Сетевая безопасность. Информационные технологии, интернет, веб программирование, IT, Hi-Tech, …

Концепция "авторитетных рекомендаций" представляет собой набор указаний, которые обеспечивают должный уровень безопасности. Авторитетные рекомендации (далее - рекомендации) - это комбинация указаний, эффективность которых доказана при применении в самых различных организациях. Не все указания пригодны для использования в конкретной организации. В некоторых компаниях необходимы дополнительные политики и процедуры, обучение персонала или контроль за технической безопасностью для достижения приемлемого уровня управления безопасностью .

Административная безопасность

Рекомендации по административной безопасности - это те решения, которые соответствуют политикам и процедурам, ресурсам, степени ответственности, потребностям в обучении персонала и планам по выходу из критических ситуаций. Эти меры призваны определить важность информации и информационных систем для компании и объяснить персоналу, в чем именно заключается эта важность. Рекомендации по обеспечению административной безопасности определяют ресурсы, необходимые для осуществления должного управления рисками и определения лиц, несущих ответственность за управление безопасностью организации.

Политики и процедуры

Политики безопасности определяют метод, согласно которому обеспечивается безопасность внутри организации. После определения политики предполагается, что большинство сотрудников компании будут ее соблюдать. Следует понимать, что полного и безоговорочного выполнения политики не будет. В некоторых случаях политика будет нарушаться из-за требований, связанных с деловой деятельностью организации. В других случаях игнорирование политики обусловлено сложностью ее выполнения.

Даже принимая во внимание тот факт, что политика будет выполняться не постоянно, она формирует ключевой компонент программы по обеспечению безопасности и должна быть включена в перечень рекомендаций по защите. При отсутствии политики сотрудники не будут знать, что делать для защиты информации и компьютерных систем.

• Информационная политика. Определяет степень секретности информации внутри организации и необходимые требования к хранению, передаче, пометке и управлению этой информацией.
• Политика безопасности. Определяет технические средства управления и настройки безопасности, применяемые пользователями и администраторами на всех компьютерных системах.
• Политика использования . Определяет допустимый уровень использования компьютерных систем организации и штрафные санкции, предусмотренные за их нецелевое использование. Данная политика также определяет принятый в организации метод установки программного обеспечения и известна как политика приемлемого использования.
• Политика резервного копирования. Определяет периодичность резервного копирования данных и требования к перемещению резервных данных в отдельное хранилище. Кроме того, политики резервного копирования определяют время, в течение которого данные должны быть зарезервированы перед повторным использованием.

Политики сами по себе не формируют исчерпывающих инструкций по выполнению программы безопасности организации. Следует определить процедуры, согласно которым сотрудники будут выполнять определенные задачи, и которые будут определять дальнейшие шаги по обработке различных ситуаций с точки зрения безопасности. Внутри организации должны быть определены следующие процедуры.

• Процедура управления пользователями. Определяет, кто может осуществлять авторизованный доступ к тем или иным компьютерам организации, и какую информацию администраторы должны предоставлять пользователям, запрашивающим поддержку. Процедуры управления пользователями также определяют, кто несет ответственность за информирование администраторов о том, что сотруднику больше не требуется учетная запись. Аннулирование учетных записей важно с той точки зрения, чтобы доступ к системам и сетям организации имели только лица с соответствующими деловыми потребностями.
• Процедуры системного администрирования. Описывают, каким образом в данный момент времени применяется политика безопасности на различных системах, имеющихся в организации. Эта процедура подробно определяет, каким образом должна осуществляться работа с обновлениями и их установка на системы.
• Процедуры управления конфигурацией. Определяют шаги по внесению изменений в функционирующие системы. Изменения могут включать в себя обновление программного и аппаратного обеспечения, подключение новых систем и удаление ненужных систем.

Примечание

Во многих организациях управление обновлениями представляет собой большую проблему. Отслеживание обновлений для снижения уровня уязвимости систем, а также тестирование этих обновлений перед установкой на функционирующие системы (чтобы не отключать работающие приложения) занимает очень много времени, но эти задачи очень важны для любой организации.

Наряду с процедурами по управлению конфигурацией устанавливаются методологии разработки новых систем. Они очень важны для управления уязвимостями новых систем и для защиты функционирующих систем от несанкционированного изменения. Методология разработки определяет, как и когда должны разрабатываться и применяться меры защиты. Необходимо делать акцент на этих сведениях при проведении любых инструктажей разработчиков и менеджеров проектов.

Лекция 31 Введение в безопасность сетей

Лекция 31

Тема: Введение в безопасность сетей

Сетевая безопасность охватывает множество мер и должна рассматриваться как часть общей политики, проводимой организацией (предприятием, компанией, фирмой) по информационной безопасности. В обеспечении безопасности сети занято много служб и используются различные средства. По сетевой безопасности написано огромное количество книг и статей, затрагивающих широкий диапазон ИБ.

Основные понятия.

Эффективность компьютерной сети во многом зависит от степени защищенности обрабатываемой и передаваемой информации. Степень защищенности информации от различного вида угроз при ее получении, обработке, хранении, передаче и использовании называют безопасностью информации.

Актуальность проблеме сетевой безопасности придает широкое использование компьютерных технологий во всех сферах жизни современного общества, а также переход от использования выделенных каналов к публичным сетям (Internet, Frame Relay), который наблюдается при построении корпоративных сетей.

Безопасная сеть (или безопасная связь) обладает свойствами:

■ конфиденциальности (Confidentiality), т.е. защищает данные от несанкционированного доступа, предоставляя доступ к секретным данным только авторизованным пользователям, которым этот доступ разрешен;

■ доступности (Availability), что означает обеспечение постоянного доступа к данным авторизованным пользователям. Безопасная связь характеризуется свойством аутентичности, т.е. способностью отправителя и получателя подтвердить свою личность: отправитель и получатель должны быть уверены в том, что каждый из них является тем, за кого он себя выдает;

■ целостности (Integrity), гарантирующей сохранность данных, которая обеспечивается запретом для неавторизованных пользователей каким-либо образом изменять, модифицировать, разрушать или создавать данные.

Политика безопасности, включающая в себя совокупность норм и правил, регламентирующих процесс обработки информации, формируется на этапе развертывания сети с учетом таких основополагающих принципов, как:

■ комплексный подход к обеспечению безопасности, начиная с организационно-административных запретов и заканчивая встроенными средствами сетевой защиты;

■ предоставление каждому сотруднику предприятия (пользователю компьютеров, информационной системы, сети) того минимального уровня привилегий на доступ к данным, который необходим ему для выполнения своих должностных обязанностей;

■ принцип баланса возможного ущерба от реализации угрозы и за¬трат на ее предотвращение. Например, в некоторых случаях можно отказаться от дорогостоящих аппаратных средств защиты, ужесточив административные меры.

Основная задача политики безопасности состоит в защите от несанкционированного доступа к ресурсам информационной системы. Политика безопасности является эффективным средством, заставляющим всех пользователей корпоративной сети следовать раз и навсегда установленным правилам безопасности. Ее реализация начинается с выявления уязвимых компонентов и угроз и принятия соответствующих контрмер.

Уязвимым является такой компонент, некорректное использование или сбой которого может поставить под угрозу безопасность всей сети. К уязвимым компонентам относят пользователей сети, которые могут нанести вред сознательно, случайно или в силу отсутствия опыта.

Если информация нерегулярно резервируется, перед всей корпоративной сетью возникает вполне реальная угроза потери данных в результате умышленного или случайного повреждения основного накопителя.

Угроза - это потенциальная попытка использования недостатков уязвимого компонента для нанесения вреда. При¬мерами угроз могут служить взломщики, вирусы, пожары, природные катаклизмы.

После оценки возможных угроз (рисков) переходят к выработке контрмер. Под контрмерой понимают действие, позволяющее минимизировать риск от определенного уязвимого компонента или некоторой угрозы. Одной из самых эффективных контрмер минимизации риска потери данных является создание надежной системы резервного копирования.

Результаты оценки рисков и выработанные контрмеры используются для создания плана безопасности, который должен в мельчайших подробностях описывать системные стратегии организации, имеющие непосредственное и отдаленное отношение к вопросам безопасности.

Планирование безопасности сети и данных.

Высокая степень безопасности может быть достигнута путем использования плана, предусматривающего применение различных мер и средств обеспечения безопасности.

Оценка требований к безопасности сетевых данных является первым этапом разработки плана по принятию мер их защиты. При этом должны быть учтены характер деятельности организации и хранящихся в сети данных, стратегия и стиль управления организацией, которые должен знать сетевой администратор и реализовать его в подведомственной ему сети.

Высокий уровень безопасности данных должен поддерживаться в организациях, располагающих данными, которые являются строго конфиденциальными по своей природе. Примером могут служить коммерческие организации, предоставляющие услуги или выпускающие продукцию в областях с высоким уровнем конкуренции. Некоторые виды данных должны быть защищены независимо от характера деятельности организации. К ним относятся бухгалтерская документация, налоговая информация, промышленные секреты (планы деятельности организаций и коммерческие планы, рецепты, технологии изготовления, тексты программ и т.д.).

Для принятия мер по защите данных в сети нужно выявить главные источники угроз их безопасности.

Существуют следующие виды угроз:

■ непреднамеренные, к которым относятся ошибочные действия лояльных сотрудников, стихийные бедствия, ненадежность работы программно-аппаратных средств и др.;

■ преднамеренные, которые явно направлены на причинение ущерба информационной безопасности;

■ внешние, которые проявляются в таких формах, как несанкционированное использование паролей и ключей; атаки DoS (Denial of Service - отказ в обслуживании), направленные на разрыв сетевого соединения или приведение его в неработоспособное состояние; подмена адреса; компьютерные вирусы и черви;

■ внутренние, к которым можно отнести промышленный шпионаж, интриги и недовольство служащих, случайные нарушения и т.п.

В плане безопасности должны быть самым детальным образом перечислить процедуры, выполнение которых предписывается политикой безопасности. Каждый сотрудник, отвечающий за выполнение конкретной процедуры, должен быть предупрежден о возможных последствиях в случае отступления от предписанного способа выполнения процедуры. Рекомендуется взять с сотрудника письменное подтверждение того, что он понимает смысл стратегии безопасности, согласен с ней и обязуется ей следовать, а так¬же регулярно обновлять план, т.е. пересматривать аспекты безопасности, пытаясь определить новые потенциально уязвимые компоненты, угрозы и контрмеры для борьбы с ними, и отражать изменения в плане.

СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ

Для безопасности сети используется широкий набор различных средств и технологий. Рассмотрим некоторые из них.

Базовые технологии безопасности.

В разных программных и аппаратных продуктах, предназначенных для защиты данных, часто используются одинаковые подходы, приемы и технические решения, которые в совокупности образуют технологию безопасности.

Криптозащита. Разработкой методов преобразования информации в целях ее защиты занимается криптография.

Преобразование общедоступных (понятных для всех) данных к виду, затрудняющему их распознавание, называется шифрованием (Encryption), а обратное преобразование - дешифрованием (Decryption). Шифрование является доступным средством для администраторов и пользователей и одним из эффективных средств обеспечения конфиденциальности информации. Следует выделить два основных способа шифрования данных: перестановку (Transposition), когда в исходных данных изменяют последовательность символов, и замену (Substitution), при которой с помощью некоторого шаблона производят замену всех символов используемого алфавита, например буквы заменяют цифрами.

Операции шифрования и дешифрования данных (информации) осуществляются с помощью ключей, которые создаются с привлечением математических формул.

Метод, при котором для обеих операций используется один ключ, называется симметричной криптографией (Symmetric Cryptography). При асимметричной криптографии (Asymmetric Cryptography) каждый пользователь сети должен располагать двумя ключами: общим (Public key) и частным (Private key). Оба ключа связаны друг с другом с помощью некоторой математической функции. Общий ключ известен каждому пользователю. Зашифрованное с помощью общего ключа сообщение может быть прочитано только с помощью частного ключа. Поскольку предполагается, что пользователь, которому адресуется сообщение, не разглашает свой ключ, он является единственным человеком, который может прочитать сообщение.

Популярны два алгоритма шифрования: симметричный DES (Data Encryption Standard - стандарт шифрования данных, который является официальным стандартом правительства США) и не¬симметричный RSA, разработанный учеными Rivest, Shamir, Adle- man и названный по начальным буквам их фамилий.

Для шифрования, аутентификации и проверки целостности передаваемых по сети пакетов разработан протокол IPSec (IP Securi¬ty), включающий в себя протокол АН (Authentication Header), позволяющий проверять идентичность отправителя, и протокол ESP (Encapsulating Security Payloads), обеспечивающий конфиденциальность самих данных. Протокол IPSec поддерживают маршрутизаторы компании Cisco Systems и ОС Windows 2000/ХР.

Для передачи через Internet зашифрованных, аутентифицированных сообщений используется протокол SSL (Secure Sockets Layer - уровень защищенных сокетов, или гнезд). В этом протоколе криптографическая система с открытым ключом комбинируется с блочным шифрованием данных.

Аутентификация (Authentication).

Это процедура установления подлинности пользователя при запросе доступа к ресурсам системы (компьютеру или сети). Аутентификация предотвращает доступ нежелательных лиц и разрешает доступ всем легальным пользователям. В процедуре аутентификации участвуют две стороны, одна из которых доказывает свое право на доступ (аутентичность), предъявляя некоторые аргументы, другая - проверяет эти аргументы и принимает решение. Для доказательства аутентичности может использоваться некоторое известное для обеих сторон слово (пароль) или уникальный физический предмет (ключ), а также собственные биохарактеристики (отпечатки пальцев или рисунок радужной оболочки глаза).

Наиболее часто при аутентификации используют вводимые с клавиатуры пароли.

Пароль представляет собой зашифрованную последовательность символов, которая держится в секрете и предъявляется при обращении к информационной системе.

Объектами аутентификации могут быть не только пользователи, но и различные устройства, приложения, текстовая и другая информация.

Идентификация субъектов и объектов доступа.

Идентификация предусматривает закрепление за каждым субъектом доступа уникального имени в виде номера, шифра или кода, например, персональный идентификационный номер (Personal Identification Number - PIN), социальный безопасный номер (So¬cial Security Number - SSN) и т. п. Идентификаторы пользователей должны быть зарегистрированы в информационной системе администратором службы безопасности.

При регистрации в базу данных системы защиты для каждого пользователя заносятся такие данные, как фамилия, имя, отчество и уникальный идентификатор пользователя, имя процедуры для установления подлинности и пароль пользователя, полномочия пользователя по доступу к системным ресурсам и др. Идентификацию следует отличать от аутентификации. Идентификация заключается в сообщении пользователем системе своего идентификатора, в то время как аутентификация является процедурой доказательства пользователем того, что именно ему принадлежит введенный им идентификатор.

Это процедура предоставления каждому из пользователей тех прав доступа к каталогам, фай¬лам и принтерам, которыми его наделил администратор. Кроме того, система авторизации может контролировать возможность выполнения пользователями различных системных функций, таких как установка системного времени, создание резервных копий данных, локальный доступ к серверу, выключение сервера и т. п.

■ избирательный, при котором отдельным пользователям (или группам), явно указанным своими идентификаторами, разрешаются или запрещаются определенные операции над определенным ресурсом;

■ мандатный, при котором вся информация в зависимости от степени секретности делится на уровни, а все пользователи сети - на группы, образующие иерархию в соответствии с уровнем допуска к этой информации.

Процедуры авторизации реализуются программными средства¬ми по централизованной схеме, в соответствии с которой пользователь один раз логически входит в сеть и получает на все время работы некоторый набор разрешений по доступу к ресурсам сети, и децентрализованной схеме, когда доступ к каждому приложению должен контролироваться средствами безопасности самого приложения или средствами той операционной среды, в которой оно работает.

Аудит (Auditing). Это фиксация в системном журнале событий, связанных с доступом к защищаемым системным ресурсам. Аудит используется для обнаружения неудачных попыток взлома системы. При попытке выполнить противоправные действия си¬стема аудита идентифицирует нарушителя и пишет сообщение в журнал регистрации. Анализ накопившейся и хранящейся в журнале информации может оказаться действенной мерой защиты от несанкционированного доступа.

Процедура рукопожатий. Для установления подлинности пользователей широко используется процедура рукопожатий (Handshaking - согласованный обмен, квитирование), построенная по принципу вопрос-ответ. Она предполагает, что правильные ответы на вопросы дают только те пользователи, для которых эти вопросы предназначены. Для подтверждения подлинности пользователя система последовательно задает ему ряд случайно вы¬бранных вопросов, на которые он должен дать ответ. Опознание считается положительным, если пользователь правильно ответил на все вопросы.

Технологии защищенного канала широко используются в виртуальных частных сетях, которые требуют принятия дополнительных мер по защите передаваемой информации. Требование конфиденциальности особенно важно, потому что пакеты, передаваемые по публичной сети, уязвимы для перехвата при их прохождении через каждый из узлов (серверов) на пути от источника к получателю. Технология защищенного канала включает в себя:

■ взаимную аутентификацию абонентов при установлении со¬единения;

■ защиту передаваемых по каналу сообщений от несанкционированного доступа;

■ подтверждение целостности поступающих по каналу сообщений.

В зависимости от места расположения программного обеспечения защищенного канала различают две схемы его образования.

1. Схема с конечными узлами (рис.1, а). В этой схеме защищенный канал образуется программными средствами, установленными на двух удаленных компьютерах. Компьютеры принадлежат двум разным АС одной организации и связаны между собой через публичную сеть.

2. Схема с оборудованием поставщика услуг публичной сети, расположенным на границе между частной и публичной сетями (рис. 1, б). В этой схеме защищенный канал прокладывается только внутри публичной сети с коммутацией пакетов. Средствами защиты являются пограничные устройства доступа (ПУД).

Средства безопасности, предоставляемые операционными системами.

Современные ОС способны обеспечить доступ к одному компьютеру и сетевым ресурсам многим пользователям. Для этого используются отдельные учетные записи, которым присвоены разные пароли. После правильного ввода регистрационной информации пользователь может получить доступ к ОС и сети; читать, изменять ресурсы и выполнять любые другие действия, которые соответствуют правам его учетной записи, создавать желаемую конфигурацию пользовательского интерфейса (рабочую среду) и т.д.

Выбор (или назначение) паролей подчинен стратегии обеспечения сетевой безопасности. Пароли должны удовлетворять определенным требованиям. Многие сетевые ОС позволяют администратору задавать длину и время жизни пароля; проверять пароль на наличие заданного пароля в словаре и, если он есть, предотвращать использование пароля; следить, чтобы пароль пользователя не повторялся. Кроме того, администратору предоставляются широкие возможности контроля за доступом к ресурсам. Например, одной и той же учетной записи он может одновременно разрешить просматривать содержимое файла filel. doc, но запретить вносить в него изменения; предоставить право читать, изменять, удалять файл file2. doc и даже устанавливать права доступа к нему других пользователей, а к файлу file3.doc отменить все права доступа.

В файловых системах с высоким уровнем безопасности права доступа можно устанавливать как на разделение ресурсов по сети, так и на использование этих ресурсов на одном и том же локальном компьютере. Локальные и сетевые права доступа могут не со¬впадать. Например, пользователю можно предоставить право пол¬ного контроля над файлом file4 . doc, когда он регистрируется на компьютере, хранящем этот файл, но ограничить право доступа того же пользователя к file4. doc при попытке получить к нему доступ с другого компьютера сети.

Администратор должен знать и учитывать, какими правами до¬ступа наделена данная ОС по умолчанию (сразу после загрузки). Так, по умолчанию разделяемый ресурс в серверах Windows NT/ ХР доступен для любого пользователя сети. Для ограничения прав доступа к ресурсу администратор должен их изменить, а в серверах NetWare разделяемый ресурс недоступен ни для одного пользователя. Здесь предоставление доступа требует явного вмешательства администратора.

Сетевая ОС Windows NT позволяет каждому пользователю назначать четыре вида (или привилегии) доступа к совместно используемому ресурсу: отсутствие доступа (No Access); полный доступ (Full Control); чтение (Read), предоставляющее право просматривать перечень файлов, открывать файлы, изучать их содержимое и копировать файлы на свои носители; редактирование (Change), предоставляющее дополнительную (к Read) возможность изменять содержимое существующих файлов и каталогов. Windows NT позволяет также управлять доступом к локальным файлам. Для этого файлы или каталоги должны быть расположены в логическом разделе жесткого диска, размеченном файловой системой NTFS. Помимо указанных выше привилегий система NTFS позволяет просматривать файлы каталога (привилегия List), добавлять файлы в каталог без изменения их содержимого (Add), просматривать существующие и добавлять новые файлы (Add & Read).

Администратор должен понимать способы назначения привилегий и взаимоотношения между назначенными привилегиями доступа к локальным и совместно используемым ресурсам и при¬менять наиболее эффективный способ назначения привилегий пользователям. При этом пользователи должны быть лишены возможности обращения к не нужным для работы ресурсам.

Система безопасности Windows NT предоставляет возможность регистрации всех происходящих событий. Однако ведение отчетности требует постоянно запущенных приложений, что снижает производительность сети, поэтому к протоколированию событий, которое также отнимает время, администратор и пользователи сети должны походить избирательно и активизировать средства регистрации событий только на тех рабочих станциях, которые этого требуют. Журнал регистрации событий может оказаться полезным источником информации при администрировании сети.

Аппаратные средства защиты.

Основой надежной защиты данных от многих неисправностей аппаратных средств является избыточность. При выходе из строя некоторого сетевого устройства начинает функционировать его резервный дублер. Потерю данных при выходе из строя винчестера можно восполнить файлами, хранящимися в системе резервного копирования.

Некоторые сер¬веры поддерживают возможность установки избыточных устройств, автоматически передающих полномочия отказавшего компонента исправному. Такая избыточность применима к охлаждающим вентиляторам, источникам питания, сетевым адаптерам, жестким дискам и центральным процессорам.

При резервировании электропитания используют избыточные источники электро¬энергии - устройство бесперебойного питания наряду с электро¬сетью. Резервное копирование данных предполагает создание избыточных копий ценных файлов на дополнительных (резервных) носителях. В системах отказоустойчивых дисков данные записываются на избыточных дисках. Высшей степенью избыточности является кластеризация, когда несколько серверов объединяются в группу. В сети кластер серверов виден пользователям как один сервер. Если один из серверов кластера выходит из строя, его обязанности выполняет другой сервер. Пользователи не замечают этого перехода. Средства поддержки кластеризации встроены в такие ОС, как, например Windows NT.

Резервное копирование данных. Оно осуществляется с помощью специальных программ и является действенной мерой защиты от возможной их потери при регулярном выполнении этой процедуры. Наличие резервной копии позволяет быстро восстановить утерянные данные.

Используются следующие способы резервного копирования:

Полное, при котором копируются все данные заданных дисков независимо от того, когда их копирование выполнялось последний раз и вносились ли с тех пор изменения;

Дифференциальное, когда копируются все файлы, которые из¬менялись со времени последнего полного копирования. Дифференциальное копирование выполняется в промежутках между полным копированием, благодаря этому экономится время. Для обновления данных нужно восстанавливать две последних копии - полную и дифференциальную;

Инкрементное. При этом способе копируются все файлы, которые изменялись со времени любого последнего копирования (а не последнего полного копирования). Это наиболее быстрый способ, однако он сложнее и занимает много времени на восстановление данных, так как необходимо восстанавливать последнюю полную копию и все инкрементные копии, созданные со времени последнего полного копирования.

Отказоустойчивая система дисков.

Под отказоустойчивостью понимают способность системы к восстановлению после аварии. Объединение (конфигурация) нескольких физических жестких дисков в отказоустойчивый набор называется системой RAID (Redundant Array of Independent Disks - избыточный набор независимых дисков). Он может быть реализован в не¬скольких различных формах. В зависимости от уровня (0 - 5 и 7) предоставляются различные способы объединения дисков: RAID О, RAID 1, RAID 2, RAID 3, RAID 4, RAID 5.

Брандмауэры позволяют организовать защиту по всему периметру АС, создавая барьер между внутренней АС и соединениями с внешним миром (Internet). Такая защищенная область может быть установлена также в подсети.

Брандмауэр может быть реализован как аппаратным, так и программным способом.

Фактически он является средством фильтрации входящих и исходящих пакетов.

На основе правил безопасности, установленных сетевым администратором, брандмауэр определяет, следует ли пропустить поступивший пакет. Обычно брандмауэры располагают на шлюзах сети, являющихся точками ее соединения с другой сетью.

О том, как правильно нужно переходить проезжую часть улицы, каждого учат с самого детства. затем закрепляют в школе. Да и во многих детских телепередачах данный вопрос активно рассматривается. В необходимости этого ни у кого не возникает сомнений, ведь знание и соблюдение правил дорожного движения является гарантией сохранения здоровья и даже жизни. Но современные реалии таковы, что уже вместе с упомянутыми правилами можно начинать изучать основы сетевой безопасности.

Компьютер и ноутбук стали столь же привычными атрибутами благоустроенной квартиры, как и автоматическая машинка для стирки. Если раньше стоимость вычислительной техники была столь высока, что позволить себе приобрести домашнего электронного помощника могли лишь единицы, то сейчас ситуация коренным образом изменилась. Цены на оборудование падают с каждым днем, а провайдеры предлагают все более заманчивые тарифные планы. Поэтому нет ничего удивительного в том, что к Сети подключаются люди, которые совершенно не понимают, что означает информационная Увы, они же сами от этого и страдают, становясь жертвами виртуальных мошенников.

Сетевая безопасность представляет собой комплекс мер, основной задачей которых является предотвращение кражи конфиденциальных данных и любое другое нарушение нормальной работы компьютера вследствие к нему извне. Благодаря постоянному увеличению скоростей доступа к глобальной Сети условные границы между компьютерами все больше стираются, поэтому стали появляться совершенно новые способы обмана доверчивых пользователей. Постепенно уже ставшие привычными работа которых основывается на уязвимостях в используемом программном обеспечении, отходят на второй план. Поэтому сейчас сетевая безопасность не может ограничиваться одной лишь установкой как это было раньше. Необходим комплекс мер. Максимальная эффективность защиты возможна лишь при использовании программных защитных средств и обычного здравого смысла.

Программная сетевая безопасность включает в себя:

Использование антивирусного приложения. Рекомендуется обратить внимание на известные продукты группы Internet Security, так как они обладают более широкими возможностями;

Использование функции обновления баз антивируса и самой операционной системы;

Если Фаервол не входит в состав антивирусного приложения, то его необходимо установить. Встроенное в систему решение недостаточно эффективно;

Подключение должно быть правильно сконфигурировано. Если отсутствует локальная сеть, то доступ к дискам необходимо запретить;

Не следует сохранять пароли доступа к важным сайтам, используя механизм браузера.

Кроме того, сетевая безопасность предполагает осторожность самого пользователя. Все коды доступа должны набираться вручную, а функцию copy-paste лучше игнорировать. Особенно это важно для операций, связанных с финансами.

Подозрительные письма, пришедшие на электронную почту, нужно удалять, даже не открывая их.

С номером мобильного телефона следует быть осторожным и не сообщать его без крайней необходимости. Допустимо его использовать только для первичной регистрации на некоторых сайтах и программах: банковские сайты электронной коммерции, социальные сети, скайп и пр. Если же некий сторонний ресурс просит указать свой номер, чтобы что-либо подтвердить, то нужно понимать потенциальную угрозу такого разглашения. Находясь в очень полезно на время забывать о наличии мобильного телефона - есть только стационарный, вот его номер можно сообщать.

Еще один способ получения пароля - это внедрение в чужой компьютер «троян-ского коня». Так называют резидентную программу, работающую без ведома хозяи-на данного компьютера и выполняющую действия, заданные злоумышленником. В частности, такого рода программа может считывать коды пароля, вводимого пользователем во время логического входа в систему.

Программа-«троянский конь» всегда маскируется под какую-нибудь полезную ути-литу или игру, а производит действия, разрушающие систему. По такому прин-ципу действуют и программы-вирусы, отличительной особенностью которых яв-ляется способность «заражать» другие файлы, внедряя в них свои собственные копии. Чаще всего вирусы поражают исполняемые файлы. Когда такой испол-няемый код загружается в оперативную память для выполнения, вместе с ним получает возможность исполнить свои вредительские действия вирус. Вирусы могут привести к повреждению или даже полной утрате информации.

Нелегальные действия легального пользователя - этот тип угроз исходит от ле-гальных пользователей сети, которые, используя свои полномочия, пытаются вы-полнять действия, выходящие за рамки их должностных обязанностей. Напри-мер, администратор сети имеет практически неограниченные права на доступ ко всем сетевым ресурсам. Однако на предприятии может быть информация, до-ступ к которой администратору сети запрещен. Для реализации этих ограниче-ний могут быть предприняты специальные меры, такие, например, как шифрова-ние данных, но и в этом случае администратор может попытаться получить дос-туп к ключу. Нелегальные действия может попытаться предпринять и обычный пользователь сети. Существующая статистика говорит о том, что едва ли не по-ловина всех попыток нарушения безопасности системы исходит от сотрудников предприятия, которые как раз и являются легальными пользователями сети.

«Подслушиванием внутрисетевого трафика - это незаконный мониторинг сети, захват и анализ сетевых сообщений. Существует много доступных программных и аппаратных анализаторов трафика, которые делают эту задачу достаточно три-виальной. Еще более усложняется защита от этого типа угроз в сетях с глобаль-ными связями. Глобальные связи, простирающиеся на десятки и тысячи кило-метров, по своей природе являются менее защищенными, чем локальные связи (больше возможностей для прослушивания трафика, более удобная для злоумыш-ленника позиция при проведении процедур аутентификации). Такая опасность одинаково присуща всем видам территориальных каналов связи и никак не зави-сит от того, используются собственные, арендуемые каналы или услуги общедос-тупных территориальных сетей, подобных Интернету.

Однако использование общественных сетей (речь в основном идет об Интерне-те) еще более усугубляет ситуацию. Действительно, использование Интернета добавляет к опасности перехвата данных, передаваемых по линиям связи, опас-ность несанкционированного входа в узлы сети, поскольку наличие огромного числа хакеров в Интернете увеличивает вероятность попыток незаконного про-никновения в компьютер. Это представляет постоянную угрозу для сетей, под-соединенных к Интернету.

Интернет сам является целью для разного рода злоумышленников. Поскольку Интернет создавался как открытая система, предназначенная для свободного об-мена информацией, совсем не удивительно, что практически все протоколы стека TCP/IP имеют «врожденные» недостатки защиты. Используя эти недос-| татки, злоумышленники все чаще предпринимают попытки несанкционирован-ного доступа к информации, хранящейся на узлах Интернета.

Системный подход к обеспечению безопасности

Построение и поддержка безопасной системы требует системного подхода. В со-ответствии с этим подходом прежде всего необходимо осознать весь спектр воз-можных угроз для конкретной сети и для каждой из этих угроз продумать тактику. ее отражения. В этой борьбе можно и нужно использовать самые разноплановые средства и приемы - морально-этические и законодательные, административ-ные и психологические, защитные возможности программных и аппаратных средств сети.

К морально-этическим средствам защиты можно отнести всевозможные нормы, которые сложились по мере распространения вычислительных средств в той или иной стране. Например, подобно тому как в борьбе против пиратского копирова-ния программ в настоящее время в основном используются меры воспитатель-ного плана, необходимо внедрять в сознание людей аморальность всяческих по-кушений на нарушение конфиденциальности, целостности и доступности чужих информационных ресурсов.

Законодательные средства защиты - это законы, постановления правительства и указы президента, нормативные акты и стандарты, которыми регламентируют-ся правила использования и обработки информации ограниченного доступа, а также вводятся меры ответственности за нарушения этих правил. Правовая регламентация деятельности в области защиты информации имеет целью защи-ту информации, составляющей государственную тайну, обеспечение прав потре-бителей на получение качественных продуктов, защиту конституционных прав граждан на сохранение личной тайны, борьбу с организованной преступностью.

Административные меры - это действия, предпринимаемые руководством пред-приятия или организации для обеспечения информационной безопасности. К та-ким мерам относятся конкретные правила работы сотрудников предприятия, например режим работы сотрудников, их должностные инструкции, строго опре-деляющие порядок работы с конфиденциальной информацией на компьютере. К административным мерам также относятся правила приобретения предпри-ятием средств безопасности. Представители администрации, которые несут от-ветственность за защиту информации, должны выяснить, насколько безопасным является использование продуктов, приобретенных у зарубежных поставщиков. Особенно это касается продуктов, связанных с шифрованием. В таких случаях желательно проверить наличие у продукта сертификата, выданного российски-ми тестирующими организациями.

Психологические меры безопасности могут играть значительную роль в укрепле-нии безопасности системы. Пренебрежение учетом психологических моментов в неформальных процедурах, связанных с безопасностью, может привести к на-рушениям защиты. Рассмотрим, например, сеть предприятия, в которой работает много удаленных пользователей. Время от времени пользователи должны ме-нять пароли (обычная практика для предотвращения их подбора). В данной системе выбор паролей осуществляет администратор. В таких условиях злоумыш-ленник может позвонить администратору по телефону и от имени легального пользователя попробовать получить пароль. При большом количестве удален-ных пользователей не исключено, что такой простой психологический прием мо-жет сработать.

К физическим средствам защиты относятся экранирование помещений для защи-ты от излучения, проверка поставляемой аппаратуры на соответствие ее специ-фикациям и отсутствие аппаратных «жучков», средства наружного наблюдения, устройства, блокирующие физический доступ к отдельным блокам компьютера, различные замки и другое оборудование, защищающие помещения, где находят-ся носители информации, от незаконного проникновения и т. д. и т. п.

Технические средства информационной безопасности реализуются программным и аппаратным обеспечением вычислительных сетей. Такие средства, называемые также службами сетевой безопасности, решают самые разнообразные задачи по защите системы, например контроль доступа, включающий процедуры аутен-тификации и авторизации, аудит, шифрование информации, антивирусную за-щиту, контроль сетевого графика и много других задач. Технические средства безопасности могут быть либо встроены в программное (операционные системы и приложения) и аппаратное (компьютеры и коммуникационное оборудование) обеспечение сети, либо реализованы в виде отдельных продуктов, созданных специально для решения проблем безопасности.

Политика безопасности

Важность и сложность проблемы обеспечения безопасности требует выработки политики информационной безопасности, которая подразумевает ответы на сле-дующие вопросы:

• Какую информацию защищать?
• Какой ущерб понесет предприятие при потере или при раскрытии тех или иных данных?
• Кто или что является возможным источником угрозы, какого рода атаки на безопасность системы могут быть предприняты?
• Какие средства использовать для защиты каждого вида информации?

Специалисты, ответственные за безопасность системы, формируя политику без-опасности, должны учитывать несколько базовых принципов. Одним из таких принципов является предоставление каждому сотруднику предприятия того ми-нимально уровня привилегий на доступ к данным, который необходим ему для выполнения его должностных обязанностей. Учитывая, что большая часть нару-шений в области безопасности предприятий исходит именно от собственных со-трудников, важно ввести четкие ограничения для всех пользователей сети, не на-деляя их излишними возможностями.

Следующий принцип - использование комплексного подхода к обеспечению без-опасности. Чтобы затруднить злоумышленнику доступ к данным, необходимо предусмотреть самые разные средства безопасности, начиная с организационно-административных запретов и кончая встроенными средствами сетевой аппара-туры. Административный запрет на работу в воскресные дни ставит потенциаль-ного нарушителя под визуальный контроль администратора и других пользовате-лей, физические средства защиты (закрытые помещения, блокировочные ключи) ограничивают непосредственный контакт пользователя только приписанным ему компьютером, встроенные средства сетевой ОС (система аутентификации и авторизации) предотвращают вход в сеть нелегальных пользователей, а для легального пользователя ограничивают возможности только разрешенными для него операциями (подсистема аудита фиксирует его действия). Такая система защиты с многократным резервированием средств безопасности увеличивает ве-роятность сохранности данных.

Используя многоуровневую систему защиты, важно обеспечивать баланс надеж-ности защиты всех уровней. Если в сети все сообщения шифруются, но ключи легкодоступны, то эффект от шифрования нулевой. Или если на компьютерах установлена файловая система, поддерживающая избирательный доступ на уров-не отдельных файлов, но имеется возможность получить жесткий диск и устано-вить его на другой машине, то все достоинства средств защиты файловой систе-мы сводятся на нет. Если внешний трафик сети, подключенной к Интернету, проходит через мощный брандмауэр, но пользователи имеют возможность свя-зываться с узлами Интернета по коммутируемым линиям, используя локально установленные модемы, то деньги (как правило, немалые), потраченные на бранд-мауэр, можно считать выброшенными на ветер.

Следующим универсальным принципом является использование средств, кото-рые при отказе переходят в состояние максимальной защиты. Это касается самых различных средств безопасности. Если, например, автоматический пропускной пункт в какое-либо помещение ломается, то он должен фиксироваться в таком положении, чтобы ни один человек не мог пройти на защищаемую территорию. А если в сети имеется устройство, которое анализирует весь входной трафик и отбрасывает кадры с определенным, заранее заданным обратным адресом, то при отказе оно должно полностью блокировать вход в сеть. Неприемлемым следова-ло бы признать устройство, которое бы при отказе пропускало в сеть весь внеш-ний трафик.

Принцип единого контрольно-пропускного пункта - весь входящий во внутрен-нюю сеть и выходящий во внешнюю сеть трафик должен проходить через един-ственный узел сети, например через межсетевой экран (firewall ). Только это позволяет в достаточной степени контролировать трафик. В противном случае, когда в сети имеется множество пользовательских станций, имеющих независи-мый выход во внешнюю сеть, очень трудно скоординировать правила, ограничи-вающие права пользователей внутренней сети по доступу к серверам внешней сети и обратно - права внешних клиентов по доступу к ресурсам внутренней сети.

Принцип баланса возможного ущерба от реализации угрозы и затрат на ее пре-дотвращение. Ни одна система безопасности не гарантирует защиту данных нг уровне 100 %, поскольку является результатом компромисса между возможны-ми рисками и возможными затратами. Определяя политику безопасности, администратор должен взвесить величину ущерба, которую может понести предприятие в результате нарушения защиты данных, и соотнести ее с величиной за-трат, требуемых на обеспечение безопасности этих данных. Так, в некоторых случаях можно отказаться от дорогостоящего межсетевого экрана в пользу стан-дартных средств фильтрации обычного маршрутизатора, в других же можно пой-ти на беспрецедентные затраты. Главное, чтобы принятое решение было обосно-вано экономически.

При определении политики безопасности для сети, имеющей выход в Интернет, специалисты рекомендуют разделить задачу на две части: выработать политику доступа к сетевым службам Интернета и выработать политику доступа к ресур-сам внутренней сети компании.

Политика доступа к сетевым службам Интернета включает следующие пункты:

• Определение списка служб Интернета, к которым пользователи внутренней сети должны иметь ограниченный доступ.
• Определение ограничений на методы доступа, например на использование протоколов SLIP (Serial Line Internet Protocol ) и РРР (Point -to -Point Proto -col ). Ограничения методов доступа необходимы для того, чтобы пользователи не могли обращаться к «запрещенным» службам Интернета обходными путями. Например, если для ограничения доступа к Интернету в сети устанавлива-ется специальный шлюз, который не дает возможности пользователям рабо-тать в системе WWW , они могут устанавливать с Web-серверами РРР-соеди-нения по коммутируемой линии. Во избежание этого надо просто запретить использование протокола РРР.
• Принятие решения о том, разрешен ли доступ внешних пользователей из Ин-тернета во внутреннюю сеть. Если да, то кому. Часто доступ разрешают толь-ко для некоторых, абсолютно необходимых для работы предприятия служб, например электронной почты.

Политика доступа к ресурсам внутренней сети компании может быть выражена в одном из двух принципов:

· запрещать все, что не разрешено в явной форме;

· разрешать все, что не запрещено в явной форме.

В соответствии с выбранным принципом определяются правила обработки внеш-него графика межсетевыми экранами или маршрутизаторами. Реализация защи-ты на основе первого принципа дает более высокую степень безопасности, одна-ко при этом могут возникать большие неудобства у пользователей, а кроме того, такой способ защиты обойдется значительно дороже. При реализации второго принципа сеть окажется менее защищенной, однако пользоваться ею будет удоб-нее и потребуется меньше затрат.

Здравствуйте, уважаемые читатели блога сайт! Поговорим сегодня о такой важной теме, как сетевая безопасность, ведь именно она определяет возможность плодотворно и безбоязненно “гулять” по дебрям, скажем, осуществлять личную и деловую переписку, зная, что никто другой не сможет получить доступ к вашей конфеденциальной информации, делать покупки в Интернет-магазинах, аукционах, зарабатывать на товарных или валютных биржах, оплачивать счета и прочие расходы и т.д.

Сетевая инфраструктура, службы и данные, хранимые на компьютерах, подключенных к являются критическими персональными и деловыми активами. Попытка скомпрометировать целостность этих активов могла бы иметь серьезные деловые и финансовые последствия.

Обеспечение Сетевой Безопасности

Последствия бреши в сетевой безопасности могли бы включать:

• Сетевые простои, препятствующие осуществлению коммуникаций и транзакций, с последующими убытками для бизнеса
• Неверное перенаправление и потеря личных и деловых фондов
• Интеллектуальная собственность компании (исследовательские идеи, патенты, проекты, чертежи и т.п.), которые могут быть украдены и использованы конкурентом
• Детали контактов с клиентом, которые становятся известны конкуренту или сделаны общедоступными, что приведет к потере рыночного доверия в бизнесе

Отсутствие доверия общественности к степени секретности в бизнесе, к конфиденциальности и целостности могут привести к снижению товарооборота и возможности банкротства компании. Есть два типа вопросов, связанных с сетевой безопасностью, которые должны быть рассмотрены для предотвращения серьезных последствий: безопасность сетевой инфраструктуры и безопасность контента.

Защита сетевой инфраструктуры включает физическую защиту , которые обеспечивают сетевые соединения, а также предотвращение несанкционированного доступа к программному обеспечению, установленному на них.

Безопасность контента включает защиту информации, хранящейся внутри пакетов, передаваемых по сети, а также информации, которая хранится на устройствах, подключенных к сети. При передаче информации через содержимое отдельных пакетов не легко прочитать на устройствах или средствах передачи, по которым путешествуют пакеты. Инструменты, обеспечивающие безопасность контента отдельных сообщений, должны быть реализованы на верхнем уровне лежащих в основе протоколов, управляющих тем, как пакеты форматируются, адресуются и доставляются. Поскольку пересборка и интерпретация содержимого осуществляется программами, запущенными на отдельных системах (источнике и назначении), большая часть инструментов безопасности и протоколов должна быть реализована и в этих системах также.

Меры безопасности, предпринимаемые в , должны:

• Препятствовать несанкционированному доступу или краже информации
• Препятствовать несанкционированному изменению информации
• Предотвращать Отказ Службы

Средства для достижения этих целей включают:

Гарантия конфиденциальности

Конфиденциальность информации поддерживается посредством разрешения доступа к ней только определенным и авторизованным адресатам – людям, процессам или устройствам, которые имеют право считывать данную информацию.

Наличие надежной системы пользовательской аутентификации , предполагающей создание паролей, которые сложно угадать, и смену паролей пользователями через определенные интервалы времени (чем чаще, тем лучше), помогает ограничить доступ к и , которые хранятся на . При необходимости шифрование контента гарантирует конфиденциальность и минимизирует возможность несанкционированного доступа или кражи информации.

Поддержание Целостности Коммуникации

Целостность данных означает уверенность в том, что информация не была изменена во время передачи от отправителя к получателю. Целостность данных может быть нарушена, когда информация была искажена – случайно или умышленно – прежде, чем подразумеваемый адресат получил ее.

Целостность источника – это уверенность в том, что подлинность отправителя была потверждена. Целостность источника нарушается, когда пользователь или устройство маскируется под другого и отправляет некорректную информацию адресату.

Использование цифровых подписей , алгоритмов хэширования и механизмов контрольных сумм – это способы обеспечения целостности источника и информации при передаче для предотвращения несанкционированного изменения информации.

Гарантия Доступности

Гарантия конфиденциальности и целостности бесполезны, если сетевые ресурсы оказываются перегруженными или вообще не доступны. Доступность означает уверенность в своевременном и надежном доступе к службам данных для авторизованных пользователей. Ресурсы могут стать недоступными в результате атаки “Отказ Сервиса” (англ. Denial of Service или DoS) или из-за распространения