Система защиты информации от несанкционированного доступа в локальных сетях

Защита от преднамеренного несанкционированного доступа. Анализ локальной сети как объекта защиты, возможных каналов несанкционированного доступа к информации ограниченного пользования и потенциальных угроз позволяет выбрать и построить соответствующую систему защиты.

Перечисленные выше возможные каналы несанкционированного доступа рассмотрены с позиций максимально возможных угроз, ожидаемых от нарушителя-профессионала, модель поведения которого как наиболее опасная принята за исходную предпосылку в концепции защиты (см. разд. 3). Поэтому, несмотря на существующие на практике менее опасные модели, будем пока следовать принятым ранее решениям.

Несанкционированный доступ со стороны пользователя-нарушителя, очевидно, потребует создания на программном уровне локальной сети системы опознания и разграничения доступа к информации (СОРДИ) со всеми ее атрибутами: средствами идентификации и аутентификации пользователей, а также разграничения их полномочий по доступу к информации файл-сервера и (или) другим персональным компьютерам данной локальной сети. Такими возможностями, в настоящее время, обладают все сетевые операционные система с отличиями в технологиях реализации.

Средства защиты сети позволяют устанавливать, кто имеет право доступа к конкретным каталогам и файлам. При этом защита данных файл-сервера осуществляется одним способом или в различных сочетаниях обычно четырьмя способами:

 входным паролем;

 попечительской защитой данных;

 защитой в каталоге;

 защитой атрибутами файлов.

Первым уровнем сетевой защиты является защита данных входным паролем. Защита при входе в сеть применяется по отношению ко всем пользователям. Чтобы выйти в файл-сервер, пользователю нужно знать свое "имя" и соответствующий пароль (6 - 8 символов для устойчивости к автоматизированному взлому).

Администратор безопасности может установить дополнительные ограничения по входу в сеть:

 ограничить период времени, в течение которого пользователь может входить в сеть;

 назначить рабочим станциям специальные адреса, с которыми разрешено входить в сеть;

 ограничить количество рабочих станций, с которых можно выйти в сеть;

 установить режим запрета постороннего вторжения, когда при нескольких несанкционированных попытках с неверным паролем устанавливается запрет на вход в сеть.

Второй уровень защиты данных в сети — попечительская защита данных — используется для управления возможностями индивидуальных пользователей по работе с файлами в заданном каталоге. Попечитель — это пользователь, которому предоставлены привилегии или права для работы с каталогом и файлами внутри него.

Любой попечитель может иметь восемь разновидностей прав:

Read - право Чтения открытых файлов;

Write - право Записи в открытые файлы;

Ореn - право Открытия существующего файла;

Сгеаtе - право Создания (и одновременно открытия) новых файлов;

Deletе - право Удаления существующих файлов;

Раrеntаl — Родительские права:

право Создания, Переименования, Стираная подкаталогов

каталога;

право Установления попечителей и прав в каталоге;

право Установления попечителей и прав в подкаталоге;

Search - право Поиска каталога;

Modify — право Модификации файловых атрибутов.

Третий уровень защиты данных в сети - защита данных в каталоге. Каждый каталог имеет "маску максимальных прав". Когда создается каталог, маска прав содержит те же восемь разновидностей прав, что и попечитель. Ограничения каталога применяются только в одном заданном каталоге. Защита в каталоге не распространяется на его подкаталоги.

Защита атрибутами файлов — четвертый уровень защиты данных в сети. При этом предусмотрена возможность устанавливать, может ли индивидуальный файл быть изменен или разделен. Защита атрибутами файлов используется в основном для предотвращения случайных изменений или удаления отдельных файлов. Такая защита, в частности, полезна для защиты информационных файлов общего пользования, которые обычно читаются многими пользователями. Эти файлы не должны допускать порчи при попытках изменений или стирания. В защите данных используются четыре файловых атрибута: "Запись-Чтение/Только чтение" и "Разделяемый/Неразделяемый".

Действующие права в сети - это те права, которые пользователь может применять в данном каталоге. Действующие права определяются сочетанием прав попечительской защиты и прав защиты в каталогах. Файловые атрибуты имеют приоритет над действующими правами пользователя.

Были описаны наиболее часто применяемые атрибуты и политики защиты информации в сети имеющих модификации для разных операционных систем. Однако средства защиты информации в сети не всегда удовлетворяют требованиям потребителей. Поэтому существует ряд разработок специализированных систем и комплексов защиты.

Чтобы исключить возможность обхода систем опознания и разграничения доступа в персональных компьютерах и локальных сетях путем применения отладочных программ, а также проникновения компьютерных вирусов, рекомендуется, если это возможно, в данной локальной сети применять персональные компьютеры без дисководов и внешних портов (типа COM или USB) позволяющих подключить внешний носитель или по крайней мере хотя бы заблокировать их механической крышкой, опечатываемой администратором безопасности. Данная мера, кроме того, защищает от кражи данных, которые можно скопировать на флэш-карту в течение нескольких минут. Их легко спрятать и вынести за пределы даже охраняемой территории. Многие поставщики сетей сейчас обеспечивают возможность загрузки локальных рабочих станций с центрального сервера и таким образом делают персональные компьютеры без диска пригодной для использования в сети.

В тех же случаях, когда требуется локальное запоминающее устройство, специалисты допускают возможность замены дисковода флоппи-диска, USB и т.п. на местный жесткий диск.

Опознание пользователя и разграничение доступа в локальных сетях можно также организовать с помощью шифровального устройства. Лучше всего для этой цели использовать аппаратное устройство, так как его подмена или отключение нарушителю не помогут. Такое устройство устанавливается в каждом персональном компьютере и тогда законный пользователь обращается в сеть с помощью ключа-пароля, ответные значения которого хранятся на тех рабочих станциях, к обмену с которыми он допущен. В свою очередь на файл-сервере по этому паролю ему могут предоставляться персональные массивы данных. Еще одно достоинство этого метода в том, что ключ-пароль данного пользователя не хранится на данном персональном компьютере, а запоминается пользователем или хранится на специальном носителе типа карточки. Решения с шифрованием на программном уровне введены практически уже во все операционные системы, в том числе обслуживающие рабочие станции.

Все данные, включая коды паролей, которые поступают в сеть, и все данные, которые хранятся на жестком диске, должны быть зашифрованы. При передаче данных в сеть до начала шифрования с целью привязки к передаваемой информации идентификатор и/или адрес получателя и отправителя (передаваемые в открытом виде) совместно с информацией должны подвергаться обработке обычными средствами повышения достоверности, результат которой одновременно с зашифрованной информацией поступает на персональный компьютер-получатель, где после дешифрации принятая информация проверяется на совпадение. Данная процедура позволит обнаружить подмену идентификатора и/или адреса, т. е. попытку навязывания ложной информации при несанкционированном подключении к сети. При этом следует предостеречь разработчиков и пользователей локальных сетей от излишнего увлечения шифрованием. Шифрованию не должны подвергаться всем известные формализованные запросы и сообщения, так как, зная закон преобразования, нарушитель путем перебора известных формализованных сообщений может вычислить действительное значение ключа, с помощью которого одно из них закрыто, а знание последнего позволит нарушителю ознакомиться с остальной зашифрованной информацией.

Поступающая в сеть зашифрованная ключом отправителя информация дешифруется на персональном компьютере-получателе с помощью ключа, значение которого соответствует идентификатору и/или адресу отправителя.

Напомним, что ключи шифрования отправителей хранятся в персональном компьютере-получателе в зашифрованном виде, они зашифрованы ключом-паролем получателя информации. Выбор методов и способов шифрования приведен в гл. 10.

В некоторых менее ответственных локальных сетях для защиты от модификации информации при ее передаче по телефонным каналам используется система "обратный вызов".

Система защиты "обратный вызов" и управление пользователем являются частью телефонных систем и могут быть использованы в передаче данных "ПК — сеть" на значительное расстояние. Если нужно подключиться к персональному компьютеру, где имеется система защиты "обратный вызов", следует сообщить об этом системе, и тогда ее устройство защиты подготавливается для "обратного вызова" на ваше местонахождение. Другими словами, система имеет в памяти полный листинг на каждого допущенного пользователя. В этот файл включены семизначный идентификационный номер, который вы должны набрать, когда хотите обратиться к файлу; телефонный номер, по которому вас можно найти; главные ЭВМ, к которым вам разрешен доступ. Одним словом, подлинность обращения обеспечивается обратным вызовом, т. е. соединение с вами устанавливается вашим адресатом по вашему вызову. Данный метод, однако, не защищает от утечки информации.

Для защиты данных, передающихся по кабелю, существует несколько методов. Первый метод — уборка кабеля из поля зрения — должен быть предпринят для защиты кабеля от повреждения и удовлетворения правил электробезопасности, т. е. если кабель проложить в труднодоступном скрытом месте, это будет способствовать его защите от несанкционированного доступа.

Кабель, по которому передаются данные, излучает радиосигналы подобно передающей антенне. Постое оборудование для перехвата установленное рядом с кабелем, может собирать и записывать эти передачи. Если величина излучающего сигнала превышает сигналы шумов на расстоянии за пределами охраняемой территории, следует принять определенные меры защиты.

Величину излучающего сигнала на кабеле можно уменьшить при помощи экрана в виде заземленной оплетки из медных проводов, охватывающих провода, несущие информацию. Другой способ решить эту проблему заключается в применении волоконно-оптического кабеля, использующего тонкий стеклянный волновод, по которому передача информации осуществляется с помощью модуляции света. Однако в последнее время появились сообщения о возможности съема информации и с этих кабелей. Поэтому наилучшим средством защиты от вышеуказанных угроз служит шифрование передаваемой информации, о котором сообщалось выше. Заметим, что данное шифрование и шифрование, упоминаемое выше при описании средств защиты информации в персональных компьютерах, не одно и то же, хотя оно и может выполняться на одном и том же устройстве (аппаратном или программном). В одном случае оно может быть предназначено для персонального использования (закрытия информации на носителях), в другом — для сетевого контроля и разграничения доступа. В сравнении с обычными большими системами здесь исчезают понятия абонентского и линейного шифрования, так как в локальных сетях отсутствуют узлы, подобные узлам коммутации в больших сетях передачи данных.

Таблица 1. Распределение средств защиты по возможному каналу несанкционированного доступа (ВКНСД) локальной компьютерной сети (ЛКС)

Наименование ВКНСД	Средства защиты	Прочность	Класс защиты
I	II	III
ВКНСД элемента сети (ПК)	Система безопасности информации элемента сети (ПК)	G PC	+	+	+
ВКНСД сервера	Средства контроля доступа на территорию объекта	Р1	+	+	+
Средства контроля доступа в помещение сервера	Р2	+	+	—
Программа контроля и разграничения доступа к информации ЛКС	Р3	+	+	+
Средства шифрования	Р4	+	—	—
Организационные мероприятия	Р5	+	+	+
Несанкционированного доступа со стороны средств контроля и управления конфигурацией, адресными таблицами и функциональным контролем ЛКС	Средства контроля доступа на территорию объекта	Р1	+	+	+
Средства контроля доступа в помещение администратора	Р2	+	+	—
Программа опознания и контроля доступа к информации ПК	Р6	+	+	+
Программа контроля и разграничения доступа к информации ЛКС	Р3	+	+	+
Средства контроля целостности ЛКС	Р7	+	+	+
Несанкционированного доступа со стороны линий связи ЛКС	Средства контроля доступа на территорию объекта	Р1	+	+	+
Организационные мероприятия	Р5	+	+	—
Система шифрования	Р4	+	—	—
Несанкционированного доступа со стороны аппаратуры передачи данных в каналы связи, концентра торов, мостов, коммутаторов и т. д.	Средства контроля доступа на территорию объекта	Р1	+	+	+
Средства контроля доступа в помещение	Р2	+	—	—
Средства контроля вскрытия аппаратуры	Р8	+	—	—
Оргмероприятия	Р5	+	+	+
Несанкционированного доступа к информации за счет ПЭМИН	Средства контроля доступа на территорию объекта	Р1	+	—	—
	Средства уменьшения и зашумления сигналов, несущих секретную информацию	Р9	+	—	—
Несанкционированного доступа со стороны средств контроля и управления безопасностью информации в ЛКС	Средства контроля доступа на территорию объекта	Р1	+	+	+
Средства контроля доступа в помещение	Р2	+	+	—
Программа опознания и контроля доступа к информации ПК	Р6	+	+	+
Программа контроля и разграничения доступа к информации ЛКС	Р3	+	+	+
Средства контроля целостности ЛКС	Р7	+	+	—
Средства шифрования информации в ПК	Р10	+	—	—
Средства шифрования информации в ЛКС	Р4	+	—	—
Оргмероприятия	Р5	+	+	+

Примечания:

1. Знак "+" означает наличие средства защиты, знак "—" - отсутствие средства защиты.

2. Считаем, что все помещения оборудованы системой контроля одного типа.

Для расчета и оценки уровня безопасности информации в локальной сети в зависимости от заданной модели нарушителя, ценности и важности обрабатываемой информации необходимо использовать три класса защиты, соответствующих первым трем классам из четырех, приведенных для персональных компьютеров.

Величина прочности каждого средства защиты определяется по методике и формулам 4 и 5 главы 2, раздела 3. Итоговая оценка уровня прочности защиты информации в локальной сети определяется в соответствующем разделе.

Дата добавления: 2014-12-08