstrează nivelul actual stabilit de client chiar și atunci când fac upgrade. Acum parola șefului de protecție (utilizatorul cu cel mai înalt nivel de drepturi de acces) devine invalidă după prima intrare în sistem și trebuie să o schimbe. În trecut, clienții AS/400 de multe ori nu se deranjau să schimbe parola implicită a sistemului, ceea ce crea o gaură clară de securitate.

La nivelul 40, utilizatorul AS/400 trebuie de asemenea să fie autentificat, trebuie să cunoască parola de autentificare corectă și trebuie să aibă drepturi de acces la resursele sistemului. Cu toate acestea, utilizatorii cu dizabilități sunt sprijiniți și la acest nivel de protecție.

Spre deosebire de nivelurile 10-30, nivelul de securitate 40 blochează accesul la interfețele non-standard. Nu toate comenzile MI sunt acum disponibile pentru utilizator, ci doar setul lor permis, inclusiv sute de API-uri dezvoltate pentru ISV. Comenzile rămase sunt blocate, adică sistemul nu le va executa în programul utilizatorului.

Cu toate acestea, comenzile din setul blocat sunt încă disponibile pentru OS/400. Pentru a distinge între OS/400 și programele utilizator, conceptele sistemicăȘi stare personalizată, care poate include orice proces de pe AS/400. Utilizarea comenzilor blocate și, prin urmare, accesul la unele obiecte de sistem este permisă numai în starea sistemului.

Pentru a fi mai sigur, V1R3 a eliminat, de asemenea, adresarea bazată pe capabilități și a eliminat toate drepturile de acces de la pointerii de sistem furnizați utilizatorilor.

Apărare C2 (nivel 50)

Nivelul 40 oferă sistemului un grad suficient de securitate în majoritatea cazurilor. Cu toate acestea, unele firme guvernamentale necesită un nivel de protecție certificat de guvernul SUA. Există mai multe astfel de certificate, inclusiv așa-numitul nivel C2. Acestea includ prevederi precum protejarea resurselor unui utilizator de alți utilizatori și împiedicarea unui singur utilizator să preia toate resursele sistemului, cum ar fi memoria. Apropo, cerințe similare sunt acum aplicate în multe organizații neguvernamentale.

Pentru clienții care necesită certificări guvernamentale, am actualizat nivelul de securitate 40 al AS/400 pentru a se potrivi cu nivelul C2 menționat mai sus. Așa a apărut protecția de nivel 50 în versiunea V2R3.

Dar înainte ca un sistem să poată fi considerat compatibil cu standardul C2, trebuie să treacă un test cuprinzător. O astfel de revizuire este în prezent în curs.

Guvernul SUA a definit niveluri de protecție de la A la D, unde A este cel mai înalt nivel de protecție și D este cel mai scăzut. Clasele B și C au mai multe subniveluri. Nivelul de securitate C2 este cel mai înalt nivel utilizat în mod obișnuit în afaceri. În viitor, dacă va fi nevoie, vom putea include suport pentru niveluri mai mari de protecție în AS/400.

Protecția împotriva accesului neautorizat (protecția împotriva accesului neautorizat) reprezintă prevenirea sau împiedicarea semnificativă a accesului neautorizat.

Mijloacele de protecție a informațiilor împotriva accesului neautorizat (ISZ de la NSD) este un software, hardware sau software și instrument hardware conceput pentru a preveni sau împiedica în mod semnificativ accesul neautorizat.

Scopul și clasificarea generală a instalațiilor de securitate a informațiilor.

IMS de la NSD poate fi împărțit în soluții universale și specializate (în funcție de domeniul de aplicare), soluții private și complexe (în funcție de setul de sarcini de rezolvat), instrumente de sistem încorporate și altele suplimentare (în funcție de metoda de implementare). ).

Clasificarea este extrem de importantă, deoarece atunci când construiesc informații de securitate a informațiilor de fiecare tip, dezvoltatorii formulează și rezolvă sarcini complet diferite (uneori contrazicându-se reciproc). Astfel, conceptul de protecție a instrumentelor de sistem universale se bazează pe principiile „încrederii depline în utilizator”, protecția acestora fiind în mare măsură inutilă în sistemele corporative, de exemplu, atunci când se rezolvă problemele de contracarare a amenințărilor IT interne. În marea majoritate a zilelor noastre, instrumentele de securitate a informațiilor sunt create pentru a îmbunătăți mecanismele de protecție încorporate în sistemele de operare universale, în raport cu utilizarea într-un mediu corporativ. Dacă vorbim de totalitatea sarcinilor de rezolvat, atunci aici ar trebui să vorbim despre integrarea mecanismelor atât în ​​ceea ce privește rezolvarea eficientă a unei anumite probleme de protecție, cât și în ceea ce privește rezolvarea unui complex de sarcini.

Proprietățile consumatorului (numirea) sistemului suplimentar de securitate a informațiilor de la NSD sunt determinate de măsura în care instrumentul suplimentar elimină deficiențele arhitecturale ale mecanismelor de protecție încorporate în sistemul de operare, în legătură cu rezolvarea sarcinilor necesare în aplicațiile corporative și modul în care cuprinzător (eficient) rezolvă acest set de sarcini de protecție a informațiilor.

Probleme de evaluare a eficacității sistemului de securitate a informațiilor din NSD

Eficacitatea sistemului de securitate a informațiilor împotriva UA poate fi evaluată prin examinarea aspectelor legate de corectitudinea implementării mecanismelor de protecție și de suficiența unui set de mecanisme de protecție în raport cu condițiile practice de utilizare.

Evaluarea corectitudinii implementarii mecanismelor de protectie

La prima vedere, o astfel de evaluare este ușor de făcut, dar în practică nu este întotdeauna cazul. Un exemplu: în NTFS, un obiect fișier poate fi identificat într-o varietate de moduri: obiectele fișier cu nume lungi pot fi menționate printr-un nume scurt (de exemplu, directorul „Fișiere de program” poate fi menționat prin numele scurt „ Progra~1"), iar unele programe accesează obiectele fișierului nu după nume, ci prin ID. Dacă sistemul de securitate a informațiilor instalat în sistemul informațional nu interceptează și analizează doar o astfel de metodă de accesare a unui obiect fișier, atunci, în mare, devine complet inutil (mai devreme sau mai târziu, un atacator va identifica acest defect în instrumentul de protecție și folosește-l). De asemenea, menționăm că obiectele fișier care nu sunt partajate între utilizatorii sistemului și aplicațiilor pot servi drept „canal” pentru downgrade-ul unui document, ceea ce anulează protecția informațiilor confidențiale. Există multe astfel de exemple.

Cerințele pentru corectitudinea implementării mecanismelor de protecție sunt definite în documentul de reglementare „Comisia tehnică de stat a Rusiei. Document de orientare. Dotări informatice. Protecție împotriva accesului neautorizat la informații. Indicatori de securitate de la NSD la informații”; este utilizat în certificarea facilităţilor de securitate a informaţiilor de la NSD.

Aceste cerințe sunt prezente în document în măsura în care este necesar, sunt corecte, dar formulate într-un mod general (cum altfel, altfel ar fi necesar să vă creați propriul document de reglementare pentru fiecare familie de sisteme de operare și, eventual, pentru fiecare implementare a unui sistem de operare). familie), iar pentru îndeplinirea unei cerințe poate fi necesară implementarea mai multor mecanisme de protecție. Consecința acestui fapt este ambiguitatea în interpretarea acestor cerințe (în ceea ce privește abordările implementării lor) și posibilitatea unor abordări fundamental diferite ale implementării mecanismelor de protecție în sistemul de securitate a informațiilor de accesul neautorizat al dezvoltatorilor. Rezultatul este o eficiență diferită a sistemului de securitate a informațiilor față de NSD pentru producătorii care implementează aceleași cerințe formalizate. Dar nerespectarea oricăreia dintre aceste cerințe poate anula toate eforturile de a asigura securitatea informațiilor.

Evaluarea suficienței (completitudinii) unui set de mecanisme de protecție

Cerințele pentru suficiența (completitudinea, în raport cu condițiile de utilizare) a setului de mecanisme de protecție sunt definite de documentul „Comisia tehnică de stat a Rusiei. Document de orientare. Sisteme automatizate. Protecție împotriva accesului neautorizat la informații. Indicatori de securitate de la NSD la informații”, care este utilizat în certificarea obiectelor de informatizare, inclusiv la utilizarea în AS IPS de la NSD. Cu toate acestea, aici situația este în mare măsură similară cu cea descrisă mai sus.

Astfel, ar fi indicat să se extindă formularea cerinței de suficiență a mecanismelor în facilitatea de securitate a informațiilor de la NSD pentru protejarea datelor confidențiale din documentele de reglementare, în care există o ambiguitate în stabilirea a ceea ce se atribuie resurselor protejate, ar fi este recomandabil să se extindă, de exemplu, după cum urmează: „Conexiunea resurselor ar trebui să fie controlată, în special dispozitivele, în conformitate cu condițiile de utilizare practică a instalației de calcul protejate și controlul accesului subiecților la resursele protejate; în special, la dispozitivele permise pentru conectare.

Rețineți că mecanismele de control al accesului la resursele care sunt întotdeauna prezente în sistem - obiecte fișier, obiecte registry OS etc. - protejate a priori, și ar trebui să fie prezenți în instalația de securitate a informațiilor împotriva accesului neautorizat în orice caz, precum și în ceea ce privește resursele externe, ținând cont apoi de scopul unității de securitate a informațiilor. Dacă scopul sistemului de securitate a informațiilor este de a proteja computerele din rețea, atunci acesta trebuie să aibă mecanisme de control al accesului la resursele rețelei; dacă servește la protejarea computerelor de sine stătătoare, atunci ar trebui să asigure controlul (interzicerea) conectării resurselor de rețea la computer. Această regulă, în opinia noastră, este potrivită fără excepție pentru toate resursele și poate fi folosită ca o cerință de bază pentru un set de mecanisme de protecție la atestarea obiectelor de informatizare.

Problemele de suficiență a mecanismelor de protecție ar trebui luate în considerare nu numai în raport cu setul de resurse, ci și în raport cu sarcinile de protecție a informațiilor care se rezolvă. Există doar două sarcini similare în asigurarea securității computerelor - contracararea amenințărilor IT interne și externe.

Sarcina generală de contracarare a amenințărilor informatice interne este de a asigura diferențierea accesului la resurse în conformitate cu cerințele de prelucrare a datelor de diferite categorii de confidențialitate. Sunt posibile abordări diferite pentru stabilirea distincțiilor: pe conturi, pe procese, în funcție de categoria documentului citit. Fiecare dintre ele își stabilește propriile cerințe de suficiență. Deci, în primul caz, trebuie să izolați clipboard-ul între utilizatori; în al doilea - între procese; pentru cel de-al treilea caz, în general este necesară revizuirea radicală a întregii politici de delimitare a accesului la toate resursele, întrucât același utilizator cu aceeași aplicație poate prelucra date de diferite categorii de confidențialitate.

Există zeci de moduri de schimb între procese (canaluri numite, sectoare de memorie etc.), așa că este necesar să se asigure închiderea mediului software - pentru a preveni posibilitatea lansării unui program care implementează un astfel de canal de schimb. Există, de asemenea, probleme de resurse care nu sunt partajate de sistem și aplicații, controlul asupra corectitudinii identificării subiectului accesului, protecția IPS-ului însuși împotriva accesului neautorizat (lista mecanismelor de protecție necesare pentru rezolvarea eficientă a acestei probleme este foarte impresionant). Cele mai multe dintre ele nu sunt specificate în mod explicit în documentele de reglementare.

Sarcina de a contracara eficient amenințările IT externe, în opinia noastră, poate fi rezolvată numai dacă este stabilită o politică de delimitare pentru subiectul „proces” (adică „procesul” ar trebui considerat ca subiect independent al accesului la resurse). Acest lucru se datorează faptului că el este cel care poartă amenințarea unui atac extern. Nu există o astfel de cerință în mod explicit în documentele de reglementare, dar în acest caz, soluționarea problemei protecției informațiilor necesită o revizuire fundamentală a principiilor de bază pentru implementarea politicii restrictive de acces la resurse.

Dacă problemele suficienței mecanismelor de protecție în raport cu ansamblul resurselor protejate sunt încă susceptibile de formalizare, atunci în raport cu sarcinile de protecție a informațiilor nu este posibilă formalizarea unor astfel de cerințe.

În acest caz, instrumentele de securitate a informațiilor de la NSD de la diferiți producători care îndeplinesc cerințele formalizate ale documentelor de reglementare pot avea și ele diferențe fundamentale atât în ​​abordările și soluțiile tehnice implementate, cât și în eficacitatea acestor instrumente în general.

În concluzie, observăm că nu trebuie subestimată importanța sarcinii de a alege o facilitate de securitate a informațiilor din UA, deoarece aceasta este o clasă specială de mijloace tehnice, a căror eficiență nu poate fi mare sau scăzută. Ținând cont de complexitatea evaluării eficacității reale a sistemului de securitate a informațiilor de la NSD, recomandăm ca consumatorului să implice specialiști (de preferință din rândul dezvoltatorilor care se confruntă practic cu aceste probleme) la etapa de alegere a unui sistem de protecție a informațiilor de la NSD.

Acces neautorizat la informații (UAS)- este vorba despre accesul la date care încalcă regulile de control al accesului prin implementarea anumitor mijloace, care sunt echipamente informatice sau sisteme automatizate. Potrivit experților, există modalități de acces neautorizat:

• Înclinație spre cooperare
• Cooperare la inițiativă
• întrebând, întrebând
• Ascultarea cu urechea
• Furt
• Observare
• Fals (schimbare)
• copierea
• Distrugere
• Interceptare
• Conexiune ilegală
• Fotografierea
• Cunoștință secretă

Cooperare la inițiativă se manifestă adesea în anumite situații, când persoanele nemulțumite sunt gata să întreprindă acțiuni ilegale de dragul profitului. Motivele pot fi foarte diferite, acestea sunt financiare, morale, politice etc. Este ușor să convingi o astfel de persoană să coopereze în furnizarea de informații confidențiale ale întreprinderii, dacă, desigur, are acces.

Înclinație spre cooperare- de obicei acestea sunt metode violente din partea atacatorilor. Astfel de metode se bazează pe intimidare, mită sau șantaj. Declinarea salariaților se realizează prin amenințări reale cu urmărirea penală a șantajului. Aceasta este cea mai agresivă metodă existentă, deoarece o vizită pașnică se poate transforma în acte violente de intimidare.

tatonare, tatonare- Acesta este un tip de activitate care se bazează pe adresarea unor întrebări naive unui angajat pentru a obține anumite informații. De asemenea, puteți obține date prin angajare falsă sau alte acțiuni.

Ascultarea cu urechea- Aceasta este o metodă de spionaj industrial sau de inteligență, care este folosită de oameni speciali (observatori, informatori) cu mijloace speciale de interceptare. Ascultarea se poate realiza direct prin perceperea undelor acustice sau prin mijloace speciale la distanta.

Observare- Aceasta este o metodă din inteligență despre starea activității celor observați. Această metodă se realizează folosind instrumente optice. Un astfel de proces necesită mult timp și bani, așa că această metodă este de obicei implementată intenționat, la un anumit moment, cu oameni calificați.

Furt- Aceasta este luarea deliberată a resurselor altora, a documentelor etc. În linii mari, ei fură tot ceea ce este prost, așa că trebuie să tratați cu atenție purtătorii de date confidențiali.

copierea- De obicei sunt copiate documentele care conțin informații valoroase. Accesul este obținut ilegal, adesea din cauza GIS-ului slab.

Fals- aceasta este o schimbare a datelor, care în realitățile concurenței are o scară largă. Falsifică totul pentru a obține date valoroase.

Distrugere— Ștergerea datelor de pe mediile tehnice de stocare. Dacă o luăm mai abstract, atât oamenii, cât și documentele și alte elemente ale sistemului informațional care au o anumită semnificație sunt distruse.

Conexiune ilegală- înțelegeți conexiunea fără contact sau prin contact la diferite fire pentru diferite scopuri.

Interceptare- aceasta este primirea de informații de inteligență prin primirea de semnale de energie electromagnetică prin metode pasive de recepție. Orice semnal în comunicațiile radio sau prin cablu sunt supuse interceptării.

Cunoștință secretă- aceasta este o metoda de obtinere a datelor la care subiectul nu are acces, dar in anumite circumstante, poate invata ceva. De exemplu, uitați-vă la ecranul computerului sau deschideți un document aflat pe masă.

Fotografierea- o metodă de obţinere a unei imagini a obiectelor pe material fotografic. O caracteristică a metodei este obținerea de date detaliate la descifrarea imaginii.

Potrivit experților, o astfel de listă nu este intersectată și independentă la un anumit nivel de abstractizare. Ne permite să luăm în considerare un anumit set de mostre de astfel de metode împreună. Figura 1 prezintă un model generalizat al metodelor UA la sursele de informații confidențiale.

Nu este un secret pentru nimeni că serviciile speciale își monitorizează îndeaproape secțiile, în timp ce folosesc diverse contrainformații. În același timp, este necesar să înțelegem prin ce metodă de obținere a informațiilor există acces neautorizat. Cale este o metodă sau un curs de acțiune care duce la realizarea unui scop. Metoda de manipulare(metoda UA) este un set de acțiuni și tehnici în scopul obținerii ilegale de date cu impact suplimentar asupra acestor informații.

În vremea noastră, metodele de acces la date sunt diferite: implementarea unor mijloace tehnice speciale, utilizarea defectelor în sisteme sau altele, așa cum se arată în Fig.1. În plus, metodele UA sunt direct legate de caracteristicile sursei datelor confidențiale.
Având un set surse informații și un set de metode de NSD la acestea, puteți calcula probabilitatea și construi un model al conexiunii lor. Multe metode sunt aplicabile surselor - mijloace tehnice de prelucrare și oameni. Deși alte metode nu afectează, de exemplu, astfel de surse comune, pericolul lor poate fi și mai mare.

Gradul de pericol al metodei NSD se uită la daunele făcute. După câtă informație are astăzi prețul ei, atunci însuși faptul de a obține informații este echivalat cu primirea de bani. Atacantul are trei goluri:

• obțineți date pentru concurenți și vindeți.
• modificarea datelor din rețeaua de informații. Dezinformare.
• Distrugeți datele.

Figura - 1 (click pe imagine pentru vizualizare)

Scopul principal este de a obține informații despre starea, componența și activitățile obiectelor de interes confidențial în scopuri proprii sau de îmbogățire. Un alt scop este schimbarea informațiilor care există în rețeaua informațională. Această metodă poate duce la dezinformare în anumite domenii de activitate, modificarea rezultatului sarcinilor stabilite. În același timp, este foarte dificil să implementați o astfel de schemă de dezinformare, trebuie să efectuați o întreagă gamă de acțiuni și să prevedeți o mulțime de evenimente. Cel mai periculos obiectiv este distrugerea datelor. Atât alegerea acțiunilor, cât și caracteristicile lor calitative sau cantitative depind de sarcini.

Modalități ale DNS de informare folosind mijloace tehnice

Orice sistem electronic care conține un set de noduri, elemente și conductori și, în același timp, are surse de semnal de informare este un canal de scurgere de informații confidențiale. Metodele de acces neautorizat și canalele de scurgere sunt legate în mod obiectiv. Opțiunile de conectare sunt prezentate în tabel. unu.

tabelul 1

Din fiecare sursă se formează un canal de scurgere a datelor, în timp ce parametrii specifici ai acestuia sunt studiați și metodele de atac sunt testate în laboratoare. Acțiunile pot fi active sau pasive. Cele pasive includ implementarea unor canale tehnice de scurgere de informații fără contact direct sau conexiune. Metodele sunt de obicei orientate către date. Metodele active sunt conectate la liniile de comunicare. Liniile de comunicare pot fi:

• Cablat (fibră optică).
• Wireless (Wi-Fi).

Căi de NSD către liniile de comunicare

Adesea, liniile telefonice sau liniile de fibră optică sunt folosite ca linii de comunicație. Metodele de ascultare a liniilor telefonice sunt prezentate în Fig. 2.

Desen - 2

Există, de asemenea, sisteme de interceptare a liniei care nu necesită contact direct cu linia telefonică. Astfel de sisteme folosesc metode inductive de achiziție de date. Astfel de sisteme nu sunt utilizate pe scară largă, deoarece sunt foarte mari datorită prezenței mai multor etape de amplificare a semnalului de joasă frecvență și, în plus, a unei surse de alimentare externă.

Dar astăzi, liniile de fibră optică au o gamă mai largă de implementare. Informația este transmisă printr-un astfel de canal sub forma unui flux de lumină pulsatorie, care nu este afectat de interferențe magnetice și electrice. De asemenea, este mai greu să interceptați datele printr-un astfel de canal, ceea ce crește securitatea transmisiei. În același timp, viteza de transfer atinge Gigabytes / secundă. Pentru a se conecta la un astfel de canal de comunicație, straturile de protecție ale cablului sunt îndepărtate. Apoi, mantaua reflectorizante este eliminată și cablul este îndoit la un unghi special pentru a capta informații. În acest caz, puterea semnalului va scădea imediat vizibil. De asemenea, vă puteți conecta fără contact la canalul de comunicare, dar pentru aceasta trebuie să aveți un anumit nivel de cunoștințe și pregătire.

Căi de NSD la liniile de comunicație fără fir

Transportul datelor folosind benzile UHF și VHF de înaltă frecvență face posibilă implementarea transmisiei de informații și a unei rețele de calculatoare în care este dificil să se pună canale obișnuite cu fir. În astfel de canale de comunicare, transferul de informații este posibil la o viteză de până la 2 Mbps. În acest caz, există posibilitatea de interferență și interceptare a informațiilor. Interceptarea datelor funcționează pe baza interceptării radiațiilor electromagnetice cu analiză și decriptare ulterioară. Interceptarea informațiilor prin astfel de canale are propriile sale caracteristici:

• datele pot fi obținute fără contact direct cu sursa;
• semnalul nu este afectat de perioada anului/zi;
• datele sunt primite în timp real;
• interceptarea se realizează pe ascuns.
• domeniul de interceptare este limitat doar de caracteristicile undelor de propagare.

Protecție împotriva accesului neautorizat

Există o poveste despre cum ar trebui să fie stocată informațiile. Trebuie să fie într-o singură copie pe un computer care se află într-un seif blindat, deconectat de la toate rețelele și deconectat de la curent. Această metodă, ca să spunem ușor, este foarte crudă, dar au existat cazuri. Pentru a proteja datele împotriva accesului neautorizat, trebuie să înțelegeți care acces este considerat autorizat și care nu. Pentru asta ai nevoie de:

• împărțiți informațiile în clase care sunt procesate sau stocate pe un computer
• împărțiți utilizatorii în clase în funcție de accesul la date
• aranjați aceste clase în anumite legături de schimb de date între ele

Sistemele de protecție a datelor împotriva accesului neautorizat ar trebui să sprijine implementarea următoarelor funcții:

• autentificare
• Identificare
• delimitarea accesului utilizatorilor la computere
• diferențierea accesului utilizatorilor la oportunități față de informații
• administrare:
  • procesarea jurnalelor de înregistrare
  • definirea drepturilor de acces la resurse
  • lansarea sistemului de protecție pe computer
  • sisteme de protecţie a computerelor demontate
• Concluzie asupra încercărilor de NSD
• înregistrarea evenimentelor:
  • încălcări de acces
  • autentificare/deconectare utilizator
• controlul operabilității și integrității sistemelor de protecție
• menținerea securității informațiilor în timpul reparațiilor și întreținerii preventive și în situații de urgență

Drepturile utilizatorilor de a accesa resurse descriu tabelele pe baza cărora este verificată autentificarea accesului utilizatorului. Dacă Utilizatorul nu poate obține drepturile de acces solicitate, atunci se înregistrează faptul UA și se întreprind anumite acțiuni.

Autentificarea și identificarea utilizatorului

Pentru ca un utilizator să acceseze resursele sistemului, el trebuie să parcurgă procesul:

• Identificare- procesul de atribuire sistemului unui nume de utilizator sau alt identificator
• Autentificare- procesul de confirmare a unui utilizator de către sistem pe baza unui identificator și a unei parole sau a altor informații (vezi , )

Pe baza acestui fapt, pentru a efectua aceste proceduri, este necesar ca:

• a fost un program de autentificare
• utilizatorul avea informații unice

Există două forme de stocare a datelor de identificare a utilizatorului, este internă (înregistrare în baza de date) sau externă (card). Pentru orice purtător de informații care trebuie recunoscut de sistem, există o corespondență în sistemul de autentificare:

• ID i — identificatorul imuabil al utilizatorului i, care este analog cu numele de utilizator pentru sistem
• K i - date de autentificare a utilizatorului

Există două scheme tipice de autentificare și identificare. Prima schema:

Într-o astfel de schemă, E i = F (ID i , Ki), unde irecuperabilitate Ki este considerată ca un anumit prag de intensitate a muncii T 0 pentru refacerea Ki prin E i și ID i . Pentru o pereche de Ki și K j, posibila coincidență a valorilor lui E. În legătură cu această situație, probabilitatea autentificare falsă utilizatorii sistemului nu trebuie să depășească un anumit prag P 0 . În practică, sunt date următoarele valori: T 0 \u003d 10 20 ....10 30, P 0 \u003d 10 -7 ....10 -9.

Pentru o astfel de schemă, există un protocol de autentificare și identificare:

• Utilizatorul își oferă identitatea
• Se calculează valoarea E = F(ID, K).

Într-o altă schemă, E i = F(S i , Ki), unde S este un vector aleator care este setat atunci când este creat ID-ul utilizatorului. F este o funcție care are un aspect irecuperabilitate valorile lui Ki prin E i și S i .

Protocol pentru a doua schemă de autentificare și identificare:

• Utilizatorul își arată ID-ul sistemului
• Dacă există un astfel de ID i , unde ID=ID i , atunci utilizatorul a fost identificat cu succes, altfel nu.
• Vectorul S este alocat prin ID-ul de identificare
• Algoritmul de autentificare cere utilizatorului să introducă autentificatorul său K
• Se calculează valoarea E = F(S, K).
• Dacă E = E 1, atunci autentificarea a trecut, altfel nu.

A doua schemă este utilizată în sistemul de operare UNIX. Utilizatorul își introduce numele (Login) ca identificator și parola ca autentificator. Funcția F este algoritmul de criptare DES. (cm. )

Recent, metodele biometrice de identificare și autentificare câștigă amploare, acest lucru fiind facilitat de:

• Grad ridicat de procură asupra caracteristicilor datorită unicității lor
• Falsificarea dificilă a acestor semne

Atributele utilizatorului pot fi:

• amprentele digitale
• modelul retinei și irisului
• forma mâinii
• forma urechii
• forma feței
• caracteristici vocale
• scris de mână

La înregistrare, utilizatorul trebuie să-și arate caracteristicile biometrice. Imaginea scanată este comparată cu imaginea care există în baza de date. Sisteme de identificare a ochilor au probabilitatea de a repeta aceste caracteristici - 10 -78 . Astfel de sisteme sunt cele mai fiabile dintre celelalte sisteme biometrice. Astfel de sisteme sunt utilizate în zonele de apărare și instalații militare. Sisteme de identificare a amprentelor cel mai comun. Motivul pentru masa este că există o bază de date mare de amprente. Mulțumesc poliției. Sisteme de identificare facială și vocală cele mai accesibile din cauza ieftinității lor. Astfel de sisteme sunt utilizate pentru identificarea de la distanță, de exemplu, în rețele.

De remarcat faptul că utilizarea caracteristicilor biometrice pentru identificarea subiecților nu a primit încă un suport de reglementare adecvat, sub formă de standarde. Prin urmare, utilizarea unor astfel de sisteme este permisă numai în cazul în care sunt prelucrate date care constituie un secret comercial sau oficial.

Autentificarea reciprocă a utilizatorilor

Părțile care intră într-un schimb de informații au nevoie de autentificare reciprocă. Un astfel de proces este de obicei implementat la începutul unei sesiuni de schimb. Pentru autentificare, există modalități:

• mecanism de marcare temporală ( timbru temporar)
• mecanism cerere-răspuns

Mecanismul cerere-răspuns implică o situație în care utilizatorul A dorește să se asigure că datele trimise de utilizatorul B nu sunt false. Pentru a face acest lucru, utilizatorul A trimite un element imprevizibil − cerere X, pe care utilizatorul B trebuie să efectueze o operație predeterminată și să trimită rezultatul utilizatorului A. Utilizatorul A verifică rezultatul cu ceea ce trebuia să iasă. Dezavantajul acestei metode este că puteți restabili modelul dintre cerere și răspuns.

Mecanismul de marcare temporală implică înregistrarea timpului pentru fiecare mesaj trimis. În acest caz, utilizatorul rețelei poate determina cum învechit mesaj. În ambele cazuri, trebuie aplicată o criptare suplimentară.

De asemenea, au mecanism de strângere de mână, care se bazează pe cele două mecanisme anterioare și constă în verificarea reciprocă a cheilor, care este utilizată de părțile la schimb. Acest principiu este folosit pentru a crea o conexiune între computerul gazdă și așa mai departe în rețele.

Ca exemplu, luați în considerare doi utilizatori A și B care au aceeași cheie secretă K AB .

• Utilizatorul A inițiază mecanismul și îi trimite utilizatorului B ID-ul său A în formă clară
• Utilizatorul B primește ID-ul A, găsește cheia K AB pentru utilizare ulterioară
• Utilizatorul A generează o secvență S folosind un generator PG și o trimite utilizatorului B sub formă de criptogramă E K AB S
• Utilizatorul B decriptează această criptogramă
• Ambii utilizatori modifică secvența S, folosind funcția unidirecțională f
• Utilizatorul B criptează mesajul f(S) și trimite criptograma E K AB (f(S)) utilizatorului A
• Utilizatorul A decriptează o astfel de criptogramă și compară f(S) a originalului și a celei decriptate. Dacă sunt egale, atunci se dovedește autenticitatea utilizatorului B pentru utilizatorul A.

Utilizatorul B dovedește identitatea lui A în același mod. Avantajul unui astfel de mecanism este că participanții la comunicare nu primesc nicio informație secretă în timpul mecanismului.

De asemenea, puteți utiliza sisteme DLP. Astfel de sisteme se bazează pe analiza fluxurilor de date care se intersectează cu datele sistemului informațional protejat. Când semnătura este declanșată, elementul activ al sistemului este declanșat, iar transmisia pachetului, fluxului, sesiunii este blocată. Astfel de sisteme se bazează pe două metode. Prima analizează trăsăturile formale ale informaţiei. De exemplu, etichete, valori ale funcției hash, etc. Această metodă vă permite să evitați fals pozitive (erori de primul fel), dar pentru aceasta, documentele trebuie procesate cu clasificare suplimentară. O altă modalitate este analiza de conținut. Permite rezultate false pozitive, dar vă permite să detectați transferul de date confidențiale nu numai între documentele procesate. Sarcina principală a unor astfel de sisteme este de a preveni transferul de date confidențiale în afara sistemului informațional. O astfel de scurgere poate fi intenționată sau neintenționată. Practica arată că 75% dintre incidente nu au loc intenționat, ci din cauza greșelilor, neglijenței sau neatenției angajaților înșiși. Astfel de scurgeri nu sunt greu de detectat, este mai dificil de detectat atacuri speciale. Rezultatul luptei depinde de mulți parametri și este imposibil să se garanteze succesul 100%.

În concluzie, trebuie remarcat faptul că NSD este o amenințare deliberată cu acces la . Există multe moduri de a face acest lucru. Serviciul de securitate a informațiilor trebuie să monitorizeze cu atenție fluxurile de informații, precum și utilizatorii sistemului informațional. Odată cu dezvoltarea tehnologiei, apar noi metode de NSD și implementarea lor. Este necesar ca autoritățile să aloce resurse pentru actualizarea și îmbunătățirea sistemului de protecție a sistemului informațional, deoarece în timp acesta devine depășit și își pierde capacitatea de a preveni noi atacuri. Trebuie amintit că nu există o protecție absolută, dar trebuie să lupți pentru aceasta.

Accesul neautorizat la informații este familiarizarea neprogramată, prelucrarea, copierea, utilizarea diverșilor viruși, inclusiv cei care distrug produse software, precum și modificarea sau distrugerea informațiilor cu încălcarea regulilor stabilite de control al accesului.

Prin urmare, la rândul său, protecția informațiilor împotriva accesului neautorizat este menită să împiedice un atacator să acceseze purtătorul de informații. Există trei domenii principale în protejarea informațiilor despre computer și rețea împotriva accesului neautorizat:

- se concentrează pe prevenirea accesului intrusului în mediul de calcul și se bazează pe mijloace tehnice speciale de identificare a utilizatorului;

- este asociat cu protecția mediului de calcul și se bazează pe crearea de software special;

- asociat cu utilizarea mijloacelor speciale de protejare a informațiilor computerizate împotriva accesului neautorizat.

Trebuie avut în vedere faptul că diferite tehnologii și mijloace diferite sunt folosite pentru a rezolva fiecare dintre probleme. Cerințele pentru echipamentele de protecție, caracteristicile acestora, funcțiile pe care le îndeplinesc și clasificarea lor, precum și termenii și definițiile pentru protecția împotriva accesului neautorizat sunt date în documentele de reglementare ale Comisiei Tehnice de Stat:

– „Sisteme automatizate. Protecție împotriva accesului neautorizat la informații. Clasificare AS și cerințe de protecție a informațiilor”;

– „Mijloace de tehnologie informatică. Protecție împotriva accesului neautorizat la informații. Indicatori de securitate față de accesul neautorizat la informații”;

- „Protecție împotriva accesului neautorizat la informații. Termeni și definiții". Mijloace tehnice care implementează funcțiile de protecție pot fi împărțite în:

o încorporat;

o externă.

Mijloacele încorporate de protejare a unui computer personal și a unui software (Fig. 3.12) includ protecția cu parolă pentru BIOS, sistemul de operare și DBMS. Aceste instrumente pot fi sincer slabe - BIOS cu o parolă de supervizor, protecție prin parolă Win95/98, dar pot fi și mult mai puternice - BIOS fără parole de supervizor, protecție cu parolă Windows NT, ORACLE DBMS. Utilizarea punctelor forte ale acestor instrumente poate consolida semnificativ sistemul de protecție a informațiilor împotriva accesului neautorizat.

Uneltele externe sunt concepute pentru a înlocui instrumentele încorporate pentru a spori protecția sau pentru a le completa cu funcții lipsă.

Acestea includ:

– hardware de boot de încredere;

– complexe hardware-software pentru împărțirea drepturilor de acces utilizatorilor;

– mijloace de autentificare puternică a conexiunilor de rețea.

Hardware-ul de încărcare de încredere este un produs, uneori denumit „blocare electronică”, ale cărui funcții sunt de a identifica în siguranță utilizatorul, precum și de a verifica integritatea software-ului computerului. De obicei, aceasta este o placă de expansiune pentru computerul personal, cu software-ul necesar stocat fie în memoria Flash a plăcii, fie pe hard disk-ul computerului.

Principiul acțiunii lor este simplu. În timpul procesului de pornire, pornesc BIOS-ul și plăcile de protecție anti-manipulare. Sosește ID-ul utilizatorului și îl compară cu cel stocat în memoria flash a cardului. Identificatorul poate fi protejat suplimentar cu o parolă. Apoi pornește sistemul de operare încorporat al plăcii sau al computerului (cel mai adesea aceasta este o variantă de MS-DOS), după care pornește verificarea integrității software. De regulă, sunt verificate zonele de sistem ale discului de pornire, fișierele de boot și fișierele specificate de utilizator pentru verificare. Verificarea se efectuează fie pe baza inserării imitate a algoritmului GOST 28147-89, fie pe baza funcției de hashing a algoritmului GOST R 34.11-34 sau a altui algoritm. Rezultatul testului este comparat cu cel stocat în memoria flash a cardului. Dacă, în urma comparației, la verificarea identificatorului sau a integrității sistemului, se dezvăluie o diferență cu standardul, placa va bloca lucrările ulterioare și va afișa un mesaj corespunzător pe ecran. Dacă verificările sunt pozitive, atunci placa transferă controlul către computerul personal pentru încărcarea ulterioară a sistemului de operare.

Toate verificările de identificare și integritate sunt înregistrate. Avantajele dispozitivelor din această clasă sunt fiabilitatea lor ridicată, simplitatea și prețul scăzut. În absența lucrului multi-utilizator pe computer, funcțiile de protecție ale acestui instrument sunt de obicei suficiente.

Sistemele hardware-software pentru separarea drepturilor de acces sunt utilizate atunci când mai mulți utilizatori lucrează pe același computer, dacă sarcina este să-și separe drepturile de acces reciproc la datele. Soluția la această problemă se bazează pe: 01 interzicerea utilizatorilor să lanseze anumite aplicații și procese; Q Permite utilizatorilor și aplicațiilor pe care le execută doar un anumit tip de acțiune de date.

Implementarea interdicțiilor și a permisiunilor se realizează în diferite moduri. De regulă, în procesul de pornire a sistemului de operare este lansat și programul de protecție împotriva accesului neautorizat. Este prezent în memoria computerului ca modul rezident și controlează acțiunile utilizatorului pentru a lansa aplicații și a accesa date. Toate acțiunile utilizatorului sunt înregistrate într-un jurnal care este disponibil numai pentru administratorul de securitate. Sub mijloacele acestei clase, ei înțeleg de obicei mijloacele de protecție împotriva accesului neautorizat. Sunt complexe hardware-software constând dintr-o parte hardware - o placă de pornire de încredere a computerului, care acum verifică în plus integritatea software-ului sistemului anti-manipulare pe hard disk și o parte software - un program de administrator, un rezident. modul. Aceste programe se află într-un director special și sunt disponibile numai pentru administrator. Aceste sisteme pot fi utilizate și într-un sistem cu un singur utilizator pentru a restricționa utilizatorul să instaleze și să ruleze programe de care nu are nevoie în munca sa.

Instrumentele puternice de autentificare a conexiunii la rețea sunt utilizate atunci când operarea stațiilor de lucru ca parte a unei rețele impune cerințe de protejare a resurselor stației de lucru împotriva amenințării accesului neautorizat la stația de lucru din rețea și modificări ale informațiilor sau software-ului, precum și lansarea unui proces neautorizat. Protecția împotriva UA din partea rețelei este realizată prin autentificarea puternică a conexiunilor de rețea. Această tehnologie se numește tehnologie de rețea privată virtuală.

Una dintre principalele sarcini de protecție împotriva accesului neautorizat este de a asigura o identificare fiabilă a utilizatorului (Fig. 3.13) și capacitatea de a autentifica orice utilizator de rețea care poate fi identificat în mod unic prin faptul că:

- se reprezintă pe sine.

Ce știe utilizatorul? Numele și parola dvs. Schemele de autentificare prin parolă se bazează pe aceste cunoștințe. Dezavantajul acestor scheme este că trebuie să-și amintească parole complexe, ceea ce de multe ori nu se întâmplă: fie parola este aleasă slabă, fie este pur și simplu notă într-un caiet, pe o foaie de hârtie etc. În cazul folosind doar protecția cu parolă, se iau măsuri corespunzătoare pentru a asigura gestionarea parolelor de creare, stocarea acestora, pentru a monitoriza expirarea utilizării și eliminarea în timp util. Închiderea criptografică a parolelor poate rezolva în mare măsură această problemă și poate face mai greu pentru un atacator să ocolească mecanismul de autentificare.

Ce poate avea un utilizator? Desigur, o cheie specială este un identificator unic, cum ar fi o tabletă cu memorie tactilă (butonul I), un e-token, un card inteligent sau o cheie criptografică pe care este criptată intrarea sa în baza de date a utilizatorilor. Un astfel de sistem este cel mai stabil, cu toate acestea, necesită ca utilizatorul să aibă întotdeauna la el un identificator, care este cel mai adesea atașat la brelocul de chei și este fie adesea uitat acasă, fie pierdut. Va fi corect dacă administratorul emite identificatori dimineața și scrie despre asta într-un jurnal și le ia înapoi pentru depozitare seara, făcând din nou o înregistrare în jurnal.

Ce este un utilizator? Acestea sunt caracteristicile care sunt inerente doar acestui utilizator, doar lui, oferind identificarea biometrică. Un identificator poate fi o amprentă, un model de iris, o amprentă a palmei etc. În prezent, aceasta este direcția cea mai promițătoare în dezvoltarea instrumentelor de identificare. Sunt fiabile și, în același timp, nu necesită ca utilizatorul să aibă cunoștințe suplimentare despre ceva sau să dețină permanent ceva. Odată cu dezvoltarea tehnologiei și costul acestor fonduri devine disponibil pentru fiecare organizație.

Verificarea garantată a identității utilizatorului este sarcina diferitelor mecanisme de identificare și autentificare.

Fiecărui utilizator (grup de utilizatori) al rețelei i se atribuie o caracteristică distinctivă specifică - un identificator și este comparat cu lista aprobată. Cu toate acestea, doar identificatorul declarat în rețea nu poate oferi protecție împotriva conexiunii neautorizate fără a verifica identitatea utilizatorului.

Procesul de verificare a identității utilizatorului se numește autentificare. Are loc cu ajutorul unei caracteristici distinctive speciale prezentate de utilizator - un autentificator, inerent acestuia. Eficacitatea autentificării este determinată, în primul rând, de caracteristicile distinctive ale fiecărui utilizator.

Mecanismele specifice de identificare și autentificare în rețea pot fi implementate pe baza următoarelor instrumente și proceduri de securitate a informațiilor:

– parole;

- mijloace tehnice;

– mijloace de biometrie;

– criptografie cu chei unice pentru fiecare utilizator.

Problema aplicabilității unuia sau altuia se decide în funcție de amenințările identificate, de caracteristicile tehnice ale obiectului protejat. Nu se poate afirma fără echivoc că utilizarea hardware-ului folosind criptografia va oferi sistemului o fiabilitate mai mare decât utilizarea software-ului.

Analiza securității unui obiect informațional și identificarea amenințărilor la adresa securității acestuia este o procedură extrem de complexă. O procedură la fel de complicată este alegerea tehnologiilor și a mijloacelor de protecție pentru eliminarea amenințărilor identificate. Este mai bine să încredințați soluția acestor probleme unor specialiști cu experiență bogată.

Protecție împotriva accesului neautorizat la date

Accesul neautorizat (UAS) al unui atacator la un computer este periculos nu numai prin posibilitatea de a citi și/sau modifica documente electronice prelucrate, ci și prin posibilitatea introducerii unui marcaj software controlat de către un atacator, care îi va permite să preia urmatoarele actiuni:

2. Interceptați diverse informații cheie utilizate pentru protejarea documentelor electronice.

3. Utilizați computerul capturat ca o trambulină pentru capturarea altor computere din rețeaua locală.

4. Distrugeți informațiile stocate pe computer sau dezactivați computerul rulând software rău intenționat.

Protejarea computerelor împotriva accesului neautorizat este una dintre principalele probleme ale securității informațiilor, prin urmare, în majoritatea sistemelor de operare și a pachetelor software populare sunt încorporate diferite subsisteme de protecție împotriva accesului neautorizat. De exemplu, efectuarea autentificării utilizatorilor atunci când se conectează la sistemele de operare din familia Windows. Cu toate acestea, nu există nicio îndoială că instrumentele încorporate ale sistemelor de operare nu sunt suficiente pentru o protecție serioasă împotriva accesului neautorizat. Din păcate, implementarea subsistemelor de protecție ale majorității sistemelor de operare provoacă adesea critici din cauza vulnerabilităților descoperite în mod regulat care permit accesul la obiectele protejate ocolind regulile de control al accesului. Pachetele de servicii și patch-urile lansate de furnizorii de software rămân obiectiv în urma informațiilor despre vulnerabilitățile descoperite. Prin urmare, pe lângă mijloacele standard de protecție, este necesar să se utilizeze mijloace speciale de restricționare sau delimitare a accesului.
Aceste fonduri pot fi împărțite în două categorii:

1. Mijloace de restricționare a accesului fizic.

2. Mijloace de protecție împotriva accesului neautorizat prin rețea.

Mijloace de restricționare a accesului fizic

Cea mai fiabilă soluție la problema restricționării accesului fizic la un computer este utilizarea hardware-ului pentru protejarea informațiilor împotriva accesului neautorizat, care se efectuează înainte ca sistemul de operare să fie încărcat. Mijloacele de protecție din această categorie se numesc „încuietori electronice”. Un exemplu de blocare electronică este prezentat în fig. 5.3.

Figura 5.3 - Blocare electronică pentru magistrala PCI

Teoretic, orice instrument de control al accesului software poate fi expus unui atacator pentru a distorsiona algoritmul unui astfel de instrument și, ulterior, a obține acces la sistem. Este practic imposibil să faci acest lucru cu protecția hardware: încuietoarea electronică efectuează toate acțiunile de control al accesului utilizatorului în propriul mediu software de încredere, care nu este supus influențelor externe.
În etapa pregătitoare a utilizării unei încuietori electronice, acesta este instalat și configurat. Configurarea include următorii pași, efectuati de obicei de persoana responsabilă, administratorul de securitate:

1. Crearea unei liste de utilizatori cărora li se permite accesul la computerul protejat. Pentru fiecare utilizator este generat un port chei (în funcție de interfețele suportate de o anumită încuietoare - o dischetă, o tabletă electronică iButton sau un smart card), care va fi folosit pentru autentificarea utilizatorului la intrare. Lista utilizatorilor este stocată în memoria nevolatilă a lacătului.

2. Formarea unei liste de fișiere, a căror integritate este controlată de blocare înainte de încărcarea sistemului de operare al computerului. Fișierele importante ale sistemului de operare sunt supuse controlului, de exemplu, următoarele:

Biblioteci de sistem Windows;

Module executabile ale aplicațiilor utilizate;

Șabloane de documente Microsoft Word etc.

Controlul integrității fișierelor este calculul sumei de control de referință, de exemplu, hashing conform algoritmului GOST R 34.11-94, stocarea valorilor calculate în memoria nevolatilă a blocării și apoi calculul sumelor de control ale fișierelor reale și compararea acestora cu cele de referinţă. În modul normal de funcționare, încuietoarea electronică primește controlul din BIOS-ul computerului protejat după ce acesta din urmă este pornit. În această etapă, toate acțiunile sunt efectuate pentru a controla accesul la computer (vezi diagrama algoritmului simplificat în Fig. 5.4), și anume:

Figura 5.4 - Schema simplificată a algoritmului de funcționare a blocării electronice

1. Lacătul solicită utilizatorului un transportator cu informații cheie necesare pentru autentificarea acestuia. În cazul în care informațiile cheie în formatul solicitat nu sunt prezentate sau dacă utilizatorul identificat prin informațiile furnizate nu este inclus în lista de utilizatori ai computerului protejat, blocarea blochează computerul să nu pornească.

2. Dacă autentificarea utilizatorului a avut succes, blocarea calculează sumele de control ale fișierelor conținute în lista de fișiere controlate și compară sumele de control primite cu cele de referință. Dacă integritatea a cel puțin unui fișier din listă este încălcată, computerul va fi blocat de la încărcare. Pentru a putea lucra în continuare pe acest computer, problema trebuie rezolvată de către Administrator, care trebuie să afle motivul modificării fișierului controlat și, în funcție de situație, să ia una dintre următoarele acțiuni care să permită continuarea lucrărilor cu calculatorul protejat:

Restaurați fișierul original;

Eliminați un fișier din lista de controlați.

3. Dacă toate verificările sunt trecute cu succes, blocarea returnează controlul computerului pentru a încărca sistemul de operare standard.

Deoarece pașii de mai sus sunt efectuati înainte ca sistemul de operare al computerului să fie încărcat, blocarea încarcă de obicei propriul sistem de operare (situat în memoria sa nevolatilă - de obicei MS-DOS sau asemănător OS cerință redusă de resurse) care efectuează autentificarea utilizatorului și verificări de integritate a fișierelor. Acest lucru are sens și din punct de vedere al securității - propriul sistem de operare al lacătului nu este supus niciunei influențe externe, ceea ce nu permite unui atacator să influențeze procesele de control descrise mai sus. Informațiile despre autentificarea utilizatorului la computer, precum și încercările de acces neautorizat, sunt stocate într-un jurnal, care se află în memoria nevolatilă a lacătului. Jurnalul poate fi vizualizat de către administrator. Când utilizați încuietori electronice, există o serie de probleme, în special:

1. BIOS unele computere moderne pot fi configurate în așa fel încât controlul la pornire să nu fie transferat în BIOS-ul lacătului. Pentru a contracara astfel de setări, blocarea trebuie să poată bloca pornirea computerului (de exemplu, prin închiderea contactelor resetare) dacă încuietoarea nu a primit control într-o anumită perioadă de timp după pornirea alimentării.

2. Un atacator poate pur și simplu să scoată lacătul din computer. Cu toate acestea, există o serie de contramăsuri:

Diverse măsuri organizatorice și tehnice: etanșarea carcasei computerului, asigurarea faptului că utilizatorii nu au acces fizic la unitatea de sistem informatică etc.

Există încuietori electronice care pot bloca carcasa unității de sistem computerizată din interior cu un zăvor special la comanda administratorului - în acest caz, lacătul nu poate fi îndepărtat fără deteriorarea semnificativă a computerului.

Destul de des, încuietorile electronice sunt combinate structural cu un codificator hardware. În acest caz, măsura de securitate recomandată este utilizarea blocării împreună cu software-ul transparent (automat) de criptare pentru unitățile logice ale computerului. În acest caz, cheile de criptare pot fi derivate din cheile folosite pentru autentificarea utilizatorilor în încuietoarea electronică, sau chei separate, dar stocate pe același mediu ca și cheile utilizatorului pentru a intra în computer. Un astfel de instrument cuprinzător de protecție nu va cere utilizatorului să efectueze acțiuni suplimentare, dar nu va permite unui atacator să obțină acces la informații chiar și atunci când echipamentul de blocare electronică este îndepărtat.

Mijloace de protecție împotriva accesului neautorizat prin rețea

Cele mai eficiente metode de protecție împotriva accesului neautorizat prin rețelele de calculatoare sunt rețelele private virtuale (VPN). VPN - Rețea privată virtuală) și firewall-uri. Să le luăm în considerare în detaliu.

Rețele private virtuale

Rețelele private virtuale asigură protecția automată a integrității și confidențialității mesajelor transmise prin diverse rețele publice, în primul rând pe Internet. De fapt, VPN este un ansamblu de rețele pe al căror perimetru exterior VPN-agenţi (Fig. 5.5). VPN-agent este un program (sau complex software și hardware) care asigură de fapt protecția informațiilor transmise prin efectuarea operațiunilor descrise mai jos.

Orez. 5.5 - Schema de construcție VPN

Înainte de a trimite oricare IP-pachet VPN- agentul face următoarele:

1. Din antet IP-se aloca informațiile pachetului despre destinatarul acestuia. Conform acestor informații, pe baza politicii de securitate a acesteia VPN-agent, sunt selectați algoritmi de protecție (dacă VPN-agent suporta mai multi algoritmi) si chei criptografice cu care acest pachet va fi protejat. Dacă politica de securitate VPN-agent nu este prevăzut pentru trimitere IP-pachet către acest destinatar sau IP-pachet cu aceste caracteristici, expediere IP-pachetul este blocat.

2. Folosind algoritmul de protecție a integrității selectat, acesta este format și adăugat la IP-pachet semnătură digitală electronică (EDS), prefix de imitație sau sumă de control similară.

3. Criptarea se realizează utilizând algoritmul de criptare selectat IP-pachet.

4. Folosind algoritmul stabilit de încapsulare a pachetelor, criptat IP- pachetul este plasat într-un pachet IP pregătit pentru transmitere, al cărui antet, în locul informațiilor originale despre destinatar și expeditor, conține, respectiv, informații despre VPN- agentul destinatarului și VPN agentul expeditorului. Acestea. traducerea adresei de rețea este în curs.

5. Pachetul este trimis VPN agent al destinatarului. Dacă este necesar, este împărțit și pachetele rezultate sunt trimise unul câte unul.

Când primești IP-pachet VPN- agentul face următoarele:

1. Din antet IP-informațiile pachetului despre expeditorul acestuia sunt evidențiate. Dacă expeditorul nu este permis (conform politicii de securitate) sau necunoscut (de exemplu, la primirea unui pachet cu un antet deteriorat în mod deliberat sau accidental), pachetul nu este procesat și aruncat.

2. Conform politicii de securitate, se selectează algoritmi de protejare a acestui pachet și chei, cu ajutorul cărora pachetul va fi decriptat și se va verifica integritatea acestuia.

3. Partea informațională (încapsulată) a pachetului este extrasă și decriptată.

4. Integritatea pachetului este verificată pe baza algoritmului selectat. Dacă este detectată o încălcare a integrității, pachetul este aruncat.

5. Pachetul este trimis la destinație (prin rețeaua internă) conform informațiilor din antetul său original.

VPN-agentul poate fi localizat direct pe computerul protejat (de exemplu, calculatoarele „utilizatori la distanță” din Fig. 5.5). În acest caz, cu ajutorul acestuia, doar schimbul de informații al computerului pe care este instalat este protejat, cu toate acestea, principiile de funcționare a acestuia descrise mai sus rămân neschimbate.
Regula de bază a construcției VPN– Comunicarea între o rețea LAN securizată și o rețea deschisă ar trebui să aibă loc numai prin VPN-agenți. În mod categoric, nu ar trebui să existe niciun mijloc de comunicare care să ocolească bariera de protecție din formular VPN-agent. Acestea. trebuie definit un perimetru protejat, comunicarea cu care se poate realiza numai printr-un mijloc adecvat de protectie. O politică de securitate este un set de reguli conform cărora sunt stabilite canale de comunicații securizate între abonați VPN. Aceste canale sunt de obicei numite tuneluri, o analogie cu care poate fi văzută în următoarele:

1. Toate informațiile transmise într-un tunel sunt protejate atât de vizionarea neautorizată, cât și de modificare.

2. Încapsulare IP pachetele vă permite să ascundeți topologia rețelei LAN interne: de pe Internet, schimbul de informații între două LAN-uri protejate este vizibil ca un schimb de informații doar între ele VPN-agenti, din moment ce toate interne IP-adrese transmise prin internet IP-pachetele nu apar in acest caz.

Regulile pentru crearea tunelurilor se formează în funcție de diferite caracteristici IP-pachete, de exemplu, cel principal la construirea celor mai multe VPN protocol IPSec (Arhitectura de securitate pentru IP) setează următorul set de date de intrare, în funcție de care sunt selectați parametrii de tunel și se ia o decizie la filtrarea unui anumit IP-pachet:

1. IP Sursa adresei. Aceasta poate fi nu numai o singură adresă IP, ci și o adresă de subrețea sau o serie de adrese.

2. IP- adresa de destinatie. Poate fi, de asemenea, o serie de adrese, specificate în mod explicit folosind o mască de subrețea sau un wildcard.

3. ID utilizator (expeditor sau destinatar).

4. Protocolul stratului de transport ( TCP/UDP).

5. Numărul portului din care sau către care a fost trimis pachetul.

Un firewall este un instrument software sau software și hardware care protejează rețelele locale și computerele individuale de accesul neautorizat din rețelele externe prin filtrarea unui flux de mesaje bidirecționale în timpul schimbului de informații. De fapt, firewall-ul este „demontat” VPN- un agent care nu criptează pachetele și nu controlează integritatea acestora, dar în unele cazuri are o serie de funcții suplimentare, dintre care cele mai comune sunt următoarele:

scanare antivirus;

Verificarea corectitudinii pachetelor;

Verificarea corectitudinii conexiunilor (de exemplu, stabilirea, utilizarea și întreruperea TCP-sesiuni);

Controlul conținutului.

Sunt apelate firewall-uri care nu au funcțiile descrise mai sus și efectuează doar filtrarea pachetelor filtre de pachete. Prin analogie cu VPN De asemenea, agenții au firewall-uri personale care protejează doar computerul pe care sunt instalați. Firewall-urile sunt amplasate și pe perimetrul rețelelor protejate și filtrează traficul din rețea conform politicii de securitate configurate.

O încuietoare electronică poate fi dezvoltată pe baza unui codificator hardware. În acest caz, se obține un dispozitiv care îndeplinește funcțiile de criptare, generare de numere aleatorii și protecție împotriva accesului neautorizat. Un astfel de codificator poate fi centrul de securitate al întregului computer; pe baza acestuia, puteți construi un sistem complet de protecție a datelor criptografice care oferă, de exemplu, următoarele caracteristici:

1. Protejarea computerului împotriva accesului fizic.

2. Protejarea computerului împotriva accesului neautorizat prin rețea și organizație VPN.

3. Criptarea fișierelor la cerere.

4. Criptarea automată a unităților logice ale computerului.

5. Calcul/verificare EDS.

6. Protecția mesajelor de e-mail.