- 98 -

Часть 4. Модели сетевых сред. Создание механизмов безопасности в распределенной компьютерной системе

4.1. Введение

Ниже будет рассмотрен «внешний» аспект защищенности информации в терминах описания модели КС, сформулированных выше, относительно локального сегмента КС при злоумышленном воздействии субъектов внешней среды (например, сети Internet). Для знакомства с историей вопроса рекомендуется изучить [3-6].

Будем полагать, что пользователь локального сегмента КС использует ресурсы внешнего сегмента. Использование внешних ресурсов подразумевает существование потоков информации от объектов внешнего сегмента КС к ассоциированным объектам (в общем случае как функционально ассоциированным, так и к ассоциированным объектам-данным) субъектов локального сегмента и наоборот (причем данные потоки инициируются субъектами локального сегмента при управлении этими субъектами со стороны локальных пользователей), а также потоков от ассоциированных объектов субъектов внешнего сегмента к объектам локального сегмента (к которым могут относиться и потоки инициируемые субъектами, управляемыми злоумышленником).

Вданном случае можно говорить о внешнем злоумышленном воздействии. При этом необходимо учесть, что в подавляющем большинстве случаев локальный сегмент КС технически реализован на одном или нескольких связанных сегментах ЛВС и используют общее стандартизированное программное обеспечение в части коммуникации. Стандартной является и операционная среда (среды) всей ЛВС.

Исходя из указанных положений уточним положения модели воздействия на КС извне следующим образом. В едином пространстве объектов рассматриваемого локального сегмента КС (который соответствует, как правило, корпоративной сети организации) действует один или несколько субъектов (телекоммуникационных программных модулей) с возможностью внешнего управления. Внешнее управление реализуется возможностями телекоммуникационной программы по двунаправленной передаче данных по командам, исходящим от субъекта, принадлежащего внешнему сегменту КС. Под командами в данном случае понимается поток от ассоциированных объектов внешнего субъекта к ассоциированным объектам локального телекоммуникационного субъекта, причем указанные ассоциированные объекты, измененные под воздействием потока от внешнего субъекта, существенно влияют на текущее состояние локального субъекта. При этом модули телекоммуникационного ПО, расположенные в локальном сегменте, имеют доступ к объектам этого сегмента как прочие локальные субъекты.

Вчем состоит отличие от рассмотренных ранее положений реализации и гарантирования ПБ в КС? Отличие заключается в том, что фактически частью локальных субъектов управляет легальный пользователь, а частью - удаленный

- 99 -

анонимный пользователь, который потенциально преследует злоумышленные цели.

Выделим пассивное воздействие, исходящее от субъектов внешней сети (чтение и транспортирование объектов локального сегмента во внешнюю сеть), и активное воздействие (модификация локальных объектов). Пассивное воздействие связано с нарушением конфиденциальности корпоративной информации (компрометация), активное - с нарушением целостности.

Во множестве объектов можно выделить более ценные для злоумышленника - объекты, имеющие отношение к обеспечению локальной безопасности (например, для UNIX-систем файл для аутентификации пользователей etc\passwd).

Активное воздействие может проявляться опосредованно, т.е. в принятых из внешней сети программных модулях могут находиться РПВ, либо специально интегрированные возможности злоумышленных действий.

Отдельно выделим распространение разрушающих программных воздействий в интерпретируемых данных (активное воздействие). Сущность злоумышленного воздействия состоит в интеграции внутрь интерпретируемого объекта (обрабатываемого редакторами типа Word) операций, направленных на реплицирование (распространение) РПВ, либо на разрушение локальных данных. С другой стороны, можно рассмотреть и порождение субъекта в рамках локального сегмента КС, но инициированного внешним субъектом и из переданного извне объекта-источника. Программно-технически это механизмы удаленного запуска (REXEC) или удаленные вызовы процедур (Remote Procedure Call, RPC).

При проектировании защитных механизмов для локального сегмента КС представляется возможным двигаться по двум практически независимым направлениям - использовать локальные механизмы защиты (возможно какимлибо образом скорректированные по отношению к описанной специфике угрозы) и синтезировать специализированные механизмы для защиты преимущественно от внешних угроз. Именно такого подхода предлагается придерживаться ниже, выделяя методы проектирования локальных механизмов защиты, устойчивых к воздействию извне, и подход сетевой защиты, ориентированный на работу с интегральным потоком информации от внешней сети (внешнего сегмента КС).

В зарубежной литературе преобладает подход общей защиты локального сегмента (сформулированный вторым). Он характеризуется перенесением ответственности за защиту в локальном сегменте КС на уровень сетевого взаимодействия и реализуется технологией межсетевого экранирования (брандмауэр). Межсетевое экранирование - основной подход, предлагаемый в зарубежных системах, сопряженных с Internet. При этом анализируется поток информации сетевого уровня (Network), который обладает уникальной информацией, характеризующей отправителя и получателя пакета (адресом). Работа межсетевого экрана сводится к анализу последовательности пакетов (фильтрации) по некоторым априорно заданным критериям (при этом