Защита информации в вычислительных сетях

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

ЗАЩИТА ИНФОРМАЦИИ В  ВЫЧИСЛИТЕЛЬНЫХ СЕТЯХ

 

 

 

 

 

 

 

 

 

 

 

 

 

СОДЕРЖАНИЕ

 

 

 

 

 

 

 

 

 

 

 

 

 

ВВЕДЕНИЕ

Интенсивное развитие новых информационных технологий стимулировало и такие негативные процессы, как промышленный шпионаж, компьютерные преступления и несанкционированный доступ (НСД) к секретной и конфиденциальной информации. Поэтому в последнее время чрезвычайно актуальной задачей государства и организаций является информационная защита. Необходимость в защите информации в России способствовала созданию Государственной системы защиты информации (ГСЗИ) и развитию правовой составляющей информационной безопасности.

Защита информации призвана предотвращать ущерб от хищения, утраты, искажения, подделки информации в любом её виде. Мероприятия по информационной защите требуется осуществлять в обязательном соответствии с действующими законами и нормативными документами по информационной безопасности, интересами конкретных пользователей. При этом для обеспечения высокого уровня защиты информации необходимо постоянно решать сложные научно-технические задачи разработки и совершенствования методов и инструментов защиты.

Большинство современных компаний независимо от рода деятельности и форм собственности не может успешно осуществлять хозяйственную и иную деятельность без использования системы защиты собственной информации, которая объединяет организационно-нормативные меры и технические средства контроля безопасности при обработке, хранении и передачи информации в различных системах.

Целью моей работы является рассмотрение основных методов и средств информационной защиты в вычислительных сетях, как аппаратных, так и программных.

1 Аппаратная защита информации в вычислительных сетях

В источниках по информационной безопасности приводится следующая классификация средств информационной защиты: средства защиты от несанкционированного доступа (НСД), которые представляют собой средства авторизации, мандатное и избирательное управление доступом, управление доступом на основе ролей, журналирование (Аудит); системы анализа и моделирования информационных потоков (CASE-системы); системы мониторинга сетей, в том числе системы обнаружения и предотвращения вторжений (IDS/IPS), системы предотвращения утечек конфиденциальной информации (DLP-системы); анализаторы протоколов; антивирусные средства; межсетевые экраны; криптографические средства, например, шифрование, цифровая подпись; системы резервного копирования; системы бесперебойного питания; генераторы напряжения; системы аутентификации такие как пароль, ключ доступа (физический или электронный), сертификат, биометрия; средства предотвращения взлома и краж оборудования; средства контроля доступа в помещения; инструментальные средства анализа систем защиты¹.

1.1 Экранирование

Экранирование электромагнитных волн является одним из наиболее существенных средств защиты от утечки информации по техническим каналам.

Экранирование представляет собой локализация электромагнитной энергии в рамках какого-либо пространства преграждением её распространения². Например, развязывающий фильтр – это устройство, которое ограничивает распространение помехи по общей для источника и приемника наводки линиям связи.

Использование качественных экранов даёт возможность решать многие проблемы, из которых можно  выделить проблемы защиты информации в помещениях и технических каналах, проблемы электромагнитной совместимости устройств при их одновременном применении, проблемы защиты людей от повышенного уровня электромагнитных полей и создание благоприятной экологической обстановки около работающих электроустановок и СВЧ-устройств.

В общем случае под  экранированием можно понимать и  защиту устройств от влияния внешних полей, и локализацию излучения каких-либо средств³. Во всяком случае, эффективность экранирования характеризуется степенью уменьшения силы составляющих поля (электрической или магнитной) при отсутствии и наличии экрана.

Экранироваться могут не только отдельные блоки аппаратуры и их соединительные линии, но и помещения в целом (рисунок 1)⁴.

Рисунок 1 – Схема экранированного  помещения

1.2 Безопасность оптоволоконных кабельных систем

Несмотря на многочисленные достоинства оптоволоконных кабелей и их высокую помехозащищённость, они также имеют недостатки, основным из которых является возможность утечки информации за счёт побочного электромагнитного излучения и наводок (ПЭМИН) в радиочастотном и в оптическом диапазонах.

Для предотвращения атак злоумышленников, которые снабжены специальной техникой, можно применять внутренние силовые металлические конструкции оптоволоконных кабелей в роли сигнальных проводов. При этом без нарушения целостности силовых конструкций будет невозможен доступ к оптоволоконному кабелю. А нарушение целостности вызовет срабатывание в центре контроля за оптоволоконной системой сигнализирующих устройств. Для реализации подобной охранной системы практически не требуется дополнительного оборудования.

Также к проблемам  оптоволоконного кабеля можно отнести небольшую механическую прочность и долговечность в сопоставлении, например, с электрическим кабелем и уменьшение чувствительности при влиянии ионизирующих излучений. Однако при хорошем заземлении экранирование не только снижает на несколько порядков собственные излучения кабелей, но и уменьшает электрический потенциал корпусов активных устройств⁵.

1.3 Фильтрация сигналов

Одним из методов устранения опасных сигналов, которые циркулируют в аппаратных средствах и системах обработки информации, служит фильтрация сигналов. Фильтрация в источниках электромагнитных полей и наводок производится для создания препятствия к распространению нежелательных электромагнитных колебаний за пределы источника опасного сигнала.

В цепях питания для фильтрации сигналов применяют разделительные трансформаторы и помехоподавляющие фильтры.

Разделительные трансформаторы предназначены для:

• разделения по цепям питания источников и приёмников наводки, если они подсоединены к одним и тем же цепям переменного тока;

• устранение ассиметричных наводок;

• ослабление симметричных наводок на вторичную обмотку.

Помехоподавляющие фильтры  вызывают уменьшение воздействия нелинейных сигналов в разных участках частотного диапазона. Их основное значение заключается в пропускании без ослабления сигналов с частотами в рабочей полосе, и подавлять сигналы за пределами рабочей полосы.

Некоторые образцы и  их характеристики сетевых помехоподавляющих  фильтров отечественного производства⁶ представлены на рисунке 2.

Рисунок 2 – Примеры сетевых фильтров

1.4 Системы линейного зашумления

Для маскировки наведённых опасных сигналов в посторонних  проводниках и соединительных линиях, которые выходят за рамки зоны контроля, используются системы линейного зашумления.

В самом простом виде в качестве системы линейного зашумления применяется генератор шумового сигнала, который создаёт с заданными спектральными, временными и энергетическими характеристиками шумовое маскирующее напряжение. В практическом смысле подобные системы наиболее часто применяются для зашумления линий электропитания (осветительной и розеточной сети).

Например, генератор шума по сети электропитания IMPULSE (рисунок 3)⁷ предназначен для блокирования каналов несанкционированного съёма информации из помещений по сети 220 В/50 Гц и линиям заземления. Он предназначен для нейтрализации аппаратуры, которая в роли канала передачи сигналов использует сеть электропитания.

Рисунок 3 – Сетевые  генераторы шума

1.5 Способы предотвращения утечки информации через побочные электромагнитные излучения и наводки персонального компьютера

В качестве технических  мер исключения возможностей перехвата  информации за счёт ПЭМИН ПК можно назвать следующие способы:

• доработка средств вычислительной техники для снижения уровня излучений;
• электромагнитное экранирование помещений, где  установлена вычислительная техника;
• активная радиотехническая маскировка (зашумление).

Доработка средств вычислительной техники производится организациями, которые имеют лицензии Гостехкомиссии России. При применении разнообразных радиопоглощающих материалов и схемотехнических решений уровень излучений вычислительной техники значительно уменьшается.

Посредством активной радиотехнической маскировки создаётся и  непосредственно вблизи от вычислительной техники излучается маскирующий сигнал.

При этом возможности  энергетической активной маскировки могут  быть в полной мере реализованы лишь тогда, когда уровень излучений  персонального компьютера значительно меньше норм на допускаемые радиопомехи от вычислительной техники. В ином случае средство активной энергетической маскировки создаёт помехи разным радиоустройствам, которые находятся вблизи от защищаемого компьютера. При этом необходимо согласование его установки со службой радиоконтроля.

Генераторы шума, приведённые  на рисунке 4, реализуются в виде отдельной платы, которая встраивается в свободный слот системного блока компьютера, и питается от его системной шины⁸.

Рисунок 4 – Генераторы шума Ш-К-1000

 

 

 

2 Программно-техническая защита информации

2.1 Идентификация и аутентификация

Идентификацию и аутентификацию называют основой программно-технических средств безопасности, так как другие сервисы безопасности предназначены для обслуживания уже именованных субъектов. Идентификация и аутентификация представляют собой первый эшелон обороны, так называемую «проходную» пространства вычислительной сети.

Идентификация даёт возможность субъекту, например, пользователю или процессу, который действует от имени пользователя, назвать себя, то  есть сообщить своё имя. При помощи аутентификации противоположная сторона получает сведения, что субъект действительно является тем, за кого себя выдаёт. Аутентификация нередко называется «проверкой подлинности».

Однако в вычислительных сетях  надёжная идентификация и аутентификация по некоторым принципиальным причинам затруднена.

Во-первых, вычислительная сеть базируется на информации в том виде, в каком она получена, иными словами, источник информации является неизвестным. К примеру, злоумышленник мог применить чужие перехваченные данные. Таким образом, важно принимать меры для безопасного ввода и передачи идентификационных и аутентификационных данных, а в сетях это сопряжено с определёнными специфическими трудностями.

Во-вторых, практически все аутентификационные данные можно узнать, украсть или подделать.

В-третьих, существует некоторое противоречие между надёжностью аутентификации и удобствами пользователя и системного администратора. Например, с точки зрения безопасности нужно с определённой частотой получать от пользователя повторно аутентификационные данные, поскольку его местом мог воспользоваться другой человек, а это повышает риск подглядывания за вводом.

В-четвёртых, чем надёжнее средство защиты, тем оно дороже.

Поэтому нужно находить компромисс между надёжностью, доступностью по стоимости и удобством применения и администрирования средств идентификации и аутентификации. Компромисс, как правило, достигается при сочетании двух первых из перечисленных основных механизмов проверки подлинности.

Самым распространённым инструментом аутентификации служат пароли⁹. Система сопоставляет введённый и заданный для конкретного пользователя пароль. Когда они совпадают, подлинность пользователя является доказанной. Другим постепенно набирающим популярность и обеспечивающим большую эффективность инструментом являются секретные криптографические ключи пользователей.

Основным достоинством парольной аутентификации является простота и привычность. Пароли встроены в операционные системы и другие сервисы. Пароли при правильном применении могут обеспечить достаточную для большинства пользователей степень безопасности. Однако по набору характеристик их можно назвать и наиболее слабым средством проверки подлинности¹⁰. Надёжность паролей обеспечивается способностью хранить их в тайне. Но ввод пароля можно подсмотреть, пароль можно угадать методом подбора. Зашифрованный файл паролей, доступный на чтение, можно скопировать и запрограммировать полный перебор.

Пароли являются уязвимыми и к электронному перехвату. Эта уязвимость является наиболее существенным недостатком, который невозможно устранить улучшением администрирования или обучением пользователей. Практически единственный выход состоит в применении криптографии для шифрования паролей перед передачей по линиям связи или в отсутствии их передачи.

Но есть меры, которые позволяют существенно повысить надёжность парольной защиты:

• технические ограничения, например, пароль не должен быть коротким, должен включать буквы, цифры, знаки пунктуации и т.д.;
• управление сроком действия паролей и периодическая их замена;
• ограничение доступа к файлу паролей;
• ограничение количества неудачных попыток ввода пароля, что затруднит использование метода подбора;
• обучение пользователей;
• применение программных генераторов паролей.

Вместе с автоматизацией проверки подлинности целесообразно использовать предельно возможную централизацию информации. Для этого можно применять выделенные серверы проверки подлинности или средства централизованного администрирования. Некоторые операционные системы предоставляют сетевые сервисы, которые могут быть основой централизации административных данных.

2.2 Управление доступом

Средства управления доступом дают возможность специфицировать и контролировать действия, которые могут производить над информацией и другими компьютерными ресурсами пользователи и процессы. При этом предусматривается логическое управление доступом, реализуемое программными средствами. Логическое управление доступом представляет собой основной механизм многопользовательских систем, который предназначен для обеспечения конфиденциальности и целостности объектов и, в определённой мере, их доступности посредством запрещения обслуживания неавторизованных пользователей. Задача логического управления доступом заключается в том, чтобы для каждой пары «субъект – объект» выделить множество допустимых операций, которое зависит от каких-либо дополнительных условий, и контролировать выполнение определённого порядка.

Контроль прав доступа осуществляется разными элементами программной среды, например, ядром операционной системы, вспомогательными инструментами безопасности, системой управления базами данных, посредническим программным обеспечением и т.д.

Как правило, когда принимается решение о предоставлении доступа, анализируется следующая информация.

1. Идентификатор пользователя, IP-адрес компьютера. Эти идентификаторы служат основой добровольного управления доступом.
2. Атрибуты субъекта: метка безопасности, группа пользователя. Метки безопасности являются основой принудительного управления доступом.
3. Место действия: системная консоль, надёжный узел сети.
4. Время действия.
5. Внутренние ограничения сервиса: количество пользователей по лицензии на программный продукт.

Удобной надстройкой  над средствами логического управления доступом служит ограничивающий интерфейс, при котором у пользователя нет самой возможности произвести несанкционированные действия, включив в список видимых ему объектов только те, к которым он доступ имеет.

2.3 Протоколирование и аудит

Протоколирование представляет собой сбор и накопление информации о событиях, которые происходят в вычислительной сети. Каждый сервис имеет свой набор возможных событий, однако в любом случае они делятся на внешние, вызванные действиями других сервисов, внутренние, вызванные действиями самого сервиса, и клиентские, вызванные действиями пользователей и администраторов.

Аудит представляет собой анализ накопленной информации, который осуществляется оперативно, практически в реальном времени, или периодически¹¹.

Функции протоколирования и аудита имеют следующие цели:

• обеспечение подотчётности пользователей и администраторов;
• обеспечение возможности воспроизведения последовательности событий;
• обнаружение попыток нарушений информационной безопасности;
• предоставление информации для выявления и анализа проблем.

Обеспечение подотчётности необходимо, прежде всего, в качестве средства сдерживания. Когда пользователи и администраторы знают, что фиксируются все их действия, возможно, они не станут совершать незаконные операции. Когда есть основания подозревать в нечестности определённого пользователя, возможно особенно подробно регистрировать его действия, вплоть до каждого нажатия клавиши. В этом случае обеспечивается не только возможность расследования случаев нарушения режима безопасности, но и недопущение некорректных изменений. Этим обеспечивается целостность информации.

Восстановление последовательности событий даёт возможность определить слабости в защите сервисов, выявить виновника вторжения, оценить размер причинённого ущерба и возвратиться к нормальной работе.

Определение и анализ проблем помогают улучшить такой параметр безопасности, как доступность. При обнаружении слабых мест можно постараться переконфигурировать или перенастроить систему, снова измерить производительность и т.д.

2.4 Криптография

Криптография служит одним из самых мощных средств обеспечения конфиденциальности и контроля целостности информации¹². Она во многих отношениях занимает ключевое место среди программно-технических регуляторов безопасности, поскольку служит основой реализации многих из этих регуляторов и последним защитным барьером.

Выделяют два основных метода шифрования: симметричный и асимметричный. В симметричном один и тот же ключ применяется для шифровки и расшифровки сообщений. Есть очень эффективные методы симметричного шифрования. На подобные методы имеется и стандарт ¹³.

Главный недостаток симметричного шифрования состоит в том, что секретный ключ должен знать и отправитель, и получатель. С одной стороны, это ставит новую проблему рассылки ключей. С другой стороны, получатель, который имеет шифрованное и расшифрованное сообщение, не может доказать, что он это сообщение получил, а не сгенерировал сам.

В асимметричных методах используются два ключа. Один из ключей является не секретным, применяется для шифровки и может публиковаться вместе с адресом пользователя, другой является секретным, используется для расшифровки и известен лишь получателю. Наиболее популярным из асимметричных является метод RSA (Райвест, Шамир, Адлеман), основанный на операциях с большими (100-значными) простыми числами и их произведениями.

Асимметричные методы шифрования дают возможность реализовать так называемую электронную подпись, или электронное заверение сообщения.

Значительным недостатком асимметричных методов является их низкое быстродействие, из-за этого их нужно сочетать с симметричными методами и учитывать, что асимметричные методы на 3-4 порядка медленнее симметричных.

Криптографические методы надёжно контролируют целостность информации.

В последнее время  получила распространение разновидность  симметричного шифрования, которая основана на применении составных ключей. Идея заключается в том, что секретный ключ делится на две части, которые отдельно хранятся. Сама по себе каждая часть не даст произвести расшифровку. Если вдруг возникают подозрения относительно пользователя, применяющего некоторый ключ, можно получить половинки ключа и дальше действовать обычным для симметричной расшифровки образом.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

ЗАКЛЮЧЕНИЕ

В заключение можно сделать  следующие выводы. В настоящее время повальной компьютеризации благополучие и даже жизнь многих людей зависят от обеспечения информационной безопасности множества компьютерных систем обработки информации, а также контроля и управления различными объектами.

Широкая информатизация обществ, внедрение компьютерной технологии в сферу управления объектами государственного значения, стремительный рост темпов научно-технического прогресса наряду с положительными достижениями в информационных технологиях, создают реальные предпосылки для утечки конфиденциальной информации.

Эффективность защиты информации определяется её своевременностью, активностью, непрерывностью и комплексностью. Очень важно проводить защитные мероприятия комплексно, то есть обеспечивать нейтрализацию всех опасных каналов утечки информации. Необходимо помнить, что даже один-единственный не закрытый канал утечки может свести на нет эффективность системы защиты.

В условиях современной суверенизации государств и субъектов Российской Федерации, не прекращающихся военных конфликтов, попыток территориальных, экономических и иных притязаний государств друг к другу, растущей угрозы терроризма особенно остро стоят проблемы надёжной защиты информации в особые периоды управления важными государственными объектами, включая вычислительные системы. Это требует постоянного развития теории и практики обеспечения информационной безопасности в вычислительных сетях, повышения надёжности использования современных систем обработки конфиденциальной информации в условиях обострения информационной борьбы.

 

 

СПИСОК ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВ

1. ГОСТ 28147-89 «Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования».
2. Грибунин В.Г. Комплексная система защиты информации на предприятии: учебное пособие. / В.Г. Грибунин, В.В. Чудовский. – М.: Академия, 2009. – 416 с.
3. Грушо А.А. Теоретические основы компьютерной безопасности: учебное пособие. / А.А. Грушо, Э.А. Применко, Е.Е. Тимонина. – М.: Академия, 2009. – 272 с.
4. Технические средства и методы защиты информации: Учебник для вузов. / Под ред. А.П. Зайцева. – М.: ООО «Издательство Машиностроение», 2009. – 508 с.
5. Ховард М. 24 смертных греха компьютерной безопасности. Библиотека программиста. / М. Ховард, Д. Лебланк, Дж. Вьега. – СПб.: Питер, 2010. – 400 с.
6. Шаньгин В.Ф. Комплексная защита информации в корпоративных системах: учебное пособие. / В.Ф. Шаньгин. – М.: ИД «Форум»; ИНФРА-М, 2010. – 592 с.

¹ Грушо А.А. Теоретические основы компьютерной безопасности: учебное пособие. / А.А. Грушо, Э.А. Применко, Е.Е. Тимонина. – М.: Академия, 2009. – 272 с. – С. 14.

² Технические средства и методы защиты информации: Учебник для вузов. / Под ред. А.П. Зайцева. – М.: ООО «Издательство Машиностроение», 2009. – 508 с. – С. 183.

³ Шаньгин В.Ф. Комплексная защита информации в корпоративных системах: учебное пособие. / В.Ф. Шаньгин. – М.: ИД «Форум»; ИНФРА-М, 2010. – 592 с. – С. 373.

⁴ Технические средства и методы защиты информации. Указ. соч. – С. 196.

⁵ Технические средства и методы защиты информации. Указ. соч. – С. 202.

⁶ Технические средства и методы защиты информации. Указ. соч. – С. 216.

⁷ Технические средства и методы защиты информации. Указ. соч. – С. 218.

⁸ Технические средства и методы защиты информации. Указ. соч. – С. 220.

⁹ Шаньгин В.Ф. Указ соч. – С. 161.

¹⁰ Ховард М. 24 смертных греха компьютерной безопасности. Библиотека программиста. / М. Ховард, Д. Лебланк, Дж. Вьега. – СПб.: Питер, 2010. – 400 с. – С. 298.

¹¹ Грибунин В.Г. Комплексная система защиты информации на предприятии: учебное пособие. / В.Г. Грибунин, В.В. Чудовский. – М.: Академия, 2009. – 416 с. – С. 178.

¹² Грибулин В.Г. Указ. Соч. – С. 179.

¹³ ГОСТ 28147-89 «Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования»