Защита вычислительных сетей от несанкционированного доступа

Лекция 24 Обеспечение безопасности информации в лвс

В вычислительных сетях сосредотачивается информация, исключитель­ное право на пользование которой принадлежит определенным лицам или группам лиц, действующим в соответствии с должностными обязанностями. Такая информация должна быть защищена от всех видов постороннего вме­шательства: чтения лицами, не имеющими права доступа к информации, и преднамеренного изменения информации. К тому же в вычислительных се­тях должны приниматься меры по защите вычислительных ресурсов и средств связи от их несанкционированного использования, то есть должен быть исключен доступ к сети лиц, не имеющих на это права. Физическая за­щита системы и данных может осуществляться только в отношении рабочих компьютеров и узлов связи и оказывается невозможной для средств передачи, имеющих большую протяженность. По этой причине должны использоваться средства, исключающие несанкционированный доступ к данным и обеспечивающие их секретность.

Исследования практики функционирования систем обработки данных и вычислительных сетей показали, что существует много возможных направ­лений утечки информации и путей несанкционированного доступа в систе­мах и сетях. В их числе:

• чтение остаточной информации в памяти системы после выполнения санкционированных запросов;
• копирование носителей информации и файлов информации с преодо-­ лением мер защиты;
• маскировка под зарегистрированного пользователя;
• маскировка под запрос системы;
• использование программных ловушек;
• использование недостатков операционной системы;
• незаконное подключение к аппаратуре и линиям связи;
• злоумышленный вывод из строя механизмов защиты;
• внедрение и использование компьютерных вирусов и др.

• ограничение доступа в помещения, в которых происходит подготов­ка и обработка информации;
• допуск к обработке и передаче конфиденциальной информации только проверенных должностных лиц;
• хранение магнитных носителей и регистрационных журналов в за­крытых для доступа посторонних лиц сейфах;
• исключение просмотра посторонними лицами содержания обрабаты­ваемых материалов на дисплее, принтере, в распечатках и т.д.;
• использование криптографических кодов при передаче по каналам связи ценной информации;
• уничтожение красящих лент от принтеров, бумаги и иных материа­лов, содержащих фрагменты ценной информации.

• осуществление питания оборудования, обрабатывающего ценную информацию от независимого источника питания или через специальные се­тевые фильтры;
• установка на дверях помещений кодовых замков;
• использование для отображения информации при вводе/выводе жид­кокристаллических или плазменных дисплеев, а для получения твердых ко­пий — струйных или термопринтеров, поскольку дисплей с ЭЛТ дает такое высокочастотное излучение, что его изображение с экрана можно принимать на расстоянии нескольких сотен метров;
• уничтожение информации, хранящейся в ПЗУ и на магнитных дис­ках, при списании или отправке их в ремонт;
• установка клавиатуры и принтеров на мягкие прокладки с целью снижения возможности снятия информации акустическим способом;
• охрана территорий и помещений с помощью экранирования машин­ных залов металлическими листами, установки систем наблюдения и органи­зации контрольно-пропускных систем.

• контроля доступа к различным уровням памяти компьютеров;
• блокировки данных и ввода ключей;
• выделения контрольных битов для записей с целью идентификации.

• контроль безопасности, в том числе контроль регистрации вхожде­ния в систему, фиксацию в системном журнале, контроль действий пользова­теля;
• реакцию (в том числе звуковую) на нарушение системы защиты кон­троля доступа к ресурсам сети;
• контроль мандатов доступа;
• формальный контроль защищенности операционных систем (базовой общесистемной и сетевой);
• контроль алгоритмов защиты;
• проверку и подтверждение правильности функционирования техни­ческого и программного обеспечения.

• некоторые программы перестают работать или работают не корректно;
• на экран выводятся посторонние сообщения, символы, рисунки и т.д.;
• работа компьютера существенно замедляется;
• некоторые файлы или файловая система полностью оказываются ис-­ порченными и т.д.

• подтверждение подлинности того, что объект, который предлагает се­- бя в качестве отправителя информации в сети, действительно им является;
• целостность информации, выявляя искажения, вставки, повторы и уничтожение данных, передаваемых в сетях, а также последующее восста-­ новление данных;
• секретность всех данных, передаваемых по каналам вычислительной системы;
• нейтрализацию попыток несанкционированного использования вы­ числительных ресурсов. При этом контроль доступа может быть либо изби­- рательным, то есть распространяться только на некоторые виды доступа к ресурсам, например, на обновление информации в базе данных, либо пол-­ ным;

• нейтрализацию угрозы отказа от информации со стороны ее отправи-­ теля и/или получателя;
• получателя информации доказательствами, которые исключают по­ пытки отправителя отрицать факты передачи указанной информации или ее содержания.

Источник

2.4. Защита информации от несанкционированного доступа

Несанкционированный доступ – чтение, обновление или разрушение информации при отсутствии на это соответствующих полномочий [11].

Несанкционированный доступ осуществляется, как правило, с использованием чужого имени, изменением физических адресов устройств, использованием информации, оставшейся после решения задач, модификацией программного и информационного обеспечения, хищением носителя информации, установкой аппаратуры записи.

Для успешной защиты своей информации пользователь должен иметь абсолютно ясное представление о возможных путях несанкционированного доступа. Основные типовые пути несанкционированного получения информации:

· хищение носителей информации и производственных отходов;

· копирование носителей информации с преодолением мер защиты;

· маскировка под зарегистрированного пользователя;

· мистификация (маскировка под запросы системы);

· использование недостатков операционных систем и языков программирования;

· использование программных закладок и программных блоков типа «троянский конь»;

· перехват электронных излучений;

· перехват акустических излучений;

· применение подслушивающих устройств;

· злоумышленный вывод из строя механизмов защиты и т.д..

Для защиты информации от несанкционированного доступа применяются:

1) организационные мероприятия;

Организационные мероприятия включают в себя:

· хранение носителей и устройств в сейфе (дискеты, монитор, клавиатура и т.д.);

· ограничение доступа лиц в компьютерные помещения и т.д..

Технические средства включают в себя:

· фильтры, экраны на аппаратуру;

· ключ для блокировки клавиатуры;

· устройства аутентификации – для чтения отпечатков пальцев, формы руки, радужной оболочки глаза, скорости и приемов печати и т.д.;

· электронные ключи на микросхемах и т.д.

Программные средства включают в себя:

· парольный доступ – задание полномочий пользователя;

· блокировка экрана и клавиатуры с помощью комбинации клавиш в утилите Diskreet из пакета Norton Utilites;

· использование средств парольной защиты BIOS – на сам BIOS и на ПК в целом и т.д.

Шифрование–это преобразование (кодирование) открытой информации в зашифрованную, не доступную для понимания посторонних. Методы шифрования и расшифровывания сообщения изучает наука криптология, история которой насчитывает около четырех тысяч лет.

2.5. Защита информации в беспроводных сетях

Невероятно быстрые темпы внедрения в современных сетях беспроводных решений заставляют задуматься о надежности защиты данных[17].

Сам принцип беспроводной передачи данных заключает в себе возможность несанкционированных подключений к точкам доступа.

Не менее опасная угроза — вероятность хищения оборудования. Если политика безопасности беспроводной сети построена на МАС-адресах, то сетевая карта или точка доступа, украденная злоумышленником, может открыть доступ к сети.

Часто несанкционированное подключение точек доступа к ЛВС выполняется самими работниками предприятия, которые не задумываются о защите.

Решением подобных проблем нужно заниматься комплексно. Организационные мероприятия выбираются исходя из условий работы каждой конкретной сети. Что касается мероприятий технического характера, то весьма хорошей результат достигается при использовании обязательной взаимной аутентификации устройств и внедрении активных средств контроля.

В 2001 году появились первые реализации драйверов и программ, позволяющих справиться с шифрованием WEP. Самый удачный — PreShared Key. Но и он хорош только при надежной шифрации и регулярной замене качественных паролей (рис.1).

Рисунок 1 — Алгоритм анализа зашифрованных данных

Современные требования к защите

В настоящее время в различном сетевом оборудовании, в том числе в беспроводных устройствах, широко применяется более современный способ аутентификации, который определен в стандарте 802.1х — пока не будет проведена взаимная проверка, пользователь не может ни принимать, ни передавать никаких данных.

Ряд разработчиков используют для аутентификации в своих устройствах протоколы EAP-TLS и PEAP, Cisco Systems, предлагает для своих беспроводных сетей, помимо упомянутых, следующие протоколы: EAP-TLS, РЕАР, LEAP, EAP-FAST.

Все современные способы аутентификации подразумевают поддержку динамических ключей.

Главный недостаток LEAP и EAP-FAST — эти протоколы поддерживаются в основном в оборудовании Cisco Systems (рис. 2).

Рисунок 2 — Структура пакета 802.11x при использовании TKIP-PPK, MIC и шифрации по WEP.

На основании рекомендаций 802.11i Cisco Systems реализован протокол ТКIР (Temporal Integrity Protocol), обеспечивающий смену ключа шифрования РРК (Per Packet Keying) в каждом пакете и контроль целостности сообщений MIC (Message Integrity Check).

Другой перспективный протокол шифрования и обеспечения целостности — AES (Advanced Encryption Standart). Он обладает лучшей криптостойкостью по сравнению DES и ГОСТ 28147-89. Он обеспечивает и шифрацию, и целостность.

Заметим, что используемый в нем алгоритм (Rijndael) не требует больших ресурсов ни при реализации, ни при работе, что очень важно для уменьшения времени задержки данных и нагрузки на процессор.

Стандарт обеспечения безопасности в беспроводных локальных сетях — 802,11i.

Стандарт Wi-Fi Protected Access (WPA) — это набор правил, обеспечивающих реализацию защиты данных в сетях 802.11х. Начиная с августа 2003 года соответствие стандартам WPA является обязательным требованием к оборудования, сертифицируемому на звание Wi-Fi Certified.

В спецификацию WPA входит измененный протокол TKOP-PPK. Шифрование производится на сочетании нескольких ключей — текущего и последующего. При этом длина IV увеличена до 48 бит. Это дает возможность реализовать дополнительные меры по защите информации, к примеру ужесточить требования к реассоциациям, реаутентификациям.

Спецификации предусматривают и поддержку 802.1х/EAP, и аутентификацию с разделяемым ключом, и, несомненно, управление ключами.

Рекомендуется распределять пользователей с разной степенью защищенности по разным виртуальным ЛС, и, в соответствии с этим, реализовывать политику безопасности (табл.3).

Таблица 3 — Способы реализации политики безопасности

Источник