8.7. Обеспечение безопасности в компьютерных сетях [4]

Компьютерные сети самим своим существованием создают допол­нительные трудности для обеспечения информационной безопасности организаций-владельцев этих сетей. Указанные проблемы многократно возрастают, если корпоративная сеть имеет связь с глобальной сетью Интернет.

В 1987 г. Национальный центр компьютерной безопасности США выпустил в свет интерпретацию TCSEC для сетевых конфи­гураций. В ней сформулированы функции безопасности, характерные для распределенных систем: аутентификация партнеров по общению и источников дан­ных; управление доступом, целостность данных; шифрование, электронная подпись и т.п.

Для обеспечения безопасности в компьютерных сетях используются следующие механизмы:

1. Механизм контроля целостности данных

Различают два аспекта механизма контроля целостности данных: целостность отдельного сообщения, или поля информации, и целостность потока сообщений, или полей информации. Контроль двух видов целостности осуществляется различными механизмами, хотя контроли­ровать целостность потока, не проверяя отдельные сообщения, едва ли имеет смысл.

Для проверки целостности потока сообщений (защиты от кражи, переупорядочивания, дублирования и вставки сообщений) используются порядковые номера, временные штампы, криптографическое связыва­ние, при котором результат шифрования очередного сообщения зависит от предыдущего, или иные аналогичные приемы.

2. Механизмы аутентификации

Используют пароли, личные карточки или иные устройства аналогичного назначения, криптографические методы и др. Аутентификация в сети бывает односторонней (клиент доказывает свою подлинность серверу), двусто­ронней или взаимной. Для защи­ты от дублирования аутентификационной информации могут использо­ваться временные штампы и синхронизация часов в узлах сети.

3. Механизмы управления маршрутизацией

Маршруты могут выби­раться статически или динамически. Система, зафиксировав неодно­кратные атаки на определенном маршруте, может отказаться от его ис­пользования. На выбор маршрута способна повлиять метка безопасно­сти, ассоциированная с передаваемыми данными.

4. Механизмы нотариального заверения

Служат для подтверждения таких коммуникационных характеристик, как целостность, время, личность отправителя и получателя. Заверение обеспечивается надеж­ной третьей стороной, которая обладает достаточной информацией, что­бы ее подтверждению можно было доверять. Обычно нотариального заверения опи­рается на механизм электронной подписи.

Основой функционирования сетей вообще и коммуникационной безопасности, в частности, являются сетевые протоколы. Многие за­щитные механизмы встраиваются в протоколы. Последние влияют и на возможность поддержания целостности данных. Достаточно высокую степень конфиденциальности обеспечивает протокол SSL (Secure Sockets Layer), поддерживающийся Web-браузерами. Он обеспечивает установление канала шифрованной связи между Web-клиентами и сер­верами, а также независимость от алгоритма шифрования.

Среди защитных механизмов в сетевых конфигурациях особое ме­сто занимает криптография, помогающая поддерживать как конфиден­циальность, так и целостность потока информации.

Наиболее уязвимый уровень с точки зрения защиты – это сетевой уровень. На нем формируется вся маршрутизирующая информация, отправитель и получатель фигурируют явно, осуществляется управление потоком. Протоколами сетевого уровня обрабатываются пакеты на всех маршрутизаторах, шлюзах и других промежуточных узлах. Почти все специфические сетевые нарушения осуществляются с использованием протоколов данного уровня (чтение, модификация, уничтожение, дублирование, переориентация отдельных сообщений или потока в целом, маскировка под другой узел и т.д.). Защита от всех подобных угроз осуществляется с помощью средств криптозащиты. На данном уровне может быть реализована и выборочная маршрутизация.

Брандмауэры с пакетными фильтрами принимают решение о том, пропускать пакет или отбросить, просматривая в заголовке этого пакета все IP-адреса, флаги или номера TCP-портов. IP-адрес и номер порта – это информация соответственно сетевого и транспортного уровней, но пакетные фильтры используют и информацию прикладного уровня, так как все стандартные сервисы в TCP/IP ассоциируются с определенным номером порта.

Брандмауэры прикладного уровня используют серверы конкретных услуг – TELNET, FTP, Proxy Server и т.д., запускаемые на брандмауэре и пропускающие через себя весь трафик, относящийся к данному сервису. Таким образом, между клиентом и сервером образуются два соединения: от клиента до брандмауэра и от брандмауэра до места назначения. Ис­пользование серверов прикладного уровня позволяет решить важную задачу – скрыть от внешних пользователей структуру локальной сети, включая информацию в заголовках почтовых пакетов или службы до­менных имен (DNS). Другим положительным качеством является воз­можность аутентификации. При описании правил доступа используются такие параметры, как название сервиса, имя пользователя, допустимый период времени использования сервиса, компьютеры, с которых можно обращаться к сервису, схемы аутентификации. Серверы протоколов при­кладного уровня позволяют обеспечить наиболее высокий уровень защиты – взаимодействие с внешним миром реализуется через неболь­шое число прикладных программ, полностью контролирующих весь входящий и выходящий трафик.

Очевидно, что никакие аппаратные, программные и любые другие решения не смогут гарантировать абсолютную надежность и безопас­ность данных в компьютерных сетях. В то же время свести риск потерь к минимуму возможно лишь при комплексном подходе к вопросам безопасности. При разработке и проведении в жизнь политики безопас­ности для информационной системы на базе компьютерной сети целесо­образно учитывать следующие принципы:

- невозможность миновать защитные средства при доступе в систему;

- разделение обязанностей;

- невозможность перехода системы в небезопасное состояние;

- разнообразие защитных средств;

- простота и управляемость информационной системы;

- обеспечение всеобщей поддержки мер безопасности.