Управление доступом в вычислительных сетях

9.4 Контроль доступа к вычислительной сети

Цель: Защита сетевых сервисов. Доступ как ко внутренним, так и к внешним сетевым сервисам следует контролировать. Это поможет гарантировать, что пользователи, имеющие доступ к сети и сетевым сервисам, не нарушают безопасность этих сервисов. Для этого используются следующие средства: a) соответствующие интерфейсы между сетью организации и общественными сетями и сетями, принадлежащими другим организациям; b) соответствующие механизмы аутентификации для пользователей и оборудования; c) контроль доступа пользователей к информационным сервисам.

9.4.1 Политика использования сетевых сервисов

Незащищенные подключения к сетевым сервисам могут повлиять на безопасность всей организации. Пользователям должен предоставляться непосредственный доступ только к тем сервисам, на использование которых они получили специальное разрешение. Это в особенности важно для сетевых подключений к конфиденциальным или критичным бизнесприложениям, а также для пользователей, работающих в областях с повышенным риском, например, в общественных местах и на внешних территориях, находящихся за пределами области действия средств защиты, реализованных в организации. Необходимо разработать политику в отношении использования сетей и сетевых сервисов. Эта политика должна охватывать:

© ISO/EIC 2000,	55
© Перевод компании Информзащита 2004

ISO/EIC 17799:2000 a) сети и сетевые сервисы, к которым разрешается доступ; b) процедуры авторизации, позволяющие определить, какие пользователи имеют право доступа к каким сетям и сетевым сервисам; c) административные правила и средства защиты доступа к сетевым подключениям и сетевым сервисам. Эта политика должна быть согласована с политикой контроля доступа в организации (см. раздел 9.1).

9.4.2 Фиксированные (enforced) маршруты

Иногда возникает необходимость контролировать маршрут от пользовательского терминала к компьютерному сервису. Сети разрабатываются так, чтобы обеспечить максимальную широту совместного использования ресурсов и гибкость маршрутизации. Однако злоумышленники могут воспользоваться этими возможностями для несанкционированного доступа к бизнесприложениям или несанкционированного использования средств обработки информации. Чтобы уменьшить вероятность этого, можно разработать средства для ограничения маршрута между пользовательским терминалом и компьютерным сервисом, с которым данный пользователь имеет право работать – например, создать фиксированный маршрут. Цель создания фиксированного маршрута – не позволять пользователям выбирать маршруты, лежащие за пределами определенного маршрута между пользовательским терминалом и сервисами, с которыми пользователь имеет право работать. Как правило, это требует установки определенных средств в различных пунктах маршрута. Принцип заключается в том, чтобы возможности маршрутизации в каждом пункте сети ограничивались лишь выбранными вариантами. Вот несколько примеров: a) использование выделенных линий или отдельных телефонных номеров; b) автоматическое подключение портов к выбранным прикладным системам или шлюзам безопасности (Security gateway); c) ограничение набора пунктов меню для отдельных пользователей; d) запрет на неограниченное перемещение по сети; e) использование только определенных прикладных программных систем и/или шлюзов безопасности для внешних пользователей сети; f) активный контроль разрешенных соединений между источниками и адресатами с помощью шлюзов безопасности (например, межсетевых экранов); g) ограничение доступа к сети путем создания отдельных логических зон, например, виртуальных частных сетей, для групп пользователей внутри организации (см. также раздел 9.4.6). Требования к фиксированному маршрутизированию должны быть основаны на политике контроля доступа в организации (см. раздел 9.1).

9.4.3 Аутентификация пользователей для внешних подключений

Внешние подключения (например, подключения по телефонным линиям) предоставляют потенциальную возможность для несанкционированного доступа к информации организации. В связи с этим для доступа удаленных пользователей должна применяться аутентификация. Существуют различные методы аутентификации. Некоторые их этих методов обеспечивают

56	© ISO/EIC 2000
© Перевод компании Информзащита 2004

ISO/EIC 17799:2000 более эффективную защиту по сравнению с другими – например, методы, основанные на шифровании, могут обеспечить усиленную аутентификацию. Необходимый уровень защиты следует определить при оценке рисков. Эта информация потребуется при выборе подходящего метода аутентификации. Для аутентификации удаленных пользователей можно использовать, например, криптографические методы, аппаратные средства или протоколы с запросом и подтверждением. Кроме того, для обеспечения достоверности источника соединения могут использоваться выделенные частные линии или средства проверки сетевых адресов пользователей. Для защиты от несанкционированных и нежелательных подключений к средствам обработки информации в организациях могут использоваться средства обратного вызова, например, модемы с функцией обратного вызова. Этот метод контроля служит для аутентификации пользователей, пытающихся подключиться к сети организации из удаленного пункта. При применении этого метода не следует использовать сетевые сервисы, обеспечивающие перенаправление вызовов. Если функция перенаправления вызовов все же имеется, ее следует отключить, чтобы избежать связанных с ней уязвимостей. Кроме того, процесс обратного вызова обязательно должен включать проверку реального прекращения соединения со стороны организации. В противном случае удаленный пользователь может остаться на линии, сымитировав проверку путем обратного вызова. Средства обратного вызова следует тщательно проверить на наличие этой возможности.

9.4.4 Аутентификация узлов

Средства автоматического подключения к удаленному компьютеру могут быть использованы злоумышленникам для получения несанкционированного доступа к бизнес-приложениям. В связи с этим подключения к удаленным компьютерным системам должны требовать аутентификации. Это особенно важно в том случае, если для подключения используется сеть, находящаяся за пределами контроля организации. Некоторые примеры методов аутентификации и способов ее реализации приведены в разделе 9.4.3 выше. Аутентификация узлов может служить альтернативным средством для аутентификации групп удаленных пользователей при подключении к совместно используемым защищенным компьютерным сервисам (см. раздел 9.4.3).

9.4.5 Защита удаленных диагностических портов

Доступ к диагностическим портам должен тщательно контролироваться. Во многих компьютерах и системах связи имеется система удаленной диагностики путем подключения по телефонной линии, используемая инженерами сервисной службы. При отсутствии защиты такие диагностические порты могут быть использованы для несанкционированного доступа. Поэтому они должны быть защищены с помощью соответствующего защитного механизма (например, замка). Необходимо ввести правила, гарантирующие, что эти порты будут доступны только по договоренности между сотрудником, ответственным за компьютерную систему, и специалистами сервисной службы, которым необходим доступ.

9.4.6 Разделение вычислительных сетей

По мере появления партнерских отношений, требующих объединения или совместного использования сетей и средств обработки информации, сети все чаще выходят за традиционные рамки организации. Такое расширение может увеличить риск несанкционированного доступа к подключенным к сети информационным системам, некоторые из которых могут требовать защиты от других пользователей сети из-за своей критичности или конфиденциальности. В подобных условиях рекомендуется рассмотреть

© ISO/EIC 2000,	57
© Перевод компании Информзащита 2004

ISO/EIC 17799:2000 внедрение средств сетевого контроля для разделения групп информационных сервисов, пользователей и информационных систем. Один из методов контроля безопасности в крупных сетях – разделение таких сетей на отдельные логические сетевые зоны, например, внутренние сетевые зоны организации и внешние сетевые зоны. Каждая такая зона защищается определенным периметром безопасности. Подобный периметр можно реализовать путем установки защищенного шлюза между двумя объединяемыми сетями для контроля доступа и передачи информации между этими двумя доменами. Конфигурация данного шлюза должна обеспечивать фильтрацию трафика между этими доменами (см. разделы 9.4.7 и 9.4.8) и блокировку несанкционированного доступа в соответствии с политикой контроля доступа в организации (см. раздел 9.1). Хорошим примером подобного шлюза является система, которую принято называть межсетевым экраном. Критерии разделения сети на зоны должны быть основаны на политике контроля доступа и требованиях к доступу (см. раздел 9.1). Кроме того, при внедрении средств сетевой маршрутизации и шлюзов необходимо учитывать относительную стоимость и влияние на производительность (см. разделы 9.4.7 и 9.4.8).

9.4.7 Контроль сетевых подключений

Политика контроля доступа в совместно используемых сетях, в особенности в тех сетях, которые выходят за пределы организации, может требовать реализации средств ограничения возможностей подключения для пользователей. Подобные средства могут быть реализованы с помощью сетевых шлюзов, фильтрующих трафик в соответствии с заданной таблицей или набором правил. Вводимые ограничения должны быть основаны на политике доступа и на потребностях организации (см. раздел 9.1). Эти ограничения необходимо поддерживать и своевременно обновлять. Вот примеры областей, для которых необходимо ввести ограничения: a) электронная почта; b) односторонняя передача файлов; c) двухсторонняя передача файлов; d) интерактивный доступ; e) сетевой доступ с привязкой ко времени дня или дате.

9.4.8 Контроль сетевой маршрутизации

В совместно используемых сетях, в особенности в тех сетях, которые выходят за пределы организации, может возникнуть необходимость создания средств контроля маршрутизации, гарантирующих, что компьютерные подключения и потоки данных не нарушают политику контроля доступа в организации (см. раздел 9.1). Такой контроль зачастую необходим для сетей, которые используются совместно с другими пользователями, не являющимися сотрудниками организации. Средства контроля маршрутизации должны быть основаны на специальных механизмах проверки адресов источника и пункта назначения. Кроме того, для изоляции сетей и предотвращения возникновения маршрутов между двумя сетями различных организаций очень удобно использовать механизм трансляции сетевых адресов. Эти средства могут быть реализованы как на программном, так и на аппаратном уровне. При реализации необходимо учитывать мощность выбранных механизмов.

58	© ISO/EIC 2000
© Перевод компании Информзащита 2004

Источник

2.3.3 Управление доступом к информации в локальной сети

Средства управления доступом позволяют специфицировать и контролировать действия, которые субъекты (пользователи, процессы) могут выполнять над объектами (информацией и другими компьютерными ресурсами).

Речь идет о логическом управлении доступом, который реализуется программными средствами. Логическое управление доступом — это основной механизм многопользовательских систем, призванный обеспечить конфиденциальность и целостность объектов и их доступность путем запрещения обслуживания неавторизованных пользователей.

Контроль прав доступа производится разными компонентами программной среды — ядром операционной системы, дополнительными средствами безопасности, системой управления базами данных, посредническим программным обеспечением и т.д.

При принятии решения о предоставлении доступа обычно анализируется следующая информация:

• Идентификатор субъекта (идентификатор пользователя, сетевой адрес компьютера) – подобные идентификаторы являются основой добровольного управления доступом;
• Атрибуты субъекта (метка безопасности, группа пользователя); метки безопасности — основа принудительного управления доступом;
• Место действия (системная консоль, надежный узел сети);
• Время действия (большинство действий целесообразно разрешать только в рабочее время);
• Внутренние ограничения сервиса (число пользователей согласно лицензии на программный продукт).

Источник