Χάκερ και ιοί στο AS/400; Αυτό είναι αδύνατο. Πειρατεούν μόνο σε Unix και PC.

Θυμάμαι την ταινία "Jurassic Park", στο τέλος της οποίας η κοπέλα πλησιάζει τον υπολογιστή στον οποίο έγινε δολιοφθορά, που οδήγησε στην απελευθέρωση των δεινοσαύρων. "Είναι Unix!" - αναφωνεί, ανοίγοντας τις άμυνές του και διορθώνοντας αμέσως το πρόβλημα. Τότε είπα στον εαυτό μου: «Φυσικά, τι ήθελες από το Unix». Και στην ταινία "Ημέρα της Ανεξαρτησίας" ένας ιός εκτοξεύτηκε στον υπολογιστή ενός εξωγήινου διαστημόπλοιου. Οι περισσότεροι θεατές δεν είχαν ιδέα ότι οι εξωγήινοι χρησιμοποιούσαν υπολογιστές Apple Macintosh. Αλλά, δόξα τω Θεώ, αποδείχθηκε ότι ήταν ακριβώς έτσι, ο ιός λειτούργησε και ο κόσμος μας σώθηκε.

Γενικά, στις ταινίες, κακοί συχνά εισβάλλουν στους υπολογιστές άλλων ανθρώπων ή ένας δυσαρεστημένος υπάλληλος εισάγει έναν ιό στο δίκτυο υπολογιστών της εταιρείας. Είναι ωραίο να γνωρίζουμε ότι τίποτα τέτοιο δεν μπορεί να συμβεί στο AS/400. Ή μήπως τελικά;

Όπως πολλά άλλα χαρακτηριστικά, το AS/400, σε αντίθεση με τα περισσότερα άλλα συστήματα, είχε ενσωματωμένη ασφάλεια από την αρχή αντί να προστέθηκε μετά την κατασκευή του. Ωστόσο, κανένα μέτρο ασφαλείας δεν θα βοηθήσει εάν δεν τα χρησιμοποιήσετε και πολλοί χρήστες AS/400 κάνουν ακριβώς αυτό. Για παράδειγμα, σε περιβάλλον πελάτη/διακομιστή, πρέπει να ληφθούν ειδικά μέτρα για την προστασία των δεδομένων AS/400 από μη ασφαλείς πελάτες, όπως τα Windows 95 και τα Windows NT. Επιπλέον, στον σημερινό δικτυωμένο κόσμο, πολλά AS/400 είναι συνδεδεμένα στο Διαδίκτυο, οπότε θα πρέπει να εφαρμόζονται και ορισμένα μέτρα ασφαλείας πηγές πληροφοριών. Ευτυχώς, τα ενσωματωμένα χαρακτηριστικά ασφαλείας του AS/400 παρέχουν μια ισχυρή βάση για την ασφάλεια ολόκληρου του συστήματος. Σε αυτή τη διάλεξη, θα εξετάσουμε τα χαρακτηριστικά ασφαλείας του AS/400 και θα συζητήσουμε τον καλύτερο τρόπο χρήσης τους.

Ολοκληρωμένη προστασία

Στο παρελθόν για προστασία σύστημα υπολογιστήήταν σχετικά εύκολο. Συνήθως, αρκούσε να εισαγάγετε μια κλειδαριά στην πόρτα του δωματίου του υπολογιστή και να αναγκάσετε τους τελικούς χρήστες να εισάγουν έναν κωδικό πρόσβασης κατά τη σύνδεση στο σύστημα. Σύγχρονος κόσμοςδεν είναι πλέον τόσο απλό. Τα AS/400 που είναι συνδεδεμένα σε δίκτυο υπολογιστών διατρέχουν μεγαλύτερο κίνδυνο: σε ενδοεταιρικό LAN ή σε παγκόσμιο δίκτυο, για παράδειγμα στο Διαδίκτυο. Σε κάθε περίπτωση, το AS/400 παρέχει τα μέσα για την ελαχιστοποίηση ή την εξάλειψη του κινδύνου μη εξουσιοδοτημένης πρόσβασης. Οι προκλήσεις της προστασίας ενός συστήματος υπολογιστή είναι πολύ παρόμοιες με αυτές που προκύπτουν κατά την προστασία ενός σπιτιού ή ενός αυτοκινήτου: Πρέπει να υπολογίσετε σωστά το κόστος έναντι της ανοχής κινδύνου.

Προφανώς, σε διαφορετικές καταστάσεις χρειάζεται το AS/400 διαφορετικό επίπεδοΠΡΟΣΤΑΣΙΑ. Ο χρήστης θα πρέπει να μπορεί να επιλέξει ανεξάρτητα αυτό το επίπεδο. Ένα καλό σύστημα ασφαλείας έχει σχεδιαστεί έτσι ώστε ο υπολογιστής να μπορεί να λειτουργεί χωρίς καμία απολύτως προστασία, με περιορισμένη προστασίαή με πλήρη προστασία, αλλά σε όλες τις περιπτώσεις το σύστημα προστασίας πρέπει να είναι ενεργό.

Και τώρα υπάρχουν συστήματα κλειδωμένα σε δωμάτια όπου η πρόσβαση είναι αυστηρά περιορισμένη. Είναι σαφές ότι δεν χρειάζονται το ίδιο επίπεδο προστασίας με έναν υπολογιστή συνδεδεμένο στο Διαδίκτυο. Αλλά με την πάροδο του χρόνου, οι απαιτήσεις προστασίας για αυτά τα συστήματα ενδέχεται να αυξηθούν. Η ενσωματωμένη ασφάλεια AS/400 είναι αρκετά ευέλικτη ώστε να προσαρμόζεται καθώς αλλάζουν οι ανάγκες σας.

Η ασφάλεια AS/400 είναι ένας συνδυασμός ασφάλειας σε OS/400 και SLIC. Το OS/400 υλοποιεί επίπεδα γενικών προστασία του συστήματος, ενώ το OS/400 βασίζεται σε λειτουργίες προστασίας αντικειμένων σε επίπεδο MI. Για παράδειγμα, όπως αναφέρθηκε στα Αντικείμενα, το MI εκτελεί έναν έλεγχο δικαιωμάτων πρόσβασης κάθε φορά που γίνεται πρόσβαση σε ένα αντικείμενο. Η SLIC είναι υπεύθυνη για τις δραστηριότητες της MI για την προστασία αντικειμένων. Ο τύπος προστασίας που εφαρμόζει ονομάζεται εξουσιοδότηση και αποσκοπεί στην προστασία ενός αντικειμένου από μη εξουσιοδοτημένη πρόσβαση ή τροποποίηση.

Ορισμένα στοιχεία ασφαλείας AS/400 βρίσκονται εξ ολοκλήρου πάνω από το MI στο OS/400, όπως η ρύθμιση παραμέτρων ασφαλείας συστήματος. Άλλα, όπως ο έλεγχος πρόσβασης αντικειμένων, υλοποιούνται εξ ολοκλήρου κάτω από το MI στο SLIC. Τα τρίτα εξαρτήματα προστασίας εφαρμόζονται εν μέρει πάνω και εν μέρει κάτω από το MI. Ένα παράδειγμα είναι η υποστήριξη για προνομιακές εντολές και ειδικά δικαιώματα πρόσβασης. Ας ρίξουμε μια πιο προσεκτική ματιά στα εξαρτήματα που βρίσκονται τόσο πάνω όσο και κάτω από το MI.

Επίπεδα προστασίας

Τα AS/400 προορίζονται για ευρεία εφαρμογή σε διάφορους τομείς της ανθρώπινης δραστηριότητας. Αντίστοιχα, οι απαιτήσεις για την ασφάλειά τους ποικίλλουν ανάλογα με το επίπεδό τους πλήρης απουσίαέως και πιστοποιημένα από την κυβέρνηση επίπεδα προστασίας. Ορίζοντας τις κατάλληλες παραμέτρους συστήματος, μπορείτε να επιλέξετε ένα από τα πέντε επίπεδα: χωρίς προστασία, προστασία με κωδικό πρόσβασης, προστασία πόρων, προστασία λειτουργικού συστήματος και πιστοποιημένη προστασία. Κατά τη διαμόρφωση του AS/400, πρέπει να οριστούν τέσσερις παράμετροι συστήματος που σχετίζονται με την ασφάλεια: QAUDJRL, QMAXSIGN, QRETSVRSEC και QSECURITY.

Η παράμετρος συστήματος που καθορίζει το επίπεδο προστασίας είναι το QSECURITY. Στο System/38 και στο πρώτο AS/400 υπήρχαν μόνο τρία επίπεδα προστασίας συστήματος, στην έκδοση V1R3 OS/400 προστέθηκε ένα τέταρτο και στο V2R3 προστέθηκε ένα πέμπτο, υψηλότερο επίπεδο προστασίας. Οι έγκυρες τιμές QSECURITY είναι 10, 20, 30, 40 και 50.

Το AS/400 υποστηρίζει επίσης μια προαιρετική δυνατότητα ελέγχου. Όταν αυτή η δυνατότητα είναι ενεργοποιημένη, καταγράφονται ορισμένα συμβάντα που σχετίζονται με την ασφάλεια. Τα συγκεκριμένα συμβάντα που καταγράφονται στο αρχείο καταγραφής ελέγχου ασφαλείας καθορίζουν την τιμή της παραμέτρου συστήματος QAUDJRL και το τρέχον επίπεδο ασφάλειας. Συμβάντα όπως απόπειρες μη εξουσιοδοτημένης πρόσβασης, διαγραφή αντικειμένων, αναγνώριση προγραμμάτων με χρήση προνομιακών εντολών κ.λπ. μπορούν να καταγραφούν Τα περιεχόμενα του αρχείου καταγραφής ασφαλείας αναλύονται από τον διαχειριστή ασφαλείας.

Ο μέγιστος αριθμός αποτυχημένων προσπαθειών σύνδεσης καθορίζεται από την παράμετρο συστήματος QMAXSIGN. Εάν ο αριθμός τέτοιων προσπαθειών υπερβαίνει την τιμή αυτής της παραμέτρου, το τερματικό ή η συσκευή από την οποία έγιναν αποσυνδέεται από το σύστημα και διακόπτεται η σύνδεση μεταξύ αυτού και του συστήματος. Αυτή η μέθοδος αποτρέπει τις προσπάθειες να μαντέψετε τον κωδικό πρόσβασης για να συνδεθείτε στο σύστημα. Η τιμή της παραμέτρου QMAXSIGN για κάθε συσκευή επαναφέρεται μετά την επιτυχή σύνδεση.

Η παράμετρος συστήματος QRETSVRSEC (Διατήρηση δεδομένων ασφαλείας διακομιστή) καθορίζει εάν οι πληροφορίες που απαιτούνται από το AS/400 για τον έλεγχο ταυτότητας ενός χρήστη σε άλλο σύστημα μέσω διεπαφών πελάτη/διακομιστή μπορούν να διατηρηθούν από τον διακομιστή. Εάν οι πληροφορίες απομνημονευθούν, τότε ο διακομιστής τις χρησιμοποιεί. Εάν όχι, ο διακομιστής θα ζητήσει το αναγνωριστικό χρήστη και τον κωδικό πρόσβασης για το άλλο σύστημα. Η παράμετρος συστήματος FFQRETSVRSEC χρησιμοποιείται για διασυνδέσεις πελάτη/διακομιστή TCP/IP, Novell NetWare και Lotus Notes.

Τώρα ας δούμε καθένα από τα πέντε επίπεδα προστασίας, ξεκινώντας από το χαμηλότερο.

Έλλειψη προστασίας (επίπεδο 10)

Το επίπεδο 10 σημαίνει τον χαμηλότερο βαθμό ασφάλειας - κανένας. Δεν απαιτείται κωδικός πρόσβασης για την πρόσβαση στο σύστημα και σε οποιονδήποτε χρήστη επιτρέπεται η πρόσβαση σε όλους τους πόρους και τα αντικείμενα του συστήματος χωρίς περιορισμούς. Η μόνη προϋπόθεση είναι ότι δεν μπορείτε να επηρεάσετε τις εργασίες άλλων χρηστών του συστήματος.

Το επίπεδο προστασίας συστήματος 10 χρησιμοποιείται συνήθως μόνο όταν φυσική προστασία συστήματα, για παράδειγμα, μια κλειδαριά στην πόρτα του μηχανοστασίου. Όποιος χρήστης έχει φυσική πρόσβασηστο μηχάνημα, μπορείτε να συνδεθείτε. Ωστόσο, δεν είναι υποχρεωμένος κανω ΕΓΓΡΑΦΗ. Η εγγραφή χρήστη προϋποθέτει την παρουσία προφίλ χρήστη σε κάποιο σημείο του συστήματος. Ένα τέτοιο προφίλ δημιουργείται αυτόματα όταν χρησιμοποιείται το επίπεδο ασφαλείας 10, εάν δεν υπάρχει ήδη.

Προστασία με κωδικό πρόσβασης (επίπεδο 20)

Εάν χρειάζεστε μόνο ασφάλεια σύνδεσης, χρησιμοποιήστε το επίπεδο 20. Αυτό το επίπεδο ασφάλειας απαιτεί ο χρήστης AS/400 να είναι συνδεδεμένος και να γνωρίζει σωστό κωδικό πρόσβασης. Μόλις αποκτηθεί η άδεια σύνδεσης στο σύστημα, ο χρήστης έχει πρόσβαση σε όλους τους πόρους του χωρίς περιορισμούς. Όπως μπορείτε να δείτε, η διαφορά από το επίπεδο 10 είναι ασήμαντη.

Υπάρχει μόνο μία ειδική περίπτωση όπου η πρόσβαση ενός χρήστη στο σύστημα στο επίπεδο 20 είναι περιορισμένη: εάν αυτό αναφέρεται ρητά στο προφίλ του χρήστη. Χρήστης με αναπηρίεςμπορεί να επιλέξει μόνο στοιχεία μενού. Τα περισσότερα μενού συστήματος έχουν γραμμή εντολών και αυτή η δυνατότητα περιορίζει τη χρήση εντολών συστήματος.

Ας υποθέσουμε ότι ένας οργανισμός έχει μια ομάδα εργαζομένων των οποίων οι ευθύνες περιλαμβάνουν τη λήψη παραγγελιών για αγαθά και την εισαγωγή των σχετικών δεδομένων στο σύστημα. Για τέτοιους χρήστες συνιστάται η δημιουργία ειδικό μενούκαι να τους επιτρέψετε να ενεργούν μόνο εντός αυτών των ορίων εγγράφοντάς τους ως χρήστες με αναπηρία και ορίζοντας στα προφίλ τους τα μενού στα οποία τους επιτρέπεται η πρόσβαση.

Αλλά ακόμη και ένας χρήστης με ειδικές ανάγκες επιτρέπεται να εκτελέσει τέσσερις απαραίτητες εντολές: να στείλει μηνύματα, να εμφανίσει μηνύματα, να εμφανίσει την κατάσταση της εργασίας και να αποσυνδεθεί. Το ποιες ακριβώς εντολές είναι ανοιχτές σε έναν χρήστη με αναπηρία μπορούν να ρυθμιστούν μεμονωμένα. Οι περιορισμοί δυνατοτήτων ελέγχουν επίσης ποια πεδία μπορεί να αλλάξει ένας χρήστης κατά τη σύνδεση.

Τα επίπεδα 20 και 10 δεν παρέχουν ασφάλεια στο σύστημα, αφού αφού ένας χρήστης εγγραφεί στο σύστημα, μπορεί να εκτελέσει οποιεσδήποτε λειτουργίες εκεί. Δεν θα συνιστούσα να περιοριστείτε σε τόσο χαμηλά επίπεδα προστασίας εκτός από ειδικές περιπτώσεις που το ίδιο το σύστημα είναι πρακτικά απρόσιτο από έξω.

Προστασία πόρων (Επίπεδο 30)

Το ελάχιστο συνιστώμενο επίπεδο ασφάλειας είναι το επίπεδο 30. Σε αυτό το επίπεδο, καθώς και στο επίπεδο 20, ο χρήστης πρέπει να είναι εγγεγραμμένος και να γνωρίζει τον σωστό κωδικό πρόσβασης για να συνδεθεί στο σύστημα. Μετά τη σύνδεση, ελέγχεται εάν ο χρήστης έχει δικαιώματα πρόσβασης στους πόρους του συστήματος. δεν επιτρέπεται η μη εξουσιοδοτημένη πρόσβαση. Στο επίπεδο 30, ένας χρήστης μπορεί επίσης να εγγραφεί με αναπηρία.

Σε μεμονωμένους χρήστες μπορούν να παραχωρηθούν δικαιώματα πρόσβασης σε αντικείμενα συστήματος, όπως αρχεία, προγράμματα και συσκευές. Τα προφίλ χρηστών παρέχουν αυτήν τη δυνατότητα και θα μιλήσουμε περισσότερα για το πώς το κάνουν αυτό σύντομα. Θα εξετάσουμε επίσης άλλες επιλογές για την εκχώρηση δικαιωμάτων πρόσβασης του χρήστη σε αντικείμενα συστήματος: χρήση ομαδικών ή γενικών δικαιωμάτων.

Το επίπεδο ασφαλείας 30 ήταν το υψηλότερο στο System/38. Αλλά δεν κάνει διάκριση μεταξύ αντικειμένων χρήστη και αντικειμένων που χρησιμοποιούνται μόνο από το λειτουργικό σύστημα. Λόγω της διαθεσιμότητας του συναρμολογητή MI στο System/38 και της διαθεσιμότητας ορισμένων πληροφοριών σχετικά με την εσωτερική δομή των αντικειμένων, προέκυψε ένα σοβαρό πρόβλημα. Η ISV άρχισε να γράφει πακέτα εφαρμογών που εξαρτιόνταν από την εσωτερική δομή των αντικειμένων, γεγονός που παραβίαζε την τεχνολογική ανεξαρτησία της MI.

Τα πρώτα μοντέλα AS/400 χρησιμοποιούσαν τα ίδια επίπεδα προστασίας. Αν και το AS/400 δεν διέθετε συναρμολογητή MI και δεν δημοσιεύσαμε πληροφορίες σχετικά με τις εσωτερικές δομές, οι ειδικοί σύντομα συνειδητοποίησαν ότι το AS/400 ήταν ένα System/38. Επομένως, προγράμματα που εξαρτιόνταν από την εσωτερική δομή των αντικειμένων εκτελούνταν στο AS/400.

Γνωρίζαμε ότι καθώς προχωρούσαμε προς τον υπολογισμό πελάτη/διακομιστή, το AS/400 χρειαζόταν περισσότερα αξιόπιστη προστασία, το οποίο αποκλείει την πρόσβαση στα περισσότερα εσωτερικά αντικείμενα. Σε σχέση με τη μετάβαση σε επεξεργαστές RISC, η εσωτερική δομή υπέστη επίσης αλλαγές. Αλλά αν απλώς εφαρμόσαμε ένα νέο, αυξημένο επίπεδο προστασίας, τότε τα προγράμματα που εξαρτώνται από την εσωτερική δομή των αντικειμένων θα σταματούσαν να λειτουργούν, γεγονός που θα προκαλούσε δυσαρέσκεια στους πελάτες.

Ανακοινώσαμε ότι πρόκειται να δημιουργήσουμε ένα νέο επίπεδο ασφάλειας στο V1R3 και ότι σε αυτό το επίπεδο δεν θα υπάρχει πρόσβαση σε εσωτερικά αντικείμενα. Αρχίσαμε επίσης να αναζητούμε εκείνα τα ISV που χρησιμοποιούσαν εσωτερικά αντικείμενα για να τους παρέχουν τυπικά API συστήματος με τις πληροφορίες που χρειάζονται τα προγράμματά τους.

Τα περισσότερα από αυτά τα προγράμματα ήταν βοηθητικά προγράμματα που χρησιμοποιούσαν πληροφορίες από ορισμένα πεδία μέσα σε ένα αντικείμενο συστήματος. Για παράδειγμα, ένα σύστημα διαχείρισης ταινίας μπορεί να χρειάζεται κάποιες πληροφορίες σχετικά με την κεφαλίδα της ταινίας. Τέτοιες πληροφορίες θα μπορούσαν να ληφθούν με τον μόνο τρόπο - διεισδύοντας στο αντικείμενο του συστήματος. Δημιουργήσαμε εκατοντάδες API για να παρέχουμε αυτού του είδους τις πληροφορίες μέσω του MI (αυτά τα API ήταν ουσιαστικά νέες εντολές MI) και διασφαλίσαμε ότι θα λειτουργούσαν σε όλες τις μελλοντικές εκδόσεις του λειτουργικού συστήματος. Έτσι, λύσαμε τα χέρια μας και αρχίσαμε να κάνουμε αλλαγές στις εσωτερικές δομές.

Υπάρχει ένα άλλο μεγάλο θέμα που σχετίζεται με την ασφάλεια: το άνοιγμα του AS/400. Για πολύ καιρό, πολλά ISV όχι μόνο χρησιμοποιούσαν εσωτερικά αντικείμενα, αλλά επέμεναν επίσης ότι η IBM θα έκανε εσωτερική οργάνωσηΤο λειτουργικό σύστημα είναι ανοιχτό και έτσι έδωσε το πράσινο φως στους προγραμματιστές λογισμικού. Σε απάντηση, η IBM υποστήριξε ότι εάν οι εντολές MI χρησιμοποιήθηκαν εσφαλμένα, υπήρχε μεγάλη πιθανότητα αστοχιών λογισμικού για τις οποίες δεν θα μπορούσε να θεωρηθεί υπεύθυνη. Επετεύχθη συμβιβασμός (διαχειριζόμενο άνοιγμα μέσω API), εν μέρει ως αποτέλεσμα μιας σειράς ΚΟΙΝΩΝ συναντήσεων ομάδας που ξεκίνησε από το ISV και άλλους χρήστες. Η δουλειά με το ISV και τον ορισμό νέων API έγινε από τον Ron Fess, έναν από τους κύριους προγραμματιστές λογισμικού με μεγάλη εμπειρία στο CPF και το OS/400. Το αποτέλεσμα αυτής της εργασίας είναι η υλοποίηση της προδιαγραφής AS/400 Single UNIX και άλλων τυπικών API. Το AS/400 έχει γίνει πιο ανοιχτό στους χρήστες.

Προστασία λειτουργικού συστήματος (επίπεδο 40)

Το Επίπεδο 40 εισήχθη στο V1R3 OS/400. Σήμερα, όλα τα νέα AS/400 αποστέλλονται με αυτό το επίπεδο προστασίας, όχι 10 όπως παλιά. Ωστόσο, οι παλαιότερες εκδόσεις του OS/400, ακόμη και όταν αναβαθμίζονται, διατηρούν το τρέχον επίπεδο που έχει ορίσει ο πελάτης. Τώρα ο κωδικός πρόσβασης του επικεφαλής ασφαλείας (του χρήστη με το υψηλότερο επίπεδο δικαιωμάτων πρόσβασης) καθίσταται άκυρος μετά την πρώτη σύνδεση και πρέπει να τον αλλάξει. Προηγουμένως, οι πελάτες AS/400 συχνά δεν έκαναν τον κόπο να αλλάξουν τον προεπιλεγμένο κωδικό πρόσβασης του συστήματος, γεγονός που δημιουργούσε ένα κραυγαλέο κενό ασφαλείας.

Στο επίπεδο 40, ο χρήστης AS/400 πρέπει επίσης να είναι συνδεδεμένος, να έχει τον σωστό κωδικό πρόσβασης σύνδεσης και να έχει δικαιώματα πρόσβασης στους πόρους του συστήματος. Ωστόσο, οι χρήστες με αναπηρίες υποστηρίζονται επίσης σε αυτό το επίπεδο προστασίας.

Σε αντίθεση με τα επίπεδα 10–30, στο επίπεδο ασφαλείας 40 η πρόσβαση σε μη τυπικές διεπαφές είναι αποκλεισμένη. Δεν είναι πλέον διαθέσιμες όλες οι εντολές MI στον χρήστη, αλλά μόνο το επιτρεπόμενο σύνολο τους, συμπεριλαμβανομένων εκατοντάδων API που έχουν αναπτυχθεί για το ISV. Οι υπόλοιπες εντολές είναι μπλοκαρισμένες, δηλαδή το σύστημα δεν θα τις εκτελέσει στο πρόγραμμα χρήστη.

Ωστόσο, οι εντολές από το αποκλεισμένο σύνολο εξακολουθούν να είναι διαθέσιμες στο OS/400. Για να γίνει διάκριση μεταξύ του OS/400 και των προγραμμάτων χρήστη, εισήχθησαν οι έννοιες συστήματοςΚαι κατάσταση χρήστη, το οποίο μπορεί να περιλαμβάνει οποιαδήποτε διαδικασία στο AS/400. Επομένως, η χρήση αποκλεισμένων εντολών και η πρόσβαση σε ορισμένα αντικείμενα συστήματος επιτρέπονται μόνο στην κατάσταση συστήματος.

Για μεγαλύτερη ασφάλεια, το V1R3 κατάργησε επίσης τη διευθυνσιοδότηση βάσει δυνατοτήτων και αφαίρεσε όλα τα δικαιώματα πρόσβασης από τους δείκτες συστήματος που παρέχονται στους χρήστες.

Άμυνα C2 (επίπεδο 50)

Το Επίπεδο 40 παρέχει στο σύστημα επαρκή βαθμό ασφάλειας στις περισσότερες περιπτώσεις. Ωστόσο, ορισμένοι κρατικοί εργολάβοι απαιτούν ένα επίπεδο προστασίας πιστοποιημένο από την κυβέρνηση των ΗΠΑ. Υπάρχουν πολλά τέτοια πιστοποιητικά, συμπεριλαμβανομένου του λεγόμενου επιπέδου C2. Αυτές περιλαμβάνουν διατάξεις όπως η προστασία των πόρων ενός χρήστη από άλλους χρήστες και η αποτροπή ενός χρήστη από το να αναλάβει όλους πόρους του συστήματος, για παράδειγμα, μνήμη. Παρεμπιπτόντως, παρόμοιες απαιτήσεις εφαρμόζονται πλέον σε πολλούς μη κυβερνητικούς οργανισμούς.

Για πελάτες που χρειάζονται κρατικές πιστοποιήσεις, επεκτείναμε το Επίπεδο Ασφαλείας 40 στο AS/400 ώστε να ταιριάζει με το προαναφερθέν Επίπεδο C2. Έτσι στην έκδοση V2R3 εμφανίστηκε το επίπεδο προστασίας 50.

Προτού όμως ένα σύστημα θεωρηθεί ότι συμμορφώνεται με το πρότυπο C2, πρέπει να υποβληθεί σε ολοκληρωμένη δοκιμή. Ένας τέτοιος έλεγχος βρίσκεται σε εξέλιξη.

Η κυβέρνηση των ΗΠΑ έχει ορίσει επίπεδα προστασίας από το Α έως το Δ, όπου το Α είναι το υψηλότερο επίπεδο προστασίας και το Δ είναι το χαμηλότερο. Οι κλάσεις Β και Γ έχουν πολλά υποεπίπεδα. Το επίπεδο ασφάλειας C2 είναι το υψηλότερο επίπεδο που χρησιμοποιείται συνήθως στις επιχειρήσεις. Στο μέλλον, εάν προκύψει ανάγκη, θα μπορούμε να συμπεριλάβουμε υποστήριξη για περισσότερα στο AS/400 υψηλά επίπεδαΠΡΟΣΤΑΣΙΑ.

Μη εξουσιοδοτημένη πρόσβαση – ανάγνωση, ενημέρωση ή καταστροφή πληροφοριών χωρίς την αρμόδια αρχή να το κάνει.

Η μη εξουσιοδοτημένη πρόσβαση πραγματοποιείται, κατά κανόνα, με τη χρήση του ονόματος κάποιου άλλου, την αλλαγή των φυσικών διευθύνσεων των συσκευών, τη χρήση πληροφοριών που απομένουν μετά την επίλυση προβλημάτων, την τροποποίηση λογισμικού και υποστήριξη πληροφοριών, κλοπή αποθηκευτικών μέσων, εγκατάσταση εξοπλισμού εγγραφής.

Για την επιτυχή προστασία των πληροφοριών σας, ο χρήστης πρέπει να έχει απολύτως σαφή κατανόηση του δυνατού τρόπους μη εξουσιοδοτημένης πρόσβασης. Παραθέτουμε τους κύριους τυπικούς τρόπους απόκτησης πληροφοριών χωρίς άδεια:

· κλοπή μέσων αποθήκευσης και βιομηχανικών απορριμμάτων.

· Αντιγραφή μέσων αποθήκευσης με υπέρβαση μέτρων ασφαλείας.

· Μεταμφίεση ως εγγεγραμμένος χρήστης.

· φάρσα (μεταμφίεση ως αιτήματα συστήματος).

· αξιοποίηση των ελλείψεων των λειτουργικών συστημάτων και των γλωσσών προγραμματισμού.

· χρήση σελιδοδεικτών λογισμικού και μπλοκ λογισμικού τύπου «Δούρειος ίππος».

· Υποκλοπή ηλεκτρονικής ακτινοβολίας.

· αναχαίτιση ακουστικής ακτινοβολίας.

· φωτογράφιση από απόσταση.

· χρήση συσκευών ακρόασης.

· κακόβουλη απενεργοποίηση μηχανισμών προστασίας κ.λπ.

Για την προστασία των πληροφοριών από μη εξουσιοδοτημένη πρόσβαση, χρησιμοποιούνται τα ακόλουθα:

1) οργανωτικές εκδηλώσεις.

2) τεχνικά μέσα.

3) λογισμικό?

4) κρυπτογράφηση.

Οργανωτικές εκδηλώσειςπεριλαμβάνω:

· Λειτουργία πρόσβασης.

· αποθήκευση πολυμέσων και συσκευών σε χρηματοκιβώτιο (δισκέτες, οθόνη, πληκτρολόγιο κ.λπ.).

· περιορισμός της πρόσβασης προσώπων στις αίθουσες ηλεκτρονικών υπολογιστών κ.λπ.

Τεχνικά μέσα περιλαμβάνω:

· φίλτρα, οθόνες για εξοπλισμό.

· Κλειδί για το κλείδωμα του πληκτρολογίου.

· Συσκευές ελέγχου ταυτότητας – για ανάγνωση δακτυλικών αποτυπωμάτων, σχήμα χεριού, ίριδα, ταχύτητα και τεχνικές πληκτρολόγησης κ.λπ.

· ηλεκτρονικά κλειδιάσε μικροκυκλώματα κ.λπ.

Λογισμικόπεριλαμβάνω:

· Πρόσβαση με κωδικό πρόσβασης – ρύθμιση αδειών χρήστη.

· Κλείδωμα της οθόνης και του πληκτρολογίου χρησιμοποιώντας έναν συνδυασμό πλήκτρων στο βοηθητικό πρόγραμμα Diskreet από το πακέτο Norton Utilites.

· χρήση κεφαλαίων προστασία με κωδικό πρόσβασης BIOS – για το ίδιο το BIOS και για τον υπολογιστή συνολικά, κ.λπ.

Κρυπτογράφηση– αυτή είναι μια μετατροπή (κωδικοποίηση) ανοιχτές πληροφορίεςκρυπτογραφημένο, απρόσιτο σε ξένους. Η κρυπτογράφηση χρησιμοποιείται κυρίως για μετάδοση διαβαθμισμένη πληροφορίαμέσω μη ασφαλών καναλιών επικοινωνίας. Μπορείτε να κρυπτογραφήσετε οποιαδήποτε πληροφορία - κείμενα, εικόνες, ήχο, βάσεις δεδομένων κ.λπ. Η ανθρωπότητα χρησιμοποιεί κρυπτογράφηση από τη στιγμή που υπήρχαν μυστικές πληροφορίες που έπρεπε να κρυφτούν από τους εχθρούς. Το πρώτο κρυπτογραφημένο μήνυμα που είναι γνωστό στην επιστήμη είναι ένα αιγυπτιακό κείμενο, στο οποίο χρησιμοποιήθηκαν άλλοι χαρακτήρες αντί για τα τότε αποδεκτά ιερογλυφικά. Η επιστήμη μελετά μεθόδους κρυπτογράφησης και αποκρυπτογράφησης μηνυμάτων. κρυπτολογία , του οποίου η ιστορία ξεκινά περίπου τέσσερις χιλιάδες χρόνια. Αποτελείται από δύο κλάδους: την κρυπτογραφία και την κρυπτανάλυση.

Κρυπτογράφησηείναι η επιστήμη των τρόπων κρυπτογράφησης πληροφοριών. Κρυπτανάλυση είναι η επιστήμη των μεθόδων και τεχνικών για το σπάσιμο κρυπτογράφησης.

Συνήθως θεωρείται ότι ο ίδιος ο αλγόριθμος κρυπτογράφησης είναι γνωστός σε όλους, αλλά το κλειδί του είναι άγνωστο, χωρίς το οποίο δεν μπορεί να αποκρυπτογραφηθεί το μήνυμα. Αυτή είναι η διαφορά μεταξύ της κρυπτογράφησης και της απλής κωδικοποίησης, στην οποία για να επαναφέρετε ένα μήνυμα αρκεί να γνωρίζετε μόνο τον αλγόριθμο κωδικοποίησης.

Κλειδί- αυτή είναι μια παράμετρος του αλγόριθμου κρυπτογράφησης (κρυπτογράφηση), η οποία σας επιτρέπει να επιλέξετε έναν συγκεκριμένο μετασχηματισμό από όλες τις επιλογές που παρέχονται από τον αλγόριθμο. Η γνώση του κλειδιού σάς επιτρέπει να κρυπτογραφείτε και να αποκρυπτογραφείτε ελεύθερα μηνύματα.

Όλοι οι κρυπτογράφοι (συστήματα κρυπτογράφησης) χωρίζονται σε δύο ομάδες - συμμετρικούς και ασύμμετρους (με δημόσιο κλειδί). Συμμετρική κρυπτογράφηση σημαίνει ότι το ίδιο κλειδί χρησιμοποιείται τόσο για την κρυπτογράφηση όσο και για την αποκρυπτογράφηση μηνυμάτων. Σε συστήματα με δημόσιο κλειδίχρησιμοποιούνται δύο κλειδιά - δημόσιο και ιδιωτικό, τα οποία σχετίζονται μεταξύ τους χρησιμοποιώντας ορισμένες μαθηματικές εξαρτήσεις. Οι πληροφορίες κρυπτογραφούνται χρησιμοποιώντας δημόσιο κλειδί, το οποίο είναι διαθέσιμο σε όλους και αποκρυπτογραφείται χρησιμοποιώντας ένα ιδιωτικό κλειδί που είναι γνωστό μόνο στον παραλήπτη του μηνύματος.

Δύναμη κρυπτογράφησηςείναι η αντίσταση ενός κρυπτογράφησης στην αποκρυπτογράφηση χωρίς να γνωρίζει το κλειδί. Ένας αλγόριθμος θεωρείται ανθεκτικός εάν, για επιτυχή αποκάλυψη, απαιτεί από τον εχθρό μη εφικτούς υπολογιστικούς πόρους, έναν ανέφικτο όγκο υποκλοπών μηνυμάτων ή χρόνο που μετά τη λήξη του οι προστατευμένες πληροφορίες δεν θα είναι πλέον σχετικές.

Ένας από τους πιο διάσημους και παλαιότερους κρυπτογράφους είναι κρυπτογράφηση του Καίσαρα. Σε αυτόν τον κρυπτογράφηση, κάθε γράμμα αντικαθίσταται από ένα άλλο, που βρίσκεται στο αλφάβητο στο δεδομένου αριθμούθέσεις k στα δεξιά του. Το αλφάβητο είναι κλειστό σε ένα δαχτυλίδι, έτσι ώστε οι τελευταίοι χαρακτήρες να αντικαθίστανται από τον πρώτο. Η κρυπτογράφηση του Καίσαρα αναφέρεται σε απλοί κρυπτογράφοι αντικατάστασης, καθώς κάθε χαρακτήρας του αρχικού μηνύματος αντικαθίσταται από έναν άλλο χαρακτήρα από το ίδιο αλφάβητο. Τέτοιοι κρυπτογράφοι λύνονται εύκολα χρησιμοποιώντας ανάλυση συχνότητας, επειδή σε κάθε γλώσσα η συχνότητα εμφάνισης των γραμμάτων είναι περίπου σταθερή για οποιοδήποτε κείμενο αρκετά μεγάλο.

Πολύ πιο δύσκολο να σπάσει κρυπτογράφηση Vigenere, που έγινε μια φυσική εξέλιξη του κρυπτογράφησης του Καίσαρα. Για να χρησιμοποιήσετε τον κρυπτογράφηση Vigenère, χρησιμοποιείται μια λέξη-κλειδί που καθορίζει μεταβλητή τιμήβάρδια Ο κρυπτογράφησης Vigenère έχει σημαντικά υψηλότερη κρυπτογραφική ισχύ από τον κρυπτογράφηση του Caesar. Αυτό σημαίνει ότι είναι πιο δύσκολο να το ανοίξετε - να επιλέξετε τη σωστή λέξη-κλειδί. Θεωρητικά, εάν το μήκος του κλειδιού είναι ίσο με το μήκος του μηνύματος και κάθε κλειδί χρησιμοποιείται μόνο μία φορά, ο κρυπτογράφηση Vigenère δεν μπορεί να σπάσει.

Προστασία από μη εξουσιοδοτημένη πρόσβαση σε δεδομένα

Η μη εξουσιοδοτημένη πρόσβαση (UA) από έναν εισβολέα σε έναν υπολογιστή είναι επικίνδυνη όχι μόνο λόγω της δυνατότητας ανάγνωσης ή/και τροποποίησης των επεξεργασμένων δεδομένων. ηλεκτρονικά έγγραφα, αλλά και η πιθανότητα ελεγχόμενου από τον επιτιθέμενο σελιδοδείκτη λογισμικού, που θα του επιτρέψει να προβεί στις ακόλουθες ενέργειες:

2. Υποκλέψτε διάφορες βασικές πληροφορίες που χρησιμοποιούνται για την προστασία ηλεκτρονικών εγγράφων.

3. Χρησιμοποιήστε τον καταγεγραμμένο υπολογιστή ως εφαλτήριο για να καταγράψετε άλλους υπολογιστές στο τοπικό δίκτυο.

4. Καταστρέψτε τις πληροφορίες που είναι αποθηκευμένες στον υπολογιστή ή απενεργοποιήστε τον υπολογιστή εκκινώντας κακόβουλο λογισμικό.

Η προστασία των υπολογιστών από μη εξουσιοδοτημένη πρόσβαση είναι ένα από τα κύρια προβλήματα ασφάλειας των πληροφοριών, επομένως τα περισσότερα λειτουργικά συστήματα και δημοφιλή πακέταΤα προγράμματα έχουν ενσωματωμένα διάφορα υποσυστήματα για προστασία από μη εξουσιοδοτημένη πρόσβαση. Για παράδειγμα, η εκτέλεση ελέγχου ταυτότητας στους χρήστες κατά τη σύνδεση σε λειτουργικά συστήματα Οικογένεια Windows. Ωστόσο, δεν υπάρχει αμφιβολία ότι τα ενσωματωμένα μέσα λειτουργικών συστημάτων δεν επαρκούν για σοβαρή προστασία από μη εξουσιοδοτημένη πρόσβαση. Δυστυχώς, η υλοποίηση των υποσυστημάτων ασφαλείας των περισσότερων λειτουργικών συστημάτων προκαλεί συχνά επικρίσεις λόγω ευπαθειών που ανακαλύπτονται τακτικά και επιτρέπουν την πρόσβαση σε προστατευμένα αντικείμενα παρακάμπτοντας τους κανόνες ελέγχου πρόσβασης. Τα πακέτα ενημερώσεων και ενημερώσεων κώδικα που κυκλοφόρησαν από τους κατασκευαστές λογισμικού αντικειμενικά υστερούν κάπως σε σχέση με τις πληροφορίες σχετικά με τις ευπάθειες που έχουν εντοπιστεί. Ως εκ τούτου, εκτός από τον τυπικό προστατευτικό εξοπλισμό, είναι απαραίτητο να χρησιμοποιηθεί ειδικά μέσαπεριορισμούς ή περιορισμούς πρόσβασης.
Αυτά τα κεφάλαια μπορούν να χωριστούν σε δύο κατηγορίες:

1. Περιορισμοί φυσική πρόσβαση.

2. Μέσα προστασίας από μη εξουσιοδοτημένη πρόσβαση στο δίκτυο.

Μέσα περιορισμού της φυσικής πρόσβασης

Η πιο αξιόπιστη λύση στο πρόβλημα του περιορισμού της φυσικής πρόσβασης σε έναν υπολογιστή είναι η χρήση της προστασίας υλικού των πληροφοριών από μη εξουσιοδοτημένη πρόσβαση, που εκτελείται πριν από τη φόρτωση λειτουργικό σύστημα. Οι συσκευές ασφαλείας αυτής της κατηγορίας ονομάζονται «ηλεκτρονικές κλειδαριές». Ένα παράδειγμα ηλεκτρονικής κλειδαριάς φαίνεται στο Σχ. 5.3.

Εικόνα 5.3 – Ηλεκτρονική κλειδαριάΓια Λεωφορεία PCI

Θεωρητικά, οποιοδήποτε εργαλείο ελέγχου πρόσβασης λογισμικού μπορεί να εκτεθεί σε έναν εισβολέα προκειμένου να παραμορφωθεί ο αλγόριθμος λειτουργίας ενός τέτοιου εργαλείου και στη συνέχεια να αποκτήσει πρόσβαση στο σύστημα. Είναι σχεδόν αδύνατο να γίνει αυτό με την ασφάλεια υλικού: το ηλεκτρονικό κλείδωμα εκτελεί όλες τις ενέργειες για τον έλεγχο της πρόσβασης του χρήστη στο δικό του αξιόπιστο περιβάλλον λογισμικού, το οποίο δεν υπόκειται σε εξωτερικές επιρροές.
Επί προπαρασκευαστικό στάδιοΌταν χρησιμοποιείτε ηλεκτρονική κλειδαριά, εγκαθίσταται και διαμορφώνεται. Η ρύθμιση περιλαμβάνει τις ακόλουθες ενέργειες, που συνήθως εκτελούνται από τον υπεύθυνο - τον διαχειριστή ασφαλείας:

1. Δημιουργία λίστας χρηστών στους οποίους επιτρέπεται η πρόσβαση στον προστατευμένο υπολογιστή. Για κάθε χρήστη, α βασικός φορέας(ανάλογα με τις διεπαφές που υποστηρίζονται από μια συγκεκριμένη κλειδαριά - δισκέτα, ηλεκτρονικό tablet ή έξυπνη κάρτα iButton), οι οποίες θα χρησιμοποιηθούν για τον έλεγχο ταυτότητας του χρήστη κατά την είσοδο. Η λίστα των χρηστών αποθηκεύεται στη μη πτητική μνήμη της κλειδαριάς.

2. Σχηματισμός λίστας αρχείων, η ακεραιότητα των οποίων ελέγχεται από ένα κλείδωμα πριν από τη φόρτωση του λειτουργικού συστήματος του υπολογιστή. Σημαντικά αρχεία λειτουργικού συστήματος υπόκεινται σε έλεγχο, για παράδειγμα τα ακόλουθα:

Βιβλιοθήκες συστήματος Windows;

Εκτελέσιμα modules των εφαρμογών που χρησιμοποιούνται.

Πρότυπα εγγράφων Microsoft Word και τα λοιπά.

Η παρακολούθηση της ακεραιότητας των αρχείων είναι ο υπολογισμός του αθροίσματος ελέγχου αναφοράς τους, για παράδειγμα, κατακερματισμός σύμφωνα με τον αλγόριθμο GOST R 34.11-94, αποθήκευση των υπολογισμένων τιμών στη μη πτητική μνήμη της κλειδαριάς και επακόλουθος υπολογισμός των πραγματικών αθροισμάτων ελέγχου του τα αρχεία και σύγκριση με τα στοιχεία αναφοράς. Σε κανονική λειτουργία, το ηλεκτρονικό κλείδωμα λαμβάνει τον έλεγχο από το BIOS του προστατευμένου υπολογιστή μετά την ενεργοποίηση του τελευταίου. Σε αυτό το στάδιο, εκτελούνται όλες οι ενέργειες για τον έλεγχο της πρόσβασης στον υπολογιστή (δείτε το απλοποιημένο διάγραμμα του αλγορίθμου στην Εικ. 5.4), και συγκεκριμένα:

Εικόνα 5.4 – Απλοποιημένο διάγραμμα του αλγόριθμου λειτουργίας της ηλεκτρονικής κλειδαριάς

1. Η κλειδαριά ζητά από τον χρήστη ένα μέσο με βασικές πληροφορίες που είναι απαραίτητες για τον έλεγχο ταυτότητας του. Εάν δεν παρέχονται βασικές πληροφορίες στην απαιτούμενη μορφή ή εάν ο χρήστης που προσδιορίζεται από τις παρεχόμενες πληροφορίες δεν περιλαμβάνεται στη λίστα των χρηστών του προστατευμένου υπολογιστή, το κλείδωμα εμποδίζει τη φόρτωση του υπολογιστή.

2. Εάν ο έλεγχος ταυτότητας χρήστη είναι επιτυχής, το κλείδωμα υπολογίζεται αθροίσματα ελέγχουαρχεία που περιέχονται στη λίστα των ελεγχόμενων και συγκρίνει τα ληφθέντα αθροίσματα ελέγχου με αυτά αναφοράς. Εάν καταστραφεί η ακεραιότητα τουλάχιστον ενός αρχείου από τη λίστα, θα αποκλειστεί η εκκίνηση του υπολογιστή. Για να μπορέσετε να συνεχίσετε να εργάζεστε σε αυτόν τον υπολογιστή, είναι απαραίτητο να επιλυθεί το πρόβλημα από τον Διαχειριστή, ο οποίος πρέπει να ανακαλύψει τον λόγο της αλλαγής στο ελεγχόμενο αρχείο και, ανάλογα με την περίπτωση, να προβεί σε μία από τις ακόλουθες ενέργειες για να επιτρέψει περαιτέρω εργασία με τον προστατευμένο υπολογιστή:

Επαναφέρετε το αρχικό αρχείο.

Καταργήστε ένα αρχείο από τη λίστα των ελεγχόμενων.

3. Εάν όλοι οι έλεγχοι είναι επιτυχείς, το κλείδωμα επιστρέφει τον έλεγχο στον υπολογιστή για να φορτώσει το τυπικό λειτουργικό σύστημα.

Δεδομένου ότι τα βήματα που περιγράφονται παραπάνω πραγματοποιούνται πριν από τη φόρτωση του λειτουργικού συστήματος του υπολογιστή, το κλείδωμα συνήθως φορτώνει το δικό του λειτουργικό σύστημα (που βρίσκεται στη μη πτητική μνήμη του—συνήθως MS-DOSή παρόμοιο OS, το οποίο δεν επιβάλλει μεγάλες απαιτήσεις πόρων), στο οποίο εκτελούνται έλεγχοι ταυτότητας χρήστη και ακεραιότητας αρχείων. Αυτό είναι επίσης λογικό από την άποψη της ασφάλειας - το λειτουργικό σύστημα της κλειδαριάς δεν υπόκειται σε εξωτερικές επιρροές, γεγονός που εμποδίζει έναν εισβολέα να επηρεάσει τις διαδικασίες ελέγχου που περιγράφονται παραπάνω. Οι πληροφορίες σχετικά με τις συνδέσεις χρηστών στον υπολογιστή, καθώς και τις προσπάθειες μη εξουσιοδοτημένης πρόσβασης, αποθηκεύονται σε ένα αρχείο καταγραφής, το οποίο βρίσκεται στη μη πτητική μνήμη της κλειδαριάς. Το αρχείο καταγραφής μπορεί να προβληθεί από τον Διαχειριστή. Υπάρχουν ορισμένα προβλήματα κατά τη χρήση ηλεκτρονικών κλειδαριών, ιδίως:

1. BIOSμερικοί σύγχρονους υπολογιστέςμπορεί να ρυθμιστεί με τέτοιο τρόπο ώστε ο έλεγχος να μην μεταφέρεται στο BIOS της κλειδαριάς κατά την εκκίνηση. Για να αντιμετωπιστούν τέτοιες ρυθμίσεις, το κλείδωμα πρέπει να μπορεί να εμποδίζει την εκκίνηση του υπολογιστή (για παράδειγμα, κλείνοντας τις επαφές Επαναφορά) εάν η κλειδαριά δεν λάβει έλεγχο εντός ορισμένου χρονικού διαστήματος μετά την ενεργοποίηση του ρεύματος.

2. Ένας εισβολέας μπορεί απλά να τραβήξει την κλειδαριά από τον υπολογιστή. Ωστόσο, υπάρχουν μια σειρά από αντίμετρα:

Διάφορα οργανωτικά και τεχνικά μέτρα: σφράγιση της θήκης του υπολογιστή, διασφάλιση ότι οι χρήστες δεν έχουν φυσική πρόσβαση στη μονάδα συστήματος του υπολογιστή κ.λπ.

Υπάρχουν ηλεκτρονικές κλειδαριές που μπορούν να κλειδώσουν τη θήκη μονάδα του συστήματοςο υπολογιστής από το εσωτερικό με μια ειδική κλειδαριά κατόπιν εντολής του διαχειριστή - σε αυτήν την περίπτωση, η κλειδαριά δεν μπορεί να αφαιρεθεί χωρίς σημαντική ζημιά στον υπολογιστή.

Αρκετά συχνά, οι ηλεκτρονικές κλειδαριές συνδυάζονται δομικά με κρυπτογράφηση υλικού. Σε αυτήν την περίπτωση, το συνιστώμενο μέτρο ασφαλείας είναι η χρήση κλειδαριάς σε συνδυασμό με ένα εργαλείο λογισμικού για διαφανή (αυτόματη) κρυπτογράφηση των λογικών μονάδων δίσκου του υπολογιστή. Σε αυτήν την περίπτωση, τα κλειδιά κρυπτογράφησης μπορούν να προέρχονται από τα κλειδιά που χρησιμοποιούνται για τον έλεγχο ταυτότητας των χρηστών ηλεκτρονική κλειδαριά, ή ξεχωριστά κλειδιά, αλλά αποθηκευμένα στο ίδιο μέσο με τα κλειδιά του χρήστη για σύνδεση στον υπολογιστή. Ένα τέτοιο ολοκληρωμένο εργαλείο προστασίας δεν θα απαιτήσει από τον χρήστη να εκτελέσει κανένα πρόσθετες ενέργειες, αλλά δεν θα επιτρέψει σε έναν εισβολέα να αποκτήσει πρόσβαση σε πληροφορίες ακόμα και αν αφαιρεθεί το υλικό της ηλεκτρονικής κλειδαριάς.

Μέσα προστασίας από μη εξουσιοδοτημένη πρόσβαση στο δίκτυο

Οι πιο αποτελεσματικές μέθοδοι προστασίας από μη εξουσιοδοτημένη πρόσβαση σε δίκτυα υπολογιστώνείναι εικονικά ιδιωτικά δίκτυα ( VPN – Εικονικό ιδιωτικό δίκτυο) και τείχος προστασίας. Ας τα δούμε αναλυτικά.

Εικονικά ιδιωτικά δίκτυα

Τα εικονικά ιδιωτικά δίκτυα παρέχουν αυτόματη προστασίαακεραιότητα και εμπιστευτικότητα των μηνυμάτων που μεταδίδονται μέσω διάφορα δίκτυαδημόσια χρήση, κυρίως μέσω του Διαδικτύου. Πράγματι, VPNείναι ένα σύνολο δικτύων στην εξωτερική περίμετρο του οποίου VPN-παράγοντες (Εικ. 5.5). VPN-agent είναι ένα πρόγραμμα (ή σύμπλεγμα λογισμικού και υλικού) που διασφαλίζει στην πραγματικότητα την προστασία των μεταδιδόμενων πληροφοριών εκτελώντας τις λειτουργίες που περιγράφονται παρακάτω.

Ρύζι. 5.5 - Διάγραμμα κατασκευή VPN

Πριν στείλετε οποιοδήποτε IP-πακέτο VPN- ο πράκτορας κάνει τα εξής:

1. Από τον τίτλο IP-Το πακέτο εκχωρεί πληροφορίες σχετικά με τον παραλήπτη του. Σύμφωνα με αυτές τις πληροφορίες, με βάση την πολιτική ασφαλείας αυτού VPN-agent, επιλέγονται αλγόριθμοι προστασίας (αν VPN-ο πράκτορας υποστηρίζει αρκετούς αλγόριθμους) και κρυπτογραφικά κλειδιά με τα οποία θα προστατεύεται αυτό το πακέτο. Σε περίπτωση που η πολιτική ασφαλείας VPN- δεν παρέχεται αποστολή αντιπροσώπου IP-πακέτο σε αυτόν τον παραλήπτη ή IP-πακέτο με αυτά τα χαρακτηριστικά, αποστολή IP-Το πακέτο είναι μπλοκαρισμένο.

2. Χρησιμοποιώντας τον επιλεγμένο αλγόριθμο προστασίας ακεραιότητας, δημιουργείται και προστίθεται IP-Ηλεκτρονικό πακέτο ψηφιακή υπογραφή(EDS), πρόθεμα απομίμησης ή παρόμοιο άθροισμα ελέγχου.

3. Η κρυπτογράφηση εκτελείται χρησιμοποιώντας τον επιλεγμένο αλγόριθμο κρυπτογράφησης IP-πακέτο.

4. Με καθιερωμένο αλγόριθμοκρυπτογραφημένη ενθυλάκωση πακέτων IP- το πακέτο τοποθετείται σε ένα πακέτο IP έτοιμο για μετάδοση, η κεφαλίδα του οποίου, αντί για τις αρχικές πληροφορίες για τον παραλήπτη και τον αποστολέα, περιέχει πληροφορίες σχετικά με VPN-ο πράκτορας του παραλήπτη και VPN- αντιπρόσωπος αποστολέα. Εκείνοι. Εκτελείται η μετάφραση διεύθυνσης δικτύου.

5. Το πακέτο αποστέλλεται VPN- ο πράκτορας του παραλήπτη. Εάν είναι απαραίτητο, χωρίζεται και τα πακέτα που προκύπτουν αποστέλλονται ένα προς ένα.

κατά την εισαγωγή IP-πακέτο VPN- ο πράκτορας κάνει τα εξής:

1. Από τον τίτλο IP- επισημαίνονται οι πληροφορίες πακέτου για τον αποστολέα του. Εάν ο αποστολέας δεν επιτρέπεται (σύμφωνα με την πολιτική ασφαλείας) ή είναι άγνωστος (για παράδειγμα, όταν λαμβάνετε ένα πακέτο με σκόπιμα ή τυχαία αλλοιωμένη κεφαλίδα), το πακέτο δεν υποβάλλεται σε επεξεργασία και απορρίπτεται.

2. Οι αλγόριθμοι προστασίας επιλέγονται σύμφωνα με την πολιτική ασφαλείας αυτού του πακέτουκαι κλειδιά που θα χρησιμοποιηθούν για την αποκρυπτογράφηση του πακέτου και τον έλεγχο της ακεραιότητάς του.

3. Το τμήμα πληροφοριών (ενθυλακωμένο) του πακέτου απομονώνεται και αποκρυπτογραφείται.

4. Η ακεραιότητα του πακέτου παρακολουθείται με βάση τον επιλεγμένο αλγόριθμο. Εάν εντοπιστεί παραβίαση ακεραιότητας, το πακέτο απορρίπτεται.

5. Το πακέτο αποστέλλεται στον παραλήπτη (μέχρι εσωτερικό δίκτυο) σύμφωνα με τις πληροφορίες που βρίσκονται στην αρχική του κεφαλίδα.

VPN-ο πράκτορας μπορεί να βρίσκεται απευθείας στον προστατευμένο υπολογιστή (για παράδειγμα, οι υπολογιστές "απομακρυσμένων χρηστών" στην Εικ. 5.5). Σε αυτή την περίπτωση, χρησιμοποιείται για προστασία ανταλλαγή πληροφοριώνμόνο ο υπολογιστής στον οποίο είναι εγκατεστημένος, αλλά οι αρχές λειτουργίας του που περιγράφονται παραπάνω παραμένουν αμετάβλητες.
Βασικός κανόνας κατασκευής VPN– επικοινωνία μεταξύ του προστατευμένου LAN και ανοιχτό δίκτυοπρέπει να γίνει μόνο μέσω VPN-πράκτορες. Δεν πρέπει να υπάρχει απολύτως κανένα μέσο επικοινωνίας που να παρακάμπτει το προστατευτικό φράγμα στη μορφή VPN-μέσο. Εκείνοι. πρέπει να καθοριστεί μια προστατευμένη περίμετρος, η επικοινωνία με την οποία μπορεί να πραγματοποιηθεί μόνο με κατάλληλο μέσο προστασίας. Μια πολιτική ασφαλείας είναι ένα σύνολο κανόνων σύμφωνα με τους οποίους δημιουργούνται ασφαλή κανάλια επικοινωνίας μεταξύ των συνδρομητών VPN. Τέτοια κανάλια ονομάζονται συνήθως σήραγγες, η αναλογία με την οποία φαίνεται στα ακόλουθα:

1. Όλες οι πληροφορίες που μεταδίδονται μέσα σε ένα τούνελ προστατεύονται τόσο από μη εξουσιοδοτημένη προβολή όσο και από τροποποίηση.

2. Ενθυλάκωση IPΤα πακέτα σάς επιτρέπουν να αποκρύψετε την τοπολογία του εσωτερικού LAN: από το Διαδίκτυο, η ανταλλαγή πληροφοριών μεταξύ δύο προστατευμένων LAN είναι ορατή ως ανταλλαγή πληροφοριών μόνο μεταξύ τους VPN-πράκτορες, αφού όλα είναι εσωτερικά IP-διευθύνσεις που μεταδίδονται μέσω Διαδικτύου IP- τα πακέτα δεν εμφανίζονται σε αυτήν την περίπτωση.

Οι κανόνες για τη δημιουργία σηράγγων διαμορφώνονται ανάλογα με διάφορα χαρακτηριστικά IP-πακέτα, για παράδειγμα, το κύριο κατά την κατασκευή των περισσότερων VPNπρωτόκολλο IPSec (Αρχιτεκτονική ασφαλείας για IP)ορίζει το επόμενο σύνολο δεδομένων εισόδου με το οποίο επιλέγονται οι παράμετροι σήραγγας και λαμβάνεται απόφαση κατά το φιλτράρισμα ενός συγκεκριμένου IP-πακέτο:

1. IP- διεύθυνση πηγής. Αυτή μπορεί να είναι όχι μόνο μια μεμονωμένη διεύθυνση IP, αλλά και μια διεύθυνση υποδικτύου ή μια σειρά από διευθύνσεις.

2. IP-διεύθυνση προορισμού. Μπορεί επίσης να υπάρχει μια σειρά από διευθύνσεις που καθορίζονται ρητά, χρησιμοποιώντας μια μάσκα υποδικτύου ή μπαλαντέρ.

3. Αναγνωριστικό χρήστη (αποστολέας ή παραλήπτης).

4. Πρωτόκολλο επιπέδου μεταφοράς ( TCP/UDP).

5. Αριθμός θύρας από ή προς την οποία στάλθηκε το πακέτο.

Το τείχος προστασίας είναι ένα λογισμικό ή εργαλείο υλικού-λογισμικού που παρέχει προστασία τοπικά δίκτυαΚαι μεμονωμένους υπολογιστέςαπό μη εξουσιοδοτημένη πρόσβαση από εξωτερικά δίκτυαφιλτράροντας την αμφίδρομη ροή των μηνυμάτων κατά την ανταλλαγή πληροφοριών. Στην πραγματικότητα, το τείχος προστασίας είναι "ξεγυμνωμένο" VPN-ένας πράκτορας που δεν κρυπτογραφεί πακέτα και δεν ελέγχει την ακεραιότητά τους, αλλά σε ορισμένες περιπτώσεις έχει έναν αριθμό από πρόσθετες λειτουργίες, τα πιο συνηθισμένα από τα οποία είναι τα ακόλουθα:

Σάρωση προστασίας από ιούς.

Παρακολούθηση της ορθότητας των πακέτων.

Παρακολούθηση της ορθότητας των συνδέσεων (για παράδειγμα, εγκατάσταση, χρήση και τερματισμός TCP-συνεδρίες)

Έλεγχος περιεχομένου.

Τείχη προστασίας, που δεν έχουν τις λειτουργίες που περιγράφονται παραπάνω και εκτελούν μόνο φιλτράρισμα πακέτων, καλούνται φίλτρα πακέτων. Κατ' αναλογία με VPN-οι πράκτορες υπάρχουν επίσης ως προσωπικά τείχη προστασίας που προστατεύουν μόνο τον υπολογιστή στον οποίο είναι εγκατεστημένοι. Τα τείχη προστασίας βρίσκονται επίσης στην περίμετρο των προστατευμένων δικτύων και του φίλτρου κυκλοφορίας δικτύουσύμφωνα με τη διαμορφωμένη πολιτική ασφαλείας.

Μια ηλεκτρονική κλειδαριά μπορεί να αναπτυχθεί με βάση έναν κωδικοποιητή υλικού. Σε αυτήν την περίπτωση, λαμβάνετε μία συσκευή που εκτελεί τις λειτουργίες κρυπτογράφησης, δημιουργίας τυχαίους αριθμούςκαι προστασία από NSD. Ένας τέτοιος κρυπτογραφητής μπορεί να είναι το κέντρο ασφαλείας ολόκληρου του υπολογιστή, μπορεί να κατασκευαστεί ένα πλήρως λειτουργικό σύστημα κρυπτογραφική προστασίαδεδομένα, παρέχοντας, για παράδειγμα, τις ακόλουθες δυνατότητες:

1. Προστατέψτε τον υπολογιστή σας από φυσική πρόσβαση.

2. Προστασία του υπολογιστή σας από μη εξουσιοδοτημένη πρόσβαση μέσω του δικτύου και οργάνωση VPN.

3. Κρυπτογράφηση αρχείων κατ' απαίτηση.

4. Αυτόματη κρυπτογράφηση λογικών μονάδων υπολογιστή.

5. Υπολογισμός/επαλήθευση ψηφιακής υπογραφής.

6. Προστατέψτε τα μηνύματα email.

Αναπτυξιακές τάσεις που παρατηρούνται τα τελευταία χρόνια Τεχνολογίες πληροφορικήςμπορεί να οδηγήσει στην εμφάνιση ποιοτικά νέων (πληροφοριακών) μορφών αγώνα, που ονομάζονται πληροφοριακός πόλεμος. Δεν υπάρχει καθιερωμένος, διεθνώς αποδεκτός ορισμός του πληροφοριακού πολέμου. Ένα από τα συστατικά στοιχεία του πολέμου πληροφοριών είναι το λεγόμενο όπλο πληροφοριών, το οποίο οι ειδικοί ορίζουν ως ένα σύνολο μέσων και μεθόδων που καθιστούν δυνατή την κλοπή, την παραμόρφωση ή την καταστροφή πληροφοριών, τον περιορισμό ή τον τερματισμό της πρόσβασης σε αυτές από νόμιμους αγοραστές, τη διακοπή ή απενεργοποίηση τηλεπικοινωνιακά δίκτυα και συστήματα υπολογιστών, που χρησιμοποιούνται για τη διασφάλιση της λειτουργίας της κοινωνίας και του κράτους.

Ταξινόμηση των αρχών προστασίας από μη εξουσιοδοτημένη πρόσβαση

Η αρχή της δικαιολογημένης πρόσβασης. Αυτή η αρχήσυνίσταται στην υποχρεωτική εκπλήρωση 2 βασικών προϋποθέσεων: ο χρήστης πρέπει να έχει επαρκή «φόρμα εκκαθάρισης» για να λάβει πληροφορίες σχετικά με το επίπεδο εμπιστευτικότητας που απαιτεί, και αυτές οι πληροφορίες είναι απαραίτητες για την εκτέλεση των λειτουργιών παραγωγής του.

Η αρχή του επαρκούς βάθους ελέγχου πρόσβασης. Τα μέτρα ασφάλειας πληροφοριών πρέπει να περιλαμβάνουν μηχανισμούς ελέγχου πρόσβασης σε όλους τους τύπους πληροφοριών και πόρων λογισμικού αυτοματοποιημένα συστήματα, το οποίο, σύμφωνα με την αρχή της εύλογης πρόσβασης, θα πρέπει να κοινοποιείται μεταξύ των χρηστών.

Η αρχή της οριοθέτησης των ροών πληροφοριών. Για την αποφυγή παραβίασης της ασφάλειας πληροφοριών, η οποία, για παράδειγμα, μπορεί να συμβεί κατά την εγγραφή διαβαθμισμένων πληροφοριών σε μη διαβαθμισμένα μέσα και σε μη διαβαθμισμένα αρχεία, τη μεταφορά τους σε προγράμματα και διαδικασίες που δεν προορίζονται για την επεξεργασία διαβαθμισμένων πληροφοριών, καθώς και κατά τη μετάδοση διαβαθμισμένων πληροφοριών μέσω μη ασφαλών καναλιών και των γραμμών επικοινωνίας, είναι απαραίτητο να πραγματοποιηθεί η κατάλληλη οριοθέτηση των ροών πληροφοριών.

Η αρχή της καθαρότητας των επαναχρησιμοποιούμενων πόρων. Αυτή η αρχή συνίσταται στην εκκαθάριση πόρων που περιέχουν εμπιστευτικές πληροφορίες όταν διαγράφονται ή αποδεσμεύονται από τον χρήστη πριν από την αναδιανομή αυτών των πόρων σε άλλους χρήστες.

Η αρχή της προσωπικής ευθύνης. Κάθε χρήστης πρέπει να φέρει προσωπική ευθύνη για τις δραστηριότητές του στο σύστημα, συμπεριλαμβανομένων τυχόν εργασιών με εμπιστευτικές πληροφορίες και πιθανών παραβιάσεων της προστασίας του, π.χ. οποιεσδήποτε τυχαίες ή σκόπιμες ενέργειες που οδηγούν ή μπορεί να οδηγήσουν σε μη εξουσιοδοτημένη πρόσβαση σε εμπιστευτικές πληροφορίες, παραμόρφωση ή καταστροφή τους ή καθιστούν αυτές τις πληροφορίες απρόσιτες για τους νόμιμους χρήστες.

Η αρχή της ακεραιότητας του προστατευτικού εξοπλισμού. Αυτή η αρχή συνεπάγεται ότι τα εργαλεία ασφάλειας πληροφοριών σε αυτοματοποιημένα συστήματα πρέπει να εκτελούν με ακρίβεια τις λειτουργίες τους σύμφωνα με τις αναφερόμενες αρχές και να είναι απομονωμένα από τους χρήστες και για τη συντήρησή τους πρέπει να περιλαμβάνουν ειδική ασφαλή διεπαφή για εργαλεία ελέγχου, απόπειρες σηματοδότησης παραβίασης της ασφάλειας πληροφοριών και επιρροής διαδικασίες στο σύστημα.

Βασικές κατευθύνσεις παροχής προστασίας από μη εξουσιοδοτημένη πρόσβαση

Διασφάλιση της προστασίας των κεφαλαίων τεχνολογία υπολογιστών(SVT) και τα αυτοματοποιημένα συστήματα (AS) πραγματοποιούνται από: ένα σύστημα ελέγχου πρόσβασης (ADS) υποκειμένων για πρόσβαση σε αντικείμενα. παροχή κεφαλαίων για το SRD.

Οι κύριες λειτουργίες του DRS είναι:

• - εφαρμογή κανόνων για τον περιορισμό της πρόσβασης (AD) των υποκειμένων και των διαδικασιών τους στα δεδομένα·
• - εφαρμογή PRD θεμάτων και των διαδικασιών τους σε συσκευές για τη δημιουργία έντυπων αντιγράφων.
• - απομόνωση προγραμμάτων διεργασιών που εκτελούνται προς το συμφέρον του θέματος από άλλα θέματα.
• - έλεγχος των ροών δεδομένων προκειμένου να αποτραπεί η εγγραφή δεδομένων σε μέσα ακατάλληλου τύπου.
• - εφαρμογή κανόνων για την ανταλλαγή δεδομένων μεταξύ υποκειμένων για AS και SVT, που βασίζονται σε αρχές δικτύου.

Τα μέσα παροχής για DRS εκτελούν τις ακόλουθες λειτουργίες:

• - αναγνώριση και αναγνώριση (αυθεντικοποίηση) των θεμάτων και διατήρηση της δέσμευσης του θέματος με τη διαδικασία που εκτελείται για το θέμα.
• - καταγραφή των ενεργειών του υποκειμένου και της διαδικασίας του.
• - παροχή ευκαιριών αποκλεισμού και συμπερίληψης νέων υποκειμένων και αντικειμένων πρόσβασης, καθώς και αλλαγή των εξουσιών των υποκειμένων· αντίδραση σε προσπάθειες NSD, για παράδειγμα, συναγερμοί, αποκλεισμός, ανάκτηση από NSD.
• - δοκιμή?
• - καθάρισμα μνήμη τυχαίας προσπέλασηςκαι περιοχές εργασίας σε μαγνητικά μέσα αφού ο χρήστης ολοκληρώσει την εργασία με τα προστατευμένα δεδομένα.
• - λογιστική των εκτυπώσεων και γραφικές φόρμεςκαι έντυπα αντίγραφα σε AC.
• - έλεγχος της ακεραιότητας του λογισμικού και του τμήματος πληροφοριών τόσο του DRS όσο και των μέσων που το υποστηρίζουν.

Οι μέθοδοι για την υλοποίηση του DRS εξαρτώνται από τα ειδικά χαρακτηριστικά του SVT και του AS. Μπορούν να χρησιμοποιηθούν οι ακόλουθες μέθοδοι προστασίας και τυχόν συνδυασμοί τους:

• - κατανεμημένα DRS και DRS εντοπισμένα στο σύμπλεγμα λογισμικού και υλικού (πυρήνας προστασίας).
• - DRS εντός του λειτουργικού συστήματος, του DBMS ή των προγραμμάτων εφαρμογών.
• - SRD σε εργαλεία υλοποίησης αλληλεπιδράσεις δικτύουή σε επίπεδο εφαρμογής? χρήση κρυπτογραφικών μετασχηματισμών ή μεθόδων ελέγχου άμεσης πρόσβασης· λογισμικό και (ή) τεχνική υλοποίηση SRD.

Συμπέρασμα:Είναι αδύνατο να προστατευθούν απόλυτα οι πληροφορίες από μη εξουσιοδοτημένη πρόσβαση. Για να επιλέξετε την αρχή της οργάνωσης της προστασίας από μη εξουσιοδοτημένη πρόσβαση, απαιτείται ατομική προσέγγιση σε κάθε συγκεκριμένη περίπτωση.

Συγκριτική ανάλυση των πιο κοινών μέσων προστασίας πληροφοριών από μη εξουσιοδοτημένη πρόσβαση

Πραγματοποιήθηκε μια συγκριτική ανάλυση των πιο κοινών μέσων προστασίας πληροφοριών (IPS) από μη εξουσιοδοτημένη πρόσβαση (ATI) που χρησιμοποιούνται για την προστασία δεδομένων σε συστήματα πληροφοριών. Τα κριτήρια σύγκρισης επιλέχθηκαν με βάση τα χαρακτηριστικά του συστήματος προστασίας πληροφοριών από το NSD.

Για την προστασία των πληροφοριών σε συστήματα υπολογιστώνέναντι επιθέσεων σε επίπεδο λειτουργικού συστήματος, συστήματος λογισμικού δικτύου και συστήματος διαχείρισης βάσεων δεδομένων, χρησιμοποιούνται μέσα προστασίας πληροφοριών από μη εξουσιοδοτημένη πρόσβαση (IPS από NSD). Ο καθοριστικός παράγοντας για την επιλογή εξοπλισμού ασφάλειας πληροφοριών από την NSD in σύστημα πληροφορίωνείναι η συμμόρφωση με τα πρότυπα και τις απαιτήσεις των εξουσιοδοτημένων φορέων στον τομέα της επεξεργασίας δεδομένων. Τα πιο συνηθισμένα μέσα προστασίας πληροφοριών από μη εξουσιοδοτημένη πρόσβαση στην οικογένεια συστημάτων πληροφοριών MS Windows είναι: "Secret Net LSP", "Dallas Lock 8.0?K", "Pantsir?K", "Aura 1.2.4".

Όλα τα παραπάνω συστήματα ασφάλειας πληροφοριών είναι πιστοποιημένα λογισμικόπροστασία πληροφοριών, υποστήριξη τρόπων λειτουργίας εκτός σύνδεσης και δικτύου. Επιπλέον, εκτελούν παρόμοιες λειτουργίες, όπως:

• 1. Αναγνώριση και έλεγχος ταυτότητας χρηστών.
• 2. Περιορισμός και έλεγχος πρόσβασης χρηστών σε πόρους συστήματος, τερματικά, υπολογιστές, κόμβους δικτύου υπολογιστών, εξωτερικές συσκευές, προγράμματα, τόμους, καταλόγους, αρχεία κ.λπ.
• 3. Λογιστική για μέσα αποθήκευσης.
• 4. Παρακολούθηση της ακεραιότητας των προστατευόμενων πόρων.
• 5. Παρακολούθηση στοιχείων ασφάλειας πληροφοριών.
• 6. Έλεγχος εκτύπωσης και σήμανση εγγράφων.
• 7. Καταστροφή (αντιγραφή) των περιεχομένων των αρχείων όταν αυτά διαγράφονται.
• 8. Καταγραφή συμβάντων ασφαλείας στο αρχείο καταγραφής.
• 9. Σκιώδη αντίγραφοπληροφορίες εξόδου.

Σε λειτουργία δικτύου, το σύστημα ασφάλειας πληροφοριών εκτελεί τις ακόλουθες λειτουργίες:

• 1. Κεντρική διαχείριση των ρυθμίσεων ασφάλειας πληροφοριών.
• 2. Κεντρική συλλογήπληροφορίες σχετικά με συμβάντα ασφαλείας σε προστατευμένους υπολογιστές.

Μεθοδολογία συγκριτική ανάλυσηΤο SZI από το NSD "Secret Net LSP", "Dallas Lock 8.0?K", "Pantsir?K", "Aura 1.2.4" δίνεται παρακάτω.

Τα κριτήρια για τη συγκριτική ανάλυση σε αυτήν την εργασία είναι τα ακόλουθα τεχνικά χαρακτηριστικά του συστήματος προστασίας πληροφοριών από το NSD:

• 1. Κατηγορία ασφαλείας.
• 2. Επίπεδο ελέγχου NDV.
• 3. .
• 4. Πρόσθετες απαιτήσεις υλικού: η απαιτούμενη ποσότητα ελεύθερου χώρου στον σκληρό δίσκο για να φιλοξενήσει το σύστημα ασφάλειας πληροφοριών.
• 5.: ναι ή όχι.

Τα καθορισμένα τεχνικά χαρακτηριστικά για επιλεγμένα συστήματα προστασίας πληροφοριών από την NSD δίνονται στον Πίνακα 1.

Τραπέζι 1 - Προδιαγραφές SZI από την NSD

Κριτήρια σύγκρισης		Dallas Lock 8.0-K	Παντσίρ-Κ	SZI Aura 1.2.4
Κατηγορία ασφαλείας	Σύμφωνα με την κατηγορία ασφαλείας 3	Σύμφωνα με την κατηγορία ασφαλείας 5	Σύμφωνα με την κατηγορία ασφαλείας 5	Σύμφωνα με την κατηγορία ασφαλείας 5
Επίπεδο ελέγχου NDV	Με έλεγχο επιπέδου 2	Με έλεγχο επιπέδου 4	Με έλεγχο επιπέδου 4	Με έλεγχο επιπέδου 4
Κατηγορία αυτοματοποιημένων συστημάτων	Έως και συμπεριλαμβανομένης της κατηγορίας 1Β	Συμπεριλαμβανομένης της κατηγορίας 1G	Συμπεριλαμβανομένης της κατηγορίας 1G	Συμπεριλαμβανομένης της κατηγορίας 1G
Πρόσθετη υποστήριξη υλικού	ναι (Secret Net Card, PAK "Sobol")		ναι (PAC για τον έλεγχο της δραστηριότητας KSZI)

Πίνακας 2 - Πίνακας δείκτη

Σε αυτόν τον πίνακα, κάθε δείκτης Aijεκχωρήθηκε μια συγκεκριμένη αριθμητική τιμή.

Ας εξηγήσουμε τον σκοπό των αριθμητικών τιμών των δεικτών Aijχρησιμοποιώντας το παράδειγμα του συστήματος ασφάλειας πληροφοριών από το NSD "Secret Net LSP". Η κλάση ασφαλείας, το επίπεδο ελέγχου του NDV και η κατηγορία του αυτοματοποιημένου συστήματος είναι υψηλότερα από εκείνα άλλων συστημάτων ασφάλειας πληροφοριών που γίνονται δεκτά για συγκριτική ανάλυση. Από την άλλη, ο απαιτούμενος όγκος σκληρός δίσκοςγια την εφαρμογή αυτού του συστήματος προστασίας πληροφοριών είναι πολύ μεγαλύτερο, γεγονός που εισάγει περιορισμούς στις δυνατότητες του υλικού. Τώρα είναι απαραίτητο να εισαχθεί ο ακόλουθος κανόνας για την ποσοτική αξιολόγηση του δείκτη Aij: ο δείκτης πρέπει να παίρνει μεγαλύτερη τιμή, όσο μεγαλύτερη είναι η σημασία του επιλεγμένου κριτηρίου για τη λήψη αποφάσεων. Στη συγκεκριμένη περίπτωση, θα πραγματοποιήσουμε μια ποσοτική αξιολόγηση των δεικτών για τα αποδεκτά κριτήρια σύγκρισης ως εξής:

Ένα 1J= 1 / (Κλάση ασφαλείας: 3 ή 5);

Ένα 2J= 1 / (Επίπεδο ελέγχου NDV: 2 ή 4);

Ένα 3J= 1 / (Κλάση αυτοματοποιημένων συστημάτων: 2 - για την κατηγορία 1Β ή 4 - για την κατηγορία 1G).

Ένα 4J= 1 / (Απαιτούμενη χωρητικότητα σκληρού δίσκου σε GB).

Ένα 5J= 1 - πρόσθετη υποστήριξη υλικού είναι διαθέσιμη. 0 - δεν υπάρχει πρόσθετη υποστήριξη υλικού.

Οπότε δεν είναι δύσκολο να το αποκτήσεις αριθμητικές τιμέςμήτρα δεικτών (Πίνακας 3).

Πίνακας 3 - Πίνακας δείκτη. Αριθμητικές τιμές

Κριτήρια σύγκρισης		Dallas Lock 8.0-K	Παντσίρ-Κ	SZI Aura 1.2.4
Κατηγορία ασφαλείας
Επίπεδο ελέγχου NDV
Κατηγορία αυτοματοποιημένων συστημάτων
Πρόσθετες απαιτήσεις υλικού: ελεύθερος χώρος στον σκληρό δίσκο		1/0,030 = 33,333	1/0,020 = 50,000
Πρόσθετη υποστήριξη υλικού

Περαιτέρω συγκριτική ανάλυση πραγματοποιείται με τον υπολογισμό της βαθμολογίας σύμφωνα με κριτήρια σύγκρισης.

Οπου Aij- τρέχουσα τιμή του δείκτη.

Αιμίν- την ελάχιστη τιμή του δείκτη για το καθορισμένο κριτήριο·

Aimax- τη μέγιστη τιμή του δείκτη για το καθορισμένο κριτήριο·

Οπου Μ- αριθμός κριτηρίων για μέσα ασφάλειας πληροφοριών.

Ένα παράδειγμα υπολογισμού χρησιμοποιώντας την προτεινόμενη μεθοδολογία δίνεται παρακάτω στους Πίνακες 4 και 5. Οι συντελεστές στάθμισης εκχωρούνται με βάση τις απαιτήσεις προτεραιότητας για τα τρία πρώτα κριτήρια σύγκρισης.

Πίνακας 4 - Αρχικά δεδομένα για τον υπολογισμό της τελικής βαθμολογίας του συστήματος ασφάλειας πληροφοριών από την NSD

Συμπέρασμα:Έχοντας αναλύσει τα βασικά κριτήρια των επιλεγμένων συστημάτων ασφάλειας πληροφοριών από το NSD, προτάθηκε μια μεθοδολογία για τη συγκριτική τους ανάλυση. Από άποψη τεχνικό επίπεδο, μεταξύ των εργαλείων ασφάλειας πληροφοριών που εξετάστηκαν, το σύστημα ασφάλειας πληροφοριών από το NSD "Secret Net LSP" έχει ένα αδιαμφισβήτητο πλεονέκτημα. Ωστόσο, πρέπει να ληφθεί υπόψη ότι αυτό το σύστημα προστασίας πληροφοριών μπορεί να χρησιμοποιηθεί όχι μόνο για προστασία εμπιστευτικές πληροφορίες, αλλά και για μυστική προστασία (πιστοποιημένο σύμφωνα με την κλάση ασφαλείας SVT 3 και το επίπεδο ελέγχου NDV 2), επομένως για Προστασία ISPDnΤο "Secret Net LSP", σε αυτήν την περίπτωση, είναι περιττό. Περαιτέρω προτεραιότητες κατανέμονται ως εξής: "Pantsir?K", "Dallas Lock 8.0?K" και SZI "Aura 1.2.4".