Сетевая безопасность

«Подслушивание» внутрисетевого трафика — это незаконный мониторинг сети, захват и анализ сетевых сообщений. Существует много доступных программных  и аппаратных анализаторов трафика, которые делают эту задачу достаточно тривиальной. Еще более усложняется  защита от этого типа угроз в сетях  с глобальными связями. Глобальные связи, простирающиеся на десятки и  тысячи километров, по своей природе  являются менее защищенными, чем  локальные связи (больше возможностей для прослушивания трафика, более  удобная для злоумышленника позиция  при проведении процедур аутентификации). Такая опасность одинаково присуща  всем видам территориальных каналов  связи и никак не зависит от того, используются собственные, арендуемые каналы или услуги общедоступных  территориальных сетей, подобных Интернету.

Однако использование  общественных сетей (речь в основном идет об Интернете) еще более усугубляет ситуацию. Действительно, использование  Интернета добавляет к опасности  перехвата данных, передаваемых по линиям связи, опасность несанкционированного входа в узлы сети, поскольку наличие  огромного числа хакеров в  Интернете увеличивает вероятность  попыток незаконного проникновения  в компьютер. Это представляет постоянную угрозу для сетей, подсоединенных к  Интернету.

Интернет сам является целью для разного рода злоумышленников. Поскольку Интернет создавался как  открытая система, предназначенная  для свободного обмена информацией, совсем не удивительно, что практически  все протоколы стека TCP/IP имеют  «врожденные» недостатки защиты. Используя  эти недостатки, злоумышленники все  чаще предпринимают попытки несанкционированного доступа к информации, хранящейся на узлах Интернета.

Системный подход к обеспечению  безопасности

Построение и поддержка  безопасной системы требует системного подхода. В соответствии с этим подходом прежде всего необходимо осознать весь спектр возможных угроз для конкретной сети и для каждой из этих угроз  продумать тактику ее отражения. В этой борьбе можно и нужно  использовать самые разноплановые  средства и приемы — морально-этические  и законодательные, административные и психологические, защитные возможности  программных и аппаратных средств  сети.

К морально-этическим средствам  защиты можно отнести всевозможные нормы, которые сложились по мере распространения вычислительных средств  в той или иной стране. Например, подобно тому как в борьбе против пиратского копирования программ в настоящее время в основном используются меры воспитательного плана, необходимо внедрять в сознание людей аморальность всяческих покушений на нарушение конфиденциальности, целостности и доступности чужих информационных ресурсов.

Законодательные средства защиты — это законы, постановления правительства  и указы президента, нормативные  акты и стандарты, которыми регламентируются правила использования и обработки  информации ограниченного доступа, а также вводятся меры ответственности  за нарушения этих правил. Правовая регламентация деятельности в области  защиты информации имеет целью защиту информации, составляющей государственную  тайну, обеспечение прав потребителей на получение качественных продуктов, защиту конституционных прав граждан  на сохранение личной тайны, борьбу с  организованной преступностью.

Административные меры —  это действия, предпринимаемые руководством предприятия или организации  для обеспечения информационной безопасности. К таким мерам относятся  конкретные правила работы сотрудников  предприятия, например режим работы сотрудников, их должностные инструкции, строго определяющие порядок работы с конфиденциальной информацией  на компьютере. К административным мерам также относятся правила  приобретения предприятием средств  безопасности. Представители администрации, которые несут ответственность  за защиту информации, должны выяснить, насколько безопасным является использование  продуктов, приобретенных у зарубежных поставщиков. Особенно это касается продуктов, связанных с шифрованием. В таких случаях желательно проверить  наличие у продукта сертификата, выданного российскими тестирующими организациями.

Психологические меры безопасности могут играть значительную роль в  укреплении безопасности системы. Пренебрежение  учетом психологических моментов в  неформальных процедурах, связанных  с безопасностью, может привести к нарушениям защиты. Рассмотрим, например, сеть предприятия, в которой работает много удаленных пользователей. Время от времени пользователи должны менять пароли (обычная практика для  предотвращения их подбора). В данной сиетеме выбор паролей осуществляет администратор. В таких условиях злоумышленник может позвонить  администратору по телефону и от имени  легального пользователя попробовать  получить пароль. При большом количестве удаленных пользователей не исключено, что такой простой психологический  прием может сработать.

К физическим средствам защиты относятся экранирование помещений  для защиты от излучения, проверка поставляемой аппаратуры на соответствие ее спецификациям  и отсутствие аппаратных «жучков», средства наружного наблюдения, устройства, блокирующие физический доступ к  отдельным блокам компьютера, различные  замки и другое оборудование, защищающие помещения, где находятся носители информации, от незаконного проникновения и т. д. и т. п.

Технические средства информационной безопасности реализуются программным  и аппаратным обеспечением вычислительных сетей. Такие средства, называемые также  службами сетевой безопасности, решают самые разнообразные задачи по защите системы, например контроль доступа, включающий процедуры аутентификации и авторизации, аудит, шифрование информации, антивирусную защиту, контроль сетевого трафика  и много других задач. Технические  средства безопасности могут быть либо встроены в программное (операционные системы и приложения) и аппаратное (компьютеры и коммуникационное оборудование) обеспечение сети, либо реализованы  в виде отдельных продуктов, созданных  специально для решения проблем  безопасности.

Политика безопасности

Важность и сложность  проблемы обеспечения безопасности требует выработки политики информационной безопасности, которая подразумевает  ответы на следующие вопросы: 

• Какую информацию защищать? 
• Какой ущерб понесет предприятие при потере или при раскрытии тех или иных данных? 
• Кто или что является возможным источником угрозы, какого рода атаки на безопасность системы могут быть предприняты? 
• Какие средства использовать для защиты каждого вида информации?

Специалисты, ответственные  за безопасность системы, формируя политику безопасности, должны учитывать несколько  базовых принципов. Одним из таких  принципов является предоставление каждому сотруднику предприятия  того минимально уровня привилегий на доступ к данным, который необходим  ему для выполнения его должностных  обязанностей. Учитывая, что большая  часть нарушений в области  безопасности предприятий исходит  именно от собственных сотрудников, важно ввести четкие ограничения  для всех пользователей сети, не наделяя их излишними возможностями.

Следующий принцип — использование  комплексного подхода к обеспечению  безопасности. Чтобы затруднить злоумышленнику доступ к данным, необходимо предусмотреть  самые разные средства безопасности, начиная с организационно-административных запретов и кончая встроенными средствами сетевой аппаратуры. Административный запрет на работу в воскресные дни  ставит потенциального нарушителя под  визуальный контроль администратора и  других пользователей, физические средства защиты (закрытые помещения, блокировочные  ключи) ограничивают непосредственный контакт пользователя только приписанным  ему компьютером, встроенные средства сетевой ОС (система аутентификации и авторизации) предотвращают вход в сеть нелегальных пользователей, а для . легального пользователя ограничивают возможности только разрешенными для него операциями (подсистема аудита фиксирует его действия). Такая система защиты с многократным резервированием средств безопасности увеличивает вероятность сохранности данных.

Используя многоуровневую систему  защиты, важно обеспечивать баланс надежности защиты всех уровней. Если в сети все сообщения шифруются, но ключи легкодоступны, то эффект от шифрования нулевой. Или если на компьютерах  установлена файловая система, поддерживающая избирательный доступ на уровне отдельных  файлов, но имеется возможность получить жесткий диск и установить его  на другой машине, то все достоинства  средств защиты файловой системы  сводятся на нет. Если внешний трафик сети, подключенной к Интернету, проходит через мощный брандмауэр, но пользователи имеют возможность связываться  с узлами Интернета по коммутируемым  линиям, используя локально установленные  модемы, то деньги (как правило, немалые), потраченные на брандмауэр, можно  считать выброшенными на ветер.

Следующим универсальным  принципом является использование  средств, которые при отказе переходят  в состояние максимальной защиты. Это касается самых различных  средств безопасности. Если, например, автоматический пропускной пункт в  какое-либо помещение ломается, то он должен фиксироваться в таком  положении, чтобы ни один человек  не мог пройти на защищаемую территорию. А если в сети имеется устройство, которое анализирует весь входной  трафик и отбрасывает кадры с  определенным, заранее заданным обратным адресом, то при отказе оно должно полностью блокировать вход в  сеть. Неприемлемым следовало бы признать устройство, которое бы при отказе пропускало в сеть весь внешний трафик.

Принцип единого контрольно-пропускного  пункта — весь входящий во внутреннюю сеть и выходящий во внешнюю сеть трафик должен проходить через единственный узел сети, например через межсетевой экран (firewall). Только это позволяет  в достаточной степени контролировать трафик. В противном случае, когда  в сети имеется множество пользовательских станций, имеющих независимый выход  во внешнюю сеть, очень трудно скоординировать  правила, ограничивающие права пользователей  внутренней сети по доступу к серверам внешней сети и обратно — права  внешних клиентов по доступу к  ресурсам внутренней сети.

Принцип баланса возможного ущерба от реализации угрозы и затрат на ее предотвращение. Ни одна система  безопасности не гарантирует защиту данных на уровне 100 %, поскольку является результатом компромисса между  возможными рисками и возможными затратами. Определяя политику безопасности, администратор должен взвесить величину ущерба, которую может понести  предприятие в результате нарушения  защиты данных, и соотнести ее с  величиной затрат, требуемых на обеспечение  безопасности этих данных. Так, в некоторых  случаях можно отказаться от дорогостоящего межсетевого экрана в пользу стандартных средств фильтрации обычного маршрутизатора, в других же можно пойти на беспрецедентные затраты. Главное, чтобы принятое решение было обосновано экономически.

При определении политики безопасности для сети, имеющей выход  в Интернет, специалисты рекомендуют  разделить задачу на две части: выработать политику доступа к сетевым службам  Интернета и выработать политику доступа к ресурсам внутренней сети компании.

Политика доступа к  сетевым службам Интернета включает следующие пункты: 

• Определение списка служб Интернета, к которым пользователи внутренней сети должны иметь ограниченный доступ. 
• Определение ограничений на методы доступа, например на использование протоколов SLIP (Serial Line Internet Protocol) и РРР (Point-to-Point Protocol). Ограничения методов доступа необходимы для того, чтобы пользователи не могли обращаться к «запрещенным» службам Интернета обходными путями. Например, если для ограничения доступа к Интернету в сети устанавливается специальный шлюз, который не дает возможности пользователям работать в системе WWW, они могут устанавливать с Web-серверами РРР-соеди-нения по коммутируемой линии. Во избежание этого надо просто запретить использование протокола РРР. 
• Принятие решения о том, разрешен ли доступ внешних пользователей из Интернета во внутреннюю сеть. Если да, то кому. Часто доступ разрешают только для некоторых, абсолютно необходимых для работы предприятия служб, например электронной почты.

Политика доступа к  ресурсам внутренней сети компании может  быть выражена в одном из двух принципов:  

• запрещать все, что не разрешено в явной форме; 
• разрешать все, что не запрещено в явной форме.

В соответствии с выбранным  принципом определяются правила  обработки внешнего трафика межсетевыми  экранами или маршрутизаторами. Реализация защиты на основе первого принципа дает более высокую степень безопасности, однако при этом могут возникать  большие неудобства у пользователей, а кроме того, такой способ защиты обойдется значительно дороже. При  реализации второго принципа сеть окажется менее защищенной, однако пользоваться ею будет удобнее и потребуется  меньше затрат.

Базовые технологии безопасности

В разных программных и  аппаратных продуктах, предназначенных  для защиты данных, часто используются одинаковые подходы, приемы и технические  решения. К таким базовым технологиям безопасности относятся аутентификация, авторизация, аудит и технология защищенного канала.

Шифрование

Шифрование — это краеугольный камень всех служб информационной безопасности, будь то система аутентификации или  авторизации, средства создания защищенного  канала или способ безопасного хранения данных.