Защита информации компьютерных сетей

действия, которые запрещены пользователям. Ему приходится работать режиме

реагирования, предсказывая и запрещая те межсетевые взаимодействия, которые

отрицательно воздействуют на безопасность сети.

Определение схемы подключения межсетевого экрана.

Для подключения межсетевых экранов могут использоваться различные

схемы, которые зависят от условий функционирования, а также количества

сетевых интерфейсов брандмауэра.

Брандмауэры с одним сетевым интерфейсом не достаточно эффективны как с

точки зрения безопасности, так и с позиций удобства конфигурирования. Они

физически не разграничивают внутреннюю и внешнюю сети, а соответственно не

могут обеспечивать надежную защиту межсетевых взаимодействий. Настройка

таких межсетевых экранов, а также связанных с ними маршрутизаторов

представляет собой довольно сложную задачу, иена решения которой превышает

стоимость замены брандмауэра с одним сетевым интерфейсом на брандмауэр с

двумя или тремя сетевыми интерфейсами. Поэтому рассмотрим лишь схемы

подключения межсетевых экранов с двумя и тремя сетевыми интерфейсами. При

этом защищаемую локальную сеть будем рассматривать как совокупность

закрытой и открытой подсетей. Здесь под открытой подсетью понимается

подсеть, доступ к которой со стороны потенциально враждебной внешней сети

может быть полностью или частично открыт. В открытую подсеть могут,

например, входить общедоступные WWW-. FTP- и SMTP-серверы, а также

терминальный сервер с модемным пулом.

Среди всего множества возможных схем подключения брандмауэров типовыми

являются следующие:

- схема единой защиты локальной сети;

- схема с защищаемой закрытой и не защищаемой открытой подсетями;

- схема с раздельной зашитой закрытой и открытой подсетей.

Схема единой зашиты локальной сети является наиболее простым решением,

при котором брандмауэр целиком экранирует локальную сеть от потенциально

враждебной внешней сети. Между маршрутизатором и брандмауэром имеется

только один путь, по которому идет весь трафик. Обычно маршрутизатор

настраивается таким образом, что брандмауэр является единственной видимой

снаружи машиной. Открытые серверы, входящие в локальную сеть, также будут

защищены межсетевым экраном. Однако объединение серверов, доступных из

внешней сети, вместе с другими ресурсами защищаемой локальной сети

существенно снижает безопасность межсетевых взаимодействий. Поэтому данную

схему подключения брандмауэра можно использовать лишь при отсутствии в

локальной сети открытых серверов или когда имеющиеся открытые серверы

делаются доступными из внешней сети только для ограниченного числа

пользователей, которым можно доверять.

При наличии в составе локальной сети общедоступных открытых серверов

их целесообразно вынести как открытую подсеть до межсетевого экрана. Данный

способ обладает более высокой защищенностью закрытой части локальной сети,

но обеспечивает пониженную безопасность открытых серверов, расположенных до

межсетевого экрана. Некоторые брандмауэры позволяют разместить эти серверы

на себе. Но такое решение не является лучшим с точки зрения загрузки

компьютера и безопасности самого брандмауэра. Учитывая вышесказанное, можно

сделать вывод, что схему подключения брандмауэра с защищаемой закрытой

подсетью и не защищаемой защищаемой открытой подсетью целесообразно

использовать лишь при невысоких требованиях по безопасности к открытой

подсети.

В случае же, когда к безопасности открытых серверов предъявляются

повышенные требования, то необходимо использовать схему с раздельной

защитой закрытой и открытой подсетей. Такая схема может быть построена на

основе одного брандмауэра с тремя сетевыми интерфейсами или на основе двух

брандмауэров с двумя сетевыми интерфейсами. В обоих случаях доступ к

открытой и закрытой подсетям локальной сети возможен только через

межсетевой экран. При этом доступ к открыто сети не позволяет осуществить

доступ к закрытой подсети.

Из последних двух схем большую степень безопасности межсетевых в:

действий обеспечивает схема с двумя брандмауэрами, каждый из кс образует

отдельный эшелон защиты закрытой подсети. Защищаемая открытая подсеть здесь

выступает в качестве экранирующей подсети. Обычно экранирующая подсеть

конфигурируется таким образом, чтобы o6ecпечить доступ к компьютерам

подсети как из потенциально враждебной внешней сети, так и из закрытой

подсети локальной сети. Однако прямой обмен информационными пакетами между

внешней сетью и закрытой подсетью невозможен.

При атаке системы с экранирующей подсетью необходимо преодолеть, по

крайней мере, две независимые линии зашиты, что является весьма сложной

задачей. Средства мониторинга состояния межсетевых экранов практически

неизбежно обнаружат подобную попытку, и администратор системы своевременно

предпримет необходимые действия по предотвращению несанкционированного

доступа.

Следует обратить внимание, что работа удаленных пользователей,

подключаемых через коммутируемые линии связи, также должна контролироваться

в соответствии с политикой безопасности, проводимой в организации. Типовое

решение этой задачи — установка сервера удаленного доступа 1терминального

сервера), который обладает необходимыми функциональными возможностями,

например, терминального сервера Annex компании Bay Networks. Терминальный

сервер является системой с несколькими асинхронными портами и одним

интерфейсом локальной сети. Обмен информацией между асинхронными портами и

локальной сетью осуществляется только после соответствующей аутентификации

внешнего пользователя.

Подключение терминального сервера должно осуществляться таким образом,

чтобы его работа выполнялась исключительно через межсетевой эк\\ Это

позволит достичь необходимой степени безопасности при работе удаленных

пользователей с информационными ресурсами организации. Такое подключение

возможно, если терминальный сервер включить в состав or-крытой подсети при

использовании схем подключения брандмауэра с раздельной защитой открытой и

закрытой подсетей (рис- 2.20 и 2.21).

Программное обеспечение терминального сервера должно предоставлять

возможности администрирования и контроля сеансов связи через коммутируемы;

каналы. Модули управления современных терминальных серверов имеют

достаточно продвинутые возможности обеспечения безопасности самого сервера

i разграничения доступа клиентов, выполняя следующие функции:

- использование локального пароля на доступ к последовательному порт\

на удаленный доступ по протоколу РРР, а также для доступа к

административной консоли;

- использование запроса на аутентификацию с какой-либо машины

локальной сети;

- использование внешних средств аутентификации;

- установку списка контроля доступа на порты терминального сервера;

- протоколирование сеансов связи через терминальный сервер.

Настройка параметров функционирования брандмауэра.

Межсетевой экран представляет собой программно-аппаратный комплекс

зашиты, состоящий из компьютера, а также функционирующих на нем

операционной системы (ОС) и специального программного обеспечения. Следует

отметить, что это специальное программное обеспечение часто также называют

брандмауэром.

Компьютер брандмауэра должен быть достаточно мощным и физически

защищенным, например, находиться в специально отведенном и охраняемом

помещении. Кроме того, он должен иметь средства защиты от загрузки ОС с

несанкционированного носителя.

Операционная система брандмауэра также должна удовлетворять ряду

требований:

- иметь средства разграничения доступа к ресурсам системы;

- блокировать доступ к компьютерным ресурсам в обход предоставляемого

программного интерфейса;

- запрещать привилегированный доступ к своим ресурсам из локальной

сети;

- содержать средства мониторинга/аудита любых административных

действий.

Приведенным требованиям удовлетворяют различные разновидности ОС UNIX,

а также Microsoft Windows NT. После установки на компьютер брандмауэра

выбранной операционной системы, ее конфигурирования, а также инсталляции

специального программного обеспечения можно приступать к настройке

параметров функционирования всего межсетевого экрана. Этот процесс включает

следующие этапы:

- выработку правил работы межсетевого экрана в соответствии с

разработанной политикой межсетевого взаимодействия и описание правил в

интерфейсе брандмауэра;

- проверку заданных правил на непротиворечивость;

- проверку соответствия параметров настройки брандмауэра разработанной

политике межсетевого взаимодействия.

Формируемая на первом этапе база правил работы межсетевого экрана

представляет собой формализованное отражение разработанной политикой

межсетевого взаимодействия. Компонентами правил являются защищаемые

объекты, пользователи и сервисы.

В число защищаемых объектов могут входить обычные компьютеры с одним

сетевым интерфейсом, шлюзы (компьютеры с несколькими сетевыми

интерфейсами), маршрутизаторы, сети, области управления. Защищаемые объекты

могут объединяться в группы. Каждый объект имеет набор атрибутов, таких как

сетевой адрес, маска подсети и т. п. Часть этих атрибутов следует задать

вручную, остальные извлекаются автоматически из информационных баз,

например NIS/NIS+, SNMP M1B, DNS. Следует обратить внимание на

необходимость полного описания объектов, так как убедиться в корректности

заданных правил экранирования можно только тогда, когда определены сетевые

интерфейсы шлюзов и маршрутизаторов. Подобную информацию можно получить

автоматически от SNMP-агентов.

При описании правил работы межсетевого экрана пользователи наделяются

входными именами и объединяются в группы. Для пользователей указываются

допустимые исходные и целевые сетевые адреса, диапазон дат и времени

работы, а также схемы и порядок аутентификации.

Определение набора используемых сервисов выполняется на основе

встроенной в дистрибутив брандмауэра базы данных, имеющей значительный

набор TCP/IP сервисов. Нестандартные сервисы могут задаваться вручную с

помощью специальных атрибутов. Прежде чем указывать сервис при задании жид,

необходимо определить его свойства. Современные брандмауэры содержат

предварительно подготовленные определения всех стандартных TCP/IP-сервисов,

разбитых на четыре категории — TCP, UDP, RPC, ICMP.

Сервисы TCP являются полностью контролируемыми сервисами, так как

предоставляются и используются на основе легко диагностируемых виртуальных

соединений.

Сервисы UDP традиционно трудны для фильтрации, поскольку фаза

установления виртуального соединения отсутствует, равно как и контекст

диалога между клиентом и сервером. Брандмауэр может сам вычислять этот

контекст, отслеживая все UDP-пакеты, пересекающие межсетевой экран обоих

направлениях, и ассоциируя запросы с ответами на них. В результат

получается аналог виртуального соединения для дейтаграммного протокола, а

все попытки нелегального установлении подобного соединения, равно как и

дейтаграммы, следующие вне установленных соединений, обрабатывают™ в

соответствии с установленной политикой межсетевого взаимодействия.

RPC-сервисы сложны для фильтрации из-за переменных номеров

используемых портов. Брандмауэры отслеживают RPC-трафик, выявляя запросы к

функции PORTMAPPER и извлекая из ответов выделенные номера портов

Протокол ICMP используется самим IP-протоколом для отправки

контрольных сообщений, информации об ошибках, а также для тестирования

целостности сети. Для ICMP протокола не используется концепция портов. В

нем используются числа от 0 до 255 для указания типа сервиса, которые

вместе: адресами и учитываются при контроле межсетевого взаимодействия.

После того как база правил сформирована, она проверяется на

непротиворечивость. Это очень важный момент, особенно для развитых,

многокомпонентных сетевых конфигураций со сложной политикой межсетевого

взаимодействия. Без подобной возможности администрирование межсетевого

экрана с неизбежностью привело бы к многочисленным ошибкам и созданию

слабостей. Проверка сформированных правил на непротиворечивость выполняется

автоматически. Обнаруженные неоднозначности должны быть устранены путем

редактирования противоречивых правил. После окончательного определения

правил и устранения ошибок от администратора могут потребоваться

дополнительные действия по компиляции и установке фильтров и посредников.

Большинство брандмауэров после формирования базы правил выполняют процесс

окончательной настройки автоматически.

Проверка соответствия параметров настройки брандмауэра разработанной

политике межсетевого взаимодействия может выполняться на основе анализа

протоколов работы межсетевого экрана. Однако наибольшая результативность

такой проверки будет достигнута при использовании специализированных систем

анализа защищенности сети. Наиболее ярким представителем таких систем

является пакет программ Internet Scanner SAFEsuite компании Internet

Security Systems.

Входящая в состав данного пакета подсистема FireWall Scanner

обеспечивает поиск слабых мест в конфигурации межсетевых экранов и

предоставляет рекомендации по их коррекции. Поиск слабых мест

осуществляется на основе проверки реакции межсетевых экранов на различные

типы попыток нарушения безопасности. При этом выполняется сканирование всех

сетевых сервисов, доступ к которым осуществляется через межсетевой экран.

Для постоянного полдержания высокой степени безопасности сети FireWall

Scanner рекомендуется сделать частью установки межсетевого экрана.

При настройке межсетевого экрана следует помнить, что и как любое

другое средство, он не может защитить от некомпетентности администраторов и

пользователей. Несанкционированные проникновения в защищенные сети могут

произойти, например, по причине выбора легко угадываемого пароля.

Экранирующая система не защищает также от нападения по не контролируемым ею

каналам связи. Если между потенциально враждебной внешней сетью и

защищаемой внутренней сетью имеется неконтролируемый канал, то брандмауэр

не сможет защитить от атаки через него. Это же относится и к телефонным

каналам передачи данных. Если модем позволяет подключиться внутрь

защищаемой сети в обход межсетевого экрана, то защита будет разрушена.

Здесь следует вспомнить основной принцип защиты — система безопасна

настолько, насколько безопасно ее самое незащищенное звено. Поэтому

необходимо, чтобы экранирующая система контролировала все каналы передачи

информации между внутренней и внешней сетью.

2. Криптография

Проблема защиты информации путем ее преобразования,

исключающего ее прочтение посторонним лицом волновала человеческий ум с

давних времен. История криптографии - ровесница истории человеческого

языка. Более того, первоначально письменность сама по себе была

криптографической системой, так как в древних обществах ею владели только

избранные. Священные книги Древнего Египта, Древней Индии тому примеры.

С широким распространением письменности криптография стала

формироваться как самостоятельная наука. Первые криптосистемы встречаются

уже в начале нашей эры. Так, Цезарь в своей переписке использовал уже более

менее систематический шифр, получивший его имя.

Бурное развитие криптографические системы получили в годы первой и

второй мировых войн. Начиная с послевоенного времени и по нынешний день

появление вычислительных средств ускорило разработку и совершенствование

криптографических методов.

Криптографические методы защиты информации в автоматизированных

системах могут применяться как для защиты информации, обрабатываемой в ЭВМ

или хранящейся в различного типа ЗУ, так и для закрытия информации,

передаваемой между различными элементами системы по линиям связи.

Криптографическое преобразование как метод предупреждения

несационированного доступа к информации имеет многовековую историю. В

настоящее время разработано большое колличество различных методов

шифрования, созданы теоретические и практические основы их применения.

Подавляющие число этих методов может быть успешно использовано и для

закрытия информации. Под шифрованием в данном едаваемых сообщений, хранение

информации (документов, баз данных) на носителях в зашифрованном виде.

Почему проблема использования криптографических методов в

информационных системах (ИС) стала в настоящий момент особо актуальна?

С одной стороны, расширилось использование компьютерных сетей, в

частности глобальной сети Интернет, по которым передаются большие объемы

информации государственного, военного, коммерческого и частного характера,

не допускающего возможность доступа к ней посторонних лиц.

С другой стороны, появление новых мощных компьютеров, технологий

сетевых и нейронных вычислений сделало возможным дискредитацию

криптографических систем еще недавно считавшихся практически не

раскрываемыми.

Проблемой защиты информации путем ее преобразования занимается

криптология (kryptos - тайный, logos - наука). Криптология разделяется на

два направления - криптографию и криптоанализ. Цели этих направлений прямо

противоположны.

Криптография занимается поиском и исследованием математических методов

преобразования информации.

Сфера интересов криптоанализа - исследование возможности

расшифровывания информации без знания ключей.

Современная криптография включает в себя четыре крупных раздела:

1. Симметричные криптосистемы.

2. Криптосистемы с открытым ключом.

3. Системы электронной подписи.

4. Управление ключами.

Основные направления использования криптографических методов -

передача конфиденциальной информации по каналам связи (например,

электронная почта), установление подлинности передаваемых сообщений

,хранение информации (документов,баз данных) на носителях в зашифрованном

виде.

Криптографические методы защиты информации в автоматизированных

системах могут применяться как для защиты информации, обрабатываемой в ЭВМ

или хранящейся в различного типа ЗУ, так и для закрытия информации,

передаваемой между различными элементами системы по линиям связи.

Криптографическое преобразование как метод предупреждения

несационированного доступа к информации имеет многовековую историю. В

настоящее время разработано большое колличество различных методов

шифрования, созданы теоретические и практические основы их применения.

Подавляющие число этих методов может быть успешно использовано и для

закрытия информации.

Итак, криптография дает возможность преобразовать информацию таким

образом, что ее прочтение (восстановление) возможно только при знании

ключа.

В качестве информации, подлежащей шифрованию и дешифрованию, будут

рассматриваться тексты, построенные на некотором алфавите. Под этими

терминами понимается следующее.

Алфавит - конечное множество используемых для кодирования информации

знаков.

Текст - упорядоченный набор из элементов алфавита.

В качестве примеров алфавитов, используемых в современных ИС можно

привести следующие:

алфавит Z33 - 32 буквы русского алфавита и пробел;

алфавит Z256 - символы, входящие в стандартные коды ASCII и КОИ-8;

бинарный алфавит - Z2 = {0,1};

восьмеричный алфавит или шестнадцатеричный алфавит;

Шифрование - преобразовательный процесс: исходный текст, который носит

также название открытого текста, заменяется шифрованным текстом.

Дешифрование - обратный шифрованию процесс. На основе ключа

шифрованный текст преобразуется в исходный.

Рис. 1. Процедура шифрования файлов.

Ключ - информация, необходимая для беспрепятственного шифрования и

дешифрования текстов.

Криптографическая система представляет собой семейство T

преобразований открытого текста. Члены этого семейства индексируются, или

обозначаются символом k; параметр k является ключом. Пространство ключей K

- это набор возможных значений ключа. Обычно ключ представляет собой

последовательный ряд букв алфавита.

Криптосистемы разделяются на симметричные и с открытым ключом.

В симметричных криптосистемах и для шифрования, и для дешифрования

используется один и тот же ключ.

В системах с открытым ключом используются два ключа - открытый и

закрытый, которые математически связаны друг с другом. Информация шифруется

с помощью открытого ключа, который доступен всем желающим, а

расшифровывается с помощью закрытого ключа, известного только получателю

сообщения.

Термины распределение ключей и управление ключами относятся к

процессам системы обработки информации, содержанием которых является

составление и распределение ключей между пользователями.

Электронной (цифровой) подписью называется присоединяемое к тексту его

криптографическое преобразование, которое позволяет при получении текста

другим пользователем проверить авторство и подлинность сообщения.

Криптостойкостью называется характеристика шифра, определяющая его

стойкость к дешифрованию без знания ключа (т.е. криптоанализу). Имеется

несколько показателей криптостойкости, среди которых:

количество всех возможных ключей;

среднее время, необходимое для криптоанализа.

Преобразование Tk определяется соответствующим алгоритмом и значением

параметра k. Эффективность шифрования с целью защиты информации зависит от

сохранения тайны ключа и криптостойкости шифра.

Процесс криптографического закрытия данных может осуществляться как

программно, так и аппаратно. Аппаратная реализация отличается существенно

большей стоимостью, однако ей присущи и преимущества: высокая

производительность, простота, защищенность и т.д. Программная реализация

более практична, допускает известную гибкость в использовании.

Для современных криптографических систем защиты информации

сформулированы следующие общепринятые требования:

зашифрованное сообщение должно поддаваться чтению только при наличии ключа;

число операций, необходимых для определения использованного ключа

шифрования по фрагменту шифрованного сообщения и соответствующего ему

открытого текста, должно быть не меньше общего числа возможных ключей;

число операций, необходимых для расшифровывания информации путем перебора

всевозможных ключей должно иметь строгую нижнюю оценку и выходить за

пределы возможностей современных компьютеров (с учетом возможности

использования сетевых вычислений);

знание алгоритма шифрования не должно влиять на надежность защиты;

незначительное изменение ключа должно приводить к существенному изменению

вида зашифрованного сообщения даже при использовании одного и того же

ключа;

структурные элементы алгоритма шифрования должны быть неизменными;

дополнительные биты, вводимые в сообщение в процессе шифрования, должен

быть полностью и надежно скрыты в шифрованном тексте;

длина шифрованного текста должна быть равной длине исходного текста;

не должно быть простых и легко устанавливаемых зависимостью между ключами,

последовательно используемыми в процессе шифрования;

любой ключ из множества возможных должен обеспечивать надежную защиту

информации;

алгоритм должен допускать как программную, так и аппаратную

реализацию, при этом изменение длины ключа не должно вести к качественному

ухудшению алгоритма шифрования.

-----------------------

шифрованный

текст

исходный

текст

Криптографическая система

КЛЮЧ

Страницы: 1, 2