5. Інформаційна безпека в мережах ЕОМ

Захист даних у комп'ютерних мережах стає однією з найбільш відкритихпроблем в сучасних інформаційно-обчислювальних системах. На сьогоднішнійдень сформульовано три базові принципи інформаційної безпеки,завданням якої є забезпечення:

- цілісності даних - захист від збоїв, що ведуть до втрати інформації або її знищення;

- конфіденційності інформації;

- доступності інформації для авторизованих користувачів.

Розглядаючи проблеми, пов'язані із захистом даних у мережі, виникаєпитання про класифікацію збоїв та несанкціонірованності доступу, що веде довтрату або небажаного зміні даних. Це можуть бути збоїобладнання (кабельної системи, дискових систем, серверів, робочих станційі т.д.), втрати інформації (через інфікування комп'ютерними вірусами,неправильного зберігання архівних даних, порушень прав доступу до даних),некоректна робота користувачів і обслуговуючого персоналу. Перерахованіпорушення роботи в мережі викликали необхідність створення різних видівзахисту інформації. Умовно їх можна розділити на три класи:

- засоби фізичного захисту;

- програмні засоби (антивірусні програми, системи розмежування повноважень, програмні засоби контролю доступу);

- адміністративні заходи захисту (доступ до приміщень, розробка стратегій безпеки фірми і т.д.).

Одним із засобів фізичного захисту є системи архівування ідублювання інформації. У локальних мережах, де встановлені один-двасервера, найчастіше система встановлюється безпосередньо у вільніслоти серверів. У великих корпоративних мережах перевага віддаєтьсявиділеному спеціалізованому архіваціонному сервера, якийавтоматично архівує інформацію з жорстких дисків серверів і робочихстанцій в певний час, встановлений адміністратором мережі, видаючизвіт про проведене резервному копіюванні. Найбільш поширенимимоделями архівованих серверів є Storage Express System корпорації
Intel ARCserve for Windows.

Для боротьби з комп'ютерними вірусами найбільш часто застосовуютьсяантивірусні програми, рідше - апаратні засоби захисту. Однак, вОстаннім часом спостерігається тенденція до поєднання програмних і апаратнихметодів захисту. Серед апаратних пристроїв використовуються спеціальніантивірусні плати, вставлені в стандартні слоти розширення комп'ютера.
Корпорація Intel запропонувала перспективну технологію захисту від вірусів умережах, суть якої полягає в скануванні систем комп'ютерів ще до їхзавантаження. Крім антивірусних програм, проблема захисту інформації вкомп'ютерних мережах вирішується введенням контролю доступу та розмежуваннямповноважень користувача. Для цього використовуються вбудовані засоби мережевихопераційних систем, найбільшим виробником яких є корпорація
Novell. У системі, наприклад, NetWare, крім стандартних засобів обмеженнядоступу (зміна паролів, розмежування повноважень), передбаченаможливість кодування даних за принципом "відкритого ключа" зформуванням електронного підпису для переданих по мережі пакетів.

Однак, така система захисту слабомощна, тому що рівень доступу таможливість входу в систему визначаються паролем, який легко підглянутиабо підібрати. Для виключення несанкціонованого проникнення вкомп'ютерну мережу використовується комбінований підхід - пароль +ідентифікація користувача по персональному "ключу". "Ключ" представляєсобою пластикову карту (магнітна або з вбудованою мікросхемою - смарт -карта) або різні пристрої для ідентифікації особи забіометричної інформації - по райдужну оболонку ока, відбитками пальців,розмірами кисті руки і т.д. Сервери і мережеві робочі станції, оснащеніпристроями читання смарт-карт і спеціальним програмним забезпеченням,значно підвищують ступінь захисту від несанкціонованого доступу.

Смарт-картки управління доступом дозволяють реалізувати такі функції,як контроль входу, доступ до пристроїв ПК, до програм, файлів ікомандам. Одним з вдалих прикладів створення комплексного рішення дляконтролю доступу у відкритих системах, заснованого як на програмних, так іна апаратних засобах захисту, стала система Kerberos, в основу якоївходять три компоненти:

- база даних, яка містить інформацію по всіх мережевих ресурсів,користувачам, паролів, інформаційним ключів і т.д.;

- авторизаційний сервер (authentication server), завданням якогоє обробка запитів користувачів на надання того чи іншоговиду мережевих послуг. Одержуючи запит, він звертається до бази даних івизначає повноваження користувача на здійснення певної операції.
Паролі користувачів по мережі не передаються, тим самим, підвищуючи ступіньзахисту інформації;

- Ticket-granting server (сервер видачі дозволів) отримує відавторизаційного сервера "пропуск" з ім'ям користувача і його мережевимадресою, часом запиту, а також унікальний "ключ". Пакет, що містить
"пропуск", передається також у зашифрованому вигляді. Сервер видачі дозволівпісля отримання та розшифровки "пропуску" перевіряє запит, порівнює
"ключі" і при тотожності дає "добро" на використання мережевоїапаратури або програм.

У міру розширення діяльності підприємств, зростання чисельностіабонентів і появи нових філій, виникає необхідність організаціїдоступу віддалених користувачів (груп користувачів) до обчислювальних абоінформаційних ресурсів до центрів компаній. Для організації віддаленогодоступу найчастіше використовуються кабельні лінії та радіоканали. У зв'язку зцим захист інформації, що передається по каналах віддаленого доступу, вимагаєособливого підходу. У мостах і маршрутизаторах віддаленого доступу застосовуєтьсясегментація пакетів - їх розподіл і передача паралельно по двох лініях,
- Що робить неможливим "перехоплення" даних при незаконному підключенні
"хакера" до однієї з ліній. Яка використовується при передачі даних процедурастиснення переданих пакетів гарантує неможливість розшифровки
"перехоплених" даних. Мости та маршрутизатори віддаленого доступу можутьбути запрограмовані таким чином, що віддаленим користувачам не всіресурси центру компанії можуть бути доступні.

В даний час розроблені спеціальні пристрої контролю доступу дообчислювальних мереж по комутованих лініях. Прикладом може служити,розроблений фірмою AT & T модуль Remote Port Securiti Device (PRSD),що складається з двох блоків розміром зі звичайний модем: RPSD Lock (замок),що встановлюється в центральному офісі, і RPSD Key (ключ), що підключається домодему віддаленого користувача. RPSD Key і Lock дозволяють встановлюватикілька рівнів захисту і контролю доступу:

- шифрування даних, переданих по лінії за допомогою генеруютьсяцифрових ключів;

- контроль доступу з урахуванням дня тижня або часу доби.

Пряме відношення до теми безпеки має стратегія створення резервнихкопій і відновлення баз даних. Зазвичай ці операції виконуються внеробочий час в пакетному режимі. У більшості СУБД резервне копіюваннята відновлення даних дозволяються тільки користувачам з широкимиповноваження (права доступу на рівні системного адміністратора, абовласника БД), вказувати настільки відповідальні паролі безпосередньо вфайлах пакетної обробки небажано. Щоб не зберігати пароль у явномувигляді, рекомендується написати простеньку прикладну програму, яка самаб викликала утиліти копіювання/відновлення. У такому випадку системнийпароль повинен бути "зашитий" в код зазначеної програми. Недоліком цьогометоду є те, що кожного разу при зміні пароля цю програму слідпереконфігурувати.

Стосовно до засобів захисту від НСД визначені сім класівзахищеності (1-7) засобів обчислювальної техніки (ЗОТ) і дев'ять класів
(1А, 1Б, 1В, 1Г, 1Д, 2А, 2Б, 3А, 3Б) автоматизованих систем (АС). Для СВТ самимнизьким є сьомий клас, а для АС - 3Б.

Розглянемо більш докладно наведені сертифіковані системи захистувід НСД.

Система "КОБРА" відповідає вимогам 4-ого класу захищеності
(для СВТ), реалізує ідентифікацію і розмежування повноважень користувачіві криптографічне закриття інформації, фіксує спотворення еталонногостану робочого середовища ПК (викликані вірусами, помилками користувачів,технічними збоями і т.д.) і автоматично відновлює основнікомпоненти операційного середовища терміналу.

Підсистема розмежування повноважень захищає інформацію на рівнілогічних дисків. Користувач отримує доступ до певних дискам
А, В, С ,..., Z. Всі абоненти розділені на 4 категорії:

- суперкористувач (доступні всі дії в системі);

- адміністратор (доступні всі дії в системі, за виняткомзміни імені, статусу і повноважень root, введення абовиключення його зі списку користувачів);

- програмісти (може змінювати особистий пароль);

- колега (має право на доступ до ресурсів, встановленим йому суперкористувача). < p> Крім санкціонування та розмежування доступу до логічних дисків,адміністратор встановлює кожному користувачеві повноваження доступу допослідовного і паралельного портів. Якщо послідовний портзакритий, то неможлива передача інформації з одного комп'ютера на інший.
За відсутності доступу до паралельного порту, неможливий висновок на принтер.