ОСНОВИ ІНФОРМАЦІЙНОЇ БЕЗПЕКИ
|
|
Скачати 2.3 Mb.
|
|
10.2. Архітектурні аспекти Боротися з загрозами, притаманними мережевому середовищу, засобами універсальних операційних систем не надається можливим. Універсальна ОС -це величезна програма, що напевно містить, крім явних помилок, деякі особливості, які можуть бути використані для нелегального одержання привілеїв. Сучасна технологія програмування не дозволяє зробити надто великі програми безпечними. Крім того, адміністратор, що має справу зі складною системою, далеко не завжди в змозі врахувати всі наслідки вироблених змін. Нарешті, в універсальної багатокористувацької системі проломи у безпеці постійно створюються самими користувачами (слабкі й/або рідко змінювані паролі, невдало встановлені права доступу, залишений без догляду термінал і т.п.). Єдиний перспективний шлях пов'язаний з розробкою спеціалізованих сервісів безпеки, які в силу своєї простоти допускають формальну або неформальну верифікацію. Міжмережевий екран саме і є таким засобом, що допускає подальшу декомпозицію, пов'язану з обслуговуванням різних мережевих протоколів. Міжмережевий екран розташовується між захищуваною (внутрішньою) мережею й зовнішнім середовищем (зовнішніми мережами або іншими сегментами корпоративної мережі). У першому випадку говорять про зовнішній МЕ, у другому - про внутрішній. Залежно від точки зору, зовнішній міжмережевий екран можна вважати першою або останньою (але ніяк не єдиною) лінією оборони. Першою - якщо дивитися на світ очима зовнішнього зловмисника. Останньою - якщо прагнути захищеності всіх компонентів корпоративної мережі й припиненню неправомірних дій внутрішніх користувачів. Міжмережевий екран - ідеальне місце для вбудовування засобів активного аудиту. З одного боку, і на першому, і на останньому захисному рубежі виявлення підозрілої активності гіо-своєму важливо. З іншого боку, МЕ здатний реалізувати будь-яку потужну реакцію на підозрілу активність, аж до розриву зв'язку із зовнішнім середовищем. Щоправда, потрібно усвідомлювати те, що з'єднання двох сервісів безпеки в принципі може створити пролом, що сприяє атакам на доступність. На між мережевий екран доцільно покласти ідентифікацію/аутентифікацію зовнішніх користувачів, що мають потребу у доступі до корпоративних ресурсів (з підтримкою концепції єдиного входу в мережу). У силу принципів ешелонованості оборони для захисту зовнішніх підключень звичайно використовується двокомпонентне екранування (див. рис. 10.3). Первинна фільтрація (наприклад, блокування пакетів керуючого протоколу SNMP, небезпечного атаками на доступність, або пакетів з певними ІР-адресами, включеними в "чорний список") здійснюється граничним маршрутизатором (див. також наступний розділ), за яким розташовується так звана демілітаризована зона (мережа з помірною довірою безпеки, куди виносяться зовнішні інформаційні сервіси організації - Web, електронна пошта й т.п.) і основний ME, що захищає внутрішню частину корпоративної мережі.  Теоретично міжмережевий екран (особливо внутрішній) повинен бути багатопротокольним, однак на практиці домінування сімейства протоколів ТСРЯР настільки велике, що підтримка інших протоколів уявляється надмірністю, шкідливою для безпеки (чим сервіс складніший, тим він більш уразливий).Загалом кажучи, і зовнішній, і внутрішній міжмережеві екрани можуть стати вузьким місцем, оскільки обсяг мережевого трафіка має тенденцію швидкого зростання. Один з підходів до вирішення цієї проблеми припускає розбивку ME на кілька апаратних частин й організацію спеціалізованих серверів-посередників. Основний міжмережевий екран може проводити грубу класифікацію вхідного трафіка за видами і передоручати фільтрацію відповідним посередникам (наприклад, посередникові, що аналізує HTTP-трафік). Вихідний трафік спочатку обробляється серзером-посередником, що може виконувати й функціонально корисні дії, такі як кешування сторінок зовнішніх Web-серверів, що знижує навантаження на мережу взагалі й основний ME зокрема. Ситуації, коли корпоративна мережа містить лише один зовнішній канат, є скоріше виключенням, ніж правилом. З іншого боку, типова ситуація, при якій корпоративна мережа складається з декількох територіально рознесених сегментів, кожний з яких підключений до Internet. У цьому випадку кожне підключення повинне захищатися своїм екраном. Можна вважати, що корпоративний зовнішній міжмережевий екран є складовим, і потрібно вирішувати завдання узгодженого адміністрування (керування й аудиту) всіх компонентів. Протилежністю складовим корпоративних ME (або їхнім компонентам) є персональні міжмережеві екрани й персональні екрануючі пристрої. Перші є програмними продуктами, які встановлюються на персональні комп'ютери й захищають тільки їх. Другі реалізуються на окремих пристроях і захищають невелику локальну мережу, таку як мережа домашнього офісу. При розгортанні міжмережевих екранів варто дотримуватися розглянутих нами раніше принципів архітектурної безпеки, у першу чергу подбавши про простоту й керованість, про ешелонованість оборони, а також про неможливість переходу в небезпечний стан. Крім того, варто брати до уваги не тільки зовнішні, але й внутрішні загрози. 10.3. Класифікація міжмережевих екранів При розгляді будь-якого питання, що стосується мережевих технологій, основою слугує еемирівнева еталонна модель ІБО/ОБІ. Міжмережеві екрани також доцільно класифікувати за рівнем фільтрації - канальному, мережевому, транспортному або прикладному. Відповідно, можна говорити про екрануючі концентратори (мости, комутатори) (рівень 2), маршрутизатори (рівень 3), про транспортне екранування (рівень 4) і про прикладні екрани (рівень 7). Існують також комплексні екрани, що аналізують інформацію на декількох рівнях. Фільтрація інформаційних потоків здійснюється міжмережевими екранами на основі набору правил, що є вираженням мережевих аспектів політики безпеки організації. У цих правилах, крім Інформації, яка зберігається у фільтрованих потоках, можуть фігурувати дані, отримані з оточення, наприклад, поточний час, кількість активних з'єднань, порт, через який надійшов мережевий запит і т.д. Таким чином, у міжмережевих екранах використовується дуже потужний логічний підхід до розмежування доступу. Можливості міжмережєвого екрана безпосередньо визначаються тим, яка інформація може використовуватися в правилах фільтрації і якою може бути потужність наборів правил. Загалом кажучи, чим вищим є рівень моделі 180/081, на якому функціонує МЕ, тим більш змістовна інформація йому доступна й, отже, тим тонше й надійніше він може бути сконфігурованим. Екрануючі маршрутизатори (і концентратори) мають справу з окремими пакетами даних, тому іноді їх називають пакетними фільтрами. Рішення про те, пропустити або затримати дані, приймаються для кожного пакета незалежно, на підставі аналізу адрес й інших полів заголовків мережевого (канального) і, можливо, транспортного рівнів. Ще один важливий компонент аналізованої інформації - порт, через який надійшов пакет. Екрануючі концентратори є засобом не стільки розмежування доступу, скільки оптимізації роботи локальної мережі за рахунок організації так званих віртуальних локальних мереж. Останні можна вважати важливим результатом застосування внутрішнього міжмережєвого екранування. Сучасні маршрутизатори дозволяють зв'язувати з кожним портом кілька десятків правил і фільтрувати пакети як на вході, так і на виході. У принципі, як пакетний фільтр може використовуватися й універсальний комп'ютер, обладнаний декількома мережевими картами. Основні переваги екрануючих маршрутизаторів, - доступна ціна (на межі мереж маршрутизатор потрібний практично завжди, питання лише в тому, як задіяти його екрануючі можливості) і прозорість для більш високих рівнів моделі OSI. Основний недолік - обмеженість аналізованої інформації та, як наслідок, відносна слабкість забезпечуваного захисту. Транспортне екранування дозволяє контролювати процес установлення віртуальних з'єднань і передачу інформації з них. З погляду реалізації екрануючий транспорт, являє собою досить просту, а виходить, надійну програму. У порівнянні з пакетним,, фільтрами, транспортне екранування володіє більшою кількістю інформації, тому відповідний ME може здійснювати більш тонкий контроль за віртуальними з'єднаннями (наприклад, він здатний відслідковувати кількість переданої інформації й розривати з'єднання після перевищення певного порогу, перешкоджаючи тим самим несанкціонованому експорту інформації). Аналогічно, можливе нагромадження більш змістовної реєстраційної інформації. Головний недолік - звуження області застосування, оскільки поза контролем залишаються датаграмні протоколи. Звичайно, транспортне екранування застосовують у сполученні з іншими підходами, як важливий додатковий елемент. Міжмережевий екран, що функціонує на прикладному рівні, здатний забезпечити найбільш надійний захист. Як правило, подібний ME являє собою універсальний комп'ютер, на якому функціонують екрануючі агенти, інтерпретуючи протоколи прикладного рівня (HTTP, FTP, SMTP, telnet і т.д.) у тому ступені, який необхідний для забезпечення безпеки. При використанні прикладних ME, крім фільтрації, реалізується ще один найважливіший аспект екранування. Суб'єкти із зовнішньої мережі бачать тільки шлюзовий комп ютер; відповідно, їм доступна тільки та інформація про внутрішню мережу, як)' він уважає за потрібне експортувати. Прикладний МЕ насправді екранує, тобто закриває, внутрішню мережу від зовнішнього світу. У той же час, суб'єктам внутрішньої мережі здається, що вони напряму спілкуються з об'єктами зовнішнього світу. Недолік прикладних МЕ -відсутність повної прозорості, що вимагає спеціальних дій для підтримки кожного прикладного протоколу. Якщо організація має у своєму розпорядженні вихідні тексти прикладного МЕ й у стані ці тексти модифікувати, перед нею відкриваються надзвичайно широкі можливості по налаштуванню екрана з урахуванням власних потреб. Справа в тому, що при розробці систем клієнт/сервер у багатоланковій архітектурі з'являються специфічні прикладні протоколи, які потребують захисту не менше стандартних. Підхід, заснований на використанні екрануючих агентів, дозволяє побудувати такий захист, не знижуючи безпеку й ефективності інших додатків і не ускладнюючи структуру зв'язків у міжмережевому екрані. Комплексні міжмережеві екрани, що охоплюють рівні від мережевого до прикладного, поєднують у собі кращі властивості "однорівневих" МЕ різних видів. Захисні функції виконуються комплексними МЕ прозорим для додатків чином, не вимагаючи внесення будь-яких змін ні в існуюче програмне забезпечення, ні в дії, що стали для користувачів звичними. Комплексність МЕ може досягатися різними способами: "знизу догори", від мережевого рівня через нагромадження контексту до прикладного рівня, або "зверху вниз", за допомогою доповнення прикладного МЕ механізмами транспортного й мережевого рівнів. Крім виразних можливостей і припустимої кількості правил, якість міжмережєвого екрана визначається ще двома дуже важливими характеристиками - простотою використання й власною захищеністю. У плані простоти використання першорядне значення мають наочний інтерфейс при визначенні правил фільтрації й можливість централізованого адміністрування складених конфігурацій. У свою чергу, в останньому аспекті хотілося б виділити засоби централізованого завантаження правил фільтрації й перевірки набору правил на несуперечність. Важливий і централізований збір і аналіз реєстраційної інформації, а також одержання сигначів про спроби виконання дій, заборонених політикою безпеки. Власна захищеність міжмережєвого екрана забезпечується тими ж засобами, що й захищеність універсальних систем. Мається на увазі фізичний захист, ідентифікація й аутентифікація, розмежування доступу, контроль цілісності, протоколювання й аудит. При виконанні централізованого адміністрування варто також подбати про захист інформації від пасивного й активного прослуховування мережі, тобто забезпечити її (інформації) цілісність і конфіденційність. Надто важливо оперативне накладення латок, що ліквідують виявлені уразливі місця МЕ. Хотілося б підкреслити, що природа екранування як сервісу безпеки дуже глибока. Крім блокування потоків даних, що порушують політику безпеки, міжмережевий екран може приховувати інформацію про захищувані мережі, що, тим самим перешкоджають діям потенційних зловмисників. Потужним методом приховування інформації є трансляція "внутрішніх" мережевих адрес, шо попутно вирішує проблему розширення адресного простору, виділеного організації. Відзначимо також наступні додаткові можливості міжмережевих екранів:
проміжного шару, як і традиційні міжмережеві екрани прикладного рівня, приховує інформацію про надавані послуги. За рахунок цього воно може виконувати такі функції, як маршрутизація запитів і балансування навантаження. Уявляється цілком природним, щоб ці можливості були реалізовані в межах міжмережевого екрана. Це істотно спрощує дії по забезпеченню високої доступності експортованих сервісів і дозволяє здійснювати перемикання на резервні потужності прозорим для зовнішніх користувачів чином. У результаті до послуг, які традиційно надаються міжмережевими екранами, додається підтримка високої доступності мережевих сервісів. 10.4.Аналіз захищеності Сервіс аналізу захищеності призначений для виявлення уразливих місць із метою їхньої оперативної ліквідації. Сам по собі цей сервіс ні від чого не захищає, але допомагає виявити (і усунути) пробіли в захисті раніше, ніж їх зможе використати зловмисник. У першу чергу, маються на увазі не архітектурні (їх ліквідувати складно), а "оперативні" проломи, що з'явилися в результаті помилок адміністрування або через неуважність до відновлення версій програмного забезпечення. Системи аналізу захищеності (названі також сканерами захищеності), як і розглянуті вище засоби активного аудиту, засновані на нагромадженні й використанні знань. У цьому випадку маються на увазі знання про прогалини в захисті: про те, як їх шукати, наскільки вони серйозні і як їх усувати. Відповідно, ядром таких систем є база уразливих місць, що визначає доступний діапазон можливостей і вимагає практично постійної актуалізації. У принципі, можуть виявлятися проломи найрізноманітнішої природи: наявність шкідливого ПЗ (зокрема, вірусів), слабкі паролі користувачів, невдало сконфігуровані операційні системи, небезпечні мережеві сервіси, невстановлені латки, уразливості в додатках і т.д. Однак найбільш ефективними є мережеві сканери (очевидно, у силу домінування сімейства протоколів ТСРЯР), а також антивірусні засоби. Антивірусний захист ми зараховуємо до засобів аналізу захищеності, не вважаючи її окремим сервісом безпеки. Сканери можуть виявляти уразливі місця як шляхом пасивного аналізу, тобто вивчення конфігураційних файлів, задіяних портів і т.п., так і шляхом імітації дій атакуючого. Деякі знайдені уразливі місця можуть усуватися автоматично (наприклад, лікування заражених файлів), про інші повідомляється адміністраторові. Системи аналізу захищеності містять у собі традиційний "технологічний цукор": автовиявленням компонентів аналізованої ІС і графічним інтерфейсом, який допомагає ефективно працювати із протоколом сканування. Контроль, забезпечуваний системами аналізу захищеності, носить реактивний, запізнілий характер, він не захищає від нових атак, однак варто пам'ятати, що оборона повинна бути ешелонованою, і в якості одного з рубежів, контроль захищеності цілком адекватний. Відзначимо також, що переважна більшість атак носить рутинний характер; вони можливі тільки тому, що відомі проломи в захисті роками залишаються неусунутими. |
Схожі:
|
К-сть годин Структура інформаційної системи. Апаратна й інформаційна складові інформаційної системи. Взаємозв’язки апаратної та інформаційної... |
Урок №4. Тема: Структура інформаційної системи. Апаратна та програмна... Мета: ознайомити учнів із структурою інформаційної системи, основними пристроями апаратної складової інформаційної системи, їх функціями... |
|
ФОРМУВАННЯ ІНВЕСТИЦІЙНОЇ МОДЕЛІ У НАПРЯМКУ ПІДВИЩЕННЯ ІННОВАЦІЙНОЇ БЕЗПЕКИ РЕГІОНІВ У статті розкриті теоретико-методологічні основи дослідження економічної безпеки, визначено сутність і структуру категорії, систему... |
Лекція 1 ПОНЯТТЯ ІНФОРМАЦІЙНОЇ БЕЗПЕКИ Перш ніж говорити про інформаційну безпеку необхідно з’ясувати, що таке інформація |
|
НАВЧАЛЬНО-МЕТОДИЧНІ МАТЕРІАЛИ ДО СЕМІНАРСЬКИХ ЗАНЯТЬ з дисципліни... Правові та організаційні основи безпеки підприємницької діяльності: навчально-методичні матеріали до семінарських занять / Розробник:... |
КАЛЕНДАРНЕ ПЛАНУВАННЯ З "ОСНОВИ БЕЗПЕКИ ЖИТТЄДІЯЛЬНОСТІ" |
|
Напрямки інформаційної безпеки Інформаційна безпека має кілька напрямків В условиях ужесточения конкуренции успех предпринимательства, гарантия получения прибыли все в большей мере зависят от сохранности... |
Організація позамашинної та машинної інформаційної бази Поняття машинної інформаційної бази. Особливості розміщення інформації на машинних носіях |
|
ПВНЗ «ЄВРОПЕЙСЬКИЙ УНІВЕРСИТЕТ» КАФЕДРА “ОРГАНІЗАЦІЇ КОМПЛЕКСНОГО ЗАХИСТУ ІНФОРМАЦІЇ” Поняття, специфіка та витоки правового забезпечення захисту інформації. Проблеми інформаційної безпеки України Основні терміни та... |
ЗАТВЕРДЖЕНО Призначення і основи організації технічної служби Державного департаменту пожежної безпеки МВС України |
При копіюванні матеріалу обов'язкове зазначення активного посилання © 2013
звернутися до адміністрації
bibl.com.ua
звернутися до адміністрації
bibl.com.ua