Введение в информационную безопасность

ее (информации) целостность и конфиденциальность.

Хотелось бы подчеркнуть, что природа экранирования (фильтрации), как

механизма безопасности, очень глубока. Помимо блокирования потоков данных,

нарушающих политику безопасности, межсетевой экран может скрывать

информацию о защищаемой сети, тем самым затрудняя действия потенциальных

злоумышленников. Так, прикладной экран может осуществлять действия от имени

субъектов внутренней сети, в результате чего из внешней сети кажется, что

имеет место взаимодействие исключительно с межсетевым экраном (Рис. 5). При

таком подходе топология внутренней сети скрыта от внешних пользователей,

поэтому задача злоумышленника существенно усложняется.

Более общим методом сокрытия информации о топологии защищаемой сети

является трансляция "внутренних" сетевых адресов, которая попутно решает

проблему расширения адресного пространства, выделенного организации.

Ограничивающий интерфейс также можно рассматривать как разновидность

экранирования. На невидимый объект трудно нападать, особенно с помощью

фиксированного набора средств. В этом смысле Web-интерфейс обладает

естественной защитой, особенно в том случае, когда гипертекстовые документы

формируются динамически. Каждый видит лишь то, что ему положено.

Экранирующая роль Web-сервиса наглядно проявляется и тогда, когда этот

сервис осуществляет посреднические (точнее, интегрирующие) функции при

доступе к другим ресурсам, в частности таблицам базы данных. Здесь не

только контролируются потоки запросов, но и скрывается реальная организация

баз данных.

Безопасность программной среды

Идея сетей с так называемыми активными агентами, когда между компьютерами

передаются не только пассивные, но и активные исполняемые данные (то есть

программы), разумеется, не нова. Первоначально цель состояла в том, чтобы

уменьшить сетевой трафик, выполняя основную часть обработки там, где

располагаются данные (приближение программ к данным). На практике это

означало перемещение программ на серверы. Классический пример реализации

подобного подхода - это хранимые процедуры в реляционных СУБД.

Для Web-серверов аналогом хранимых процедур являются программы,

обслуживающие общий шлюзовый интерфейс (Common Gateway Interface - CGI).

CGI-процедуры располагаются на серверах и обычно используются для

динамического порождения HTML-документов. Политика безопасности организации

и процедурные меры должны определять, кто имеет право помещать на сервер

CGI-процедуры. Жесткий контроль здесь необходим, поскольку выполнение

сервером некорректной программы может привести к сколь угодно тяжелым

последствиям. Разумная мера технического характера состоит в минимизации

привилегий пользователя, от имени которого выполняется Web-сервер.

В технологии Intranet, если заботиться о качестве и выразительной силе

пользовательского интерфейса, возникает нужда в перемещении программ с Web-

серверов на клиентские компьютеры - для создания анимации, выполнения

семантического контроля при вводе данных и т.д. Вообще, активные агенты -

неотъемлемая часть технологии Intranet.

В каком бы направлении ни перемещались программы по сети, эти действия

представляют повышенную опасность, т.к. программа, полученная из

ненадежного источника, может содержать непреднамеренно внесенные ошибки или

целенаправленно созданный зловредный код. Такая программа потенциально

угрожает всем основным аспектам информационной безопасности:

доступности (программа может поглотить все наличные ресурсы); целостности

(программа может удалить или повредить данные); конфиденциальности

(программа может прочитать данные и передать их по сети).

Проблему ненадежных программ осознавали давно, но, пожалуй, только в рамках

системы программирования Java впервые предложена целостная концепция ее

решения.

Java предлагает три оборонительных рубежа:

надежность языка; контроль при получении программ; контроль при выполнении

программ.

Впрочем, существует еще одно, очень важное средство обеспечения

информационной безопасности - беспрецедентная открытость Java-системы.

Исходные тексты Java-компилятора и интерпретатора доступны для проверки,

поэтому велика вероятность, что ошибки и недочеты первыми будут

обнаруживать честные специалисты, а не злоумышленники.

В концептуальном плане наибольшие трудности представляет контролируемое

выполнение программ, загруженных по сети. Прежде всего, необходимо

определить, какие действия считаются для таких программ допустимыми. Если

исходить из того, что Java - это язык для написания клиентских частей

приложений, одним из основных требований к которым является мобильность,

загруженная программа может обслуживать только пользовательский интерфейс и

осуществлять сетевое взаимодействие с сервером. Программа не может работать

с файлами хотя бы потому, что на Java-терминале их, возможно, не будет.

Более содержательные действия должны производиться на серверной стороне или

осуществляться программами, локальными для клиентской системы.

Интересный подход предлагают специалисты компании Sun Microsystems для

обеспечения безопасного выполнения командных файлов. Речь идет о среде Safe-

Tcl (Tool Comman Language, инструментальный командный язык). Sun предложила

так называемую ячеечную модель интерпретации командных файлов. Существует

главный интерпретатор, которому доступны все возможности языка. Если в

процессе работы приложения необходимо выполнить сомнительный командный

файл, порождается подчиненный командный интерпретатор, обладающий

ограниченной функциональностью (например, из него могут быть удалены

средства работы с файлами и сетевые возможности). В результате потенциально

опасные программы оказываются заключенными в ячейки, защищающие

пользовательские системы от враждебных действий. Для выполнения действий,

которые считаются привилегированными, подчиненный интерпретатор может

обращаться с запросами к главному. Здесь, очевидно, просматривается

аналогия с разделением адресных пространств операционной системы и

пользовательских процессов и использованием последними системных вызовов.

Подобная модель уже около 30 лет является стандартной для

многопользовательских ОС.

Защита web-серверов

Наряду с обеспечением безопасности программной среды (см. предыдущий

раздел), важнейшим будет вопрос о разграничении доступа к объектам Web-

сервиса. Для решения этого вопроса необходимо уяснить, что является

объектом, как идентифицируются субъекты и какая модель управления доступом

- принудительная или произвольная - применяется.

В Web-серверах объектами доступа выступают универсальные локаторы ресурсов

(URL - Uniform (Universal) Resource Locator). За этими локаторами могут

стоять различные сущности - HTML-файлы, CGI-процедуры и т.п.

Как правило, субъекты доступа идентифицируются по IP-адресам и/или именам

компьютеров и областей управления. Кроме того, может использоваться

парольная аутентификация пользователей или более сложные схемы, основанные

на криптографических технологиях (см. следующий раздел).

В большинстве Web-серверов права разграничиваются с точностью до каталогов

(директорий) с применением произвольного управления доступом. Могут

предоставляться права на чтение HTML-файлов, выполнение CGI-процедур и т.д.

Для раннего выявления попыток нелегального проникновения в Web-сервер важен

регулярный анализ регистрационной информации.

Разумеется, защита системы, на которой функционирует Web-сервер, должна

следовать универсальным рекомендациям, главной из которых является

максимальное упрощение. Все ненужные сервисы, файлы, устройства должны быть

удалены. Число пользователей, имеющих прямой доступ к серверу, должно быть

сведено к минимуму, а их привилегии - упорядочены в соответствии со

служебными обязанностями.

Еще один общий принцип состоит в том, чтобы минимизировать объем информации

о сервере, которую могут получить пользователи. Многие серверы в случае

обращения по имени каталога и отсутствия файла index.HTML в нем, выдают

HTML-вариант оглавления каталога. В этом оглавлении могут встретиться имена

файлов с исходными текстами CGI-процедур или с иной конфиденциальной

информацией. Такого рода "дополнительные возможности" целесообразно

отключать, поскольку лишнее знание (злоумышленника) умножает печали

(владельца сервера).

Аутентификация в открытых сетях

Методы, применяемые в открытых сетях для подтверждения и проверки

подлинности субъектов, должны быть устойчивы к пассивному и активному

прослушиванию сети. Суть их сводится к следующему.

Субъект демонстрирует знание секретного ключа, при этом ключ либо вообще не

передается по сети, либо передается в зашифрованном виде. Субъект

демонстрирует обладание программным или аппаратным средством генерации

одноразовых паролей или средством, работающим в режиме "запрос-ответ".

Нетрудно заметить, что перехват и последующее воспроизведение одноразового

пароля или ответа на запрос ничего не дает злоумышленнику. Субъект

демонстрирует подлинность своего местоположения, при этом используется

система навигационных спутников.

Виртуальные частные сети

Одной из важнейших задач является защита потоков корпоративных данных,

передаваемых по открытым сетям. Открытые каналы могут быть надежно защищены

лишь одним методом - криптографическим.

Отметим, что так называемые выделенные линии не обладают особыми

преимуществами перед линиями общего пользования в плане информационной

безопасности. Выделенные линии хотя бы частично будут располагаться в

неконтролируемой зоне, где их могут повредить или осуществить к ним

несанкционированное подключение. Единственное реальное достоинство - это

гарантированная пропускная способность выделенных линий, а вовсе не какая-

то повышенная защищенность. Впрочем, современные оптоволоконные каналы

способны удовлетворить потребности многих абонентов, поэтому и указанное

достоинство не всегда облечено в реальную форму.

Любопытно упомянуть, что в мирное время 95% трафика Министерства обороны

США передается через сети общего пользования (в частности через Internet).

В военное время эта доля должна составлять "лишь" 70%. Можно предположить,

что Пентагон - не самая бедная организация. Американские военные полагаются

на сети общего пользования потому, что развивать собственную инфраструктуру

в условиях быстрых технологических изменений - занятие очень дорогое и

бесперспективное, оправданное даже для критически важных национальных

организаций только в исключительных случаях.

Представляется естественным возложить на межсетевой экран задачу шифрования

и дешифрования корпоративного трафика на пути во внешнюю сеть и из нее.

Чтобы такое шифрование/дешифрование стало возможным, должно произойти

начальное распределение ключей. Современные криптографические технологии

предлагают для этого целый ряд методов.

После того как межсетевые экраны осуществили криптографическое закрытие

корпоративных потоков данных, территориальная разнесенность сегментов сети

проявляется лишь в разной скорости обмена с разными сегментами. В остальном

вся сеть выглядит как единое целое, а от абонентов не требуется привлечение

каких-либо дополнительных защитных средств.

Простота и однородность архитектуры

Важнейшим аспектом информационной безопасности является управляемость

системы. Управляемость - это и поддержание высокой доступности системы за

счет раннего выявления и ликвидации проблем, и возможность изменения

аппаратной и программной конфигурации в соответствии с изменившимися

условиями или потребностями, и оповещение о попытках нарушения

информационной безопасности практически в реальном времени, и снижение

числа ошибок администрирования, и многое, многое другое.

Наиболее остро проблема управляемости встает на клиентских рабочих местах и

на стыке клиентской и серверной частей информационной системы. Причина

проста - клиентских мест гораздо больше, чем серверных, они, как правило,

разбросаны по значительно большей площади, их используют люди с разной

квалификацией и привычками. Обслуживание и администрирование клиентских

рабочих мест - занятие чрезвычайно сложное, дорогое и чреватое ошибками.

Технология Intranet за счет простоты и однородности архитектуры позволяет

сделать стоимость администрирования клиентского рабочего места практически

нулевой. Важно и то, что замена и повторный ввод в эксплуатацию клиентского

компьютера могут быть осуществлены очень быстро, поскольку это "клиенты без

состояния", у них нет ничего, что требовало бы длительного восстановления

или конфигурирования.

На стыке клиентской и серверной частей Intranet-системы находится Web-

сервер. Это позволяет иметь единый механизм регистрации пользователей и

наделения их правами доступа с последующим централизованным

администрированием. Взаимодействие с многочисленными разнородными сервисами

оказывается скрытым не только от пользователей, но и в значительной степени

от системного администратора.

Заключение

Задача обеспечения информационной безопасности в Intranet оказывается более

простой, чем в случае произвольных распределенных систем, построенных в

архитектуре клиент/сервер. Причина тому - однородность и простота

архитектуры Intranet. Если разработчики прикладных систем сумеют в полной

мере воспользоваться этим преимуществом, то на программно-техническом

уровне им будет достаточно нескольких недорогих и простых в освоении

продуктов. Правда, к этому необходимо присовокупить продуманную политику

безопасности и целостный набор мер процедурного уровня.

Как защитить информацию

Обеспечение безопасности при работе с компьютерной системой - задача

многогранная. В ней можно выделить два основных направления: безопасность

персонала и информационную безопасность. Оба аспекта составляют предмет

жарких дискуссий ведущих специалистов отрасли на многочисленных совещаниях,

семинарах и конференциях. Крупнейшим смотром технологий обеспечения

информационной безопасности стала 23-я международная выставка-конференция,

проводившаяся в Чикаго 12-13 ноября 1996 г., в которой участвовало более

100 компаний.

Остановимся подробнее на втором аспекте. Интерес к вопросам безопасности

информации не случаен. Корпоративные системы электронного документооборота,

бухгалтерского учета и управления базами данных получили широкое

распространение в развитых странах уже в первой половине 70-х гг. С

развитием компьютерных технологий, по мере снижения их стоимости, роста

возможностей и доступности компьютеров, все больше компаний переходят на

автоматизированные системы учета. В результате увеличиваются как объем

информации, хранящейся на различных электронных носителях, так и ее

ценность (которая, в первую очередь, определяется суммой возможных убытков

при потере данных или их попадании к конкуренту). И тут-то выясняется, что

электронные средства хранения даже более уязвимы, чем бумажные; размещаемые

на них данные можно и уничтожить, и скопировать, и незаметно видоизменить.

Последнее, кстати, представляет наибольшую опасность для компаний.

Что же означает потеря данных, на основе которых ведется управление

бизнесом? По данным Миннесотского университета, 93% компаний, лишившихся

доступа к своим данным на срок более 10 дней, покинули бизнес, причем

половина из них заявила о своей несостоятельности немедленно. Хотя

компании, опасаясь за свое реноме, предпочитают замалчивать случаи крушения

их информационных систем и вторжения в них, статистика подобных

происшествий все же существует. Так, подкомитет по расследованиям при

сенате США недавно провел соответствующий опрос среди 500 крупнейших

индустриальных компаний страны. Более половины респондентов (264 фирмы)

воздержались от ответа, однако 140 компаний признали, что их информационные

системы подвергались нападениям в течение последнего года, и почти пятая

часть из них сообщила, что понесенные при этом убытки составили свыше 1 млн

дол.

В Российской Федерации такие исследования не проводились, но, конечно,

события подобного рода иногда происходят. Например, в сеть одного крупного

торгового зала проникли вирусы, и два дня, пока не была восстановлена

информационная среда, фирма осуществляла только оптовые торговые операции.

В результате оборот снизился в несколько раз, клиенты, не получавшие

требуемых услуг, высказывали свое недовольство, персонал работал

неэффективно, а системные администраторы в авральном порядке с утра до ночи

"чистили" систему и восстанавливали информацию на дисках. Учитывая

статистику Миннесотского университета, можно сказать, что фирма легко

отделалась.

Российские предприниматели под давлением фактов, а иногда и личного опыта,

наконец начали осознавать ценность информации, содержащейся в их

корпоративных сетях. Следствием этого стало проявление некоторого, пока еще

не слишком активного, интереса к системам безопасности. Немалую роль в

продвижении технологий безопасности играют и отечественные системные

интеграторы, в задачи которых входит создание комплексных информационных

систем поддержки бизнеса и разработка технических и организационно-режимных

мероприятий для повышения их безопасности. Государство, требующее от

определенных организаций ответственного подхода к хранению и передаче

информации, также стимулирует развитие данной области. В частности,

Президент РФ своим указом от 3 апреля 1995 г. предложил Центральному банку

(ЦБ) принять меры по отношению к коммерческим банкам, уклоняющимся от

обязательного использования "защищенных технических средств хранения,

обработки и передачи информации при их информационном взаимодействии с

подразделениями ЦБ".

Правда, на сегодняшний день российские бизнесмены все же больше озабочены

надежностью функционирования своих компьютерных систем и их защиты от

вирусов, нежели созданием барьеров, ограждающих от несанкционированного

доступа. Возможно, это пока оправданно, поскольку лишь немногие фирмы

содержат в компьютерных сетях информацию, ценность которой адекватна

расходам на ее извлечение.

Обсуждая вопросы безопасности информации в компьютерной системе со

специалистами известных российских фирм, занимающихся системной интеграцией

- таких как IBS, "ЛВС", "АйТи", "Анкей", "Оптима" и RPI, - авторы выделили

два основных принципа организации информационных систем. Во-первых, это

комплексный подход к построению системы, охватывающий как применение

специальных аппаратных и программных средств, так и проведение

организационно-режимных мероприятий. Во-вторых, высокие требования к

квалификации обслуживающего персонала. Глобальными факторами, влияющими на

функционирование системы и сохранность данных, являются сбой системы,

случайное уничтожение ее отдельных компонентов и несанкционированный доступ

к системе. Поскольку первые два фактора не связаны с прямой атакой на

содержимое информационной системы, их можно объединить термином "несчастный

случай".

Несчастный случай

Страницы: 1, 2, 3, 4, 5, 6