5. Информационная безопасность в сетях ЭВМ
    Защита данных в компьютерных сетях становится одной из  самых  открытых
проблем в современных информационно-вычислительных системах. На  сегодняшний
день  сформулировано  три  базовых  принципа  информационной   безопасности,
задачей которой является обеспечение:
    — целостности данных — защита от сбоев, ведущих к потере информации или
      ее уничтожения;
    — конфиденциальности информации;
    — доступности информации для авторизованных пользователей.
    Рассматривая проблемы, связанные с защитой  данных  в  сети,  возникает
вопрос о классификации сбоев и несанкционированности доступа,  что  ведет  к
потере  или  нежелательному  изменению   данных.   Это   могут   быть   сбои
оборудования (кабельной системы, дисковых систем, серверов, рабочих  станций
и т.д.), потери  информации  (из-за  инфицирования  компьютерными  вирусами,
неправильного хранения архивных данных, нарушений прав  доступа  к  данным),
некорректная работа пользователей и обслуживающего персонала.  Перечисленные
нарушения работы в  сети  вызвали  необходимость  создания  различных  видов
защиты информации. Условно их можно разделить на три класса:
    — средства физической защиты;
    — программные средства (антивирусные программы,  системы  разграничения
      полномочий, программные средства контроля доступа);
    — административные  меры  защиты  (доступ   в   помещения,   разработка
      стратегий безопасности фирмы и т.д.).
    Одним из средств физической защиты  являются  системы  архивирования  и
дублирования  информации.  В  локальных  сетях,  где  установлены   один-два
сервера, чаще всего  система  устанавливается  непосредственно  в  свободные
слоты  серверов.  В  крупных  корпоративных  сетях   предпочтение   отдается
выделенному    специализированному    архивационному    серверу,     который
автоматически архивирует информацию с  жестких  дисков  серверов  и  рабочих
станций в определенное время, установленное  администратором  сети,  выдавая
отчет  о  проведенном  резервном  копировании.  Наиболее   распространенными
моделями архивированных серверов являются Storage Express System  корпорации
Intel ARCserve for Windows.
    Для  борьбы  с  компьютерными  вирусами  наиболее   часто   применяются
антивирусные  программы,  реже  —  аппаратные  средства  защиты.  Однако,  в
последнее время наблюдается тенденция к сочетанию программных  и  аппаратных
методов  защиты.  Среди  аппаратных   устройств   используются   специальные
антивирусные платы, вставленные в стандартные слоты  расширения  компьютера.
Корпорация Intel предложила перспективную технологию  защиты  от  вирусов  в
сетях, суть которой заключается в сканировании систем компьютеров еще до  их
загрузки.  Кроме  антивирусных  программ,  проблема  защиты   информации   в
компьютерных сетях решается  введением  контроля  доступа  и  разграничением
полномочий пользователя. Для этого используются встроенные средства  сетевых
операционных систем, крупнейшим производителем которых  является  корпорация
Novell. В системе, например, NetWare, кроме стандартных средств  ограничения
доступа   (смена   паролей,   разграничение    полномочий),    предусмотрена
возможность   кодирования   данных   по   принципу   «открытого   ключа»   с
формированием электронной подписи для передаваемых по сети пакетов.
    Однако,  такая  система  защиты  слабомощна,  т.к.  уровень  доступа  и
возможность входа в систему определяются паролем, который легко  подсмотреть
или   подобрать.   Для   исключения   неавторизованного   проникновения    в
компьютерную  сеть  используется   комбинированный   подход   —   пароль   +
идентификация пользователя по  персональному  «ключу».  «Ключ»  представляет
собой пластиковую карту (магнитная или со встроенной  микросхемой  —  смарт-
карта)   или   различные   устройства   для   идентификации   личности    по
биометрической информации — по радужной оболочке глаза, отпечаткам  пальцев,
размерам кисти руки и т.д. Серверы и  сетевые  рабочие  станции,  оснащенные
устройствами  чтения  смарт-карт  и  специальным  программным  обеспечением,
значительно повышают степень защиты от несанкционированного доступа.
    Смарт-карты управления доступом позволяют  реализовать  такие  функции,
как контроль  входа,  доступ  к  устройствам  ПК,  к  программам,  файлам  и
командам. Одним  из  удачных  примеров  создания  комплексного  решения  для
контроля доступа в открытых системах, основанного как на программных, так  и
на аппаратных средствах защиты, стала система  Kerberos,  в  основу  которой
входят три компонента:
    — база данных, которая содержит информацию по  всем  сетевым  ресурсам,
пользователям, паролям, информационным ключам и т.д.;
    — авторизационный  сервер  (authentication  server),  задачей  которого
является обработка запросов пользователей на предоставление того  или  иного
вида  сетевых  услуг.  Получая  запрос,  он  обращается  к  базе  данных   и
определяет полномочия  пользователя  на  совершение  определенной  операции.
Пароли пользователей по сети  не  передаются,  тем  самым,  повышая  степень
защиты информации;
    — Ticket-granting  server  (сервер  выдачи  разрешений)   получает   от
авторизационного сервера «пропуск»  с  именем  пользователя  и  его  сетевым
адресом, временем запроса, а  также  уникальный  «ключ».  Пакет,  содержащий
«пропуск», передается также в зашифрованном виде. Сервер  выдачи  разрешений
после  получения  и  расшифровки  «пропуска»  проверяет  запрос,  сравнивает
«ключи»  и  при  тождественности  дает  «добро»  на  использование   сетевой
аппаратуры или программ.
    По  мере  расширения  деятельности   предприятий,   роста   численности
абонентов и появления новых филиалов,  возникает  необходимость  организации
доступа удаленных пользователей (групп пользователей) к  вычислительным  или
информационным ресурсам  к  центрам  компаний.  Для  организации  удаленного
доступа чаще всего используются кабельные линии и  радиоканалы.  В  связи  с
этим защита информации, передаваемой по каналам удаленного доступа,  требует
особого подхода. В мостах и маршрутизаторах удаленного  доступа  применяется
сегментация пакетов — их разделение и передача параллельно по  двум  линиям,
— что  делает  невозможным  «перехват»  данных  при  незаконном  подключении
«хакера» к одной  из  линий.  Используемая  при  передаче  данных  процедура
сжатия   передаваемых   пакетов   гарантирует   невозможность    расшифровки
«перехваченных» данных. Мосты  и  маршрутизаторы  удаленного  доступа  могут
быть запрограммированы таким образом, что  удаленным  пользователям  не  все
ресурсы центра компании могут быть доступны.
    В настоящее время разработаны специальные устройства контроля доступа к
вычислительным  сетям  по  коммутируемым  линиям.  Примером  может  служить,
разработанный  фирмой  AT&T  модуль  Remote  Port  Securiti  Device  (PRSD),
состоящий из двух блоков  размером  с  обычный  модем:  RPSD  Lock  (замок),
устанавливаемый в центральном офисе,  и  RPSD  Key  (ключ),  подключаемый  к
модему удаленного пользователя. RPSD  Key  и  Lock  позволяют  устанавливать
несколько уровней защиты и контроля доступа:
     — шифрование данных, передаваемых по  линии  при  помощи  генерируемых
цифровых ключей;
    — контроль доступа с учетом дня недели или времени суток.
    Прямое отношение к теме безопасности имеет стратегия создания резервных
копий и  восстановления  баз  данных.  Обычно  эти  операции  выполняются  в
нерабочее время в пакетном режиме. В большинстве СУБД резервное  копирование
и  восстановление  данных  разрешаются  только  пользователям   с   широкими
полномочиями  (права  доступа  на  уровне  системного  администратора,  либо
владельца  БД),  указывать  столь  ответственные  пароли  непосредственно  в
файлах пакетной обработки нежелательно. Чтобы  не  хранить  пароль  в  явном
виде, рекомендуется написать простенькую прикладную программу, которая  сама
бы вызывала утилиты копирования/восстановления.  В  таком  случае  системный
пароль должен быть «зашит» в код указанного приложения. Недостатком  данного
метода является то, что всякий раз при смене пароля  эту  программу  следует
перекомпилировать.
    Применительно  к  средствам  защиты  от  НСД  определены  семь  классов
защищенности (1-7) средств вычислительной техники  (СВТ)  и  девять  классов
(1А,1Б,1В,1Г,1Д,2А,2Б,3А,3Б) автоматизированных систем (АС). Для  СВТ  самым
низким является седьмой класс, а для АС — 3Б.
    Рассмотрим более подробно приведенные сертифицированные системы  защиты
от НСД.
    Система «КОБРА» соответствует  требованиям  4-ого  класса  защищенности
(для СВТ), реализует идентификацию и разграничение полномочий  пользователей
и криптографическое  закрытие  информации,  фиксирует  искажения  эталонного
состояния рабочей среды  ПК  (вызванные  вирусами,  ошибками  пользователей,
техническими  сбоями  и  т.д.)  и  автоматически  восстанавливает   основные
компоненты операционной среды терминала.
    Подсистема  разграничения  полномочий  защищает  информацию  на  уровне
логических  дисков.  Пользователь  получает  доступ  к  определенным  дискам
А,В,С,…,Z. Все абоненты разделены на 4 категории:
    — суперпользователь (доступны все действия в системе);
     — администратор (доступны  все  действия  в  системе,  за  исключением
изменения  имени,  статуса  и  полномочий   суперпользователя,   ввода   или
исключения его из списка пользователей);
    — программисты (может изменять личный пароль);
    — коллега  (имеет  право  на  доступ  к  ресурсам,  установленным   ему
      суперпользователем).
    Помимо санкционирования и разграничения доступа  к  логическим  дискам,
администратор  устанавливает  каждому  пользователю  полномочия  доступа   к
последовательному  и  параллельному  портам.  Если   последовательный   порт
закрыт, то невозможна передача информации с  одного  компьютера  на  другой.
При отсутствии доступа к параллельному порту, невозможен вывод на принтер.