Администрирование средств безопасности

Администрирование средств безопасности включает в себя распространение информации, необходимой для работы функций и механизмов безопасности, а также сбор и анализ информации об их работе.


Примерами могут служить распространение криптографических ключей, установка значений параметров защиты, ведение регистрационного журнала и т.д.
Концептуальной основой администрирования является информационная база управления безопасностью.


Усилия администратора средств безопасности должны распределятся по 3 направлениям:
1) администрирование системы в целом;
2) администрирования функций безопасности;
3) администрирования механизмов безопасности.
Среди действий, относящихся к системе в целом, надо отметить поддержку актуальности политики безопасности, взаимодействие с другими административными службами, реагирование на происходящие события.
Администрирование функций безопасности включает в себя определение защищаемых объектов, выработку правил подбора механизмов безопасности, комбинирование механизмов для реализации функций безопасности, взаимодействие с другими администраторами для обеспечения согласованной работы.


Список обязанностей администратора механизмов безопасности:
? управления ключами (генерация и распределение);
? управления шифрованием;
? администрирования управления доступом (распределение информации, необходимой для управления, паролей, списков доступа);
? управления аутентификацией;
? управления дополнением трафика (выработка и поддержание правил, задающих характеристики сообщений, частоту отправки, размер и т.д.);
? управления маршрутизацией (выделение надежных путей);
? управления нотаризациею (распространение информации о нотариальных службы, администрирование этих служб).


Характеристики могут варьироваться по заданному закону в зависимости от даты и времени.
В 1987 году Национальный центр компьютерной безопасности США выпустил стандарт для сетевых конфигураций, содержащий сервисы безопасности, специфичные или важные для сети конфигурации.
Надежная сетевая система должна обеспечивать такое распределение защитных механизмов, чтобы общая политика безопасности проводилась в жизнь, несмотря на уязвимость коммуникационных путей и параллельную асинхронную работу компонентов.


Основные программно-технические меры обеспечения безопасности информационных систем:
? идентификация и аутентификация;
? управления доступом;
? протоколирование и аудит;
? криптография (шифрование) и цифровой подписи;
? экранирования.


Пароль - это код, который используется для получения доступа к системам или файлам, оснащенных парольной защитой. Действенность защиты обеспечивается системой паролей и в значительной степени зависит от сохранения паролей в тайне. Пароли достаточно эффективны при разумном использовании. Главное преимущество парольной аутентификации - простота и привычность. При правильном использовании пароли могут обеспечить приемлемый для многих организаций уровень безопасности.
Пароли уязвимы относительно электронного перехвата. Это самый принципиальный недостаток, который нельзя компенсировать улучшением администрирования или обучением пользователей. Практически единственный выход - использование криптографии для шифрования паролей.


Однако, следующие меры позволяют значительно повысить надежность парольной защиты:
? наложение технических ограничений (пароль должен быть не слишком коротким, он должен содержать буквы, цифры, знаки препинания и т.п.);
? управление сроком действия паролей, их периодическая смена;
? ограничение количества неудачных попыток входа в систему;
? обучение пользователей;
? использование программных генераторов паролей.


Можно, например, установить синтезатор речи в службе управления и использовать последовательные кабели и распределитель для его соединения с множеством микрокомпьютеров. Когда нелегальный пользователь любой машине попытается начать сеанс, синтезатор сообщит номер машины, ее расположение и характер проблемы.


Все пользователи при печати оставляют отпечатки пальцев или сигнатуру. Хотя система может исследовать многие аспекты этой сигнатуры, такие как использование заглавных букв, пунктуация и т.п., самый атрибут сигнатуры для анализа - это время ожидания или нажатие заданной клавиши. Скорость введения различных последовательностей с клавиатуры уникальна для каждого пользователя, а профайл нажатия клавиш может быть сопоставлен с пользовательскими профайлами, хранящихся в базе данных, для того, чтобы определить, является ли лицо, что делает ввод с клавиатуры, ? несанкционированным пользователем. Для сопоставления могут использоваться методы корреляции, и может быть установлен порог для принятия решения о том, разрешать или запрещать попытки пользователя войти в систему.
Модемы с обратным дозвоном аутентифицирует пользователей, бросают вызов из отдаленных пунктов. Когда пользователь обращается к сети через модем, модем с автоматическим обратным дозвоном фиксирует имя пользователя, кладет трубку, ищет в данных системы номер телефона, с которого должен звонить этот пользователь пытается соединиться с ним. Если номер пользователя на другом конце линии связи не соответствует, модем прерывает попытку несанкционированного доступа к системе.


Токен - это предмет (устройство), владение которым подтверждает подлинность пользователя. Различают токены с памятью - пассивные, которые только сохраняют, но не обрабатывают информацию, и токены интеллектуальные - активные.
Токены с памятью наряду с несомненными преимуществами обладают и определенными недостатками - они существенно дороже паролей и нуждаются в специальных устройствах чтения. Пользоваться ими не очень удобно, особенно если организация установила в себя интегрированную систему безопасности.
Интеллектуальные токены характеризуются наличием собственной вычислительной мощности. Они подразделяются на интеллектуальные карты и другие токены. Карты нуждаются в интерфейсном устройстве, другие токены обычно имеют дисплей и клавиатуру и по внешнему виду напоминают калькуляторы. Чтобы токен начал работать, пользователь должен ввести свой личный идентификационный номер.
Интеллектуальные токены различаются по принципам действия


? статический обмен паролями;
? динамическая генерация паролей - токен генерирует пароли, периодически меняя их;
? вопросительно-соответствующие системы - компьютер выдает случайное число, которое превращается криптографическим механизмом, встроенным в токена, после чего результат возвращается к компьютеру для проверки.
Главным преимуществом интеллектуальных токенов является возможность их применения при аутентификации открытой сетью.
Известный метод биометрического управления доступом - дактилоскопия отпечатков пальцев. Но, кроме него, может использоваться геометрия руки, степень нажатия при написании имени, а также образцы голоса. Устройство идентифицирует человека по уникальным характеристикам его тела и на основании этого разрешает или ограничивает доступ к системе.
Во протоколированием понимается сбор и накопление информации о событиях, происходящих в информационной системе.
Аудит - это анализ накопленной информации, проведен оперативно в реальном режиме или периодически.
Реализация протоколирования и аудита преследует следующие цели:
? обеспечение подотчетности пользователей и администраторов;
? обеспечение возможности реконструкции последовательности событий;
? выявление попыток нарушения информационной безопасности;
? предоставление информации для выявления и анализа проблем.
Шифрование - это мощная алгоритмическая техника кодирования. Шифрование защищает файлы компьютера и передаваемую сетью информацию от других пользователей, шпионов и всех остальных, не имеющих права доступа к такой информации. Выполняется шифрование с помощью преобразования данных в такой форме, в которой они могут быть прочитаны только с помощью специального ключа дешифрования.
Шифрование снижает опасность несанкционированного доступа, обеспечивая следующие свойства системы управления данными:
? конфиденциальности - каждый пользователь может быть уверен в сохранении секретности данных. Хотя право шифрования данных может иметь целый группа, в то же время только лицо, имеющее ключ дешифрования, может пересмотреть закодированный файл. Таким образом, шифрование обеспечивает сохранение секретности при передаче информации обычными каналами.
? аутентификацию - механизм проверки права доступа для ввода данных и предотвращения утечки при их передаче.
? целостность - метод проверки «монолитности» потока данных. Защищает данные от вирусной инфекции.
? управления доступом - ограничение доступа пользователей к системным ресурсам.
В работе сети шифрования может выполняться в любой комбинации на одном из следующих уровней модели OSI:
? управления линией передачи данных
? транспортном;
? прикладном.


Шифрование на уровне управления линией передачи данных - отправитель шифрует информацию только один раз на уровне управления линией передачи данных, а затем передает линией связи. При переходе с одной линии связи на другую данные расшифровываются, а затем снова зашифровываются. Поскольку каждый этап шифрования и дешифрования может занять много времени, скорость передачи информации и производительность сети снижаются. Кроме того, в каждом узле текст время находится в незашифрованном виде.
Шифрование на транспортном уровне - информация шифруется на транспортном уровне и передается сетью в зашифрованном виде, что исключает опасность ее утечки, а также снижение производительности. Этот подход эффективнее, когда протокол поддержки транспортного уровня выполнен в виде аппаратного обеспечения, а не реализуется программой, работающей на главном узле, с которого можно получить ключ и метод шифрования.
Шифрование на прикладном уровне мало зависит от других уровней и вовсе не зависит от их протоколов. При таком подходе необходимо обеспечить одновременную работу соответствующего программного обеспечения.
Криптография традиционно основывалась на том, что отправитель и получатель сообщения знали и использовали тот же секретный ключ. Отправитель с его помощью шифровал сообщения, а получатель - расшифровывал. Этот метод называется криптографией с секретным ключом, или симметричная криптография. Главная проблема такого метода заключается в том, чтобы получатель и отправитель использовали тот же ключ, который должен быть известен всем остальным. Любой, кто подслушает или перехватит ключ при передаче, может затем расшифровать все сообщения, используя этот ключ. Создание, передача и хранение ключей называется распределением ключей.
В 1976 году был разработан метод криптографии с открытым ключом. Этот метод предполагает наличие двух ключей - открытого и личного. Открытый ключ можно разглашать, а личный необходимо хранить в тайне. При этом необязательно, чтобы отправитель и получатель имели доступ к одинаковой секретной информации. При обмене сообщениями передается только открытый ключ. Любое лицо может открывать конфиденциальное послание точно так же, как и открытую информацию, поскольку для его расшифровки необходим секретный ключ, единственным владельцем которого является получатель данного сообщения.
При аутентификации криптография с открытым ключом применяется следующим образом. Для того чтобы подписать сообщение, отправитель выполняет определенные вычисления, применив секретный ключ и сообщение. В результате получает подпись, дополняющий сообщения. Если получатель хочет убедиться в подлинности подписи, он также выполняет некоторые вычисления, используя полученный текст, подпись и открытый ключ отправителя. Если после решения несложных математических уравнений получен правильный результат, подпись настоящая.
Экран - это средство разграничения доступа клиентов из одного множества к серверам из другого множества. Он выполняет свои функции, контролируя все информационные потоки между двумя множествами систем.


В простейшем случае экран состоит из двух механизмов, один из которых ограничивает перемещение данных, а второй, наоборот, ему способствует.
Кроме выполнения функций разграничения доступа, экраны осуществляют также протоколирование информационных обменов.
Конечно экран не является симметричным - для него определены понятия «внутри» и «снаружи». При этом задача экранирования формируется как защита внутренней области от потенциально враждебной внешней.


Экранирование позволяет поддерживать доступность сервисов внутренней области, уменьшая или вообще ликвидируя нагрузку, инициированное взаимной активностью. Чаще экран реализуют как сетевой сервис на третьем (сетевом), четвертом (транспортном) или седьмом (прикладном) уровнях модели OSI. В первом случае имеем маршрутизатор, экранирующей во втором ? транспорт, экранизирует, в третьем ? шлюз, экранирующая.
Маршрутизатор, экранирующей имеет дело с отдельными пакетами данных, поэтому иногда его называют пакетным фильтром. Решение о том, пропустить или задержать данные, принимаются для каждого пакета независимо, на основании анализа полей заголовков сетевого и транспортного уровней, путем применения заранее заданной системы правил. Важный компонент рассматриваемый информации - порт, через который пакет поступил в маршрутизатор.
Основные преимущества экранирующих маршрутизаторов ? дешевизна и прозрачность для более высоких уровней модели OSI. Основной недостаток - ограниченность анализируемой информации и, как следствие, относительная слабость обеспечиваемой защиты.


По сравнению с пакетными фильтрами транспорт, экранирующей имеет большую информацию, поэтому он может осуществлять более тонкий контроль за виртуальными соединения (он способен отслеживать количество передаваемой информации и разрывать соединение после превышения определенного предела, предотвращая тем самым несанкционированный экспорта информации) . Аналогично возможно накопление более содержательной регистрационной информации. Главный недостаток - сужение области применения, поскольку вне контроля остаются дейтаграммным протоколы.
Шлюз, экранирующей способен обеспечить наиболее надежную защиту. Он представляет собой универсальный компьютер, на котором функционируют программные агенты - по одному для каждого прикладного протокола обслуживается. При подобном подходе, помимо фильтрации, реализуется еще один важнейший аспект экранирования. Субъекты из внешней сети видят только шлюзовой компьютер; соответственно им доступна только та информация о внутренней системе, которую шлюз считает нужным экспортировать. Недостаток шлюзов, экранирующих ? отсутствие полной прозрачности, требующее специальных действий для поддержки каждого прикладного протокола.


Важным понятием экранирования выступает зона риска, определяемая как множество систем, которые становятся доступными после преодоления экрана или какого-либо из его компонентов. Для надежности защиты экран реализуют как совокупность элементов, так что взлом одного из них еще не открывает доступ ко всей внутренней сети.