Дина Погонышева - Безопасность информационных систем. Учебное пособие

• быть физически защищенным;

• иметь средства защиты от загрузки операционной системы с несанкционированного носителя;

• иметь средства защиты на уровне операционной системы, разграничивающие доступ к ресурсам системы;

• операционная система компьютера должна запрещать привилегированный доступ к своим ресурсам из локальной сети;

• операционная система компьютера должна содержать средства мониторинга (аудита) любых административных действий.

Работа удаленных пользователей, подключаемых через коммутируемые линии связи, должна контролироваться в соответствии с политикой безопасности, проводимой в организации. Так как телефонные линии невозможно держать под контролем, необходимы дополнительные средства аутентификации пользователей. Каждый из легальных пользователей должен иметь возможность доступа к нужным ресурсам.

Типовое решение этой задачи – установка терминального сервера, который обладает необходимыми функциональными возможностями. Необходимо использовать сетевой терминальный сервер с несколькими асинхронными портами и одним интерфейсом локальной сети. Обмен информацией между асинхронными портами и локальной сетью, осуществляется только после соответствующей авторизации и аутентификации внешнего пользователя.

Программное обеспечение терминального сервера должно предоставлять возможности администрирования и контроля сеансов связи через коммутируемые каналы.

Программа Firewall устанавливается на компьютер-шлюз и выполняет основные функции экранирования межсетевого доступа. Структурно Firewall представляет собой административный модуль, управляющий набором модулей фильтров, установленных соответственно на маршрутизаторах, компьютере и при необходимости на выделенных серверах внутри локальной сети. Необходимо установка модулей фильтрации Firewall на компьютер-шлюз и маршрутизаторы экранирующей подсети.

Работа с программой Firewall состоит из следующих этапов:

• выработка правил фильтрации в соответствии с политикой безопасности предприятия;

• определение сетевых объектов, взаимоотношение которых регламентируется правилами фильтрации;

• определение набора используемых сервисов либо на основе встроенной базы данных, имеющей значительный набор TCP/IP сервисов, либо определяя собственные сервисы, используемые в организации;

• определение базы данных пользователей с указанием возможных рабочих мест, времени работы и порядок аутентификации;

• определение правил фильтрации в интерфейсе Firewall;

• проверка внутренней непротиворечивости набора правил фильтрации;

• компиляция фильтра и его установка на фильтрующих модулях;

• анализ протоколов работы для проверки адекватности политики безопасности предприятия.

Дополнительно включается трансляция адресов. Высокая производительность Firewall и прозрачность программы для пользователей позволяет эффективно использовать его как инструмент межсетевого экранирования в соответствии с политикой безопасности предприятия.

Для эффективной защиты компьютерных сетей также совместно с сетевыми экранами должны быть использованы средства аутентификации. В данном контексте информационной безопасности средство аутентификации предназначено для генерации одноразовых паролей, используемых для аутентификации удаленных пользователей. Преимуществом аутентификации является отсутствие передачи пароля через общедоступные коммуникации. Это делает невозможным получение несанкционированного доступа путем перехвата сетевых пакетов, что возможно, например, в случае стандартных сервисов типа telnet.

• В средствах аутентификации используются односторонние функции, для которых восстановление значения аргумента по значению функции (обращение) требует практически недоступных вычислительных ресурсов. Работа таких средств состоит из инициализации, когда пользовательский пароль используется как аргумент односторонней функции, применяемой последовательно N раз, и сеансовой аутентификации, которая сводится к следующему:

• удаленный пользователь сообщает серверу свое имя;

• сервер возвращает пользователю число, равное N – 1;

• пользователь на локальном компьютере вводит пароль, с которым клиентская часть производит N – 1 вычислений односторонней функции;

• результат вычислений посылается серверу;

• сервер проводит еще одно вычисление односторонней функции и сравнивает результат с полученным от клиента в предыдущий раз.

При использовании некриптографического средства обеспечивается проверка подлинности клиента, причем сеансовые пароли являются одноразовыми и не восстанавливаются с помощью предыдущих либо последующих паролей.

Модуль управления терминальным сервером имеет возможности обеспечения безопасности самого сервера и разграничения доступа клиентов, выполняя следующие функции:

• использование локального пароля на доступ к последовательному порту, для доступа по протоколу PPP, для доступа к административной консоли;

• использование запроса на аутентификацию с какой-либо машины локальной сети;

• использование внешних средств аутентификации;

• установку списка контроля доступа на порты терминального сервера;

• протоколирование сеансов связи через терминальный сервер. Установка терминального сервера должна быть такой, чтобы его работа осуществлялась исключительно через компьютер и с использованием аутентификации одноразовыми паролями. Это позволит достичь необходимой степени безопасности при работе удаленных пользователей с информационными ресурсами организации.

Проблемой защиты информации путем ее преобразования занимается криптология ( kryрtos — тайный, logos – наука). Криптология разделяется на два направления – криптографию и криптоанализ . Цели этих направлений прямо противоположны.

Криптография занимается поиском и исследованием математических методов преобразования информации.

Криптоанализ занимается исследованием возможностей расшифровывания информации без знания ключей.

Современная криптография включает в себя четыре крупных раздела:

1. Симметричные криптосистемы.

2. Криптосистемы с открытым ключом.

3. Системы электронной подписи.

4. Управление ключами.

Основные направления использования криптографических методов – передача конфиденциальной информации по каналам связи, установление подлинности передаваемых сообщений, хранение информации (документов, баз данных) на носителях в зашифрованном виде.

Криптография дает возможность преобразовать информацию таким образом, что ее прочтение (восстановление) возможно только при знании ключа.