Електронний посібник

Лекція № 17

Тема: Методи захисту комп’ютерних мереж

Мета: ознайомитися з захистом комп’ютерних мереж на фізичному рівні та програмному

План

  1. Головні поняття захисту комп’ютерних мереж.

2 Фізичний захист даних.

2.1 Кабельна система.

2.2 Системи електропостачання.

2.3 Системи архівування і дублювання інформації.

2.4 Захист від стихійних лих.

3 Програмні та програмно-апаратні методи захисту.

3.1 Захист від комп'ютерних вірусів.

3.2 Захист від несанкціонованого доступу.

3.3 Захист інформації при віддаленому доступі.

4 Адміністративні заходи.

Лекційний матеріал

Кожен збій роботи комп'ютерної мережі це не тільки "моральний" завдання шкоди галузі мережевих адміністраторів - у міру розвитку технологій електронних платежів серйозний збій локальних мереж може паралізувати роботу цілих корпорацій.


Дмитро Ведев


Кожен збій роботи комп'ютерної мережі це не тільки "моральний" шкода для працівників підприємства і мережних адміністраторів. У міру розвитку технологій електронних платежів і "безпаперового" документообігу серйозний збій локальних мереж може паралізувати роботу цілих корпорацій і банків, що призводить до відчутних матеріальних втрат. За статистикою фірми Infonetics, збої у середньостатистичній північноамериканської локальної мережі відбуваються 23.6 рази протягом року, і витрати на їх усунення становлять в середньому близько 5 годин. Втрати компанії - власника мережі при цьому складають від однієї до п'ятдесяти тисяч доларів на годину. При цьому враховуються не тільки прямі витрати на ліквідацію ушкодження, але й упущена вигода, втрата робочого часу та іншої шкоди.

Даних про втрати російських компаній від збоїв у роботі локальних мереж у пресі поки не наводилося, проте можна припустити, що і для них проблема відмовостійкості мережі і захисту даних є актуальною. Адже не секрет, що багато російських фірми на зорі своєї діяльності віддавали перевагу найбільш дешевим і, найчастіше, найменш надійним мережевих рішень. За даними анкетування 100 адміністраторів локальних мереж, проведеного фірмою АйТі в січні цього року, серйозні збої у роботі мережного обладнання та програмного забезпечення в більшості російських фірм відбуваються не рідше, ніж один раз на місяць.

Не випадково, що захист даних у комп'ютерних мережах стає однією з найгостріших проблем в сучасній інформатиці. На сьогоднішній день сформульовано три базові принципи інформаційної безпеки, яка повинна забезпечувати.


- Цілісність даних - захист від збоїв, що ведуть до втрати інформації, а також неавторизованого створення або знищення даних;

- Конфіденційність інформації і, одночасно,

- Її доступність для всіх авторизованих користувачів.


Слід також зазначити, що окремі сфери діяльності (банківські та фінансові інститути, інформаційні мережі, системи державного управління, оборонні та спеціальні структури) вимагають спеціальних заходів безпеки даних і пред'являють підвищені вимоги до надійності функціонування інформаційних систем, відповідно до характеру і важливістю вирішуваних ними завдань . У даній статті ми не будемо зачіпати питання спеціальних систем безпеки, а зупинимося на загальних питаннях захисту інформації в комп'ютерних мережах.

При розгляді проблем захисту даних в мережі насамперед виникає питання про класифікацію збоїв і порушень прав доступу, які можуть призвести до знищення або небажаної модифікації даних. Серед таких потенційних "загроз" можна виділити:

1. Збої обладнання:

- Збої кабельної системи;

- Перебої електроживлення;

- Збої дискових систем;

- Збої систем архівації даних;


2. Втрати інформації з-за некоректної роботи ПЗ:

- Збої роботи серверів, робочих станцій, мережевих карт і т. д.;

- Втрата або зміна даних при помилках ПО;


3. Втрати, пов'язані з несанкціонованим доступом:

- Втрати при зараженні системи комп'ютерними вірусами;

- Несанкціоноване копіювання, знищення або підробка інформації;


4. Втрати інформації, пов'язані з неправильним зберіганням архівних даних.


5. Помилки обслуговуючого персоналу і користувачів.

- Ознайомлення з конфіденційною інформацією, що складає таємницю, сторонніх осіб;

- Випадкове знищення чи зміну даних;


У залежності від можливих видів порушень роботи мережі (під порушенням роботи ми також розуміємо і несанкціонований доступ) численні види захисту інформації об'єднуються в два основні класи:

- Засоби фізичного захисту, що включають засоби захисту кабельної системи, систем електроживлення, засоби архівації, дискові масиви і т. д.

- Програмні засоби захисту, в тому числі: антивірусні програми, системи розмежування повноважень, програмні засоби контролю доступу.

- Адміністративні заходи захисту, які включають контроль доступу в приміщення, розробку стратегії безпеки фірми, планів дій у надзвичайних ситуаціях і т.д.


Слід зазначити, що таке розподіл є досить умовним, оскільки сучасні технології розвиваються в напрямку поєднання програмних і апаратних засобів захисту. Найбільшого поширення такі програмно-апаратні засоби отримали, зокрема, в галузі контролю доступу, захисту від вірусів і т. д.

Фізичний захист даних

Кабельна система


Кабельна система залишається головною "ахілессовой п'ятою" більшості локальних обчислювальних мереж: за даними різних досліджень, саме кабельна система є причиною більш ніж половини всіх відмов мережі. У зв'язку з цим кабельної системі має приділятися особлива увага з самого моменту проектування мережі.

Найкращим способом позбавити себе від "головного болю" з приводу неправильної прокладки кабелю є використання набули широкого поширення останнім часом так званих структурованих кабельних систем, що використовують однакові кабелі для передачі даних у локальній обчислювальній мережі, локальної телефонної мережі, передачі відеоінформації чи сигналів від датчиків пожежної безпеки або охоронних систем. До структурованим кабельних систем відносяться, наприклад, SYSTIMAX SCS фірми АТ & T, OPEN DECconnect компанії Digital, кабельна система корпорації IBM.

Поняття "структурованість" означає, що кабельну систему будівлі можна розділити на декілька рівнів в залежності від призначення і місцерозташування компонентів кабельної системи. Наприклад, кабельна система SYSTIMAX SCS складається з:

- Некоректне використання програмного і апаратного забезпечення, що веде до знищення чи зміни даних.

- Зовнішньої підсистеми (campus subsystem)

- Апаратних (equipment room)

- Адміністративної підсистеми (administrative subsystem)

- Магістралі (backbone cabling)

- Горизонтальної підсистеми (horizontal subsystem)

Зовнішня підсистема складається з мідного і оптоволоконного кабелю, пристроїв електричного захисту та заземлення і пов'язує комунікаційну та обробну апаратуру в будівлі (або комплексі будівель). Крім того, в цю підсистему входять пристрою сполучення зовнішніх кабельних ліній з внутрішніми.

Апаратні служать для розміщення різного комунікаційного обладнання, призначеного для забезпечення роботи адміністративної підсистеми.

Адміністративна підсистема призначена для швидкого і легкого управління кабельної системою SYSTIMAX SCS при зміні планів розміщення персоналу і відділів. До її складу входять кабельна система (неекранована вита пара і оптоволокно), пристрої комутації і сполучення магістралі і горизонтальної підсистеми, з'єднувальні шнури, маркувальні засоби і т.д.

Магістраль складається з мідного кабелю або комбінації мідного і оптоволоконного кабелю і допоміжного обладнання. Вона пов'язує між собою поверхи будівлі або великі площі одного і того ж поверху.

Горизонтальна система на базі крученого мідного кабелю розширює основну магістраль від вхідних точок адміністративної системи поверху до розеток на робочому місці.

І, нарешті, обладнання робочих місць включає в себе з'єднувальні шнури, адаптери, пристрою сполучення і забезпечує механічне та електричне з'єднання між обладнанням робочого місця і горизонтальної кабельної підсистемою.

Найкращим способом захисту кабелю від фізичних (а іноді і температурних і хімічних впливів, наприклад, у виробничих цехах) є прокладання кабелів з використанням у різного ступеня захищених коробів. При прокладці мережевого кабелю поблизу джерел електромагнітного випромінювання необхідно виконувати наступні вимоги:

а) неекранована вита пара повинна відстояти мінімум на 15-30 см від електричного кабелю, розеток, трансформаторів і т. д.

б) вимоги до коаксіального кабелю менш жорсткі - відстань до електричної лінії або електроприладів повинно бути не менше 10-15 см.

Інша важлива проблема правильної інсталяції та безвідмовної роботи кабельної системи - відповідність всіх її компонентів вимогам міжнародних стандартів.

Найбільшого поширення в даний час отримали такі стандарти кабельних систем:

Специфікації корпорації IBM, які передбачають дев'ять різних типів кабелів. Найбільш поширеним серед них є кабель IBM type 1 - екранована вита пара (STP) для мереж Token Ring.

Система категорій Underwriters Labs (UL) представлена ​​цією лабораторією спільно з корпорацією Anixter. Система включає п'ять рівнів кабелів. В даний час система UL приведена у відповідність з системою категорій EIA / TIA.

Стандарт EIA / TIA 568 був розроблений спільними зусиллями UL, American National Standards Institute (ANSI) і Electronic Industry Association / Telecommunications Industry Association, підгрупою TR41.8. 1 для кабельних систем на кручений парі (UTP).

На додаток до стандарту EIA / TIA 568 існує документ DIS 1 180i, розроблений International Standard Organisation (ISO) і International Electrotechnical Commission (IEC). Даний стандарт використовує термін "категорія" для окремих кабелів і термін "клас" для кабельних систем.

Необхідно також зазначити, що вимоги стандарту EIA / TIA 568 відносяться тільки до мережевого кабелю. Але реальні системи, крім кабелю, включають також з'єднувальні роз'єми, розетки, розподільні панелі і інші елементи. Використання тільки кабелю категорії 5 не гарантує створення кабельної системи цієї категорії. У зв'язку з цим все перераховане вище обладнання повинно бути також сертифіковане на відповідність даної категорії кабельної системи.


Системи електропостачання


Найбільш надійним засобом запобігання втрат інформації при короткочасному відключенні електроенергії в даний час є установка джерел безперебійного живлення. Різні за своїми технічними і споживчими характеристиками, подібні пристрої можуть забезпечити споживання всієї локальної мережі або окремого комп'ютера протягом проміжку часу, достатнього для відновлення подачі напруги або для збереження інформації на магнітні носії. Більшість джерел безперебійного живлення одночасно виконує функції і стабілізатора напруги, що є додатковим захистом від стрибків напруги в мережі. Багато сучасних мережеві пристрої - сервери, концентратори, мости і т. д. - оснащені власними дубльованими системами електроживлення.

За кордоном великі корпорації мають власні аварійні електрогенератори або резервні лінії електроживлення. Ці лінії підключені до різних підстанцій, і при виході з ладу однієї з них електропостачання здійснюється з резервної підстанції.


Системи архівування і дублювання інформації

Організація надійної та ефективної системи архівації даних є однією з найважливіших завдань щодо забезпечення збереження інформації в мережі. У невеликих мережах, де встановлені один-два сервери, найчастіше застосовується установка системи архівації безпосередньо у вільні слоти серверів. У великих корпоративних мережах найбільш переважно організувати виділений спеціалізований архіваціонний сервер.

Такий сервер автоматично виробляє архівування інформації з жорстких дисків серверів і робочих станцій у вказане адміністратором локальної обчислювальної мережі час, видаючи звіт про проведене резервному копіюванні. При цьому забезпечується управління всім процесом архівації з консолі адміністратора, наприклад, можна вказати конкретні томи, каталоги або окремі файли, які необхідно архівувати. Можлива також організація автоматичного архівування по настанні тієї чи іншої події ("event driven backup"), наприклад, при отриманні інформації про те, що на жорсткому диску сервера або робочої станції залишилося мало вільного місця, або при виході з ладу одного з "дзеркальних" дисків на файловому сервері. Серед найбільш поширених моделей архіваціонних серверів можна виділити Storage Express System корпорації Intel, ARCserve for Windows, виробництва фірми Cheyenne і ряд інших.

Зберігання архівної інформації, що представляє особливу цінність, має бути організовано у спеціальному приміщенні, що охороняється. Фахівці рекомендують зберігати дублікати архівів найбільш цінних даних в іншому будинку, на випадок пожежі або стихійного лиха. Для забезпечення відновлення даних при збої магнітних дисків останнім часом найчастіше застосовуються системи дискових масивів - групи дисків, що працюють як єдиний пристрій, відповідних стандартам RAID (Redundant Arrays of Inexpensive Disks). Ці масиви забезпечують найбільш високу швидкість запису / зчитування даних, можливість повного відновлення даних і заміни вийшли з ладу дисків в "гарячому" режимі (без відключення інших дисків масиву).

Організація дискових масивів передбачає різні технічні рішення, реалізовані на декількох рівнях.


Рівень 0 передбачає просте розділення потоку даних між двома або кількома дисками. Перевага подібного рішення полягає у збільшенні швидкості введення / виводу пропорційно кількості задіяних у масиві дисків. У той же час таке рішення не дозволяє відновити інформацію при виході з ладу одного з дисків масиву.


RAID рівня 1 полягає в організації так званих "дзеркальних" дисків. Під час запису даних інформація основного диска системи дублюється на дзеркальному диску, а при виході з ладу основного диска в роботу відразу включається "дзеркальний".


Рівні 2 і 3 передбачають створення так званих паралельних дискових масивів, при записі на які дані розподіляються по дисках на бітовому рівні. Спеціальний диск виділяється для збереження надлишкової інформації, яка використовується для відновлення даних при виході з ладу будь-якого з дисків масивів.


Рівні 4 і 5 є модифікацією нульового рівня, при якому потік даних розподіляється по дисках масиву. Відмінність полягає в тому, що на рівні 4 виділяється спеціальний диск для зберігання надлишкової інформації, а на рівні 5 надлишкова інформація розподіляється по всіх дисках масиву. Організація дискових масивів у відповідності зі стандартом 5 рівня забезпечує високу швидкість читання / запису інформації і дозволяє відновлювати дані при збої будь-якого диска без відключення усього дискового масиву.


Серед всіх перерахованих вище рівнів дискових масивів рівні 3 та 5 є найбільш переважними і припускають менші в порівнянні з організацією "дзеркальних" дисків матеріальні витрати при тому ж рівні надійності.

Підвищення надійності і захист даних в мережі, заснована на використанні надлишкової інформації, реалізуються не тільки на рівні окремих елементів мережі, наприклад дискових масивів, але і на рівні мережевих ОС. Так, протягом останніх десяти років компанія Novell реалізує відмовостійкі версії операційної системи Netware - SFT (System Fault Tolerance), що передбачають три основних рівня:


- SFT Level I. Перший рівень передбачає, зокрема, створення додаткових копій FAT і Directory Entries Tables, негайну верифікацію кожного знову записаного на файловий сервер блоку даних, а також резервування на кожному жорсткому диску близько 2% від обсягу диска. При виявленні збою дані перенаправляються в зарезервовану область диска, а зіпсований блок позначається як "поганий" і надалі не використовується.


- SFT Level II містила додатково можливості створення "дзеркальних" дисків, а також дублювання дискових контролерів, джерел живлення і інтерфейсних кабелів.


- Версія SFT Level III дозволяє використовувати в локальній мережі дубльовані сервери, один з яких є "головним", а другий, що містить копію всієї інформації, вступає в роботу у разі виходу "головного" сервера з ладу.


Захист від стихійних лих


Основний і найбільш поширений метод захисту інформації та обладнання від різних стихійних лих - пожеж, землетрусів, повеней і т д. - полягає у зберіганні архівних копій інформації або в розміщенні деяких мережних пристроїв, наприклад, серверів баз даних, в спеціальних захищених приміщеннях, розташованих, як правило, в інших будівлях або, рідше, навіть в іншому районі міста, чи іншому місті.


Програмні та програмно-апаратні методи захисту


Захист від комп'ютерних вірусів


Навряд чи знайдеться хоча б один користувач або адміністратор мережі, яка б жодного разу не стикався з комп'ютерними вірусами. За даними дослідження, проведеного фірмою Creative Strategies Research, 64% з 451 опитаного фахівця відчули "на собі" дія вірусів [3]. На сьогоднішній день додатково до тисяч вже відомих вірусів з'являється 100-150 нових штамів щомісяця. Найбільш поширеними методами захисту від вірусів до цього дня залишаються різні антивірусні програми.


Однак в якості перспективного підходу до захисту від комп'ютерних вірусів в останні роки все частіше застосовується поєднання програмних і апаратних методів захисту. Серед апаратних пристроїв такого плану можна відзначити спеціальні антивірусні плати, які вставляються в стандартні слоти розширення комп'ютера. Корпорація Intel в 1994 році запропонувала перспективну технологію захисту від вірусів у комп'ютерних мережах. Flash-пам'ять мережевих адаптерів Intel EtherExpress PRO/10 містить антивірусну програму, що сканує всі системи комп'ютера ще до його завантаження.


Захист від несанкціонованого доступу


Проблема захисту інформації від несанкціонованого доступу особливо загострилася з широким розповсюдженням локальних і, особливо, глобальних комп'ютерних мереж (рис. 2). Необхідно також відзначити, що найчастіше збиток завдається не через "злого наміру", а з-за елементарних помилок користувачів, які випадково псують чи видаляють життєво важливі дані. У зв'язку з цим, крім контролю доступу, необхідним елементом захисту інформації в комп'ютерних мережах є розмежування повноважень користувачів.

У комп'ютерних мережах при організації контролю доступу та розмежування повноважень користувачів найчастіше використовуються вбудовані засоби мережевих операційних систем (докладніше див, наприклад, [7]). Так, найбільший виробник мережевих ОС - корпорація Novell - у своєму останньому продукті NetWare 4.1 передбачив крім стандартних засобів обмеження доступу, таких, як система паролів та розмежування повноважень, ряд нових можливостей, які забезпечують перший клас захисту даних. Нова версія NetWare передбачає, зокрема, можливість кодування даних за принципом "відкритого ключа" (алгоритм RSA) з формуванням електронного підпису для переданих по мережі пакетів.

У той же час в такій системі організації захисту все одно залишається слабке місце: рівень доступу і можливість входу в систему визначаються паролем. Не секрет, що пароль можна підглянути або підібрати. Для виключення можливості несанкціонованого входу в комп'ютерну мережу в останнім часом використовується комбінований підхід - пароль + ідентифікація користувача по персональному "ключу". У якості "ключа" може використовуватися пластикова карта (магнітна або з вбудованою мікросхемою - смарт-картка) або різні пристрої для ідентифікації особи за біометричної інформації - по райдужній оболонці ока або відбитками пальців, розмірами кисті руки і так далі.

Оснастивши сервер або мережеві робочі станції, наприклад, пристроєм читання смарт-карток і спеціальним програмним забезпеченням, можна значно підвищити ступінь захисту від несанкціонованого доступу. У цьому випадку для доступу до комп'ютера користувач повинен вставити смарт-карту в пристрій читання і ввести свій персональний код. Програмне забезпечення дозволяє встановити декілька рівнів безпеки, які управляються системним адміністратором. Можливий і комбінований підхід з введенням додаткового пароля, при цьому прийняті спеціальні заходи проти "перехоплення" пароля з клавіатури. Цей підхід значно надійніше застосування паролів, оскільки, якщо пароль підгляділи, користувач про це може не знати, якщо ж зникла картка, можна вжити заходів негайно.

Смарт-карти управління доступом дозволяють реалізувати, зокрема, такі функції, як контроль входу, доступ до пристроїв персонального комп'ютера, доступ до програм, файлів і команд. Крім того, можливе також здійснення контрольних функцій, зокрема, реєстрація спроб порушення доступу до ресурсів, використання заборонених утиліт, програм, команд DOS.

Одним з вдалих прикладів створення комплексного рішення для контролю доступу у відкритих системах, заснованого як на програмних, так і на апаратних засобах захисту, стала система Kerberos. В основі цієї схеми авторизації лежать три компоненти:


- База даних, що містить інформацію по всіх мережних ресурсів, користувачам, паролів, шифрувальним ключам і т.д.


- Авторизаційний сервер (authentication server), що обробляє всі запити користувачів на предмет отримання того чи іншого виду мережевих послуг. Авторизаційний сервер, отримуючи запит від користувача, звертається до бази даних, і визначає, чи має користувач право на здійснення даної операції. Примітно, що паролі користувачів по мережі не передаються, що також підвищує ступінь захисту інформації.


- Ticket-granting server (сервер видачі дозволів) отримує від авторизаційного сервера "пропуск", що містить ім'я користувача і його мережеву адресу, час запиту і ряд інших параметрів, а також унікальний сесійний ключ. Пакет, що містить "пропуск", передається також в зашифрованому за алгоритмом DES вигляді. Після отримання та розшифровки "пропуску" сервер видачі дозволів перевіряє запит і порівнює ключі і потім дає "добро" на використання мережевої апаратури або програм.

Серед інших подібних комплексних схем можна зазначити розроблену Європейською Асоціацією Виробників Комп'ютерів (ЕСМА) систему Sesame. (Secure European System for Applications in Multivendor Environment), призначену для використання у великих гетерогенних мережах.


Захист інформації при віддаленому доступі


У міру розширення діяльності підприємств, зростання чисельності персоналу і появи нових філій, виникає необхідність доступу віддалених користувачів (або груп користувачів) до обчислювальних та інформаційних ресурсів головного офісу компаній. Компанія Datapro [6] прогнозує, що вже в 1995 році тільки в США число працівників, які постійно або тимчасово використовують віддалений доступ до комп'ютерних мереж, складе 25 мільйонів чоловік. Найчастіше для організації віддаленого доступу використовуються кабельні лінії (звичайні телефонні або виділені) і радіоканали. У зв'язку з цим захист інформації, переданої по каналах віддаленого доступу, вимагає особливого підходу.

Зокрема, в мостах і маршрутизаторах віддаленого доступу застосовується сегментація пакетів - їх поділ і передача паралельно по двох лініях, - що робить неможливим "перехоплення" даних при незаконному підключенні "хакера" до однієї з ліній. До того ж використовується при передачі даних процедура стиснення переданих пакетів гарантує неможливість розшифровки "перехоплених" даних. Крім того, мости та маршрутизатори віддаленого доступу можуть бути запрограмовані таким чином, що віддалені користувачі будуть обмежені в доступі до окремих ресурсів мережі головного офісу.

Розроблені і спеціальні пристрої контролю доступу до комп'ютерних мереж по комутованих лініях. Наприклад, фірмою АТ & T пропонується модуль Remote Port Security Device (PRSD), що представляє собою два блоки розміром зі звичайний модем: RPSD Lock (замок), що встановлюється в центральному офісі, і RPSD Кеу (ключ), що підключається до модему віддаленого користувача. RPSD Кеу і Lock дозволяють встановити декілька рівнів захисту і контролю доступу, зокрема:

- Робочих місць (work location subsystem)

- Шифрування даних, переданих по лінії за допомогою генеруються цифрових ключів;

Широке поширення радіомереж в останні роки поставило розробників радіосистем перед необхідністю організації захисту інформації від "хакерів", озброєних різноманітними сканирующими пристроями. Були застосовані різноманітні технічні рішення. Наприклад, у радіомережі компанії RAM Mobil Data інформаційні пакети передаються через різні канали і базові станції, що робить практично неможливим для сторонніх зібрати всю передану інформацію воєдино [4]. Активно використовуються в радіомережах і технології шифрування даних за допомогою алгоритмів DES і RSA.


Адміністративні заходи


Тільки технічних рішень (апаратних або програмних) для організації надійної та безпечної роботи складних локальних мереж явно недостатньо. Потрібно єдиний комплексний план, що включає в себе як перелік щоденних заходів щодо забезпечення безпеки і терміновому відновленню даних при збої системи, так і спеціальні плани дій в позаштатних ситуаціях (пожежа, відключення електроживлення, стихійні лиха).

У більшості фінансових організацій західних країн є спеціально розроблені і постійно оновлювані плани із забезпечення безпеки (security plans). За даними аналітичного звіту Datapro [5], 81% банківських та фінансових організацій мали спеціальні плани із забезпечення безпеки в локальних мережах. Більш того, згідно з результатами статистичного дослідження DataPro Information Group, проведеного серед 313 фірм-респондентів США, Канади, Великобританії та Франції в 1994 році, в більшості компаній існують спеціальні відділи або працівники, відповідальні за безпеку даних в комп'ютерних мережах.

Висновок

На закінчення хотілося б підкреслити, що ніякі апаратні, програмні і будь-які інші рішення не зможуть гарантувати абсолютну надійність і безпека даних у комп'ютерних мережах. У той же час звести ризик втрат до мінімуму можливо лише при комплексному підході до питань безпеки.