Методы и средства защиты информации в ККС от несанкционированного доступа.

Традиционные методы и средства зарождались и применялись еще до появления ТКС как в отдельных компьютерах, так и в многопользовательских средствах, построенных на одном компьютере. Сетевые методы и средства появились только с развитием сетевых технологий. Они не заменяют, а дополняют традиционные методы.

Традиционные методы и средства. К ним относятся следующие.

1. Криптографические методы защиты. Они необходимы во всех случаях обеспечения безопасности (независимо от того, применяются они в сети или вне ее) и основаны на шифровании информации и программ. Шифрование программ гарантирует невозможность внесения в них изменений. Криптографическая защита данных осуществляется как при их хранении, так и при передаче по сети. В настоящее время доступны как программная, так и высокопроизводительная аппаратная реализация средств криптографии.

Различают два способа шифрования: канальное и оконечное (абонентское).

Канальное шифрование реализуется с помощью протокола канального уровня, при этом защищается вся передаваемая по каналу связи информация, включая служебную. Особенности канального шифрования:

- обеспечивается надежная защита всей передаваемой информации, причем вскрытие ключа шифрования для одного канала не приводит к компрометации информации в других каналах;

- на промежуточных узлах (ретрансляторах, шлюзах и т.д.) вся информация оказывается открытой;

- для каждой пары узлов необходим свой ключ;

- алгоритм шифрования должен обеспечивать скорость шифрования на уровне пропускной способности канала, что нередко приводит к необходимости его реализации аппаратными средствами, а это увеличивает расходы на создание и обслуживание системы защиты.

Абонентское шифрование реализуется с помощью протокола прикладного или в некоторых случаях представительного уровня. Оно обеспечивает конфиденциальность данных между двумя прикладными объектами (отправитель зашифровывает данные, получатель – расшифровывает). Особенности абонентского шифрования:

- защищается только содержание сообщения, служебная информация остается открытой;

- при стойком алгоритме шифрования никто, кроме отправителя и получателя, не может восстановить информацию;

- маршрут передачи не имеет значения – в любом канале информация остается защищенной;

- для каждой пары пользователей требуется уникальный ключ;

- пользователи принимают участие в выполняемых операциях и должны знать процедуры шифрования и распределения ключей.

Выбор способа шифрования зависит от результатов анализа риска, от выяснения того, что более, уязвимо – непосредственно отдельный канал связи или содержание сообщения, передаваемого по различным каналам. Для канального шифрования затрачивается меньше времени, оно более прозрачно для пользователя и требует меньше ключей. Абонентское шифрование более гибко, может использоваться выборочно, но требует участия пользователей.

2. Парольная защита. Основана на использовании некоторой комбинации символов (пароля), открывающей доступ к запрашиваемому ресурсу сети. С помощью паролей защищаются файлы, личные или фирменные архивы, программы или отдельные компьютеры (пароль на его включение). В сетях пароли используются как самостоятельно, так и в качестве основы для различных методов аутентификации.

В практике использования паролей выработан ряд требований:

- длина пароля не может быть менее 8 символов (короткие пароли обладают слабой защищенностью, так как на современных компьютерах раскрываются простым перебором);

- в качестве пароля не может использоваться слово из какого бы то ни было языка;

- один и тот же пароль не может быть использован для доступа к разным объектам;

- старый пароль не должен использоваться повторно;

- пароль должен меняться как можно чаще.

3. Идентификация пользователей. Это развитие системы парольной защиты на более современном техническом уровне. Для идентификации пользователей применяются специальные электронные карты, содержащие идентифицирующую конкретного пользователя информацию. Реализация системы идентификации пользователей осуществляется аппаратно, поэтому она является более надежной, чем парольная защита.

4. Аутентификация пользователей. Это процедура проверки пользователей, аппаратуры или программы для получения доступа к определенному ресурсу. В сущности это также развитие системы парольной защиты для использования в сетях. По отношению к пользователю система аутентификации обычно требует указания имени и предъявления пароля или электронной карты. Частая смена паролей, а тем более электронных карт неудобна, поэтому многие переходят к использованию одноразового динамического пароля, который генерируется аппаратными или программными средствами.

5. Привязка программ и данных к конкретному компьютеру. Основная идея этого метода состоит в том, что в данные или программу включаются конкретные параметры (характеристики) конкретного компьютера, что делает невозможным чтение данных или исполнение программ на другом компьютере. Применительно к сети различные модификации такого метода могут требовать либо выполнения всех операций на конкретном компьютере, либо наличия активного соединения сети с конкретным компьютером.

6. Разграничение прав доступа пользователей к ресурсам сети. В основу метода положено использование таблиц или наборов таблиц, определяющих права пользователей и построенных по правилам «разрешено все, кроме» или «разрешено только». Таблицы по идентификатору или паролю пользователя определяют его права доступа к ресурсам сети – дискам, конкретным файлам, операциям записи, чтения или копирования, системному принтеру и т.д. Возможность такого разграничения определяется, как правило, возможностями используемой операционной системы, которые заложены именно в ней. Большинство современных ОС предусматривают разграничение доступа, но в каждой из них эти возможности реализованы разными способами и в разном объеме.

7. Использование заложенных в ОС возможностей защиты. Это превратилось в обязательное правило, однако большинство используемых ОС имеют недостаточную защиту или предоставляют возможности ее реализации дополнительными средствами. Например, операционная система Windows NT сертифицирована на класс защиты, предусматривающий: защиту объектов от повторного использования другими процессами, возможность владельца ресурса (например, файла) контролировать доступ к нему, идентификацию пользователей с помощью уникальных имен и паролей, возможность аудита связанных с безопасностью событий, защиту ОС самой себя от изменений.