Безопасность информации

К методам доступа в сети выделяются такие наиболее распространенные сети, как Ethernet, ARCnet, Token Ring (таблица 9.2).

ЛВС (метод доступа) Ethernet, фирмы 3 Com пользующаяся наибольшей популярностью, обеспечивает высокую скорость передачи данных и надёжность. Для него используется топология “общая шина”, поэтому сообщение, отправляемое одной рабочей станцией, принимается одновременно всеми остальными станциями, подключёнными к общей шине. Но поскольку сообщение включает адреса станций отправителя и адресата, то другие станции это сообщения игнорируют. При нём перед началом передачи рабочая станция определяет, свободен канал или занят. Если свободен, то станция начинает передачу.

Сети работают на кабеле разного типа: витые пары, коаксиальный кабель (тонкий и толстый), оптические волокна. Все эти типы кабеля можно смешивать в одной сети с помощью специальных уст­ройств. Адаптеры фирмы поддерживают широкий набор сетевых операцион­ных систем: Novell NetWare, IBM LAN SERVER, 3+Open, VINES Banyan и Др. ЛВС Ethernet фирмы 3 Com совместимы с предшественницей, «первород­ным» вариантом сети Ethernet, созданным и поддерживаемым фирмами DEC, Intel и Xerox, принятым в 1982 г. в качестве международного стандарта.

В настоящее время используются более совершенные, высокоскоростные варианты сети Ethernet. Например, в конце 1993 г. фирма Kalpana внедрила Дуплексную технологию Ethernet, где используются два канала со скоростью передачи 10 Мбит/с каждый. Каналы работают одновременно, причем один из них служит для приема, а другой - для передачи данных. Дуплексная Ethernet - это коммутированная специализированная версия стандартной Ethernet, в кото­рой каналы со скоростью передачи 10 Мбит/с можно формировать в двух на­правлениях, чтобы добиться суммарной пропускной способности 20Мбит/с.

Разработана и внедрена технология 100-VG AnyLAN (VG - Voice Grade, т.е. «класс передачи речи») со скоростью передачи 100 Мбит/с. В качестве передающей среды могут ис­пользоваться неэкранированная и экранированная витые пары, волоконно-оп­тический кабель. Применяется не традиционный для Ethernet метод CSMA/CD, а другой метод доступа - обработка запросов по приоритету. Все узлы сети разбиты по приоритету на две группы: первая группа с высоким приори­тетом и вторая - с низким. Всем узлам сети предоставляется право равного доступа. Концентратор, опрашивая узлы, выявляет наличие запроса на пере­дачу, а затем разрешает этот запрос в соответствии с приоритетом узла.

ЛВС (метод доступа) ARCnet фирмы Datapoint Corp. получила распространение в силу дешевизны оборудования. Он используется в ЛВС со звездообразной топологией. Одна из ПЭВМ создаёт специальный маркер (сообщение специального вида), который последовательно передаётся от одной ПЭВМ к другой. Если станция передаёт сообщение другой станции, она должна дождаться маркера и добавить к нему сообщение, дополненное адресами отправителя и назначения. Когда пакет дойдёт до станции назначения, сообщение будет отделено от маркера и передано станции.

Сеть Arcnetможет иметь звездообразную топо­логию, если число станций исчисляется десятками, или шинную - для объе­динения в сеть небольшого числа близко расположенных компьютеров (при этом к сегменту длиной не более 300 м можно подключить 8 станций). В сети со звездообразной топологией имеется ряд активных концентраторов, соеди­ненных между собой коаксиальным кабелем. К каждому активному концент­ратору можно подключить 4,8,16 или 32 компьютера по звездообразной схе­ме. Маркер, созданный одним из компьютеров сети, переходит последова­тельно от компьютера к компьютеру в порядке возрастания их сетевых номеров, даже если смежные номера находятся на разных концах сети. По достижении самого старшего номера в сети маркер переходит к самому младшему, со­здавая таким образом логическое кольцо. Компьютер, получив маркер, мо­жет передать один пакет данных длиной до 512 байт, из них 508 байт соб­ственно данные, а остальные - для служебной информации. Если для данной станции одного пакета оказывается недостаточно, чтобы передать все сооб­щение, потребуется несколько проходов маркера по логическому кольцу.

ЛВС (метод доступа) Token Ring рассчитан на кольцевую топологию и также использует маркер, передаваемый от одной станции к другой. Но при нем имеется возможность назначать разные приоритеты разным рабочим станциям. При этом методе маркер перемещается по кольцу, давая последовательно расположенным в нём компьютерам право на передачу. Если компьютер получит пустой маркер, он может заполнить его сообщение кадром любой длины, однако лишь в течение того промежутка времени, которое отводит специальный таймер для нахождения таймера в одной точке сети. Кадр перемещается по сети и каждая ПЭВМ регенерирует его, но только принимающая ПЭВМ копирует тот кадр в свою память и отмечает его как принятый, однако не выводит сам кадр из кольца. Эту функцию выполняет передающий компьютер, когда его сообщение возвращается к нему обратно. Тем самым обеспечивается подтверждение факта получения/ передачи сообщения.

Таблица 9.2.

Характеристика основных зарубежных ЛВС

№ п/п	Наименование ЛВС, фирма, год разработки	Топология	Метод доступа	Среда передачи	Скоро сть переда-чи Мбит сек	Количество Абонентов (ПК)	Расстоя-ние, м
	Ethernet 3 Com, 1972	Звезда, шина	CSMA/ CD	ВП, КК, ВОЛС		Сегментов-15, количество ПК на сегмент-100, количество ПК в сети-1024	Длина сегмента300для КК, 4500 для ВОЛС и 150 для ВП
	Arcnet Datapoint Согр.,1977	Звезда, шина	Маркер- ная шина	КК	2,5	На один сегмент-256	Длина сегмента-300
	Token Ring, IBM,1984	Кольцо	Маркер- ное кольцо	ВП, ВОЛС	4,0-10,0 до 16,0	Для ВП-72, для ВОЛС-260	Между блоками доступа и ПК-300

Обозначения: ВП - витая пара,

КК - коаксиальный кабель,

ВОЛС-волоконно-оптическая линия связи,

ПК - персональный компьютер.

Сеть Token Ringоказала большое влияние на создание и развитие ЛВС с кольцевой топологией. Поставщиками сетевого программного обеспече­ния для этих сетей выступают фирмы 3 Com, Novel и Univation. В сети Token Ring используется звездообразная кольцевая топология: до 8 компьютеров подключаются непосредственно (по звездообразной схеме) к многостанци­онному блоку доступа или концентратору, а последние соединены по кольце­вой схеме. Неисправные компьютеры просто отключаются от сети путем их отсоединения от блока доступа, что устраняет недостаток простой эстафе­той передачи, когда один неисправный компьютер может вывести из строя всю сеть, так как все компьютеры регенерируют маркер и передают его по кольцу. Сеть Token Ring через мосты и шлюзы может выходить в другие локальные и глобальные сети.

В вычислительных сетях сосредотачивается информация, исключительное право, на пользование которой принадлежит определённым лицам или группам лиц, действующим в порядке личной инициативы или в соответствии с должностными обязанностями. Такая информация должна быть защищена от всех видов постороннего вмешательства. К тому же в вычислительных сетях должны приниматься меры по защите вычислительных ресурсов сети от несанкционированного использования. Физическая защита системы и данных может осуществляться только в отношении рабочих ЭВМ и узлов связи и оказывается невозможной для средств передачи, имеющих большую протяжённость. По этой причине в вычислительных сетях должны использоваться средства, исключающие несанкционированный доступ к данным и обеспечивающие их секретность.

Исследования практики функционирования систем обработки данных и вычислительных систем показали, что существует достаточно много возможных направлений утечки информации и путей несанкционированного доступа в системах и сетях.

В их числе:

· чтение остаточной информации в памяти системы после выполнения санкционированных запросов;

· копирование носителей информации в файлов информации и файлов информации с преодолением мер защиты;

· маскировка под зарегистрированного пользователя;

· использование программных ловушек;

· использование недостатков операционной системы;

· незаконное подключение к аппаратуре и линиям связи;

· злоумышленный вывод из строя механизмов защиты;

· внедрение и использование компьютерных вирусов;

Обеспечение безопасности информации в вычислительных сетях и в автономно работающих ПЭВМ достигается комплексом организационных, организационно-технических и программных мер.

К организационным мерам относятся:

- ограничение доступа в помещения, в которых происходит подготовка и обработка информации;

- допуск к работе и передаче конфиденциальной информации только проверенных должностных лиц;

- хранение магнитных носителей и регистрационных журналов в закрытых для доступа посторонних лиц сейфах;

- исключение просмотра посторонними лицами содержания обрабатываемых материалов через дисплей (принтер и т.д.);

- использование криптографических кодов при передаче по каналам связи ценной информации;

- уничтожение красящих лент, бумаги и иных материалов, содержащих фрагменты ценной информации.

Организационно-технические меры включают:

· осуществление питания оборудования, обрабатывающего ценную информацию от независимого источника питания или через специализированные сетевые фильтры;

· установку на дверях помещений кодовых замков;

· использование для отображения информации при вводе-выводе жидкокристаллических или плазменных дисплеев, а для получения твёрдых копий – струйных принтеров и термопринтеров, поскольку дисплей даёт такое ВЧ электромагнитное излучение, что изображение с его экрана можно принимать на расстояние нескольких сотен километров;

· уничтожение информации, хранящейся в ПЗУ и на НЖМД, при списании или отправке ПЭВМ в ремонт;

· установка клавиатуры и принтеров на мягкие прокладки с целью снижения возможности снятия информации акустическим способом;

· ограничение электромагнитного излучения путём экранирования помещений, где происходит обработка информации, листами из из металла или специальной пластмассы.

Технические средства защиты – это системы охраны территорий и помещений с помощью экранирования машинных залов и организации контрольно-пропускных систем.

Защита информации в сетях и вычислительных средствах с помощью технических средств реализуется на основе доступа к памяти с помощью:

- контроля доступа к различным уровням памяти компьютеров;

- блокировки данных и ввода ключей;

- выделения контрольных битов для записей с целью идентификации и другие.

Архитектура программных средств защиты информации включает:

· контроль безопасности, в том числе контроль регистрации вхождения в систему, фиксацию в системном журнале, контроль действий пользователя;

· реакцию (в том числе звуковую) на нарушение системы защиты контроля доступа к ресурсам сети;

· контроль мандатов доступа;

· формальный контроль защищённости операционных систем (базовой общесистемной и сетевой);

· проверку алгоритмов защиты;

· проверку и подтверждение правильности функционирования технического и программного обеспечения.

Для надёжной защиты информации и выявления случаев неправомочных действий проводится регистрация работы системы: создаются специальные дневники и протоколы, в которых фиксируются все действия, имеющие отношение к защите информации в системе. Фиксируются время поступления заявки, её тип, имя пользователя и терминала, с которого инициируется заявка. При отборе событий подлежащих регистрации, необходимо иметь ввиду, что с ростом количества регистрируемых событий затрудняется просмотр дневника и обнаружение попыток преодоления защиты. В этом случае можно применять программный анализ и фиксировать сомнительные события.

Используются также специальные программы для тестирования системы защиты. Периодически или в случайно выбранные моменты времени они проверяют работоспособность аппаратных и программных средств защиты.

К отдельной группе мер по обеспечению сохранности информации и выявлению несанкционированных запросов относятся программы обнаружения нарушений в режиме реального времени. Программы данной группы формируют специальный сигнал при регистрации действий, которые могут привести к неправомерным действиям по отношению к защищаемой информации. Сигнал может содержать информацию о характере нарушения, месте его возникновения и другие характеристики. Кроме того, программы могут запретить доступ к защищаемой информации или симулировать такой режим работы (например, моментальная загрузка устройств ввода-вывода), который позволит выявить нарушителя и задержать его соответствующей службой.

Один из распространённых способов защиты - явное указание секретности выводимой информации. В системах, поддерживающих несколько уровней секретности, вывод на экран терминала или печатающего устройства любой единицы информации (например, файла, записи или таблицы) сопровождается специальным грифом с указанием уровня секретности. Это требование реализуется с помощью соответствующих программных средств.

В отдельную группу выделены средства защиты от несанкционированного использования программного обеспечения. Они приобретают особое значение вследствие широкого распространения персональных компьютеров. Исследования, проведённые зарубежными экспертами, свидетельствуют, что на одну проданную копию оригинальной программы приходится минимум одна копия. А для особо популярных программ это соотношение достигает 1:7.

Особое внимание уделяется законодательным средствам, регулирующим использование программных продуктов. В соответствии с законом Российской Федерации об информации, информатизации и защите информации от 25.01.1995 г. предусматриваются санкции к физическим и юридическим лицам за нелегальное приобретение и использование программных средств.

Большую опасность представляют компьютерные вирусы. Компьютерный вирус – это специально написанная небольшая по размерам программа, которая может «приписывать» себя к другим программам (т.е заражать их), а также выполнять различные нежелательные действия. Программа, внутри которой находится компьютерный вирус, называется зараженной. Когда такая программа начинает работу, то сначала управление получает вирус, который находит и заражает другие программы, а также выполняет ряд вредных действий, в частности «засоряет» активную память, портит файлы.

Действия вируса могут выполняться достаточно быстро и без выдачи сообщений, поэтому пользователь часто и не замечает, что компьютер работает несколько странно. Однако по прошествии некоторого времени на компьютере может происходит следующее:

- некоторые программы перестают работать или работают неправильно;

- на экран выводятся посторонние сообщения, символы, рисунки и т.д.;

- работа на компьютере существенно замедляется;

- некоторые файлы оказываются испорченными и т.д.

Если не принимать мер по защите от вируса, то последствия заражения вирусом компьютера могут быть серьёзными.

В число средств и методов защиты от компьютерных вирусов входят:

· общие средства защиты информации, которые полезны так же, как и страховка от физической порчи машинных дисков, неправильно работающих программ или ошибочных действий пользователя;

· профилактические меры, позволяющие уменьшить вероятность заражения вирусом;

· специализированные программы для защиты от вирусов.

Комплексное решение вопросов безопасности вычислительных сетей принято именовать архитектурой безопасности, где выделяются угрозы безопасности, службы безопасности и механизмы обеспечения безопасности.

Под угрозой безопасности понимается действия или событие, которое может привести к разрушению, искажению или несанкционированному использованию ресурсов сети, включая хранимую и обрабатываемую информацию, а также аппаратные и программные средства.

Угрозы подразделяются на случайные (непреднамеренные) и умышленные. Источниками первых могут быть ошибки в ПО, неправильные (ошибочные) действия пользователей, выход из строя аппаратных средств и др.

Умышленные угрозы преследуют цель нанесения ущерба пользователям (абонентам) ВС и подразделяются на активные и пассивные. Пассивные угрозы не разрушают информационные ресурсы и не оказывают влияние на функционирование ВС. Их задача – несанкционированно получить информацию. Активные угрозы преследуют цель нарушать нормальный процесс функционирования ВС путём разрушения или радиоэлектронного подавления линий связи ВС, вывод из строя ЭВМ или её ОС, искажение баз данных и т.д. Источниками активных угроз могут быть непосредственные действия физических лиц, злоумышленников, компьютерные вирусы и др.

К основным угрозам безопасности относятся: раскрытие конфиденциальной информации, несанкционированное использование ресурсов ВС, отказ от информации.

Создаваемая служба безопасности вычислительной сети призвана обеспечить:

· подтверждение подлинности того, что объект, который предлагает себя в качестве отправителя информации в сети, действительно им является;

· целостность информации, выявляя искажения, вставки, повторы и уничтожение данных, передаваемых в сетях, а также последующее восстановление данных;

· секретность всех данных, передаваемых по каналам ВС;

· нейтрализацию всех попыток несанкционированного использования ресурсов ЭВМ. При этом контроль доступа может быть либо избирательным, т.е. распространяться на некоторые виды доступа к ресурсам, например, на обновление информации в базе данных, либо полным;

· нейтрализацию угрозы отказа от информации со стороны её отправителя и/или получателя;

· получателя информации доказательствами, которые исключают попытки отправителя отрицать факты передачи указанной информации или её содержания.

К механизмам обеспечения безопасности относятся: идентификация пользователей, шифрование данных, электронная подпись, управление маршрутизацией и др.

Идентификация пользователей. Для защиты ВС от несанкционированного доступа применяется идентификация пользователей (сообщений), позволяющая устанавливать конкретного пользователя, работающего за терминалом и принимающего либо отправляющего сообщения.

Право доступа к определённым вычислительным и информационным ресурсам, программам и наборам данных, а также вычислительной сети в целом предоставляется ограниченному контингенту лиц, и система должна идентифицировать пользователей, работающих за терминалами. Идентификация пользователей чаще всего производится с помощью паролей. Пароль – совокупность символов известных подключённому к сети абоненту, - вводится им в начале сеанса взаимодействия с сетью, а иногда и в конце сеанса (в особо ответственных случаях пароль нормального выхода из сети может отличаться от входного). Наконец, система может предусматривать ввод пароля для подтверждения правомочности пользователя через определённые кванты времени. ВС определяет подлинность пароля и, тем самым, - пользователя.

Для идентификации пользователя могут использоваться и физические методы, например карточка с магнитным покрытием, на которой записывается персональный идентификатор пользователя, карточки с встроенным чипом. Для уменьшения риска злоупотреблений карточки, как правило, используются с каким либо другим способом идентификации пользователя, например с коротким паролем.

Наиболее надёжным (хотя и наиболее сложным) является способ идентификации пользователя на основе анализа его индивидуальных параметров: отпечатков пальцев, рисунка линий руки, радужной оболочки глаз и др.

Шифрование данных. Секретность данных обеспечивается методами криптографии, т.е. методами преобразования данных из общепринятой формы в кодированную (шифрование) и обратного преобразования (дешифрование) на основе правил, известных только взаимодействующим абонентам сети. Криптография применяется для защиты передаваемых данных, а также информации, хранимой в базах данных: в пакетах данных, на гибких дисках и лентах.

Шифрование данных производится по алгоритму, определяющему порядок преобразования исходного текста в шифрованный текст, а дешифрование – по алгоритму, реализующему обратное преобразование. К криптографическим средствам предъявляется требования сохранения секретности, даже когда известна сущность алгоритма шифрования-дешифрования. Секретность обеспечивается введением в алгоритмы специальных ключей (кодов). Зашифрованный текст превращается в исходный только в том случае, когда и в процессе шифрования и дешифрования использовался один и тот же ключ. Область значений ключа выбирается столь большой, что практически исключается возможность его определения путём простого перебора возможных значений.

Дата добавления: 2014-12-29