все лекции

Эти тесты обычно охватывают кабель, конфигурацию аппаратных

средств, в частности плату интерфейса сети.

В составе БОЛЬШИХ ЛВС предусматриваются сложные системы с

двойным назначением – МОНИТОРИНГОМ И ДИАГНОСТИКОЙ.

ЦЕНТР УПРАВЛЕНИЯ СЕТЬЮ (ЦУС) – это пассивное монито-

ринговое устройство, КОТОРОЕ СОБИРАЕТ ДАННЫЕ о потоках со-

общений в сети, её характеристиках, сбоях, ошибках и т. д.

Данные о потоках сообщений показывают, КТО пользуется сетью, а

также КОГДА и КАК она применяется.

Однако упомянутые выше средства диагностики ЛВС НЕ ОБНАРУЖИВАЮТ несанкционированное подключение к сети

ПОСТОРОННЕЙ ЭВМ.

Отключение компьютера от сети контролируется, иногда с перерывами по желанию оператора или по запросу пользователя.

В больших ЛВС (до 10 км) кабельные линии могут выходить за

пределы охраняемой территории или в качестве линий связи могут использоваться телефонные

линии связи обычных АТС, на которых информация может подвергнуться несанкционированному доступу.

Кроме того, сообщения в локальной сети МОГУТ БЫТЬ

ПРОЧИТАНЫ НА ВСЕХ ЕЁ УЗЛАХ, несмотря на специфические сетевые

адреса. Посредством пользовательских модификаций последних все узлы сети

могут считывать данные, циркулирующие в данной ЛВС.

Таким образом, в число возможных КАНАЛОВ преднамеренного несанкционированного доступа к информации для ЛВС входят:

–доступ в ЛВС со стороны штатной ПЭВМ;

–доступ в ЛВС со стороны кабельных линий связи.

НЕСАНКЦИОНИРОВАННЫЙ ДОСТУП СО СТОРОНЫ ШТАТНОЙ ПЭВМ (включая серверы) возможен по каналам для авто-

номного режима её работы.

Здесь необходимо защищаться и от пользователя-нарушителя, до-

пущенного только к определённой информации файл-сервера, и от ограниченного круга других пользователей данной ЛВС.

НЕСАНКЦИОНИРОВАННЫЙ ДОСТУП В ЛВС СО СТОРОНЫ КАБЕЛЬНЫХ ЛИНИЙ возможен:

–со стороны штатного пользователя-нарушителя одной ПЭВМ

при обращении к информации другой, в том числе файл-серверу;

–при подключении посторонней ПЭВМ и другой посторонней ап-

паратуры;

–при побочных электромагнитных излучениях и наводках за счёт

переизлучения информации.

Кроме того, в результате аварийных ситуаций, отказов аппаратуры,

ошибок операторов и разработчиков ПО ЛВС,

возможны:

–переадресация информации;

–отображение и выдача её на рабочих местах, для неё не предназначенных;

–потеря информации в результате её случайного стирания или пожа-

ра.

Машинная память – достоинство автоматизированной системы. Но хранение данных в

этой изменчивой среде повышает вероятность потери данных: несколько нажатий клавиш могут уничтожить результаты работы многих часов и даже лет. Проникновение вируса в ПЭВМ может ущербно отразиться на всей работе и информации ЛВС.

10.2 Защита от преднамеренного и случайного НСД в ЛВС

Анализ ЛВС как объекта защиты, возможных каналов несанкционированного доступа (ВКНСД) к информации ограниченного пользования и потенциальных

угроз позволяет выбрать и построить соответствующую систему защиты.

10.2.1 Защита от преднамеренного НСД

Угроза НСД со стороны пользователя-нарушителя в плане защиты требует

создания на программном уровне ЛВС СИСТЕМЫ ОПОЗНАНИЯ И РАЗГРАНИЧЕНИЯ ДОСТУПА к информации (СОРДИ) со всеми её ат-

рибутами:

– средствами идентификации и аутентификации пользователей, а

также

– разграничения их полномочий по доступу к информации файл-

сервера и другим ПЭВМ данной ЛВС.

В меры по защите входит следующее.

1 При этом ЗАЩИТА ДАННЫХ файл-сервера осуществляется од-

ним способом или в различных сочетаниях четырьмя способами:

а) входным паролем.

Это первый уровень сетевой защиты. Защита при входе в сеть применяется по отношению ко всем пользователям. Чтобы выйти в файл-сервер, пользователю нужно знать своё «имя» и соответствующий пароль (6–8 и более символов).

При этом, администратор безопасности может установить

ДОПОЛНИТЕЛЬНЫЕ ОГРАНИЧЕНИЯ ПО ВХОДУ в сеть:

1) ограничить период времени, в течение которого пользователь

может входить в сеть;

2) назначить рабочим станциям специальные адреса, с которыми разрешено входить в сеть;

3) ограничить количество рабочих станций, с которых можно выйти в сеть;

4) установить режим «запрета постороннего вторжения»,

когда ПРИ НЕСКОЛЬКИХ несанкционированных попытках С

НЕВЕРНЫМ ПАРОЛЕМ устанавливается ЗАПРЕТ НА ВХОД в сеть.

б) Попечительской защитой данных.

Это второй уровень защиты данных в сети – используется для управления

возможностями индивидуальных пользователей по работе с файлами

в заданном каталоге.

ПОПЕЧИТЕЛЬ – это пользователь, которому предоставлены привилегии или права для работы с каталогом и файлами внутри него.

Любой попечитель может иметь восемь разновидностей прав:

–Read – право Чтения открытых файлов;

–Write – право Записи в открытые файлы;

–Open – право Открытия существующего файла;

–Create – право Создания (и одновременно открытия) новых фай-

лов;

–Delete – право Удаления существующих файлов;

–Parental – Родительские права:

*право Создания, Переименования, Стирания подкатало-

гов каталога;

*право Установления попечителей и прав в каталоге;

*право Установления попечителей и прав в подкаталоге;

–Search – право Поиска каталога;

–Modify – право Модификации файловых атрибутов.

в) Защитой в каталоге.

Это третий уровень защиты данных в сети. Каждый каталог имеет

«маску максимальных прав».

Когда создаётся каталог, маска прав каталога содержит те же во-

семь разновидностей прав, что и попечитель.

Ограничения каталога применяются только в одном заданном каталоге. За-

щита в каталоге не распространяется на его подкаталоги.

д) Защитой атрибутами файлов.

Защита атрибутами файлов – четвёртый уровень защиты данных в сети. При

этом предусмотрена возможность устанавливать, может ли индивиду-

альный файл быть изменён или разделён.

Защита атрибутами файлов используется в основном для Предотвра-

щения Случайных Изменений Или Удаления отдельных файлов.

Такая защита, в частности, полезна для защиты информационных файлов общего пользования, которые обычно читаются многими пользователями. Эти файлы не должны допускать порчи при попытках изменений или стирания. В защите данных используются четыре файловых атрибута: «Запись–Чтение/Только чтение» и «Разделяемый/Неразделяемый».

2 Чтобы исключить ВОЗМОЖНОСТЬ ОБХОДА систем опозна-

ния и разграничения доступа в ПЭВМ и ЛВС путём применения отладоч-

ных программ, а также проникновения компьютерных вирусов,

РЕКОМЕНДУЕТСЯ,

если это возможно, в данной ЛВС применять ПЭВМ БЕЗ

ДИСКОВОДОВ и портов подключения внешних устройств, или хотя

бы ЗАБЛОКИРОВАТЬ ИХ МЕХАНИЧЕСКОЙ крышкой, опечатывае-

мой администратором безопасности. Данная мера, кроме того, защищает от кражи данных, которые можно скопировать на мобильные носители данных в течение нескольких минут. Эти носители легко спрятать и вынести за пределы даже охраняемой территории.

Многие поставщики сетей обеспечивают ВОЗМОЖНОСТЬ ЗАГРУЗКИ

локальных рабочих станций С ЦЕНТРАЛЬНОГО СЕРВЕРА и таким об-

разом делают ПЭВМ без диска пригодной для использования в сети.

В тех же случаях, когда требуется локальное запоминающее устрой-

ство, допускается возможность замены внешнего мобильного носителя на

местный жёсткий диск.

3 Опознание пользователя и разграничение доступа в ЛВС можно

также организовать С ПОМОЩЬЮ ШИФРОВАЛЬНОГО УСТРОЙСТВА.

Лучше всего для этой цели использовать аппаратное устройство

шифрования, так как его подмена или отключение нарушителю не по-

могут.

Такое устройство устанавливается в каждой ПЭВМ и тогда

ЗАКОННЫЙ ПОЛЬЗОВАТЕЛЬ ОБРАЩАЕТСЯ в сеть с помощью ключа-пароля, ОТВЕТНЫЕ ЗНАЧЕНИЯ которого ХРАНЯТСЯ НА ТЕХ рабочих СТАНЦИЯХ, к обмену с КОТОРЫМИ ОН ДОПУЩЕН.

В свою очередь на файл-сервере по этому паролю ему могут предоставлять-

ся персональные массивы данных.

Ещё одно достоинство этого метода в том, что КЛЮЧ-ПАРОЛЬ

ДАННОГО ПОЛЬЗОВАТЕЛЯ НЕ ХРАНИТСЯ НА ДАННОЙ ПЭВМ, а

ЗАПОМИНАЕТСЯ ПОЛЬЗОВАТЕЛЕМ или ХРАНИТСЯ НА специаль-

ном носителе типа КАРТОЧКИ.

Все ДАННЫЕ, включая коды паролей, которые ПОСТУПАЮТ В

СЕТЬ, и все данные, которые ХРАНЯТСЯ НА ЖЕСТКОМ ДИСКЕ, ДОЛЖНЫ БЫТЬ ЗАШИФРОВАНЫ.

При передаче данных в сеть, ДО НАЧАЛА ШИФРОВАНИЯ (с це-

лью привязки к передаваемой информации) идентификатор и (или) адрес

получателя и отправителя (передаваемые в открытом виде) совместно

синформацией ДОЛЖНЫ ПОДВЕРГАТЬСЯ ОБРАБОТКЕ

ОБЫЧНЫМИ СРЕДСТВАМИ ПОВЫШЕНИЯ ДОСТОВЕРНОСТИ,

результат которой одновременно с зашифрованной информацией по-

ступает на ПЭВМ-получатель, где

после дешифрации принятая информация проверяется на совпа-

дение.

Данная процедура позволит обнаружить подмену идентификато-

ра и (или) адреса, т. е. попытку навязывания ложной информации при несанк-

ционированном подключении к сети.

Шифрованию НЕ ДОЛЖНЫ подвергаться ВСЕМ ИЗВЕСТНЫЕ

формализованные запросы и сообщения, так как, ЗНАЯ ЗАКОН

ПРЕОБРАЗОВАНИЯ, нарушитель путём перебора известных формали-

зованных сообщений может вычислить действительное значение

ключа, с помощью которого одно из них закрыто, а знание последнего позволит

нарушителю ознакомиться с остальной зашифрованной информацией.

Поступающая в сеть зашифрованная ключом отправителя инфор-

мация дешифруется на ПЭВМ-получателе с помощью ключа, значение

которого соответствует идентификатору и (или) адресу отправителя.

(Ключи шифрования отправителей хранятся в ПЭВМ-получателе в зашифрованном виде,

они зашифрованы ключом-паролем получателя информации.)

4 В менее ответственных ЛВС для защиты от модификации инфор-

мации при её передаче по телефонным каналам используется система «ОБРАТНЫЙ ВЫЗОВ».

Если нужно подключиться к ПЭВМ, где имеется система защиты «обрат-

ный вызов», следует сообщить об этом системе, и тогда её устройство

защиты подготавливается для «обратного вызова» на ваше местонахождение.

Другими словами, система имеет в памяти полный листинг на каж-

дого допущенного пользователя.

В этот файл включены:

– семизначный идентификационный номер, который вы должны набрать, когда хотите обратиться к файлу;

–телефонный номер, по которому вас можно найти;

–главные ЭВМ, к которым вам разрешен доступ.

То есть, ПОДЛИННОСТЬ обращения обеспечивается обратным

вызовом: соединение с вами устанавливается вашим адресатом по

вашему вызову. Данный метод, однако, не защищает от утечки информации.

5 Для защиты ДАННЫХ, ПЕРЕДАЮЩИХСЯ ПО КАБЕЛЮ, су-

ществует несколько способов.

Первый способ – уборка кабеля из поля зрения – должен быть предпри-

нят для защиты кабеля от повреждения и удовлетворения правил электробез-

опасности, т. е. если кабель проложить в труднодоступном скрытом ме-

сте, это будет способствовать его защите от НСД.

Кабель, по которому передаются данные, ИЗЛУЧАЕТ

РАДИОСИГНАЛЫ подобно передающей антенне. Простое оборудование для

перехвата, установленное рядом с кабелем, может собирать и записывать эти передачи. Если величина излучаемого сигнала превышает сигналы шумов на расстоянии за пределами охраняемой территории, следует принять определённые меры защиты.

Значение излучаемого сигнала на кабеле МОЖНО УМЕНЬШИТЬ при помощи ЭКРАНА в виде заземлённой оплётки из медных проводов, охватывающих провода, несущие информацию.

Другой способ решить эту проблему заключается в ПРИМЕНЕНИИ

ВОЛОКОННО-ОПТИЧЕСКОГО КАБЕЛЯ, использующего тонкий стеклян-

ный световод, но которому передача информации осуществляется путём модуляции света.

Однако существуют сообщения о возможности съёма информации и с этих ка-

белей. Поэтому наилучшим средством защиты от вышеуказанных угроз

СЛУЖИТ ШИФРОВАНИЕ передаваемой информации, о котором указа-

но выше.

Данное шифрование, и шифрование, упоминаемое выше при описании средств защиты информации в ПЭВМ, не одно и то же, хотя оно и может выполняться на одном и том же устройстве

(аппаратном или программном). В одном случае оно может быть предназначено для персонально-

го использования (закрытия информации на мобильных дисках), в другом – для сетевого кон-

троля и разграничения доступа.

6 Средства защиты будут выполнять свою задачу, если они со-

ставляют ЗАМКНУТЫЙ КОНТУР ЗАЩИТЫ и имеют СРЕДСТВА

СИГНАЛИЗАЦИИ И БЛОКИРОВКИ ДОСТУПА,

а в случаях невозможности создание последних обладают такой прочностью, время на преодоление которой больше времени жизни защищаемой ин-

формации или финансовые затраты на преодоление которой превышают стоимость защищаемой информации.

Задачи ОБЪЕДИНЕНИЯ РАЗЛИЧНЫХ СРЕДСТВ ЗАЩИТЫ (со-

здания замкнутого контура) и обеспечения их функционирования выпол-

няют СРЕДСТВА ЦЕНТРАЛИЗОВАННОГО УПРАВЛЕНИЯ И КОНТРОЛЯ ЗАЩИТОЙ.

Схема распределения средств защиты по ВКНСД приведена в таб-

лице 10.1.

Таблица 10.1 – Распределение средств зашиты по ВКНСД ЛВС

Класс

Наименование

Средства защиты

Прочность

защиты

ВКНСД

I

II

Ш

ВКНСД

элемента

Система безопасности

информа-

GPC

+

+

+

сети

(ПЭВМ)

ции э

лемента

сети (ПЭВМ)

Средства контроля

доступа

на

ВКНСД

сервера

P1

+

+

+

территорию

объекта

Средства контроля

доступа

в

P2

+

+

—

помещение

сервера

Программа контроля и раз-

граничения

P3

+

+

+

доступа

к информации ЛВС

Средства шифрования

P4

+

—

—

Организационные мероприя-

P5

+

+

+

тия

Средства контроля доступа на тер-

P1

+

+

+

риторию объекта

НСД со стороны

Средства контроля доступа в поме-

средств контроля и

щение

P2

+

+

управления

администратора

конфигурацией, ад-

Программа опознания и контроля

+

+

+

ресными таблица-

P6

доступа к информации ПЭВМ

ми и

Программа контроля и разграни-

функциональным

P3

+

+

+

чения доступа к информации ЛВС

контролем ЛВС

Средства контроля целостности

P7

+

+

—

ЛВС

Средства контроля доступа на тер-

P1

+

+

+

НСД со стороны

риторию объекта

линии связи ЛВС

Организационные мероприятия

P5

+

+

—

Система шифрования

P4

+

—

—

Продолжение таблицы 10.1

Наименование

Средства защиты

Прочность

Класс за-

ВКНСД

щиты

НСД со стороны

Средства контроля доступа на тер-

P1

+

+

+

аппаратуры переда-

риторию объекта

чи

Средства контроля доступа в поме-

данных в каналы

щение

P2

+

—

—

связи, концентра-

Средства контроля вскрытия аппа-

P8

+

торов, мостов,

ратуры