специализированные ЭВМ, приспособленные для хранения больших объемов данных и обеспечивающие сохранность и доступность информации, а также оперативность обработки поступающих запросов. В централизованных базах данных решаются проще проблемы защиты информации от преднамеренных угроз, поддержания актуальности и непротиворечивости данных. Достоинством распределенных баз данных является их высокая защищенность от стихийных бедствий, аварий, сбоев технических средств и диверсий, если осуществляется дублирование (резервное копирование) этих данных.

Особенности защиты информации в базах данных:

•необходимость учета функционирования СУБД при выборе механизмов защиты;

•разграничение доступа к информации реализуется не на уровне файлов, а на уровне частей баз данных.

При создании средств защиты информации в базах данных необходимо учитывать взаимодействие этих средств не только с операционной системой, но с СУБД. При этом возможно встраивание механизмов защиты в СУБД или использование их в виде отдельных компонент. Для большинства СУБД придание им дополнительных функций возможно только на этапе их разработки. В эксплуатируемые системы управления базами данных дополнительные компоненты могут быть внесены путем расширения или модификации языка управления.

7.3.4. Программно-технические средства защиты информации

Требования к программно-техническим средствам защиты информации сформулированы в руководящих документах Государственной технической комиссии (ГТК) при Президенте РФ. Основой всего набора таких документов является «Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа (НСД) к информации». Этим документом вводится понятие «штатные средства», под которыми понимается совокупность программного, микропрограммного и технического обеспечения средств вычислительной техники и компьютерных сетей. Главным средством защиты считается система разграничения доступа (СРД) субъектов к объектам доступа.

Подключение компьютерных сетей к другим информацион-

290

ным системам и сетям производится через межсетевые экраны не ниже 3 класса защищенности, сертифицированные по требованиям руководящего документа Гостехкомиссии России «Средства вычислительной техники. Межсетевые экраны. Показатели защищенности от несанкционированного доступа к информации».

Объектам компьютерных сетей присваивается различная степень защищенности для определения требуемых организационнотехнических мероприятий по защите информации в зависимости от ее важности, реальных условий размещения элементов компьютерных сетей, возможных каналов утечки информации, а также для минимизации затрат на защиту информации. Допускается присваивать различные степени защищенности по отдельным элементам компьютерных сетей при обработке ими информации различной степени конфиденциальности. Установлены следующие степени (категории) защищенности объектов компьютерных сетей в соответствии со степенью конфиденциальности обрабатываемой информации:

•1 степень – объекты, связанные с обработкой строго конфиденциальной информации;

•2 степень – объекты, связанные с обработкой конфиденциальной информации;

•3 степень – объекты, связанные с обработкой служебной

информации.

Наиболее совершенные информационные системы ведения реестра (ИСВР) и информационные депозитарные системы (ИДС)

предусматривают функции, обеспечивающие многоуровневую защиту данных, которая включает в себя:

• защиту данных от несанкционированного доступа, то есть использование процедуры аутентификации пользователя по идентификатору и паролю при входе в систему;

•наличие процедур кодирования и шифровки информации;

•многоуровневый доступ к данным – наличие нескольких типов пользователей в соответствии с их полномочиями;

•защиту информации от случайного уничтожения при сбое системы или неправильных действиях персонала;

•наличие средств контроля достоверности и непротиворечивости данных;

•возможность резервного сохранения и последующего восстановления данных.

291

7.3.4.1. Защита компьютерных сетей с помощью брандмауэров

Брандмауэр – это совокупность аппаратных средств и программного обеспечения, которая связывает две и больше сетей и одновременно разделяет защищенную и незащищенную сети или защищенную область сети от незащищенной области той же сети. Является центральным пунктом управления безопасностью. Обеспечивает контроль взаимного доступа сетей друг к другу и защиту этого соединения сетей от несанкционированного вмешательства.

Брандмауэры могут реализовываться как программно, так и аппаратно-программно. Аппаратные брандмауэры являются специализированными компьютерами. При присоединении сети к сети Интернет основой безопасности этого соединения должен стать брандмауэр. Он обеспечивает возможность центрального управления безопасностью сети. Обычно брандмауэр строится на основе компьютера-бастиона.

Компьютер-бастион – это компьютер, специально установленный для защиты от атак на локальную сеть.

Обычно брандмауэр устанавливается между локальной сетью и интернетом. Он препятствует проникновению пользователей всего мира в локальную сеть и контролирует доступ к данным, хранящимся в ней.

В дополнение к традиционному аппаратному и программному обеспечению брандмауэров для большей безопасности используют экранирующий маршрутизатор.

Экранирующий маршрутизатор (screening router) – это специ-

альный компьютер (созданный, как правило, на базе персонального компьютера) или электронное устройство, экранирующее (фильтрующее) пакеты данных, основываясь на заданных администратором критериях. Критерии для выбора пакетов устанавливаются с помощью специального программного обеспечения или аппаратно.

Для защиты различных N отделов внутри локальной сети от вторжений друг к другу применяется конфигурация брандмауэра, в которой используется один компьютер-бастион с N сетевыми картами.

Для защиты локальной сети от внешних пользователей (сети Интернет) и обеспечения достаточно простой связи с интернетом тем пользователям локальной сети, которым это требуется, приме-

292

няется сетевая конфигурация, в которой используется сервер (ком- пьютер-бастион) с двумя сетевыми картами. В этом случае сетевые карты подсоединяются к компьютеру через разные, изолированные друг от друга порты.

Чтобы удовлетворить требования широкого диапазона пользователей, существует три типа брандмауэров:

•сетевого уровня;

•уровня приложений;

•уровня соединения.

Брандмауэр сетевого уровня – это обычно экранирующий мар-

шрутизатор или специальный компьютер, который исследует адреса пакетов, чтобы определить, передать пакет в локальную сеть или из нее, либо отклонить его. Пакеты наряду с другой информацией содержат IP-адреса отправителя и получателя, а также массу другой информации, которую брандмауэр использует для управления доступом к пакету. Настройка экранирующего маршрутизатора на блокирование определенных пакетов происходит с помощью файла, который содержит IP-адреса внешних сайтов (мест назначения), чьи пакеты следует блокировать. Брандмауэр (или маршрутизатор) должен блокировать пакеты, в которых эти адреса фигурируют как адреса отправителя или получателя. Подобное блокирование конкретных узлов называют методом черного списка (blacklisting).

Брандмауэр уровня приложения – это главный компьютер се-

ти, использующий программное обеспечение сервера-посредника. Сервер-посредник – это программа, управляющая трафиком и контролирующая передачу данных между двумя сетями, обеспечивая связь между пользователями локальной сети и серверами внешней сети. Брандмауэры уровня приложения позволяют контролировать тип и объем трафика (передач данных), поступающего на сайт. Эти брандмауэры обеспечивают определенное физическое разделение между локальной сетью и интернетом и тем самым отвечают самым высоким требованиям безопасности.

Брандмауэр уровня соединения подобен брандмауэру уровня приложения – оба они являются серверами-посредниками. Однако для брандмауэра уровня соединения не нужно использовать специальные приложения, поддерживающие режим связи между сервером-посредником и клиентом. Здесь клиент и сервер сообща-

293

ются через брандмауэр уровня соединения без сообщения с самим брандмауэром.

Наилучшей защитой для сети является использование в архитектуре брандмауэра как маршрутизатора, так и серверапосредника. Существует три наиболее популярных типа архитектуры брандмауэра:

•двусторонний главный брандмауэр;

•фильтрующий главный брандмауэр;

•фильтрующий брандмауэр подсети.

Двусторонний главный брандмауэр использует две отдельные сетевые карты. Это простая, но обеспечивающая очень высокую степень безопасности конфигурация, в которой один главный компьютер играет роль разделительной линии между локальной сетью и интернетом. Такой брандмауэр использует набор серверовпосредников уровня приложений или уровня соединения.

Фильтрующий главный брандмауэр использует комбинацию маршрутизаторов и серверов-посредников. Он может обеспечивать более высокую степень безопасности, чем двусторонний главный брандмауэр. Здесь для пользователей локальной сети имеется прямой доступ в интернет, в то время как сервер этой сети будет ограничивать доступ внешних пользователей в локальную сеть.

Фильтрующий брандмауэр подсети использует также комби-

нацию маршрутизаторов и серверов-посредников. Он еще более изолирует локальную сеть от интернета, включая между ними периферийную промежуточную сеть. В этом брандмауэре главный компьютер помещается на периферийной сети, к которой пользователи имеют доступ через два отдельных маршрутизатора. Серверпосредник помещается в сеть, состоящую из двух экранирующих маршрутизаторов. Один из них контролирует трафик (передачу данных) по локальной сети, а второй контролирует входящие и выходящие из интернета сообщения. Фильтрующий брандмауэр подсети обеспечивает наиболее эффективную защиту от возможных атак через интернет. В дополнение к этому маршрутизатор, находящийся в локальной сети, обеспечивает защиту от внутреннего доступа к серверу.

294