Hakerë dhe viruse në AS / 400? Eshte e pamundur. Ata piratojnë vetëm Unix dhe PC.

Më kujtohet filmi "Jurassic Park", në fund të të cilit një vajzë shkon drejt një kompjuteri në të cilin u krye një sabotim, duke çuar në lirimin e dinosaurëve. "Ky është Unix!" - bërtet ajo, duke hapur mbrojtjen e tij dhe duke e rregulluar menjëherë problemin. Pastaj thashë me vete: "Sigurisht, çfarë doje nga Unix". Dhe në filmin "Dita e Pavarësisë", një virus u lëshua në kompjuterin e një anije kozmike aliene. Shumica e shikuesve nuk e kishin idenë se alienët po përdornin kompjuterët Apple Macintosh. Por, falë Zotit, kështu doli, virusi funksionoi dhe bota jonë u shpëtua.

Në përgjithësi, në filma, keqbërësit shpesh depërtojnë në kompjuterët e njerëzve të tjerë, ose një punonjës i pakënaqur injekton një virus në rrjetin kompjuterik të një kompanie. Është mirë të dihet se asgjë e tillë nuk mund të ndodhë në AS / 400. Apo mund të jetë?

Ashtu si shumë veçori të tjera, AS / 400, ndryshe nga shumica e sistemeve të tjera, ka siguri të integruar që në fillim, jo ​​shtuar pas fillimit të tij. Sidoqoftë, asnjë mjet mbrojtjeje nuk do të ndihmojë nëse nuk i përdorni, dhe shumë përdorues të AS / 400 e bëjnë këtë. Për shembull, në një mjedis klient/server, duhet të merren masa paraprake të veçanta për të mbrojtur të dhënat AS / 400 nga klientë të pasigurt si Windows 95 dhe Windows NT. Për më tepër, në botën e sotme të rrjetit, shumë AS / 400 janë të lidhur me internetin, në këtë rast, duhet të aplikoni gjithashtu mjete të caktuara për mbrojtjen e burimeve të informacionit. Për fat të mirë, mbrojtjet e integruara të AS / 400 ofrojnë një bazë të fortë sigurie për të gjithë sistemin tuaj. Në këtë kapitull do të shikojmë veçoritë e sigurisë AS / 400 dhe do të diskutojmë se si t'i përdorim ato më mirë.

Mbrojtje e integruar

Në të kaluarën, sigurimi i një sistemi kompjuterik ishte relativisht i lehtë. Në mënyrë tipike, mjaftonte të futej një bllokues në derën e dhomës së kompjuterit dhe të detyroheshin përdoruesit fundorë të vendosnin një fjalëkalim kur hynin në sistem. Bota moderne nuk është më aq e thjeshtë. AS / 400 janë më të rrezikuarit kur janë të lidhur me një rrjet kompjuterik: një LAN të brendshëm ose një rrjet global si interneti. Në çdo rast, AS / 400 ofron mjetet për të minimizuar ose eliminuar rrezikun e aksesit të paautorizuar. Problemet e sigurimit të një sistemi kompjuterik janë shumë të ngjashme me ato që lindin kur mbroni një shtëpi ose një makinë: Duhet të llogaritni saktë raportin e kostos dhe shkallën e pranueshme të rrezikut.

Natyrisht, AS / 400 ka nevojë për nivele të ndryshme mbrojtjeje në situata të ndryshme. Përdoruesi duhet të jetë në gjendje të zgjedhë në mënyrë të pavarur këtë nivel. Një sistem i mirë sigurie është krijuar në mënyrë që një kompjuter të mund të funksionojë pa mbrojtje fare, me mbrojtje të kufizuar ose me mbrojtje të plotë, por në të gjitha rastet sistemi i mbrojtjes duhet të jetë aktiv.

Dhe tani ka sisteme të mbyllura në dhoma ku aksesi është rreptësisht i kufizuar. Është e qartë se ata nuk kanë nevojë për të njëjtin nivel mbrojtjeje si një kompjuter i lidhur në internet. Por me kalimin e kohës, kërkesat për mbrojtjen e këtyre sistemeve mund të rriten. Siguria e integruar AS / 400 është mjaft fleksibël për t'u përshtatur ndërsa kërkesat tuaja ndryshojnë.

Siguria AS / 400 është një kombinim i sigurisë OS / 400 dhe sigurisë SLIC. OS / 400 zbaton shtresa sigurie në të gjithë sistemin, me OS / 400 që mbështetet në veçoritë e sigurisë së objektit të shtresës MI. Për shembull, siç u përmend në Objektet, MI kryen një kontroll të lejeve sa herë që aksesohet një objekt. SLIC është përgjegjës për veprimet e MI për të mbrojtur objektet. Lloji i mbrojtjes që zbaton quhet autorizim dhe është krijuar për të mbrojtur një objekt nga aksesi ose modifikimi i paautorizuar.

Disa nga veçoritë e sigurisë AS / 400 vendosen plotësisht në krye të MI në OS / 400, si p.sh. vendosja e opsioneve të sigurisë së sistemit. Të tjera, të tilla si kontrolli i aksesit të objekteve, janë implementuar plotësisht nën MI në SLIC. Komponentët e tretë të mbrojtjes zbatohen pjesërisht sipër dhe pjesërisht poshtë MI. Një shembull është mbështetja për komandat e privilegjuara dhe autoritetet speciale. Le të hedhim një vështrim më të afërt në komponentët sipër dhe poshtë MI.

Nivelet e mbrojtjes

AS / 400 janë krijuar për një gamë të gjerë aplikimesh në fusha të ndryshme të veprimtarisë njerëzore. Prandaj, kërkesat për sigurinë e tyre variojnë nga niveli i mungesës së plotë të tij deri në nivelin e mbrojtjes të certifikuar nga qeveria. Duke vendosur parametrat e duhur të sistemit, mund të zgjidhni një nga pesë nivelet: pa mbrojtje, mbrojtje me fjalëkalim, mbrojtje burimesh, mbrojtje të sistemit operativ dhe mbrojtje të certifikuar. Kur konfiguroni AS / 400, duhet të specifikohen katër parametra të sistemit që lidhen me sigurinë: QAUDJRL, QMAXSIGN, QRETSVRSEC dhe QSECURITY.

Parametri i sistemit që përcakton nivelin e sigurisë është QSECURITY. Sistemi / 38 dhe fillimi i AS / 400 kishin vetëm tre nivele të sigurisë së sistemit, OS / 400 V1R3 shtoi një të katërt dhe V2R3 shtoi një nivel të pestë, më të lartë të sigurisë. Vlerat e vlefshme QSECURITY janë 10, 20, 30, 40 dhe 50.

AS / 400 gjithashtu mbështet një veçori opsionale auditimi. Kur aktivizohet, disa ngjarje sigurie regjistrohen. Ngjarjet specifike për t'u regjistruar në regjistrin e kontrollit të sigurisë përcaktohen nga vlera e parametrit të sistemit QAUDJRL dhe niveli aktual i sigurisë. Mund të regjistrohen ngjarje të tilla si përpjekjet e paautorizuara për akses, fshirja e objekteve, identifikimi i programeve duke përdorur komanda të privilegjuara, etj.. Përmbajtja e regjistrit të sigurisë analizohet nga administratori i sigurisë.

Numri maksimal i përpjekjeve për hyrje të dështuar caktohet nga parametri i sistemit QMAXSIGN. Nëse numri i përpjekjeve të tilla e kalon vlerën e këtij parametri, terminali ose pajisja nga e cila janë tentuar shkëputet nga sistemi dhe lidhja ndërmjet tyre dhe sistemit prishet. Kjo metodë ju lejon të parandaloni përpjekjet për të gjetur fjalëkalimin për të hyrë në sistem. Vlera për parametrin QMAXSIGN për secilën pajisje rivendoset pas një hyrje të suksesshme.

Parametri i sistemit QRETSVRSEC (Ruani të dhënat e sigurisë së serverit) përcakton nëse informacioni i kërkuar nga AS / 400 për të vërtetuar një përdorues në një sistem tjetër përmes ndërfaqeve të klientit/serverit mund të mbahet mend nga serveri. Nëse informacioni mbahet mend, atëherë serveri e përdor atë. Nëse jo, serveri do të kërkojë një ID të përdoruesit dhe fjalëkalimin për sistemin tjetër. Parametri i sistemit FFQRETSVRSEC përdoret për ndërfaqet e klientit / serverit TCP / IP, Novell NetWare dhe Lotus Notes.

Tani le të shohim secilin nga pesë nivelet e mbrojtjes, duke filluar nga më të ulëtat.

Mungesa e mbrojtjes (niveli 10)

Niveli 10 nënkupton nivelin më të ulët të sigurisë - pa siguri. Për të hyrë në sistem, nuk kërkohet asnjë fjalëkalim dhe çdo përdoruesi i lejohet aksesi në të gjitha burimet dhe objektet e sistemit pa kufizime. Kushti i vetëm është që nuk mund të ndikoni në detyrat e përdoruesve të tjerë të sistemit.

Niveli 10 i sigurisë së sistemit zakonisht përdoret vetëm kur mbrojtje fizike sisteme të tilla si bllokimi në derën e dhomës së turbinës. Çdo përdorues që ka akses fizik në makinë, mund të hyjë në sistem. Megjithatë, ai nuk është i detyruar regjistroheni... Regjistrimi i përdoruesit presupozon që ekziston një profil përdoruesi diku në sistem. Një profil i tillë gjenerohet automatikisht kur përdoret niveli i sigurisë 10 nëse nuk ekziston tashmë.

Mbrojtja me fjalëkalim (niveli 20)

Nëse dëshironi vetëm sigurinë e hyrjes, përdorni nivelin 20. Ky nivel sigurie kërkon që përdoruesi AS / 400 të jetë i identifikuar dhe të dijë fjalëkalimin e saktë. Pasi të merret leja për të hyrë në sistem, përdoruesi ka akses në të gjitha burimet e tij pa kufizime. Siç mund ta shihni, ndryshimi nga niveli 10 është i parëndësishëm.

Vetëm në një rast të veçantë është i kufizuar qasja e përdoruesit në sistemin e nivelit 20: nëse kjo është përcaktuar në mënyrë specifike në profilin e përdoruesit. Përdoruesi me aftësi të kufizuara mund të zgjidhni vetëm artikujt e menysë. Shumica e menyve të sistemit kanë një linjë komande dhe kjo veçori kufizon përdorimin e komandave të sistemit.

Supozoni se ekziston një grup punëtorësh në një organizatë, përgjegjësitë e të cilëve përfshijnë pranimin e porosive për mallra dhe futjen e të dhënave të duhura në sistem. Për këta përdorues, këshillohet që të krijohet një meny e veçantë dhe t'i lejohet të veprojnë vetëm brenda këtij kuadri, për të cilin duhet të regjistrohen si përdorues me aftësi të kufizuara dhe të vendosin në profilet e tyre një menu në të cilën u lejohet aksesi.

Por edhe një përdorues me aftësi të kufizuar lejohet të ekzekutojë katër komanda të nevojshme: të dërgojë mesazhe, të shfaqë mesazhe, të shfaqë statusin e punës dhe të shkëputet. Cilat komanda janë të hapura për përdoruesit me aftësi të kufizuara mund të vendosen individualisht. Kufizimi gjithashtu përcakton se cilat fusha mund të ndryshojë përdoruesi kur të identifikohet.

Nivelet 20 dhe 10 nuk i japin sistemit siguri, pasi përdoruesi pasi regjistrohet në sistem, ai mund të kryejë çdo operacion atje. Unë nuk do të rekomandoja të kufizohej në shkallë kaq të ulëta mbrojtjeje, përveç në raste të veçanta kur vetë sistemi është praktikisht i paarritshëm nga jashtë.

Mbrojtja e burimeve (niveli 30)

Niveli minimal i rekomanduar i sigurisë është niveli 30. Në këtë nivel, si dhe në nivelin 20, një përdorues duhet të jetë i regjistruar dhe të dijë fjalëkalimin e saktë për t'u identifikuar në sistem. Pas hyrjes në sistem, kontrollohet nëse përdoruesi ka të drejta aksesi në burimet e sistemit; qasja e paautorizuar nuk lejohet. Në nivelin 30, një përdorues mund të regjistrohet edhe me aftësi të kufizuara.

Përdoruesve individualë mund t'u jepen të drejta aksesi në objektet e sistemit si skedarët, programet dhe pajisjet. Profilet e përdoruesve e ofrojnë këtë aftësi, dhe ne do të flasim më shumë për mënyrën se si ata e bëjnë këtë së shpejti. Ne do të shqyrtojmë gjithashtu opsione të tjera për dhënien e të drejtave të aksesit të një përdoruesi në objektet e sistemit: përdorimin e të drejtave të grupit ose të përgjithshëm.

Niveli i sigurisë 30 ishte më i larti në Sistemin / 38. Por nuk bën dallim midis objekteve të personalizuara dhe objekteve të përdorura vetëm nga OS. Një problem serioz u ngrit për shkak të disponueshmërisë së montimit MI në System / 38 dhe disponueshmërisë së informacionit të caktuar në lidhje me strukturën e brendshme të objekteve. ISV-të filluan të shkruanin paketa aplikacionesh që vareshin nga struktura e brendshme e objekteve, gjë që cenonte pavarësinë teknologjike të MI-së.

Modelet e hershme AS / 400 përdorën të njëjtat nivele sigurie. Megjithëse AS / 400 nuk kishte një montues MI dhe ne nuk publikuam informacione për strukturat e brendshme, ekspertët shpejt kuptuan se AS / 400 ishte System / 38. Prandaj, programet që varen nga struktura e brendshme e objekteve funksionuan edhe në AS / 400.

Kuptuam se kur kalonim në llogaritjen e klientit / serverit, AS / 400 kishte nevojë për siguri më të mirë, duke bllokuar aksesin në shumicën e objekteve të brendshme. Në lidhje me kalimin në procesorët RISC, struktura e brendshme gjithashtu ka pësuar ndryshime. Por nëse thjesht do të zbatonim një nivel të ri, të rritur, mbrojtjeje, atëherë programet që varen nga struktura e brendshme e objekteve do të ndalonin së funksionuari, gjë që do të shkaktonte pakënaqësi te klientët.

Ne njoftuam se do të ndërtojmë një nivel të ri mbrojtjeje në V1R3 dhe se nuk do të ketë akses në objektet e brendshme në këtë nivel. Ne gjithashtu filluam të kërkonim për ISV që përdornin objekte të brendshme për t'u pajisur me API standarde të sistemit, me informacionin që u nevojiteshin për programet e tyre.

Shumica e këtyre programeve ishin shërbime që përdornin informacion nga disa fusha brenda një objekti të sistemit. Për shembull, sistemi i menaxhimit të kasetës mund të ketë nevojë për disa informacione për kokën e kasetës. Një informacion i tillë mund të merret në të vetmen mënyrë - duke depërtuar në objektin e sistemit. Ne ndërtuam qindra API për të ofruar këtë lloj informacioni përmes MI (në fakt, këto API ishin komanda të reja MI) dhe siguruam që ato të funksiononin në të gjitha versionet e ardhshme të OS. Kështu, ne zgjidhëm duart dhe filluam të bëjmë ndryshime në strukturat e brendshme.

Ekziston një temë tjetër serioze që lidhet me sigurinë: tema e hapjes AS / 400. Për një kohë mjaft të gjatë, shumë ISV jo vetëm që përdorën pjesët e brendshme, por këmbëngulën që IBM të hapte pjesët e brendshme të sistemit operativ dhe në këtë mënyrë t'u jepte dritën jeshile zhvilluesve të softuerit. Në përgjigje, IBM argumentoi se nëse komandat MI keqpërdoren, ekziston një potencial i lartë për defekte në softuer për të cilat nuk mund të mbahet përgjegjës. Kompromisi (hapësia e menaxhuar nëpërmjet API) u arrit, pjesërisht si rezultat i një sërë takimesh të përbashkëta të grupeve të iniciuara nga ISV dhe përdorues të tjerë. Puna e ISV dhe përcaktimi i API-ve të reja u drejtua nga Ron Fess, një nga zhvilluesit kryesorë të softuerit me përvojë të gjerë në CPF dhe OS / 400. Rezultati i kësaj pune është një zbatim AS / 400 i specifikimit të vetëm UNIX dhe API-ve të tjera standarde. AS / 400 është bërë më i hapur për përdoruesit.

Mbrojtja e sistemit operativ (niveli 40)

Niveli 40 u prezantua në V1R3 të OS / 400. Të gjitha AS / 400 të reja sot dërgohen me këtë nivel mbrojtjeje, në vend të 10 si dikur. Por versionet më të vjetra të OS / 400 do të ruajnë nivelin aktual të vendosur nga klienti edhe kur përmirësohen. Tani fjalëkalimi i shefit të sigurisë (përdoruesi me nivelin më të lartë të të drejtave të aksesit) bëhet i pavlefshëm pas hyrjes së parë në sistem dhe duhet ndryshuar. Më parë, klientët AS / 400 shpesh nuk shqetësoheshin të ndryshonin fjalëkalimin e paracaktuar, gjë që krijoi një vrimë të qartë sigurie.

Në nivelin 40, përdoruesi AS / 400 duhet gjithashtu të jetë i identifikuar, duhet të dijë fjalëkalimin e saktë për t'u kyçur në sistem dhe duhet të ketë leje për të hyrë në burimet e sistemit. Sidoqoftë, përdoruesit me aftësi të kufizuara mbështeten gjithashtu me këtë nivel mbrojtjeje.

Ndryshe nga nivelet 10–30, në nivelin e sigurisë 40, qasja në ndërfaqet jo standarde është e bllokuar. Jo të gjitha komandat MI janë tani të disponueshme për përdoruesin, por vetëm grupi i tyre i lejuar, duke përfshirë qindra API të zhvilluara për ISV. Pjesa tjetër e komandave janë të bllokuara, domethënë sistemi nuk do t'i ekzekutojë ato në programin e përdoruesit.

Sidoqoftë, komandat në grupin e kyçur janë ende të disponueshme për OS / 400. Për të dalluar midis programeve OS / 400 dhe programeve të përdoruesve, u prezantuan konceptet sistematike dhe gjendjen e përdoruesit, i cili mund t'i atribuohet çdo procesi në AS / 400. Prandaj, përdorimi i komandave të bllokuara dhe qasja në disa objekte të sistemit lejohen vetëm në gjendjen e sistemit.

Për siguri të shtuar, adresimi i bazuar në veçori është hequr gjithashtu në V1R3 dhe të gjitha të drejtat e aksesit janë hequr nga treguesit e sistemit të ofruara për përdoruesit.

Mbrojtja C2 (niveli 50)

Niveli 40 i siguron sistemit siguri të mjaftueshme në shumicën e rasteve. Megjithatë, disa firma kontraktuese qeveritare kërkojnë një nivel mbrojtjeje të certifikuar nga qeveria amerikane. Ekzistojnë disa certifikata të tilla, duke përfshirë të ashtuquajturin nivel C2. Këto përfshijnë dispozita të tilla si mbrojtja e burimeve të një përdoruesi nga përdoruesit e tjerë dhe parandalimi i një përdoruesi që të marrë përsipër të gjitha burimet e sistemit, siç është memoria. Nga rruga, kërkesa të ngjashme tani aplikohen në shumë organizata joqeveritare.

Për klientët që kërkojnë certifikime qeveritare, ne kemi përmirësuar nivelin e sigurisë 40 në AS / 400 për të përmbushur nivelin e përmendur C2. Kështu u shfaq mbrojtja e nivelit 50 në versionin V2R3.

Por përpara se një sistem të mund të njihet se është në përputhje me standardin C2, ai duhet t'i nënshtrohet një testi gjithëpërfshirës. Aktualisht, një kontroll i tillë është duke u zhvilluar.

Qeveria e SHBA ka përcaktuar nivelet e mbrojtjes nga A në D, ku A është niveli më i lartë i mbrojtjes dhe D është më i ulëti. Klasat B dhe C kanë disa nënnivele. Niveli i sigurisë C2 është niveli më i lartë që përdoret zakonisht në biznes. Në të ardhmen, nëse lind nevoja, mund të jemi në gjendje të përfshijmë mbështetje për nivele më të larta sigurie në AS / 400.

Mbrojtja kundër aksesit të paautorizuar (mbrojtja kundër ndërhyrjeve) është parandalimi ose ndërlikimi i rëndësishëm i aksesit të paautorizuar.

Një mjet për mbrojtjen e informacionit nga aksesi i paautorizuar (SZI nga aksesi i paautorizuar) është një softuer, harduer ose softuer dhe mjet harduerësh i krijuar për të parandaluar ose penguar ndjeshëm aksesin e paautorizuar.

Emërimi dhe klasifikimi i përgjithshëm i sistemeve të sigurisë së informacionit.

Sistemi i sigurisë së informacionit nga NSD mund të ndahet në universal dhe të specializuar (sipas fushës së aplikimit), në zgjidhje private dhe komplekse (sipas grupit të detyrave që do të zgjidhen), në mjete të integruara të sistemit dhe shtesë (sipas mënyra e zbatimit).

Klasifikimi është jashtëzakonisht i rëndësishëm, pasi kur ndërtohet një sistem i sigurisë së informacionit të secilit lloj, zhvilluesit formulojnë dhe zgjidhin probleme krejtësisht të ndryshme (ndonjëherë në kundërshtim me njëri-tjetrin). Kështu, koncepti i mbrojtjes së mjeteve të sistemit universal bazohet në parimet e "besimit të plotë te përdoruesi"; mbrojtja e tyre është kryesisht e padobishme në sistemet e korporatave, për shembull, kur zgjidhen problemet e përballjes me kërcënimet e brendshme të TI. Në shumicën dërrmuese të ditëve të sotme, sistemet e sigurisë së informacionit janë krijuar për të forcuar mekanizmat e mbrojtjes të ndërtuara në sistemet operative universale, siç aplikohen për t'u përdorur në një mjedis korporativ. Nëse po flasim për një sërë detyrash për t'u zgjidhur, atëherë duhet të flasim për integrimin e mekanizmave si në drejtim të zgjidhjes efektive të një problemi specifik mbrojtës, ashtu edhe në drejtim të zgjidhjes së një sërë detyrash.

Karakteristikat e konsumatorit (qëllimi) i sistemit shtesë të sigurisë së informacionit nga NSD përcaktohen nga shkalla në të cilën mjetet shtesë eliminojnë mangësitë arkitekturore të mekanizmave të sigurisë të integruara në OS, siç zbatohen për zgjidhjen e detyrave të kërkuara në aplikacionet e korporatave, dhe sa gjithëpërfshirëse (në mënyrë efektive) e zgjidh këtë grup problemesh të sigurisë së informacionit.

Çështjet e vlerësimit të efektivitetit të informacionit të sigurisë së informacionit nga NSD

Efektiviteti i sistemit të sigurisë së informacionit nga NSD mund të vlerësohet duke shqyrtuar çështjet e korrektësisë së zbatimit të mekanizmave mbrojtës dhe mjaftueshmërisë së një sërë mekanizmash mbrojtës në lidhje me kushtet praktike të përdorimit.

Vlerësimi i korrektësisë së zbatimit të mekanizmave mbrojtës

Në pamje të parë, një vlerësim i tillë nuk është i vështirë për t'u kryer, por në praktikë nuk është gjithmonë kështu. Një shembull: në NTFS, një objekt skedari mund të identifikohet në mënyra të ndryshme: objektet e skedarëve të specifikuar me emra të gjatë mund të aksesohen me një emër të shkurtër (për shembull, drejtoria e skedarëve të programit mund të aksesohet me emrin e shkurtër "Progra ~ 1") , dhe disa objekte të skedarëve të programeve aksesohen jo me emër, por me ID. Nëse sistemi i informacionit të sigurisë së informacionit i instaluar në sistemin e informacionit nuk përgjon dhe analizon vetëm një mënyrë të ngjashme për të hyrë në një objekt skedari, atëherë, në përgjithësi, ai bëhet plotësisht i padobishëm (herët a vonë sulmuesi do të zbulojë këtë mungesë të mjeteve mbrojtëse dhe perdore). Le të përmendim gjithashtu se objektet e skedarëve që nuk ndahen midis përdoruesve të sistemit dhe aplikacioneve mund të shërbejnë si një "kanal" për uljen e kategorisë së dokumenteve, gjë që mohon mbrojtjen e informacionit konfidencial. Shembuj të tillë ka shumë.

Kërkesat për korrektësinë e zbatimit të mekanizmave mbrojtës përcaktohen në dokumentin normativ "Komisioni Teknik Shtetëror i Rusisë. Dokument udhëzues. Pajisjet kompjuterike. Mbrojtje kundër aksesit të paautorizuar në informacion. Treguesit e sigurisë nga NSD tek informacioni "; përdoret për certifikimin e sistemit të sigurisë së informacionit nga NSD.

Këto kërkesa janë të pranishme në dokument në vëllimin e kërkuar, ato janë të sakta, por janë të formuluara në mënyrë të përgjithshme (në të kundërtën, do të ishte e nevojshme të krijoni dokumentin tuaj rregullator për secilën familje të OS, dhe mundësisht për çdo zbatim të OS të e njëjta familje), dhe për përmbushjen e një kërkese mund të kërkohet zbatimi i disa mekanizmave mbrojtës. Pasoja e kësaj është paqartësia e interpretimit të këtyre kërkesave (përsa i përket qasjeve ndaj zbatimit të tyre) dhe mundësia e qasjeve thelbësisht të ndryshme për zbatimin e mekanizmave mbrojtës në sistemin e sigurisë së informacionit nga NSD nga zhvilluesit. Rezultati është një efikasitet i ndryshëm i informacionit të sigurisë së informacionit nga NSD midis prodhuesve që zbatojnë të njëjtat kërkesa të formalizuara. Por mospërputhja me ndonjë nga këto kërkesa mund të anulojë të gjitha përpjekjet për të garantuar sigurinë e informacionit.

Vlerësimi i mjaftueshmërisë (plotësisë) së një grupi mekanizmash mbrojtës

Kërkesat për mjaftueshmërinë (plotësinë, në lidhje me kushtet e përdorimit) të një grupi mekanizmash mbrojtës përcaktohen nga dokumenti "Komisioni Teknik Shtetëror i Rusisë. Dokument udhëzues. Sisteme të automatizuara. Mbrojtje kundër aksesit të paautorizuar në informacion. Treguesit e sigurisë nga aksesi i paautorizuar në informacion ", i cili përdoret gjatë certifikimit të objekteve të informatizimit, përfshirë kur përdorni sistemin e informacionit të sigurisë së informacionit nga aksesi i paautorizuar në AS. Megjithatë, këtu situata është në shumë aspekte e ngjashme me atë të përshkruar më sipër.

Pra, formulimi i kërkesës për mjaftueshmërinë e mekanizmave në sistemin e sigurisë së informacionit nga NSD për mbrojtjen e të dhënave konfidenciale në dokumentet rregullatore, në të cilat ka një paqartësi në përcaktimin se çfarë duhet t'i atribuohet burimeve të mbrojtura, do të ishte e këshillueshme. të zgjerohet, për shembull, si më poshtë: pajisje të veçanta, në përputhje me kushtet e përdorimit praktik të objektit të mbrojtur kompjuterik, dhe kontrollin e aksesit të subjekteve në burimet e mbrojtura, veçanërisht në pajisjet e lejuara për lidhje.

Vini re se mekanizmat për kontrollin e aksesit në burimet që janë gjithmonë të pranishme në sistem janë objektet e skedarëve, objektet e regjistrit të OS, etj. - të mbrojtura apriori dhe duhet të jenë të pranishme në sistemin e sigurisë së informacionit nga sistemi i paautorizuar në çdo rast, si dhe për burimet e jashtme, duke marrë parasysh qëllimin e sistemit të sigurisë së informacionit. Nëse qëllimi i sistemit të sigurisë së informacionit është mbrojtja e kompjuterëve në rrjet, atëherë ai duhet të ketë mekanizma për kontrollin e aksesit në burimet e rrjetit; nëse shërben për mbrojtjen e kompjuterëve autonomë, atëherë duhet të sigurojë kontrollin (ndalimin) e lidhjes së burimeve të rrjetit me kompjuterin. Ky rregull, për mendimin tonë, përshtatet pa përjashtim për të gjitha burimet dhe mund të përdoret si një kërkesë bazë për një grup mekanizmash mbrojtës gjatë vërtetimit të objekteve të informatizimit.

Çështjet e mjaftueshmërisë së mekanizmave mbrojtës duhet të konsiderohen jo vetëm në lidhje me një grup burimesh, por edhe në lidhje me problemet e mbrojtjes së informacionit që zgjidhen. Ekzistojnë vetëm dy detyra të tilla në sigurimin e sigurisë së kompjuterit - kundërvënia ndaj kërcënimeve të brendshme dhe të jashtme të IT.

Detyra e përgjithshme për të luftuar kërcënimet e brendshme të TI-së është të sigurojë kufizimin e aksesit në burime në përputhje me kërkesat për përpunimin e të dhënave të kategorive të ndryshme të konfidencialitetit. Ekzistojnë qasje të ndryshme për përcaktimin e diferencimit: sipas llogarisë, sipas procesit, bazuar në kategorinë e dokumentit të lexuar. Secila prej tyre vendos kërkesat e veta për mjaftueshmëri. Pra, në rastin e parë, ju duhet të izoloni clipboard midis përdoruesve; në të dytën - midis proceseve; për rastin e tretë, përgjithësisht është e nevojshme të rishikohet rrënjësisht e gjithë politika kufitare e aksesit në të gjitha burimet, pasi i njëjti përdorues mund të përpunojë të dhëna të kategorive të ndryshme të konfidencialitetit me të njëjtin aplikacion.

Ekzistojnë dhjetëra metoda të komunikimit ndërprocesor (kanalet e emërtuara, sektorët e memories, etj.), Prandaj është e nevojshme të sigurohet mbyllja e mjedisit të softuerit - për të parandaluar mundësinë e fillimit të një programi që zbaton një kanal të tillë shkëmbimi. Ekzistojnë gjithashtu çështje të burimeve të pandashme nga sistemi dhe aplikacionet, kontrolli i identifikimit të saktë të subjektit të aksesit, mbrojtja e vetë ISS nga aksesi i paautorizuar (lista e mekanizmave të nevojshëm mbrojtës për zgjidhjen efektive të këtij problemi është shumë mbresëlënëse). Shumica e tyre nuk janë të përcaktuara qartë në dokumentet rregullatore.

Detyra për t'iu kundërvënë në mënyrë efektive kërcënimeve të jashtme të TI-së, për mendimin tonë, mund të zgjidhet vetëm nëse vendoset një politikë kufizimi për subjektin "proces" (d.m.th., "procesi" duhet të konsiderohet si një subjekt i pavarur i aksesit në burime). Kjo për faktin se është ai që mbart kërcënimin e një sulmi të jashtëm. Nuk ka një kërkesë të tillë në mënyrë eksplicite në dokumentet rregullatore, por në këtë rast, zgjidhja e problemit të mbrojtjes së informacionit kërkon një rishikim rrënjësor të parimeve bazë për zbatimin e politikës së delimitimit të aksesit në burime.

Nëse çështjet e mjaftueshmërisë së mekanizmave të mbrojtjes në lidhje me grupin e burimeve të mbrojtura janë ende disi të përshtatshme për formalizimin, atëherë në lidhje me detyrat e mbrojtjes së informacionit nuk është e mundur të zyrtarizohen kërkesa të tilla.

Në këtë rast, sistemet e sigurisë së informacionit nga NSD të prodhuesve të ndryshëm që plotësojnë kërkesat e formalizuara të dokumenteve rregullatore mund të kenë gjithashtu dallime thelbësore si në qasjet e zbatuara dhe zgjidhjet teknike, ashtu edhe në efektivitetin e këtyre mjeteve në përgjithësi.

Si përfundim, vërejmë se nuk duhet nënvlerësuar rëndësia e detyrës së zgjedhjes së një sistemi të sigurisë së informacionit nga një NSD, pasi kjo është një klasë e veçantë e mjeteve teknike, efektiviteti i të cilave nuk mund të jetë i lartë ose i ulët. Duke marrë parasysh kompleksitetin e vlerësimit të efikasitetit real të sistemit të sigurisë së informacionit nga NSD, ne rekomandojmë që konsumatori të përfshijë specialistë (mundësisht nga radhët e zhvilluesve që praktikisht përballen me këto probleme) në fazën e zgjedhjes së sistemit të sigurisë së informacionit nga NSD .

Qasje e paautorizuar në informacion (qasje e paautorizuar në informacion)- kjo është akses në të dhëna që shkel rregullat për diferencimin e aksesit me zbatimin e mjeteve të caktuara, që janë teknologjia kompjuterike ose sistemet e automatizuara. Sipas ekspertëve, ka mënyra të aksesit të paautorizuar:

• Prirje për bashkëpunim
• Bashkëpunim proaktiv
• Tërheqje, kureshtje jashtë
• Përgjimi
• Vjedhja
• Vrojtim
• E rreme (ndryshim)
• Duke kopjuar
• Shkatërrim
• Përgjimi
• Lidhja e paligjshme
• Duke fotografuar
• Njohje e pashprehur

Bashkëpunim proaktiv shpesh manifestohet në situata të caktuara, kur personat e pakënaqur janë të gatshëm të ndërmarrin veprime të paligjshme për përfitim. Arsyet mund të jenë shumë të ndryshme, ato janë financiare, morale, politike etj. Një person i tillë mund të bindet lehtësisht të bashkëpunojë në sigurimin e informacionit konfidencial të ndërmarrjes, nëse, natyrisht, ai ka akses.

Prirje për bashkëpunim- zakonisht këto janë metoda të dhunshme nga ana e ndërhyrësve. Metoda të tilla bazohen në frikësim, ryshfet ose shantazh. Rekrutimi i punonjësve kryhet me anë të kërcënimeve reale me ndjekje të shantazhit. Kjo është metoda më agresive që ekziston, pasi një vizitë paqësore mund të kthehet në akte të dhunshme frikësimi.

Tërheqje, kureshtje jashtë- Ky është një lloj aktiviteti që bazohet në pyetjen naive të punonjësit për të marrë informacione të caktuara. Ju gjithashtu mund të nxirrni të dhëna me punë të rreme ose veprime të tjera.

Përgjimi- Kjo është një metodë për spiunazh ose inteligjencë industriale, e cila përdoret nga njerëz të veçantë (vëzhgues, informatorë) me përgjime të veçanta. Përgjimi mund të realizohet drejtpërdrejt nga perceptimi i valëve akustike ose me mjete të posaçme në distancë.

Vrojtim- Kjo është një metodë nga inteligjenca për statusin e veprimtarisë së të vëzhguarve. Kjo metodë kryhet duke përdorur instrumente optike. Një proces i tillë kërkon shumë kohë dhe para, kështu që kjo metodë zakonisht zbatohet me qëllim, në një kohë të caktuar me njerëz të kualifikuar.

Vjedhja- Ky është një sekuestrim i qëllimshëm i burimeve, dokumenteve të të tjerëve, etj. Përafërsisht, ata vjedhin gjithçka që është e keqe, kështu që ju duhet të trajtoni me kujdes transportuesit konfidencialë të të dhënave.

Duke kopjuar- Zakonisht kopjohen dokumente që përmbajnë informacione të vlefshme. Qasja sigurohet në mënyrë të paligjshme, shpesh për shkak të sigurisë së dobët të informacionit.

E rreme- ky është një ndryshim në të dhëna, i cili në realitetet e konkurrencës është i një përmasash të mëdha. Ata falsifikojnë gjithçka për të marrë të dhëna të vlefshme.

Shkatërrim- Fshirja e të dhënave në mediat teknike të ruajtjes. Nëse marrim një pamje më abstrakte, njerëzit, dokumentet dhe elementët e tjerë të sistemit të informacionit që kanë një kuptim të caktuar shkatërrohen.

Lidhja e paligjshme- kuptoni lidhjen pa kontakt ose kontakt me tela të ndryshëm për qëllime të ndryshme.

Përgjimi- Ky është marrja e informacionit të inteligjencës për shkak të marrjes së sinjaleve të energjisë elektromagnetike me metoda pasive të marrjes. Çdo sinjal në komunikimin radio ose me tela i nënshtrohet përgjimit.

Njohje e pashprehur- Kjo është një metodë e marrjes së të dhënave në të cilat subjekti nuk ka akses, por në rrethana të caktuara mund të mësojë diçka. Për shembull, shikoni ekranin e kompjuterit ose hapni një dokument të shtrirë në tryezë.

Duke fotografuar- një metodë për marrjen e imazheve të objekteve në material fotografik. Një tipar i metodës është marrja e të dhënave të detajuara gjatë deshifrimit të një imazhi.

Sipas ekspertëve, një listë e tillë nuk është e kryqëzuar dhe e pavarur në një nivel të caktuar abstraksioni. Kjo ju lejon të konsideroni së bashku një grup të caktuar mostrash të metodave të tilla. Figura 1 tregon një model të përgjithësuar të metodave të aksesit të paautorizuar në burimet e informacionit konfidencial.

Nuk është sekret që shërbimet speciale po monitorojnë nga afër akuzat e tyre, ndërsa përdorin shërbime të ndryshme kundërzbulimi. Në të njëjtën kohë, ju duhet të kuptoni se me cilën metodë të marrjes së informacionit ka një akses të paautorizuar. Mënyra- Kjo është një teknikë ose procedurë për veprimet që çojnë në realizimin e qëllimit. Metoda e hyrjes së paautorizuar(metoda NSD) është një grup veprimesh dhe teknikash me qëllim marrjen e të dhënave me mjete të paligjshme me një ndikim shtesë në këtë informacion.

Në ditët e sotme, metodat e NSD ndaj të dhënave janë të ndryshme: zbatimi i mjeteve të veçanta teknike, përdorimi i boshllëqeve në sisteme ose të tjera, siç tregohet në Fig. 1. Për më tepër, metodat e NSD lidhen drejtpërdrejt me karakteristikat e burimit të të dhënave konfidenciale.
Duke pasur një grup burimet informacion dhe një sërë mënyrash të NSD për ta, ju mund të llogaritni probabilitetin dhe të ndërtoni një model të lidhjes së tyre. Shumë metoda zbatohen për burimet - teknologjinë e përpunimit dhe njerëzit. Megjithëse metodat e tjera, jo për shembull, nuk ndikojnë në burime të tilla të zakonshme, rreziku i tyre mund të jetë edhe më i madh.

Shkalla e rrezikshmërisë së metodës NSD shikon dëmin e shkaktuar. Përderisa informacioni sot ka një çmim, vetë fakti i marrjes së informacionit është i barabartë me marrjen e parave. Sulmuesi ka tre gola:

• merrni të dhëna për konkurrentët dhe shisni.
• ndryshimi i të dhënave në rrjetin e informacionit. Dezinformata.
• Shkatërroni të dhënat.

Foto - 1 (për ta parë, klikoni në foto)

Qëllimi kryesor është marrja e informacionit për gjendjen, përbërjen dhe aktivitetet e objekteve me interesa konfidenciale për qëllimet e tyre ose pasurimin. Një qëllim tjetër është ndryshimi i informacionit që ekziston në rrjetin e informacionit. Kjo metodë mund të çojë në dezinformata në fusha të caktuara të veprimtarisë, të ndryshojë rezultatin e detyrave të caktuara. Në të njëjtën kohë, është shumë e vështirë të zbatosh një skemë të tillë dezinformimi, duhet të kryesh një sërë veprimesh dhe të parashikosh shumë ngjarje. Objektivi më i rrezikshëm është shkatërrimi i të dhënave. Si zgjedhja e veprimeve ashtu edhe karakteristikat e tyre cilësore ose sasiore varen nga detyrat.

Metodat e NSD ndaj informacionit duke përdorur mjete teknike

Çdo sistem elektronik që përmban një grup nyjesh, elementesh dhe përçuesish dhe në të njëjtën kohë ka burime të sinjalit të informacionit - ka kanale rrjedhjeje informacioni konfidencial. Metodat LPA dhe kanalet e rrjedhjes janë objektivisht të lidhura. Opsionet e lidhjes janë paraqitur në tabelë. një.

Tabela 1

Nga çdo burim, formohet një kanal i rrjedhjes së të dhënave, ndërsa parametrat specifikë të tij studiohen dhe metodat e sulmeve testohen në laboratorë. Veprimet mund të jenë aktive ose pasive. Pasiv i referohet zbatimit të kanaleve teknike të rrjedhjes së informacionit pa kontakt ose lidhje të drejtpërdrejtë. Metodat zakonisht drejtohen nga të dhënat. Metodat aktive lidhen me linjat e komunikimit. Linjat e komunikimit mund të jenë:

• Wired (fibër optike).
• Wireless (Wi-Fi).

Mënyrat e ngacmimit të linjave të komunikimit

Shpesh, linjat telefonike ose linjat e fibrave optike përdoren si linja komunikimi. Metodat e përgjimit të linjave telefonike janë paraqitur në Fig. 2.

Vizatim - 2

Ka edhe sisteme përgjimi që nuk kërkojnë kontakt të drejtpërdrejtë me linjën telefonike. Sisteme të tilla përdorin metoda induktive të marrjes së të dhënave. Sisteme të tilla nuk përdoren gjerësisht, pasi ato janë shumë të mëdha për shkak të pranisë së disa fazave të amplifikimit të një sinjali të dobët me frekuencë të ulët dhe, përveç kësaj, një burimi të jashtëm të energjisë.

Por sot linjat e kolonave me fibra optike kanë një gamë më të gjerë zbatimi. Informacioni përmes një kanali të tillë transmetohet në formën e një fluksi drite pulsues, i cili nuk ndikohet nga ndërhyrja magnetike dhe elektrike. Është gjithashtu më e vështirë të përgjohen të dhënat mbi një kanal të tillë, gjë që rrit sigurinë e transmetimit. Në këtë rast, shkalla e transferimit arrin Gigabajt / sekondë. Për t'u lidhur me një kanal të tillë komunikimi, shtresat mbrojtëse të kabllit hiqen. Më pas ata rrjedhin gjak nga mbështjellësi reflektues dhe përkulin kabllon në një kënd të veçantë për të kapur informacion. Në këtë rast, fuqia e sinjalit do të bjerë menjëherë. Ju gjithashtu mund të lidheni pa kontakt me kanalin e komunikimit, por për këtë ju duhet të keni një nivel të caktuar njohurish dhe trajnimi.

Mënyrat e ngacmimit të linjave të komunikimit me valë

Transportimi i të dhënave duke përdorur brezat HFW dhe VHF me frekuencë të lartë bën të mundur zbatimin e transferimit të informacionit dhe një rrjeti kompjuterik ku është e vështirë të vendosen kanale me tela konvencionale. Në kanale të tilla komunikimi, transferimi i informacionit është i mundur me një shpejtësi deri në 2 Mbit / s. Në këtë rast ekziston mundësia e ndërhyrjes dhe përgjimit të informacionit. Përgjimi i të dhënave funksionon në bazë të përgjimit të rrezatimit elektromagnetik me analiza dhe deshifrim të mëtejshëm. Përgjimi i informacionit përmes kanaleve të tilla ka karakteristikat e veta:

• të dhënat mund të merren pa kontakt të drejtpërdrejtë me burimin;
• sinjali nuk ndikohet nga sezoni / dita;
• marrja e të dhënave bëhet në kohë reale;
• përgjimi zbatohet në mënyrë të fshehtë.
• diapazoni i përgjimit kufizohet vetëm nga karakteristikat e valëve të përhapjes.

Mbrojtje kundër aksesit të paautorizuar

Ekziston një përrallë se si të ruhet informacioni. Duhet të jetë në një kopje në një kompjuter të vendosur në një kasafortë të blinduar, të shkëputur nga të gjitha rrjetet dhe të çaktivizuar. Kjo metodë është, për ta thënë më butë, shumë mizore, por ka pasur raste të tilla. Për të mbrojtur të dhënat nga ndërhyrjet, duhet të kuptoni se cila qasje konsiderohet e autorizuar dhe cila jo. Për këtë ju duhet:

• ndani informacionin në klasa që përpunohet ose ruhet në një PC
• ndani përdoruesit në klasa për akses në të dhëna
• organizojnë këto klasa në lidhje të caktuara të shkëmbimit të të dhënave ndërmjet tyre

Sistemet e mbrojtjes së të dhënave kundër ndërhyrjeve duhet të mbështesin zbatimin e funksioneve të mëposhtme:

• vërtetimi
• identifikimi
• diferencimi i aksesit të përdoruesve në kompjuter
• diferencimi i aksesit të përdoruesve në mundësitë ndaj informacionit
• administrimi:
  • regjistrat e përpunimit
  • përcaktimi i të drejtave të aksesit në burime
  • lëshimi i sistemit të mbrojtjes në një kompjuter
  • sisteme të çmontuara të mbrojtjes kompjuterike
• Konkluzioni për tentativat ndaj personave të paautorizuar
• regjistrimi i ngjarjes:
  • shkeljet e aksesit
  • identifikimi / dalja e përdoruesit
• monitorimin e performancës dhe integritetit të sistemeve të mbrojtjes
• mirëmbajtjen e sigurisë së informacionit gjatë punës së riparimit dhe parandalimit dhe situatave emergjente

Të drejtat e aksesit të përdoruesit në burime përshkruhen nga tabelat në bazë të të cilave kontrollohet vërtetimi i aksesit të përdoruesit. Nëse Përdoruesi nuk mund të marrë të drejtat e kërkuara të aksesit, atëherë fakti i shërbimit të paautorizuar regjistrohet dhe ndërmerren veprime të caktuara.

Autentifikimi dhe identifikimi i përdoruesit

Që një përdorues të ketë akses në burimet e sistemit, ai duhet të kalojë përmes procesit:

• Identifikimi- procesi i pajisjes së sistemit nga përdoruesi me emrin e tij ose një identifikues tjetër
• Autentifikimi- procesi i konfirmimit nga sistemi i përdoruesit bazuar në identifikuesin dhe fjalëkalimin ose informacione të tjera (shih,)

Bazuar në këtë, për të kryer këto procedura, ju duhet:

• kishte një program vërtetimi
• përdoruesi kishte informacion unik në dispozicion

Ekzistojnë dy forma të ruajtjes së të dhënave të identifikimit të përdoruesit, ato janë të brendshme (rekord në bazën e të dhënave) ose të jashtme (kartë). Çdo bartës i të dhënave që duhet të njihet nga sistemi ka një korrespondencë në sistemin e vërtetimit:

• ID i - identifikues i pandryshueshëm i përdoruesit i-të, i cili për sistemin është analog me emrin e përdoruesit
• K i - të dhënat e vërtetimit të përdoruesit

Ekzistojnë dy skema tipike për vërtetimin dhe identifikimin. Skema e parë:

Në një skemë të tillë E i = F (ID i, K i), ku të pariparueshmërisë K i konsiderohet si një prag i caktuar i intensitetit të punës T 0 për rivendosjen e K i nga E i dhe ID i. Për një palë K i dhe K j, koincidenca e mundshme e vlerave të E. Në lidhje me këtë situatë, probabiliteti vërtetim i rremë përdoruesit e sistemit nuk duhet të kalojnë një prag të caktuar P 0. Në praktikë, ata japin këto vlera: T 0 = 10 20… .10 30, P 0 = 10 -7… .10 -9.

Për një skemë të tillë, ekziston një protokoll vërtetimi dhe identifikimi:

• Përdoruesi jep ID-në e tij
• Është llogaritur vlera E = F (ID, K).

Në një skemë tjetër, E i = F (S i, K i), ku S është një vektor i rastësishëm që specifikohet kur krijohet një ID e përdoruesit. F është një funksion që ka një aspekt të pariparueshme vlerat e K i nga E i dhe S i.

Protokolli për skemën e dytë të vërtetimit dhe identifikimit:

• Përdoruesi tregon ID-në e tij në sistem
• Nëse ekziston një ID i tillë, ku ID = ID i, atëherë vërtetimi i përdoruesit ishte i suksesshëm, përndryshe jo.
• Vektori S ndahet nga ID-ja e identifikuesit
• Algoritmi i vërtetimit kërkon që përdoruesi të fusë vërtetuesin e tij K
• Është llogaritur vlera E = F (S, K).
• Nëse E = E 1 atëherë kalohet vërtetimi, përndryshe nuk është.

Skema e dytë përdoret në UNIX OS. Përdoruesi vendos emrin e tij (Login) si identifikues dhe fjalëkalimin si vërtetues. Funksioni F është algoritmi i enkriptimit DES. (cm.)

Kohët e fundit, metodat e identifikimit biometrik dhe autentifikimit po fitojnë vrull, kjo lehtësohet nga:

• Shkallë e lartë e prokurës për veçoritë për shkak të veçantisë së tyre
• Falsifikim i vështirë i këtyre shenjave

Më poshtë mund të përdoren si karakteristika të përdoruesit:

• gjurmë gishtash
• modeli i retinës dhe irisit
• formë dore
• forma e veshit
• forma e fytyrës
• veçoritë e zërit
• shkrim dore

Gjatë regjistrimit, përdoruesi duhet të tregojë karakteristikat e tij biometrike. Imazhi i skanuar krahasohet me imazhin që ekziston në bazën e të dhënave. Sistemet e identifikimit të syve kanë probabilitetin e përsëritjes së këtyre karakteristikave - 10 -78. Kështu, sistemet janë më të besueshmet midis sistemeve të tjera biometrike. Sisteme të tilla përdoren në zonat e instalimeve mbrojtëse dhe ushtarake. Sistemet e identifikimit të gjurmëve të gishtërinjve më e zakonshme. Arsyeja e masivitetit është se ekziston një bazë e madhe e të dhënave të gjurmëve të gishtërinjve. Falë policisë. Sistemet e identifikimit të fytyrës dhe zërit më të përballueshme për shkak të kostos së tyre të ulët. Sisteme të tilla përdoren për identifikim në distancë, për shembull, në rrjete.

Duhet theksuar se përdorimi i karakteristikave biometrike për identifikimin e subjekteve nuk ka marrë ende mbështetjen e duhur rregullatore, në formën e standardeve. Prandaj, përdorimi i sistemeve të tilla lejohet vetëm kur përpunohen të dhëna që përbëjnë sekret tregtar ose zyrtar.

Autentifikimi i ndërsjellë i përdoruesit

Palët që hyjnë në një shkëmbim informacioni kanë nevojë për vërtetim të ndërsjellë. Ky proces zakonisht zbatohet në fillim të një sesioni shkëmbimi. Për vërtetimin, ka mënyra:

• mekanizmi i vulosjes së kohës ( prizë e përkohshme)
• mekanizmi kërkesë-përgjigje

Mekanizmi kërkesë-përgjigje nënkupton një situatë kur përdoruesi A dëshiron të jetë i sigurt se të dhënat që përdoruesi B po dërgon nuk janë të rreme. Për ta bërë këtë, përdoruesi A dërgon një artikull të paparashikueshëm - kërkesa X, në të cilin përdoruesi B duhet të kryejë një operacion të paracaktuar dhe t'ia dërgojë rezultatin përdoruesit A. Përdoruesi A kontrollon rezultatin me atë që duhet të kishte dalë. Disavantazhi i kësaj metode është se ju mund të rivendosni modelin midis kërkesës dhe përgjigjes.

Mekanizmi i vulosjes së kohës përfshin regjistrimin e kohës për çdo mesazh të dërguar. Në këtë rast, përdoruesi i rrjetit mund të përcaktojë se sa i vjetëruar mesazh. Në të dyja rastet, duhet të aplikohet enkriptim shtesë.

Ka edhe mekanizmi i shtrëngimit të duarve, i cili bazohet në dy mekanizmat e mëparshëm dhe konsiston në verifikimin e ndërsjellë të çelësave të përdorur nga palët e shkëmbimit. Ky parim përdoret për të krijuar një lidhje midis një kompjuteri pritës dhe kështu me radhë në rrjete.

Si shembull, merrni parasysh dy përdorues A dhe B që ndajnë të njëjtin çelës privat K AB.

• Përdoruesi A fillon mekanizmin dhe i dërgon përdoruesit B ID-në e tij A në formë të hapur
• Përdoruesi B merr identifikuesin ID A, gjen çelësin K AB për përdorim të mëtejshëm
• Përdoruesi A gjeneron sekuencën S duke përdorur gjeneratorin PG dhe ia dërgon përdoruesit B në formën e një kriptogrami E K AB S
• Përdoruesi B e deshifron këtë kriptogram
• Të dy përdoruesit ndryshojnë sekuencën e S duke përdorur funksionin njëkahëshe f
• Përdoruesi B kodon mesazhin f (S) dhe dërgon kriptogramin E K AB (f (S)) te përdoruesi A
• Përdoruesi A deshifron një kriptogram të tillë dhe krahason f (S) origjinale dhe atë të deshifruar. Nëse ato janë të barabarta, atëherë vërtetohet identiteti i përdoruesit B me përdoruesin A.

Përdoruesi B vërteton vërtetësinë e A në të njëjtën mënyrë. Avantazhi i këtij mekanizmi është se pjesëmarrësit e komunikimit nuk marrin asnjë informacion sekret gjatë mekanizmit.

Ju gjithashtu mund të përdorni sistemet DLP. Sisteme të tilla bazohen në analizën e rrjedhave të të dhënave që kryqëzohen me të dhënat e sistemit të informacionit të mbrojtur. Kur aktivizohet nënshkrimi, aktivizohet elementi aktiv i sistemit dhe bllokohet transmetimi i paketës, transmetimit, sesionit. Sisteme të tilla bazohen në dy metoda. I pari që analizoi shenjat formale të informacionit. Për shembull, etiketat, vlerat e funksioneve hash, etj. Kjo metodë ju lejon të shmangni pozitivët e rremë (gabimet e llojit të parë), por për këtë dokumentet duhet të përpunohen me një klasifikim shtesë. Një mënyrë tjetër është analiza e përmbajtjes. Ai lejon false pozitive, por lejon zbulimin e transferimit të të dhënave konfidenciale jo vetëm midis dokumenteve të përpunuara. Detyra kryesore e sistemeve të tilla është të parandalojnë transferimin e të dhënave konfidenciale jashtë sistemit të informacionit. Një rrjedhje e tillë mund të jetë e qëllimshme ose e paqëllimshme. Praktika tregon se 75% e incidenteve nuk ndodhin me qëllim, por për shkak të gabimeve, neglizhencës apo pakujdesisë së vetë punonjësve. Rrjedhje të tilla nuk janë të vështira për t'u zbuluar; është më e vështirë të identifikohen sulme të veçanta. Rezultati i luftës varet nga shumë parametra dhe është e pamundur të garantohet 100% sukses.

Duke përmbledhur, duhet të theksohet se NSD është një kërcënim i qëllimshëm me akses në. Ka shumë mënyra për ta bërë këtë. Shërbimi i sigurisë së informacionit duhet të monitorojë me kujdes rrjedhat e informacionit si dhe përdoruesit e sistemit të informacionit. Me zhvillimin e teknologjive shfaqen metoda të reja të NDM dhe zbatimi i tyre. Autoritetet duhet të ndajnë burime për të përditësuar dhe përmirësuar sistemin e sigurisë së sistemit të informacionit, pasi me kalimin e kohës ai vjetërohet dhe humbet aftësinë për të parandaluar sulme të reja. Duhet mbajtur mend se nuk ka mbrojtje absolute, por duhet të përpiqemi për të.

Qasja e paautorizuar në informacion është një njohje, përpunim, kopjim, përdorim i paplanifikuar i viruseve të ndryshëm, duke përfshirë ato që shkatërrojnë produktet softuerike, si dhe modifikimin ose shkatërrimin e informacionit në kundërshtim me rregullat e vendosura të kontrollit të aksesit.

Prandaj, nga ana tjetër, mbrojtja e informacionit nga qasja e paautorizuar është krijuar për të parandaluar një sulmues të hyjë në transportuesin e informacionit. Ekzistojnë tre drejtime kryesore në mbrojtjen e informacionit të kompjuterëve dhe rrjeteve nga NSD:

- fokusohet në parandalimin e hyrjes së ndërhyrësit në mjedisin kompjuterik dhe bazohet në mjete të veçanta teknike të identifikimit të përdoruesit;

- lidhet me mbrojtjen e mjedisit kompjuterik dhe bazohet në krijimin e softuerit të veçantë;

- lidhur me përdorimin e mjeteve speciale për mbrojtjen e informacionit kompjuterik nga aksesi i paautorizuar.

Duhet të kihet parasysh se teknologji të ndryshme dhe mjete të ndryshme përdoren për të zgjidhur secilën prej problemeve. Kërkesat për pajisjet mbrojtëse, karakteristikat e tyre, funksionet e kryera prej tyre dhe klasifikimi i tyre, si dhe termat dhe përkufizimet për mbrojtjen nga aksesi i paautorizuar jepen në dokumentet udhëzuese të Komisionit Teknik Shtetëror:

- “Sistemet e automatizuara. Mbrojtje kundër aksesit të paautorizuar në informacion. Klasifikimi i AU dhe kërkesat për mbrojtjen e informacionit ";

- “Ambjente kompjuterike. Mbrojtje kundër aksesit të paautorizuar në informacion. Treguesit e sigurisë kundër aksesit të paautorizuar në informacion ";

- “Mbrojtje nga aksesi i paautorizuar në informacion. Termat dhe përkufizimet". Mjetet teknike që zbatojnë funksionet e mbrojtjes mund të ndahen në:

o i integruar;

o e jashtme.

Mjetet e integruara për mbrojtjen e një kompjuteri personal dhe softuerit (Fig. 3.12) përfshijnë mjetet e mbrojtjes me fjalëkalim për BIOS, sistemin operativ dhe DBMS. Këto mjete mund të jenë sinqerisht të dobëta - BIOS me fjalëkalim mbikëqyrësi, mbrojtje me fjalëkalim Win95 / 98, por ato mund të jenë shumë më të forta - BIOS pa fjalëkalime mbikëqyrësi, mbrojtje me fjalëkalim të Windows NT, ORACLE DBMS. Përdorimi i pikave të forta të këtyre mjeteve ju lejon të forconi ndjeshëm sistemin për mbrojtjen e informacionit nga aksesi i paautorizuar.

Mjetet e jashtme janë krijuar për të zëvendësuar veglat e integruara për të forcuar mbrojtjen ose për t'i plotësuar ato me funksione që mungojnë.

Kjo perfshin:

- hardueri i besuar i nisjes;

- sistemet harduerike dhe softuerike për ndarjen e të drejtave të aksesit të përdoruesve;

- mjetet e vërtetimit të fortë të lidhjeve të rrjetit.

Hardueri i besuar i nisjes është një produkt, i referuar ndonjëherë si "bllokim elektronik", funksioni i të cilit është të identifikojë në mënyrë të sigurt përdoruesin dhe gjithashtu të verifikojë integritetin e softuerit të kompjuterit. Zakonisht kjo është një kartë për zgjerimin e PC me softuerin e nevojshëm të shkruar ose në memorien flash të kartës ose në hard diskun e kompjuterit.

Parimi i funksionimit të tyre është i thjeshtë. Gjatë procesit të nisjes, BIOS-i dhe bordet e mbrojtjes kundër ndërhyrjeve fillojnë. Ai kërkon një ID të përdoruesit dhe e krahason atë me atë të ruajtur në memorien flash të kartës. Identifikuesi mund të mbrohet gjithashtu me një fjalëkalim. Pastaj fillon sistemi operativ i integruar i bordit ose kompjuterit (më shpesh është një variant i MS-DOS), pas së cilës fillon programi për kontrollimin e integritetit të softuerit. Si rregull, kontrollohen zonat e sistemit të diskut të nisjes, skedarët e nisjes dhe skedarët e vendosur nga përdoruesi për verifikim. Kontrolli kryhet ose në bazë të imitimit të algoritmit GOST 28147-89, ose në bazë të funksionit hash të algoritmit GOST R 34.11-34 ose një algoritmi tjetër. Rezultati i testit krahasohet me atë të ruajtur në memorien flash të kartës. Nëse, si rezultat i krahasimit, kur kontrolloni identifikuesin ose integritetin e sistemit, zbulohet një ndryshim me standardin, bordi do të bllokojë punën e mëtejshme dhe do të shfaqë një mesazh përkatës në ekran. Nëse kontrollet janë pozitive, bordi transferon kontrollin te kompjuteri personal për ngarkim të mëtejshëm të sistemit operativ.

Të gjitha kontrollet e identifikimit dhe integritetit janë regjistruar. Përparësitë e pajisjeve të kësaj klase janë besueshmëria e tyre e lartë, thjeshtësia dhe çmimi i ulët. Në mungesë të punës me shumë përdorues në kompjuter, funksionet mbrojtëse të këtij mjeti zakonisht janë të mjaftueshme.

Sistemet harduerike dhe softuerike për ndarjen e të drejtave të aksesit përdoren në rastin e disa përdoruesve që punojnë në një kompjuter, nëse detyra është të ndajnë fuqitë e tyre për të hyrë në të dhënat e njëri-tjetrit. Zgjidhja e këtij problemi bazohet në: 01 ndalimin e përdoruesve të lëshojnë aplikacione dhe procese të caktuara; Q Lejimi i përdoruesve dhe aplikacioneve që ata drejtojnë vetëm për një lloj të caktuar veprimi me të dhëna.

Zbatimi i ndalesave dhe lejeve arrihet në mënyra të ndryshme. Si rregull, gjatë fillimit të sistemit operativ, lëshohet edhe programi i aksesit të paautorizuar. Ai është i pranishëm në kujtesën e kompjuterit si një modul rezident dhe kontrollon veprimet e përdoruesve për të nisur aplikacionet dhe për të hyrë në të dhëna. Të gjitha veprimet e përdoruesit regjistrohen në regjistër, i cili është i aksesueshëm vetëm për administratorin e sigurisë. Mjetet e kësaj klase zakonisht kuptohen si mjete mbrojtëse kundër aksesit të paautorizuar. Ato janë komplekse harduerike dhe softuerike të përbëra nga hardueri - një bord i besueshëm i nisjes së kompjuterit, i cili tani kontrollon gjithashtu integritetin e softuerit të vetë sistemit të mbrojtjes kundër ndërhyrjeve në hard disk, dhe pjesën e softuerit - programin e administratorit, modulin rezident. . Këto programe janë të vendosura në një drejtori të veçantë dhe janë të disponueshme vetëm për administratorin. Këto sisteme mund të përdoren në një sistem me një përdorues për të kufizuar përdoruesin të instalojë dhe ekzekutojë programe që nuk i nevojiten në punën e tij.

Mjetet e autentifikimit të zgjeruar të lidhjeve të rrjetit përdoren kur funksionimi i stacioneve të punës si pjesë e një rrjeti imponon kërkesa për mbrojtjen e burimeve të një stacioni pune nga kërcënimi i hyrjes së paautorizuar në një stacion pune nga ana e rrjetit dhe ndryshimit të informacionit ose softuerit, gjithashtu. si fillimi i një procesi të paautorizuar. Mbrojtja kundër ndërhyrjeve nga ana e rrjetit arrihet me anë të autentifikimit të përmirësuar të lidhjeve të rrjetit. Kjo teknologji quhet teknologji e rrjetit privat virtual.

Një nga detyrat kryesore të mbrojtjes kundër aksesit të paautorizuar është sigurimi i identifikimit të besueshëm të përdoruesit (Fig. 3.13) dhe aftësia për të vërtetuar çdo përdorues të rrjetit që mund të identifikohet në mënyrë unike nga fakti se ai:

- përfaqëson veten.

Çfarë di përdoruesi? Emri dhe fjalëkalimi juaj. Skemat e identifikimit të fjalëkalimeve bazohen në këtë njohuri. Disavantazhi i këtyre skemave është se ai duhet të mbajë mend fjalëkalime komplekse, gjë që shumë shpesh nuk ndodh: ose fjalëkalimi zgjidhet i dobët, ose thjesht shkruhet në një fletore, në një copë letër etj. Në rastin e përdorimit vetëm mbrojtje me fjalëkalim, merren masat e duhura për të siguruar kontrollin e krijimit të fjalëkalimeve, ruajtjen e tyre, për të gjurmuar skadimin e përdorimit të tyre dhe fshirjen në kohë. Mbyllja e fjalëkalimit kriptografik mund ta trajtojë kryesisht këtë çështje dhe ta bëjë më të vështirë për një sulmues të anashkalojë mekanizmin e vërtetimit.

Çfarë mund të ketë një përdorues? Natyrisht, një çelës i veçantë është një identifikues unik, siç është një memorie me prekje tabletash (buton I), e-token, kartë inteligjente ose një çelës kriptografik që kodon hyrjen e tij në bazën e të dhënave të përdoruesit. Një sistem i tillë është më i sigurti, megjithatë, kërkon që përdoruesi të ketë gjithmonë një identifikues me vete, i cili më së shpeshti është i lidhur me një zinxhir çelësash me çelësa dhe shpesh harrohet në shtëpi ose humbet. Do të jetë e saktë nëse administratori lëshon identifikues në mëngjes dhe shkruan për këtë në regjistër dhe i pranon ato për ruajtje në mbrëmje, duke bërë përsëri një hyrje në regjistër.

Çfarë është një përdorues? Këto janë veçoritë që janë të natyrshme vetëm për këtë përdorues, vetëm për të, duke siguruar identifikimin biometrik. Një identifikues mund të jetë një gjurmë gishti, një vizatim i irisit të syve, një gjurmë pëllëmbë, etj. Aktualisht, ky është drejtimi më premtues në zhvillimin e mjeteve identifikuese. Ato janë të besueshme dhe në të njëjtën kohë nuk kërkojnë njohuri shtesë për diçka ose posedim të përhershëm të diçkaje nga përdoruesi. Me zhvillimin e teknologjisë dhe kostoja e këtyre fondeve bëhet e disponueshme për çdo organizatë.

Është detyrë e mekanizmave të ndryshëm të identifikimit dhe vërtetimit për të siguruar që identiteti i një përdoruesi të verifikohet.

Secilit përdorues (grup përdoruesish) në rrjet i caktohet një veçori e caktuar dalluese - një identifikues dhe ai krahasohet me listën e miratuar. Megjithatë, vetëm identifikuesi i deklaruar në rrjet nuk mund të sigurojë mbrojtje kundër lidhjeve të paautorizuara pa verifikuar identitetin e përdoruesit.

Procesi i verifikimit të identitetit të një përdoruesi quhet autentifikimi. Ndodh me ndihmën e një veçorie të veçantë dalluese të paraqitur nga përdoruesi - një vërtetues i natyrshëm në të. Efektiviteti i vërtetimit përcaktohet kryesisht nga karakteristikat dalluese të secilit përdorues.

Mekanizmat specifikë të identifikimit dhe vërtetimit në rrjet mund të zbatohen bazuar në mjetet dhe procedurat e mëposhtme për mbrojtjen e informacionit:

- fjalëkalime;

- mjete teknike;

- mjetet biometrike;

- kriptografi me çelësa unikë për çdo përdorues.

Çështja e zbatueshmërisë së një mjeti të caktuar vendoset në varësi të kërcënimeve të identifikuara, karakteristikave teknike të objektit të mbrojtur. Nuk mund të thuhet pa mëdyshje se përdorimi i harduerit që përdor kriptografinë do t'i japë sistemit më shumë besueshmëri sesa përdorimi i softuerit.

Analizimi i sigurisë së një objekti informacioni dhe identifikimi i kërcënimeve për sigurinë e tij është një procedurë jashtëzakonisht komplekse. Një procedurë po aq e ndërlikuar është përzgjedhja e teknologjive dhe mjeteve të mbrojtjes për të eliminuar kërcënimet e identifikuara. Zgjidhjen e këtyre problemeve është më mirë t'ia besoni specialistëve me përvojë të pasur.

Mbrojtje kundër aksesit të paautorizuar në të dhëna

Qasja e paautorizuar (NSD) e një sulmuesi në një kompjuter është e rrezikshme jo vetëm nga mundësia e leximit dhe/ose modifikimit të dokumenteve elektronike të përpunuara, por edhe nga mundësia e futjes së një faqerojtësi të softuerit të kontrolluar nga sulmuesi, i cili do t'i lejojë atij të marrë veprimet e mëposhtme:

2. Përgjoni informacione të ndryshme kyçe të përdorura për mbrojtjen e dokumenteve elektronike.

3. Përdorni kompjuterin e rrëmbyer si trampolinë për të rrëmbyer kompjuterë të tjerë në rrjetin lokal.

4. Shkatërroni informacionin e ruajtur në kompjuter ose çaktivizoni kompjuterin duke ekzekutuar softuer me qëllim të keq.

Mbrojtja e kompjuterëve nga ndërhyrjet është një nga problemet kryesore të sigurisë së informacionit, prandaj, shumica e sistemeve operative dhe paketave softuerike të njohura kanë të integruar nënsisteme të ndryshme për mbrojtjen nga ndërhyrjet. Për shembull, kryerja e vërtetimit të përdoruesit kur hyni në sistemet operative të familjes Windows. Sidoqoftë, nuk ka dyshim se mjetet e integruara të sistemeve operative nuk janë të mjaftueshme për mbrojtje serioze kundër ndërhyrjeve. Fatkeqësisht, zbatimi i nënsistemeve të mbrojtjes për shumicën e sistemeve operative shpesh shkakton kritika për shkak të dobësive të zbuluara rregullisht që lejojnë aksesin në objektet e mbrojtura duke anashkaluar rregullat e kontrollit të aksesit. Paketat e shërbimit dhe rregullimet e lëshuara nga prodhuesit e programeve kompjuterike mbeten objektivisht prapa informacionit për dobësitë e zbuluara. Prandaj, përveç mjeteve standarde të mbrojtjes, është e nevojshme të përdoren mjete të posaçme për kufizimin ose kufizimin e aksesit.
Këto fonde mund të ndahen në dy kategori:

1. Mjetet e kufizimit të aksesit fizik.

2. Mjetet e mbrojtjes kundër aksesit të paautorizuar në rrjet.

Mjetet e kufizimit të aksesit fizik

Zgjidhja më e besueshme për problemin e kufizimit të aksesit fizik në një kompjuter është përdorimi i harduerit për të mbrojtur informacionin nga manipulimi, i cili kryhet përpara se sistemi operativ të ngarkohet. Mbrojtjet në këtë kategori quhen "brava elektronike". Një shembull i një bllokimi elektronik është paraqitur në Fig. 5.3.

Figura 5.3 - Bllokimi elektronik për autobusin PCI

Në teori, çdo softuer i kontrollit të aksesit mund të sulmohet nga një sulmues në mënyrë që të shtrembërojë algoritmin e një mjeti të tillë dhe më pas të fitojë akses në sistem. Është pothuajse e pamundur ta bësh këtë me një mjet sigurie harduerike: bllokimi elektronik kryen të gjitha veprimet për të kontrolluar aksesin e përdoruesit në mjedisin e tij të softuerit të besuar, i cili nuk i nënshtrohet ndikimeve të jashtme.
Në fazën përgatitore të përdorimit të bllokimit elektronik, ai instalohet dhe konfigurohet. Konfigurimi përfshin veprimet e mëposhtme, të kryera zakonisht nga personi përgjegjës - administratori i sigurisë:

1. Krijimi i një liste të përdoruesve të cilëve u lejohet aksesi në kompjuterin e mbrojtur. Për secilin përdorues, formohet një medium kyç (në varësi të ndërfaqeve të mbështetura nga një bllokues i veçantë - një floppy disk, një tablet elektronik iButton ose një kartë inteligjente), e cila do të përdoret për të vërtetuar përdoruesin në hyrje. Lista e përdoruesve ruhet në kujtesën jo të paqëndrueshme të bllokimit.

2. Formimi i një liste skedarësh, integriteti i të cilave kontrollohet nga kyçi përpara se të ngarkohet sistemi operativ i kompjuterit. Skedarët e rëndësishëm të sistemit operativ i nënshtrohen kontrollit, për shembull, sa vijon:

Bibliotekat e Sistemit Dritaret;

Modulet e ekzekutueshme të aplikacioneve të përdorura;

Modelet e dokumenteve Microsoft Word etj.

Kontrolli i integritetit të skedarit është llogaritja e shumës së kontrollit të tyre të referencës, për shembull, hashimi sipas algoritmit GOST R 34.11-94, ruajtja e vlerave të llogaritura në memorien e paqëndrueshme të bllokimit dhe më pas llogaritja e shumave reale të kontrollit të skedarëve dhe krahasimi i tyre me ato referuese. Në mënyrën normale të funksionimit, bllokimi elektronik merr kontrollin nga BIOS-i i kompjuterit të mbrojtur pasi ky i fundit të jetë ndezur. Në këtë fazë kryhen të gjitha veprimet për të kontrolluar aksesin në kompjuter (shih diagramin e thjeshtuar të algoritmit në Fig.5.4), përkatësisht:

Figura 5.4 - Diagrami i thjeshtuar i algoritmit të bllokimit elektronik

1. Kyçi i kërkon përdoruesit një medium me informacionin kyç të nevojshëm për vërtetimin e tij. Nëse informacioni kryesor i formatit të kërkuar nuk jepet, ose nëse përdoruesi i identifikuar nga informacioni i dhënë nuk përfshihet në listën e përdoruesve të kompjuterit të mbrojtur, bllokimi do të bllokojë kompjuterin nga nisja.

2. Nëse vërtetimi i përdoruesit është i suksesshëm, bllokuesi llogarit shumat e kontrollit të skedarëve që gjenden në listën e kontrolluar dhe krahason shumat e kontrollit të marra me ato të referencës. Nëse integriteti i të paktën një skedari nga lista cenohet, kompjuteri bllokohet nga ngarkimi. Për punë të mëtejshme në këtë kompjuter, problemi duhet të zgjidhet nga Administratori, i cili duhet të zbulojë arsyen e ndryshimit të skedarit të kontrolluar dhe, në varësi të situatës, të ndërmarrë një nga veprimet e mëposhtme për të mundësuar punën e mëtejshme me kompjuterin e mbrojtur:

Rikuperoni skedarin origjinal;

Hiqni një skedar nga lista e kontrolluar.

3. Nëse të gjitha kontrollet janë të suksesshme, bllokimi i kthen kontrollin kompjuterit për të ngarkuar sistemin standard operativ.

Meqenëse hapat e mësipërm kryhen përpara se sistemi operativ i kompjuterit të ngarkohet, bllokuesi zakonisht ngarkon sistemin e tij operativ (i vendosur në memorien e tij jo të paqëndrueshme - zakonisht kjo MS-DOS ose të ngjashme OS, e cila nuk imponon kërkesa të mëdha për burime), në të cilën kryhen vërtetimi i përdoruesit dhe kontrollet e integritetit të skedarit. Kjo gjithashtu ka kuptim nga pikëpamja e sigurisë - sistemi operativ i vetë bllokimit nuk i nënshtrohet ndonjë ndikimi të jashtëm, gjë që pengon një sulmues të ndikojë në proceset e kontrollit të përshkruara më sipër. Informacioni në lidhje me hyrjet e përdoruesve në kompjuter, si dhe për përpjekjet e paautorizuara të aksesit, ruhet në regjistrin, i cili ndodhet në memorien jo të paqëndrueshme të bllokimit. Regjistri mund të shikohet nga Administratori. Ka një sërë problemesh kur përdorni bravë elektronike, në veçanti:

1. BIOS Disa kompjuterë modernë mund të konfigurohen në atë mënyrë që kontrolli të mos transferohet në BIOS-in e bllokimit gjatë nisjes. Për të kundërshtuar cilësime të tilla, kyçi duhet të jetë në gjendje të bllokojë kompjuterin nga nisja (për shembull, duke mbyllur kontaktet Rivendos) nëse bllokimi nuk ka marrë kontrollin brenda një intervali të caktuar kohor pas ndezjes së furnizimit me energji elektrike.

2. Një sulmues thjesht mund të tërheqë bllokimin nga kompjuteri. Megjithatë, ka një numër kundërmasash:

Masa të ndryshme organizative dhe teknike: mbyllja e kutisë së kompjuterit, sigurimi që përdoruesit të mos kenë akses fizik në njësinë e sistemit të kompjuterit, etj.

Ka bravë elektronike që mund të mbyllin kutinë e kompjuterit nga brenda me një bllokues të veçantë me komandën e administratorit - në këtë rast, bllokimi nuk mund të hiqet pa dëmtime të konsiderueshme në kompjuter.

Shumë shpesh, bravat elektronike kombinohen në mënyrë strukturore me një kodues harduerësh. Në këtë rast, masa e rekomanduar e mbrojtjes është përdorimi i një bllokimi në lidhje me një mjet softuerësh për kriptim transparent (automatik) të disqeve logjike në kompjuter. Në këtë rast, çelësat e enkriptimit mund të rrjedhin nga çelësat e përdorur për të vërtetuar përdoruesit në një bllokim elektronik, ose çelësa të veçantë, por të ruajtur në të njëjtin medium si çelësat e përdoruesit për t'u kyçur në kompjuter. Një mjet i tillë gjithëpërfshirës i mbrojtjes nuk do t'i kërkojë përdoruesit të kryejë ndonjë veprim shtesë, por gjithashtu do të parandalojë një sulmues që të ketë akses në informacion edhe nëse është hequr hardueri i bllokimit elektronik.

Mjetet e mbrojtjes kundër ndërhyrjeve në rrjet

Metodat më efektive të mbrojtjes kundër aksesit të paautorizuar në rrjetet kompjuterike janë rrjetet private virtuale ( VPN - Rrjeti privat virtual) dhe muri i zjarrit. Le t'i shqyrtojmë ato në detaje.

Rrjetet private virtuale

VPN-të ofrojnë mbrojtje automatike të integritetit dhe konfidencialitetit të mesazheve të transmetuara në rrjete të ndryshme publike, kryesisht në internet. Në fakt, VPNËshtë një grup rrjetesh, në perimetrin e jashtëm të të cilave janë instaluar VPN-agjentët (fig.5.5). VPN-agent është një program (ose kompleks softuer dhe harduer) që në fakt siguron mbrojtje të informacionit të transmetuar duke kryer operacionet e përshkruara më poshtë.

Oriz. 5.5 - Skema e ndërtimit të VPN

Përpara se të dërgoni ndonjë IP-paketë VPN- agjenti bën sa më poshtë:

1. Nga titulli IP-informacioni i paketës për adresuesin e tij është i theksuar. Sipas këtij informacioni bazuar në politikën e sigurisë së kësaj VPN-agjent, zgjidhen algoritmet e mbrojtjes (nëse VPN-agent suporton disa algoritme) dhe çelësa kriptografikë me të cilët do të mbrohet kjo paketë. Në rast se politika e sigurisë VPN-agjenti nuk ofrohet për dërgim IP-pako për adresuesin e dhënë, ose IP-paketë me këto karakteristika, dërgim IP- paketa është e bllokuar.

2. Duke përdorur algoritmin e zgjedhur të mbrojtjes së integritetit, ai gjenerohet dhe shtohet IP- një paketë nënshkrimi elektronik dixhital (EDS), një imitues ose një kontroll i ngjashëm.

3.Duke përdorur algoritmin e zgjedhur të enkriptimit, kryhet enkriptimi IP-paketë.

4.Përdorimi i algoritmit të vendosur të kapsulimit të paketave, i koduar IP- paketa vendoset në një paketë IP të gatshme për transmetim, titulli i së cilës, në vend të informacionit origjinal për adresuesin dhe dërguesin, përmban informacione rreth VPN-agjent i adresuesit dhe VPN-agjent i dërguesit. ato. Përkthimi i adresës së rrjetit është në proces.

5. Paketa dërgohet VPN- tek agjenti i adresuesit. Nëse është e nevojshme, ajo ndahet dhe paketat që rezultojnë dërgohen një nga një.

Gjatë marrjes IP-paketë VPN- agjenti bën sa më poshtë:

1. Nga titulli IP-informacioni i paketës për dërguesin e tij është i theksuar. Në rast se dërguesi nuk është ndër të lejuarit (sipas politikës së sigurisë) ose i panjohur (për shembull, kur merrni një paketë me një titull të dëmtuar qëllimisht ose aksidentalisht), paketa nuk përpunohet dhe hidhet.

2. Sipas politikës së sigurisë, zgjidhen algoritmet për mbrojtjen e kësaj pakete dhe çelësash, me ndihmën e të cilëve do të deshifrohet paketa dhe do të kontrollohet integriteti i saj.

3. Pjesa informative (e kapsuluar) e paketës ndahet dhe deshifrohet.

4. Integriteti i paketës monitorohet në bazë të algoritmit të përzgjedhur. Nëse zbulohet një shkelje e integritetit, paketa hidhet.

5. Paketa i dërgohet adresuesit (nëpërmjet rrjetit të brendshëm) sipas informacionit në kokën e saj origjinale.

VPN-agjenti mund të vendoset drejtpërdrejt në kompjuterin e mbrojtur (për shembull, kompjuterët e "përdoruesve të largët" në Fig. 5.5). Në këtë rast, ai mbron shkëmbimin e informacionit vetëm të kompjuterit në të cilin është instaluar, megjithatë, parimet e funksionimit të tij të përshkruara më sipër mbeten të pandryshuara.
Rregulli themelor i ndërtimit VPN- Komunikimi ndërmjet LAN-it të siguruar dhe rrjetit të hapur duhet të kryhet vetëm nëpërmjet VPN-agjentët. Nuk duhet të ketë kategorikisht metoda komunikimi që anashkalojnë pengesën mbrojtëse në formë VPN-agjent. ato. duhet të përcaktohet një perimetër i mbrojtur, komunikimi me të cilin mund të kryhet vetëm nëpërmjet një mjeti të përshtatshëm mbrojtës. Një politikë sigurie është një grup rregullash sipas të cilave krijohen kanale të sigurta komunikimi ndërmjet pajtimtarëve. VPN... Kanale të tilla zakonisht quhen si tunele, analogjia me të cilën mund të shihet në vijim:

1. I gjithë informacioni i transmetuar brenda një tuneli është i mbrojtur nga shikimi dhe modifikimi i paautorizuar.

2. Kapsulimi IP- paketat ju lejojnë të arrini fshehjen e topologjisë së LAN-it të brendshëm: nga interneti, shkëmbimi i informacionit midis dy LAN-ve të mbrojtura shihet si një shkëmbim informacioni vetëm midis tyre. VPN-agjentët, pasi të gjithë të brendshëm IP-adresat e transmetuara në internet IP-paketimet nuk shfaqen në këtë rast.

Rregullat e krijimit të tunelit formohen në varësi të karakteristikave të ndryshme IP-paketat, për shembull, kryesore kur ndërtohet shumica VPN protokoll IPSec (Arkitektura e Sigurisë për IP) vendos grupin tjetër të të dhënave hyrëse, me anë të të cilit zgjidhen parametrat e tunelit dhe merret një vendim kur filtrohet një specifik IP-paketë:

1. IP-adresa e burimit. Mund të jetë jo vetëm një adresë IP e vetme, por edhe një adresë nënrrjeti ose një sërë adresash.

2. IP-adresa e destinacionit. Mund të jetë gjithashtu një gamë e qartë adresash duke përdorur një maskë ose model nënrrjeti.

3. Identifikuesi i përdoruesit (dërguesi ose marrësi).

4. Protokolli i shtresës së transportit ( TCP / UDP).

5. Numri i portit nga i cili ose në të cilin është dërguar paketa.

Një mur zjarri është një softuer ose mjet softuerësh dhe harduerësh që mbron rrjetet lokale dhe kompjuterët individualë nga aksesi i paautorizuar nga rrjetet e jashtme duke filtruar rrjedhën e dyanshme të mesazheve gjatë shkëmbimit të informacionit. Në fakt, muri i zjarrit është "zhveshur" VPN- një agjent që nuk kodon paketat dhe nuk kontrollon integritetin e tyre, por në disa raste ka një numër funksionesh shtesë, më të zakonshmet prej të cilave janë këto:

Skanim antivirus;

Kontrolli i korrektësisë së paketës;

Monitorimi i korrektësisë së lidhjeve (për shembull, vendosja, përdorimi dhe shkyçja TCP-sesione);

Kontrolli i përmbajtjes.

Quhen muret e zjarrit që nuk kanë funksionet e përshkruara më sipër dhe kryejnë vetëm filtrim të paketave filtrat e paketave... Për analogji me VPN-agjentët, ka edhe firewalls personal që mbrojnë vetëm kompjuterin në të cilin janë instaluar. Firewall-et janë gjithashtu të vendosura në perimetrin e rrjeteve të mbrojtura dhe filtrojnë trafikun e rrjetit sipas politikës së konfiguruar të sigurisë.

Një bllokim elektronik mund të zhvillohet në bazë të një koduesi harduer. Në këtë rast, fitohet një pajisje që kryen funksionet e kriptimit, gjenerimit të numrave të rastësishëm dhe mbrojtjes nga manipulimi. Një kriptor i tillë është në gjendje të jetë qendra e sigurisë së të gjithë kompjuterit; mbi bazën e tij, është e mundur të ndërtohet një sistem plotësisht funksional i mbrojtjes së të dhënave kriptografike, duke ofruar, për shembull, aftësitë e mëposhtme:

1. Mbrojtja e kompjuterit tuaj nga aksesi fizik.

2. Mbrojtja e kompjuterit tuaj nga ndërhyrjet në rrjet dhe organizimi VPN.

3. Kriptimi i skedarëve sipas kërkesës.

4. Kriptimi automatik i disqeve logjike të kompjuterit.

5. Llogaritja / verifikimi i EDS.

6. Mbrojtja e e-mail mesazheve.