Προστασία δεδομένων από μη εξουσιοδοτημένη πρόσβαση. Προστασία από μη εξουσιοδοτημένη πρόσβαση. Κύριες κατευθύνσεις παροχής προστασίας από μη εξουσιοδοτημένη πρόσβαση

Χάκερ και ιοί στο AS/400; Αυτό είναι αδύνατο. Πειρατές κάνουν μόνο σε Unix και PC.

Θυμάμαι την ταινία "Jurassic Park", στο τέλος της οποίας η κοπέλα πλησιάζει τον υπολογιστή στον οποίο έγινε δολιοφθορά, που οδήγησε στην απελευθέρωση των δεινοσαύρων. "Είναι Unix!" - αναφωνεί, ανοίγοντας τις άμυνές του και διορθώνοντας αμέσως το πρόβλημα. Τότε είπα στον εαυτό μου: «Φυσικά, τι ήθελες από το Unix». Και στην ταινία "Ημέρα της Ανεξαρτησίας" ένας ιός εκτοξεύτηκε στον υπολογιστή ενός εξωγήινου διαστημόπλοιου. Οι περισσότεροι θεατές δεν είχαν ιδέα ότι οι εξωγήινοι χρησιμοποιούσαν υπολογιστές Apple Macintosh. Αλλά, δόξα τω Θεώ, αποδείχθηκε ότι ήταν ακριβώς έτσι, ο ιός λειτούργησε και ο κόσμος μας σώθηκε.

Γενικά, στις ταινίες, κακοί συχνά εισβάλλουν στους υπολογιστές άλλων ανθρώπων ή ένας δυσαρεστημένος υπάλληλος εισάγει έναν ιό στο δίκτυο υπολογιστών της εταιρείας. Είναι ωραίο να γνωρίζουμε ότι τίποτα τέτοιο δεν μπορεί να συμβεί στο AS/400. Ή μήπως τελικά;

Όπως πολλά άλλα χαρακτηριστικά, το AS/400, σε αντίθεση με τα περισσότερα άλλα συστήματα, είχε ενσωματωμένη ασφάλεια από την αρχή αντί να προστέθηκε μετά την κατασκευή του. Ωστόσο, κανένα μέτρο ασφαλείας δεν θα βοηθήσει εάν δεν τα χρησιμοποιήσετε, και πολλοί χρήστες AS/400 κάνουν ακριβώς αυτό. Για παράδειγμα, σε περιβάλλον πελάτη/διακομιστή, πρέπει να λαμβάνονται ειδικές προφυλάξεις για την προστασία των δεδομένων AS/400 από μη ασφαλείς πελάτες, όπως τα Windows 95 και τα Windows NT. Επιπλέον, στον σημερινό δικτυωμένο κόσμο, πολλά AS/400 είναι συνδεδεμένα στο Διαδίκτυο, οπότε θα πρέπει να εφαρμόζονται και ορισμένα μέτρα ασφαλείας πληροφοριακούς πόρους. Ευτυχώς, τα ενσωματωμένα χαρακτηριστικά ασφαλείας του AS/400 παρέχουν μια ισχυρή βάση για την ασφάλεια ολόκληρου του συστήματος. Σε αυτή τη διάλεξη, θα εξετάσουμε τα χαρακτηριστικά ασφαλείας του AS/400 και θα συζητήσουμε τον καλύτερο τρόπο χρήσης τους.

Ολοκληρωμένη προστασία

Στο παρελθόν, η εξασφάλιση ενός υπολογιστικού συστήματος ήταν σχετικά εύκολη. Συνήθως, αρκούσε να εισαγάγετε μια κλειδαριά στην πόρτα του δωματίου του υπολογιστή και να αναγκάσετε τους τελικούς χρήστες να εισάγουν έναν κωδικό πρόσβασης κατά τη σύνδεση στο σύστημα. Σύγχρονος κόσμοςδεν είναι πλέον τόσο απλό. Τα AS/400 που είναι συνδεδεμένα σε δίκτυο υπολογιστών κινδυνεύουν περισσότερο: ένα ενδοεταιρικό LAN ή ένα παγκόσμιο δίκτυο, όπως το Διαδίκτυο. Σε κάθε περίπτωση, το AS/400 παρέχει τα μέσα για την ελαχιστοποίηση ή την εξάλειψη του κινδύνου μη εξουσιοδοτημένης πρόσβασης. Οι προκλήσεις της προστασίας ενός συστήματος υπολογιστή είναι πολύ παρόμοιες με αυτές που προκύπτουν κατά την προστασία ενός σπιτιού ή ενός αυτοκινήτου: Πρέπει να υπολογίσετε σωστά το κόστος έναντι της ανοχής κινδύνου.

Είναι προφανές ότι σε διαφορετικές καταστάσειςΤο AS/400 απαιτεί διαφορετικά επίπεδα προστασίας. Ο χρήστης θα πρέπει να μπορεί να επιλέξει ανεξάρτητα αυτό το επίπεδο. Ένα καλό σύστημα ασφαλείας έχει σχεδιαστεί έτσι ώστε ο υπολογιστής να μπορεί να λειτουργεί χωρίς καμία απολύτως προστασία, με περιορισμένη προστασίαή με πλήρη προστασία, αλλά σε όλες τις περιπτώσεις το σύστημα προστασίας πρέπει να είναι ενεργό.

Και τώρα υπάρχουν συστήματα κλειδωμένα σε δωμάτια όπου η πρόσβαση είναι αυστηρά περιορισμένη. Είναι σαφές ότι δεν χρειάζονται το ίδιο επίπεδο προστασίας με έναν υπολογιστή συνδεδεμένο στο Διαδίκτυο. Όμως με την πάροδο του χρόνου, οι απαιτήσεις προστασίας για αυτά τα συστήματα ενδέχεται να αυξηθούν. Η ενσωματωμένη ασφάλεια AS/400 είναι αρκετά ευέλικτη ώστε να προσαρμόζεται καθώς αλλάζουν οι ανάγκες σας.

Η ασφάλεια AS/400 είναι ένας συνδυασμός ασφάλειας σε OS/400 και SLIC. Το OS/400 υλοποιεί επίπεδα γενικών προστασία του συστήματος, ενώ το OS/400 βασίζεται σε λειτουργίες προστασίας αντικειμένων σε επίπεδο MI. Για παράδειγμα, όπως αναφέρθηκε στα Αντικείμενα, η MI εκτελεί έναν έλεγχο δικαιωμάτων πρόσβασης κάθε φορά που γίνεται πρόσβαση σε ένα αντικείμενο. Η SLIC είναι υπεύθυνη για τις δραστηριότητες της MI για την προστασία αντικειμένων. Ο τύπος προστασίας που εφαρμόζει ονομάζεται εξουσιοδότηση και αποσκοπεί στην προστασία ενός αντικειμένου από μη εξουσιοδοτημένη πρόσβαση ή τροποποίηση.

Ορισμένα στοιχεία ασφαλείας AS/400 βρίσκονται εξ ολοκλήρου πάνω από το MI στο OS/400, όπως η ρύθμιση παραμέτρων ασφαλείας συστήματος. Άλλα, όπως ο έλεγχος πρόσβασης αντικειμένων, υλοποιούνται εξ ολοκλήρου κάτω από το MI στο SLIC. Τα τρίτα εξαρτήματα προστασίας εφαρμόζονται εν μέρει πάνω και εν μέρει κάτω από το MI. Ένα παράδειγμα είναι η υποστήριξη για προνομιακές εντολές και ειδικά δικαιώματα πρόσβασης. Ας ρίξουμε μια πιο προσεκτική ματιά στα εξαρτήματα που βρίσκονται τόσο πάνω όσο και κάτω από το MI.

Επίπεδα προστασίας

Τα AS/400 προορίζονται για ευρεία εφαρμογή σε διάφορους τομείς της ανθρώπινης δραστηριότητας. Αντίστοιχα, οι απαιτήσεις για την ασφάλειά τους ποικίλλουν ανάλογα με το επίπεδό τους πλήρης απουσίαέως και πιστοποιημένα από την κυβέρνηση επίπεδα προστασίας. Ορίζοντας τις κατάλληλες παραμέτρους συστήματος, μπορείτε να επιλέξετε ένα από τα πέντε επίπεδα: χωρίς προστασία, προστασία με κωδικό πρόσβασης, προστασία πόρων, προστασία λειτουργικού συστήματος και πιστοποιημένη προστασία. Κατά τη διαμόρφωση του AS/400, πρέπει να οριστούν τέσσερις παράμετροι συστήματος που σχετίζονται με την ασφάλεια: QAUDJRL, QMAXSIGN, QRETSVRSEC και QSECURITY.

Η παράμετρος συστήματος που καθορίζει το επίπεδο προστασίας είναι το QSECURITY. Στο System/38 και στο πρώτο AS/400 υπήρχαν μόνο τρία επίπεδα προστασίας συστήματος, στην έκδοση V1R3 OS/400 προστέθηκε ένα τέταρτο και στο V2R3 προστέθηκε ένα πέμπτο, υψηλότερο επίπεδο προστασίας. Οι έγκυρες τιμές QSECURITY είναι 10, 20, 30, 40 και 50.

Το AS/400 υποστηρίζει επίσης μια προαιρετική δυνατότητα ελέγχου. Όταν αυτή η δυνατότητα είναι ενεργοποιημένη, καταγράφονται ορισμένα συμβάντα ασφαλείας. Τα συγκεκριμένα συμβάντα που καταγράφονται στο αρχείο καταγραφής ελέγχου ασφαλείας καθορίζουν την τιμή της παραμέτρου συστήματος QAUDJRL και το τρέχον επίπεδο ασφάλειας. Συμβάντα όπως απόπειρες μη εξουσιοδοτημένης πρόσβασης, διαγραφή αντικειμένων, αναγνώριση προγραμμάτων με χρήση προνομιακών εντολών κ.λπ. μπορούν να καταγραφούν Τα περιεχόμενα του αρχείου καταγραφής ασφαλείας αναλύονται από τον διαχειριστή ασφαλείας.

Ο μέγιστος αριθμός αποτυχημένων προσπαθειών σύνδεσης καθορίζεται από την παράμετρο συστήματος QMAXSIGN. Εάν ο αριθμός τέτοιων προσπαθειών υπερβαίνει την τιμή αυτής της παραμέτρου, το τερματικό ή η συσκευή από την οποία έγιναν αποσυνδέεται από το σύστημα και διακόπτεται η σύνδεση μεταξύ αυτού και του συστήματος. Αυτή η μέθοδος αποτρέπει τις προσπάθειες να μαντέψετε τον κωδικό πρόσβασης για να συνδεθείτε στο σύστημα. Η τιμή της παραμέτρου QMAXSIGN για κάθε συσκευή επαναφέρεται μετά την επιτυχή σύνδεση.

Η παράμετρος συστήματος QRETSVRSEC (Διατήρηση δεδομένων ασφαλείας διακομιστή) καθορίζει εάν οι πληροφορίες που απαιτούνται από το AS/400 για τον έλεγχο ταυτότητας ενός χρήστη σε άλλο σύστημα μέσω διεπαφών πελάτη/διακομιστή μπορούν να διατηρηθούν από τον διακομιστή. Εάν οι πληροφορίες απομνημονευθούν, τότε ο διακομιστής τις χρησιμοποιεί. Εάν όχι, ο διακομιστής θα ζητήσει το αναγνωριστικό χρήστη και τον κωδικό πρόσβασης για το άλλο σύστημα. Η παράμετρος συστήματος FFQRETSVRSEC χρησιμοποιείται για διασυνδέσεις πελάτη/διακομιστή TCP/IP, Novell NetWare και Lotus Notes.

Τώρα ας δούμε καθένα από τα πέντε επίπεδα προστασίας, ξεκινώντας από το χαμηλότερο.

Έλλειψη προστασίας (επίπεδο 10)

Το επίπεδο 10 σημαίνει τον χαμηλότερο βαθμό ασφάλειας - κανένας. Δεν απαιτείται κωδικός πρόσβασης για την πρόσβαση στο σύστημα και σε οποιονδήποτε χρήστη επιτρέπεται η πρόσβαση σε όλους τους πόρους και τα αντικείμενα του συστήματος χωρίς περιορισμούς. Η μόνη προϋπόθεση είναι ότι δεν μπορείτε να επηρεάσετε τις εργασίες άλλων χρηστών του συστήματος.

Το επίπεδο προστασίας συστήματος 10 χρησιμοποιείται συνήθως μόνο όταν φυσική προστασία συστήματα, για παράδειγμα, μια κλειδαριά στην πόρτα του μηχανοστασίου. Όποιος χρήστης έχει φυσική πρόσβαση στο μηχάνημα, μπορείτε να συνδεθείτε. Ωστόσο, δεν είναι υποχρεωμένος κανω ΕΓΓΡΑΦΗ. Η εγγραφή χρήστη προϋποθέτει την παρουσία προφίλ χρήστη σε κάποιο σημείο του συστήματος. Ένα τέτοιο προφίλ δημιουργείται αυτόματα όταν χρησιμοποιείται το επίπεδο ασφαλείας 10, εάν δεν υπάρχει ήδη.

Προστασία με κωδικό πρόσβασης (επίπεδο 20)

Εάν χρειάζεστε μόνο ασφάλεια σύνδεσης, χρησιμοποιήστε το επίπεδο 20. Αυτό το επίπεδο ασφάλειας απαιτεί ο χρήστης AS/400 να είναι συνδεδεμένος και να γνωρίζει σωστό κωδικό πρόσβασης. Μόλις αποκτηθεί η άδεια σύνδεσης στο σύστημα, ο χρήστης έχει πρόσβαση σε όλους τους πόρους του χωρίς περιορισμούς. Όπως μπορείτε να δείτε, η διαφορά από το επίπεδο 10 είναι ασήμαντη.

Υπάρχει μόνο μία ειδική περίπτωση όπου η πρόσβαση ενός χρήστη στο σύστημα στο επίπεδο 20 είναι περιορισμένη: εάν αυτό αναφέρεται ρητά στο προφίλ του χρήστη. Χρήστης με αναπηρίες μπορεί να επιλέξει μόνο στοιχεία μενού. Τα περισσότερα μενού συστήματος έχουν γραμμή εντολών και αυτή η δυνατότητα περιορίζει τη χρήση εντολών συστήματος.

Ας υποθέσουμε ότι ένας οργανισμός έχει μια ομάδα εργαζομένων των οποίων οι ευθύνες περιλαμβάνουν τη λήψη παραγγελιών για αγαθά και την εισαγωγή των σχετικών δεδομένων στο σύστημα. Για τέτοιους χρήστες συνιστάται η δημιουργία ειδικό μενούκαι να τους επιτρέψετε να ενεργούν μόνο εντός αυτών των ορίων, εγγράφοντας τους ως χρήστες με ειδικές ανάγκες και ορίζοντας στα προφίλ τους τα μενού στα οποία τους επιτρέπεται η πρόσβαση.

Αλλά ακόμη και ένας χρήστης με ειδικές ανάγκες επιτρέπεται να εκτελέσει τέσσερις απαραίτητες εντολές: να στείλει μηνύματα, να εμφανίσει μηνύματα, να εμφανίσει την κατάσταση της εργασίας και να αποσυνδεθεί. Το ποιες ακριβώς εντολές είναι ανοιχτές σε έναν χρήστη με αναπηρία μπορούν να ρυθμιστούν μεμονωμένα. Οι περιορισμοί δυνατοτήτων ελέγχουν επίσης ποια πεδία μπορεί να αλλάξει ένας χρήστης κατά τη σύνδεση.

Τα επίπεδα 20 και 10 δεν παρέχουν ασφάλεια στο σύστημα, αφού αφού ένας χρήστης εγγραφεί στο σύστημα, μπορεί να εκτελέσει οποιεσδήποτε λειτουργίες εκεί. Δεν θα συνιστούσα να περιοριστείτε σε τόσο χαμηλά επίπεδα προστασίας εκτός από ειδικές περιπτώσεις που το ίδιο το σύστημα είναι πρακτικά απρόσιτο από έξω.

Προστασία πόρων (Επίπεδο 30)

Το ελάχιστο συνιστώμενο επίπεδο ασφάλειας είναι το επίπεδο 30. Σε αυτό το επίπεδο, καθώς και στο επίπεδο 20, ο χρήστης πρέπει να είναι εγγεγραμμένος και να γνωρίζει τον σωστό κωδικό πρόσβασης για να συνδεθεί στο σύστημα. Μετά τη σύνδεση, ελέγχεται εάν ο χρήστης έχει δικαιώματα πρόσβασης στους πόρους του συστήματος. δεν επιτρέπεται η μη εξουσιοδοτημένη πρόσβαση. Στο επίπεδο 30, ένας χρήστης μπορεί επίσης να εγγραφεί με αναπηρία.

Σε μεμονωμένους χρήστες μπορούν να παραχωρηθούν δικαιώματα πρόσβασης σε αντικείμενα συστήματος, όπως αρχεία, προγράμματα και συσκευές. Τα προφίλ χρηστών παρέχουν αυτήν τη δυνατότητα και θα μιλήσουμε περισσότερα για το πώς το κάνουν αυτό σύντομα. Θα εξετάσουμε επίσης άλλες επιλογές για την εκχώρηση δικαιωμάτων πρόσβασης του χρήστη σε αντικείμενα συστήματος: χρήση ομαδικών ή γενικών δικαιωμάτων.

Το επίπεδο ασφαλείας 30 ήταν το υψηλότερο στο System/38. Αλλά δεν κάνει διάκριση μεταξύ αντικειμένων χρήστη και αντικειμένων που χρησιμοποιούνται μόνο από το λειτουργικό σύστημα. Λόγω της διαθεσιμότητας του συναρμολογητή MI στο System/38 και της παρουσίας ορισμένων πληροφοριών σχετικά με την εσωτερική δομή των αντικειμένων, προέκυψαν σοβαρό πρόβλημα. Η ISV άρχισε να γράφει πακέτα εφαρμογών που εξαρτιόνταν από την εσωτερική δομή των αντικειμένων, γεγονός που παραβίαζε την τεχνολογική ανεξαρτησία της MI.

Τα πρώτα μοντέλα AS/400 χρησιμοποιούσαν τα ίδια επίπεδα προστασίας. Αν και το AS/400 δεν διέθετε συναρμολογητή MI και δεν δημοσιεύσαμε πληροφορίες σχετικά με τις εσωτερικές δομές, οι ειδικοί σύντομα συνειδητοποίησαν ότι το AS/400 ήταν ένα System/38. Επομένως, προγράμματα που εξαρτιόνταν από την εσωτερική δομή των αντικειμένων εκτελούνταν στο AS/400.

Γνωρίζαμε ότι καθώς προχωρούσαμε προς τον υπολογισμό πελάτη/διακομιστή, το AS/400 χρειαζόταν περισσότερα αξιόπιστη προστασία, το οποίο αποκλείει την πρόσβαση στα περισσότερα εσωτερικά αντικείμενα. Σε σχέση με τη μετάβαση στους επεξεργαστές RISC, η εσωτερική δομή υπέστη επίσης αλλαγές. Αλλά αν απλώς εφαρμόσαμε ένα νέο, αυξημένο επίπεδο προστασίας, τότε τα προγράμματα που εξαρτώνται από την εσωτερική δομή των αντικειμένων θα σταματούσαν να λειτουργούν, γεγονός που θα προκαλούσε δυσαρέσκεια στους πελάτες.

Ανακοινώσαμε ότι πρόκειται να δημιουργήσουμε ένα νέο επίπεδο ασφάλειας στο V1R3 και ότι σε αυτό το επίπεδο δεν θα υπάρχει πρόσβαση σε εσωτερικά αντικείμενα. Αρχίσαμε επίσης να ψάχνουμε για εκείνα τα ISV που χρησιμοποιούσαν εσωτερικά αντικείμενα για να τους παρέχουν τυπικά API συστήματος με τις πληροφορίες που χρειάζονται τα προγράμματά τους.

Τα περισσότερα από αυτά τα προγράμματα ήταν βοηθητικά προγράμματα που χρησιμοποιούσαν πληροφορίες από ορισμένα πεδία μέσα σε ένα αντικείμενο συστήματος. Για παράδειγμα, ένα σύστημα διαχείρισης ταινίας μπορεί να χρειάζεται κάποιες πληροφορίες σχετικά με την κεφαλίδα της ταινίας. Τέτοιες πληροφορίες θα μπορούσαν να ληφθούν ο μόνος τρόπος- διείσδυση σε αντικείμενο συστήματος. Δημιουργήσαμε εκατοντάδες API για να παρέχουμε αυτού του είδους τις πληροφορίες μέσω του MI (αυτά τα API ήταν ουσιαστικά νέες εντολές MI) και διασφαλίσαμε ότι θα λειτουργούσαν σε όλες τις μελλοντικές εκδόσεις του λειτουργικού συστήματος. Έτσι, λύσαμε τα χέρια μας και αρχίσαμε να κάνουμε αλλαγές στις εσωτερικές δομές.

Υπάρχει ένα άλλο μεγάλο θέμα που σχετίζεται με την ασφάλεια: το άνοιγμα του AS/400. Για πολύ καιρό, πολλά ISV όχι μόνο χρησιμοποιούσαν εσωτερικά αντικείμενα, αλλά επέμεναν επίσης ότι η IBM θα έκανε εσωτερική οργάνωσηΤο λειτουργικό σύστημα είναι ανοιχτό και έτσι έδωσε το πράσινο φως στους προγραμματιστές λογισμικού. Σε απάντηση, η IBM υποστήριξε ότι εάν οι εντολές MI χρησιμοποιούνται εσφαλμένα, υπάρχει μεγάλη πιθανότητα αστοχίες λογισμικούγια το οποίο δεν μπορεί να θεωρηθεί υπεύθυνη. Επετεύχθη συμβιβασμός (διαχειριζόμενο άνοιγμα μέσω API), εν μέρει ως αποτέλεσμα μιας σειράς ΚΟΙΝΩΝ συναντήσεων ομάδας που ξεκίνησε από το ISV και άλλους χρήστες. Η δουλειά με το ISV και τον ορισμό νέων API έγινε από τον Ron Fess, έναν από τους κύριους προγραμματιστές λογισμικού με μεγάλη εμπειρία στο CPF και το OS/400. Το αποτέλεσμα αυτής της εργασίας είναι η υλοποίηση της προδιαγραφής AS/400 Single UNIX και άλλων τυπικών API. Το AS/400 έχει γίνει πιο ανοιχτό στους χρήστες.

Προστασία λειτουργικού συστήματος (επίπεδο 40)

Το Επίπεδο 40 εισήχθη στο V1R3 OS/400. Σήμερα, όλα τα νέα AS/400 αποστέλλονται με αυτό το επίπεδο προστασίας, όχι 10 όπως παλιά. Ωστόσο, οι παλαιότερες εκδόσεις του OS/400, ακόμη και όταν αναβαθμιστούν, διατηρούν το τρέχον επίπεδο που έχει ορίσει ο πελάτης. Τώρα ο κωδικός πρόσβασης του επικεφαλής ασφαλείας (του χρήστη με το υψηλότερο επίπεδο δικαιωμάτων πρόσβασης) καθίσταται άκυρος μετά την πρώτη σύνδεση και πρέπει να τον αλλάξει. Προηγουμένως, οι πελάτες AS/400 συχνά δεν έκαναν τον κόπο να αλλάξουν τον προεπιλεγμένο κωδικό πρόσβασης του συστήματος, γεγονός που δημιουργούσε ένα κραυγαλέο κενό ασφαλείας.

Στο επίπεδο 40, ο χρήστης AS/400 πρέπει επίσης να είναι συνδεδεμένος, να έχει τον σωστό κωδικό πρόσβασης και να έχει δικαιώματα πρόσβασης στους πόρους του συστήματος. Ωστόσο, οι χρήστες με αναπηρίες υποστηρίζονται επίσης σε αυτό το επίπεδο προστασίας.

Σε αντίθεση με τα επίπεδα 10–30, στο επίπεδο ασφαλείας 40 η πρόσβαση σε μη τυπικές διεπαφές είναι αποκλεισμένη. Δεν είναι πλέον διαθέσιμες όλες οι εντολές MI στον χρήστη, αλλά μόνο το επιτρεπόμενο σύνολο τους, συμπεριλαμβανομένων εκατοντάδων API που έχουν αναπτυχθεί για το ISV. Οι υπόλοιπες εντολές είναι μπλοκαρισμένες, δηλαδή το σύστημα δεν θα τις εκτελέσει στο πρόγραμμα χρήστη.

Ωστόσο, οι εντολές από το αποκλεισμένο σύνολο εξακολουθούν να είναι διαθέσιμες στο OS/400. Για να γίνει διάκριση μεταξύ του OS/400 και των προγραμμάτων χρήστη, εισήχθησαν οι έννοιες συστήματοςΚαι κατάσταση χρήστη, το οποίο μπορεί να περιλαμβάνει οποιαδήποτε διαδικασία στο AS/400. Επομένως, η χρήση αποκλεισμένων εντολών και η πρόσβαση σε ορισμένα αντικείμενα συστήματος επιτρέπονται μόνο στην κατάσταση συστήματος.

Για μεγαλύτερη ασφάλεια, το V1R3 κατάργησε επίσης τη διευθυνσιοδότηση βάσει δυνατοτήτων και αφαίρεσε όλα τα δικαιώματα πρόσβασης από τους δείκτες συστήματος που παρέχονται στους χρήστες.

Άμυνα C2 (επίπεδο 50)

Το Επίπεδο 40 παρέχει στο σύστημα επαρκή βαθμό ασφάλειας στις περισσότερες περιπτώσεις. Ωστόσο, ορισμένοι κρατικοί εργολάβοι απαιτούν ένα επίπεδο προστασίας πιστοποιημένο από την κυβέρνηση των ΗΠΑ. Υπάρχουν πολλά τέτοια πιστοποιητικά, συμπεριλαμβανομένου του λεγόμενου επιπέδου C2. Αυτές περιλαμβάνουν διατάξεις όπως η προστασία των πόρων ενός χρήστη από άλλους χρήστες και η αποτροπή ενός χρήστη από το να αναλάβει όλους πόρους του συστήματος, για παράδειγμα, μνήμη. Παρεμπιπτόντως, παρόμοιες απαιτήσεις εφαρμόζονται πλέον σε πολλούς μη κυβερνητικούς οργανισμούς.

Για πελάτες που χρειάζονται κρατικές πιστοποιήσεις, επεκτείναμε το Επίπεδο Ασφαλείας 40 στο AS/400 ώστε να ταιριάζει με το προαναφερθέν Επίπεδο C2. Έτσι στην έκδοση V2R3 εμφανίστηκε το επίπεδο προστασίας 50.

Προτού όμως ένα σύστημα θεωρηθεί ότι συμμορφώνεται με το πρότυπο C2, πρέπει να υποβληθεί σε ολοκληρωμένη δοκιμή. Ένας τέτοιος έλεγχος βρίσκεται σε εξέλιξη.

Η κυβέρνηση των ΗΠΑ έχει ορίσει επίπεδα προστασίας από το Α έως το Δ, όπου το Α είναι το υψηλότερο επίπεδο προστασίας και το Δ είναι το χαμηλότερο. Οι τάξεις Β και Γ έχουν πολλά υποεπίπεδα. Το επίπεδο ασφαλείας C2 είναι το υψηλότερο επίπεδο που χρησιμοποιείται συνήθως στις επιχειρήσεις. Στο μέλλον, εάν παραστεί ανάγκη, θα μπορούμε να συμπεριλάβουμε υποστήριξη για υψηλότερα επίπεδα ασφάλειας στο AS/400.

Κατά την εξέταση ζητημάτων που σχετίζονται με τη λήψη πληροφοριών που αποθηκεύονται και υποβάλλονται σε επεξεργασία σε συστήματα υπολογιστών, οι κύριες μέθοδοι μη εξουσιοδοτημένης πρόσβασης θεωρήθηκαν οι ακόλουθες:

Υπέρβαση των μέτρων ασφαλείας λογισμικού.

Μη εξουσιοδοτημένη αντιγραφή πληροφοριών.

Υποκλοπή πληροφοριών σε κανάλια επικοινωνίας.

Χρήση σελιδοδεικτών λογισμικού.

Χρήση σελιδοδεικτών υλικού.

Αναχαίτιση της πλευράς ηλεκτρομαγνητική ακτινοβολίακαι συμβουλές (PEMIN).

Όταν εξετάζουμε μεθόδους προστασίας, δεν θα τις διαχωρίσουμε με παραπάνω μεθόδους, αφού σε πολλές περιπτώσεις οι ίδιες μέθοδοι είναι αποτελεσματικές στην πρόληψη διάφοροι τύποιμη εξουσιοδοτημένη πρόσβαση.

Οι κύριες μέθοδοι προστασίας είναι οι εξής:

Έλεγχος ταυτότητας των χρηστών στο στάδιο της καταχώρισης των διαπιστευτήριών τους.

Φυσική προστασία συστημάτων υπολογιστών;

Αναγνώριση σελιδοδεικτών λογισμικού και υλικού.

Κωδικοποίηση πληροφοριών.

Αυτές (και άλλες) μέθοδοι σε διάφορους συνδυασμούς εφαρμόζονται σε συστήματα προστασίας λογισμικού και υλικού-λογισμικού πληροφορίες υπολογιστήαπό μη εξουσιοδοτημένη πρόσβαση. Μερικά από αυτά τα συστήματα θα περιγραφούν παρακάτω.

Φυσικά, για την προστασία των πληροφοριών υπολογιστή, πρέπει να εφαρμοστεί όλο το φάσμα των οργανωτικών και τεχνικών μέτρων, συμπεριλαμβανομένης της φυσικής ασφάλειας της επικράτειας, της εισαγωγής ελέγχου πρόσβασης, της εφαρμογής γραμμικού και χωρικού θορύβου, αναγνώρισης ενσωματωμένων συσκευών κ.λπ. τυπικό για οποιοδήποτε σύστημα πληροφοριών, επομένως εδώ δεν θα ληφθούν υπόψη ξεχωριστά.

Έλεγχος ταυτότητας χρηστών στο στάδιο της καταχώρησης των διαπιστευτηρίων τους. Ο περιορισμός της πρόσβασης των χρηστών στους υπολογιστικούς πόρους περιλαμβάνει τη χρήση εννοιών όπως η αναγνώριση και η πιστοποίηση ταυτότητας.

Ταυτοποίηση είναι η εκχώρηση μεμονωμένης εικόνας, ονόματος ή αριθμού σε ένα θέμα (πρόσωπο) ή αντικείμενο (υπολογιστή, δίσκο κ.λπ.) με το οποίο θα αναγνωριστεί στο σύστημα.

Authentication - έλεγχος της αυθεντικότητας ενός αντικειμένου ή ενός θέματος με βάση τα χαρακτηριστικά ταυτοποίησής του.

Ο έλεγχος ταυτότητας μπορεί να πραγματοποιηθεί από ένα άτομο, μια συσκευή υλικού ή ένα πρόγραμμα υπολογιστικό σύστημα. Οι αυτοματοποιημένες συσκευές ελέγχου ταυτότητας χρησιμοποιούν συνήθως:

μεμονωμένα φυσιολογικά σημεία: δακτυλικό αποτύπωμα (Εικ. 185), περίγραμμα της παλάμης (Εικ. 189), εικόνα αμφιβληστροειδούς κ.λπ.

Ρύζι. 185. Εμφάνισησυσκευές ελέγχου ταυτότητας δακτυλικών αποτυπωμάτων

Ρύζι. 186. Εξωτερική όψη της συσκευής ελέγχου ταυτότητας κωδικού πρόσβασης παλάμης.

ειδικές συσκευές αναγνώρισης (Toys Metogu), κατασκευασμένες με τη μορφή μπρελόκ - «ταμπλέτες», πλαστικές μαγνητικές κάρτες κ.λπ., που αναγνωρίζονται με χρήση ειδικών συσκευών ανάγνωσης πληροφοριών (βλ. Εικ. 187).

Ρύζι. 187. Εγκατεστημένος αναγνώστης σε υπολογιστή

Κάθε ένα από αυτά τα χαρακτηριστικά έχει τα δικά του πλεονεκτήματα και μειονεκτήματα. Για παράδειγμα, οι κωδικοί πρόσβασης είναι συχνά ασήμαντοι και εύκολο να μαντευτούν, και οι χρήστες συνήθως τους γράφουν σε σημειωματάρια. Τα μεμονωμένα φυσιολογικά σημάδια ενός ατόμου μπορεί να αλλάξουν (για παράδειγμα, ένα κόψιμο σε ένα δάχτυλο). Η συσκευή αναγνώρισης μπορεί να χαθεί ή να κλαπεί από τον χρήστη. Ως εκ τούτου, αυτή τη στιγμή στα συστήματα ελέγχου ταυτότητας προσπαθούν να ενσωματώσουν ΔΙΑΦΟΡΕΤΙΚΟΙ ΤΥΠΟΙχαρακτηριστικά αναγνώρισης: κωδικός - αποτύπωμα χειρός, κωδικός - μαγνητική κάρτα κ.λπ.

Ως αποτέλεσμα του ελέγχου ταυτότητας, καθορίζεται η εξουσιοδότηση του χρήστη για την πρόσβαση στους πόρους του συστήματος υπολογιστή (αρχεία, βάσεις δεδομένων, τμήματα μνήμης) και για τους τύπους λειτουργιών που εκτελούνται (ανάγνωση, εγγραφή, εκτέλεση κ.λπ.).

Ο έλεγχος ταυτότητας είναι μια θεμελιωδώς απαραίτητη διαδικασία που είναι εγγενής σε όλα τα συστήματα ασφάλειας πληροφοριών, ο ρόλος του αυξάνεται ιδιαίτερα με την απομακρυσμένη πρόσβαση στο δίκτυο.

Η φυσική προστασία των συστημάτων υπολογιστών περιλαμβάνει τη χρήση συσκευών που θα εμπόδιζαν την πρόσβαση σε πληροφορίες χωρίς να παραβιάζουν σωματική ακεραιότηταπροσωπικός υπολογιστής.

Σε ορισμένες περιπτώσεις, είναι θεμελιώδες να χρησιμοποιούνται μέτρα που αποκλείουν τη μυστική (συμπεριλαμβανομένης της τακτικής) πρόσβασης σε έναν υπολογιστή με σκοπό την αντιγραφή ή την τροποποίηση πληροφοριών. Τα μέσα φυσικής προστασίας είναι ιδανικά για την επίλυση αυτού του προβλήματος.

1. Σφράγιση μονάδα του συστήματοςκαι άλλα στοιχεία του μηχανογραφικού συστήματος με ειδικές σφραγίδες ή τη σφραγίδα του προϊσταμένου της υπηρεσίας ασφαλείας.

Η σφράγιση της μονάδας συστήματος βοηθά στην αποτροπή ανεξέλεγκτη μη εξουσιοδοτημένης πρόσβασης σε πληροφορίες στον σκληρό δίσκο (παρακάμπτοντας εγκατεστημένο σύστημαπροστασία) αφαιρώντας το δίσκο και συνδέοντάς τον σε άλλον υπολογιστή. Εκτός, αυτή τη διαδικασίασας επιτρέπει να εξαλείψετε τον κίνδυνο των σελιδοδεικτών υλικού στην υπολογιστική σας συσκευή, φυσικά, εάν φροντίσατε να ελέγξετε για την απουσία τους πριν σφραγίσετε τον υπολογιστή. Μετά τον έλεγχο, μην τεμπελιάσετε να σφραγίσετε όλα τα άλλα εξαρτήματα, συμπεριλαμβανομένων των καλωδίων patch, αφού σύγχρονες τεχνολογίεςσας επιτρέπουν να ορίσετε σελιδοδείκτες και σε αυτά.

2. Εγκατάσταση ειδικά ένθεταστην τσέπη" μονάδα δισκέτταςεξοπλισμένο με κλειδαριά με κλειδί.

Αυτό το μέτρομπορεί να χρησιμοποιηθεί ως μέσο προστασίας από μυστική αντιγραφή πληροφοριών, έναντι μόλυνσης υπολογιστή από ιούς και σελιδοδείκτες λογισμικού.

3. Η χρήση ειδικών κλειδαριών που μπλοκάρουν το πληκτρολόγιο του υπολογιστή. Αυτό αποτελεσματική θεραπείαπροστασία των πληροφοριών από πιθανή σκόπιμη τροποποίηση, καθώς και από μόλυνση ιούς υπολογιστώνκαι εγκατάσταση σελιδοδεικτών λογισμικού.

4. Οργάνωση αποθήκευσης μαγνητικών και οπτικά μέσαπληροφορίες σε χρηματοκιβώτια ή σε ειδικές δισκέτες που κλειδώνουν. Σας επιτρέπει να αποκλείσετε τη μυστική αντιγραφή πληροφοριών από αυτά τα μέσα, την τροποποίησή τους, τη μόλυνση από ιούς υπολογιστών και την εισαγωγή σελιδοδεικτών λογισμικού.

Αναγνώριση σελιδοδεικτών λογισμικού και υλικού. Κατάργηση σελιδοδεικτών λογισμικού στο προσωπικός υπολογιστήςμια εργασία κοντά στην ουσία της με την καταπολέμηση ιών υπολογιστών. Γεγονός είναι ότι επί του παρόντος δεν υπάρχει σαφής ταξινόμηση των προγραμμάτων με δυνητικά επικίνδυνες επιρροές. Έτσι, για παράδειγμα, προγράμματα όπως " Δούρειος ίππος», λογικές βόμβες, ιοί και κάποια άλλα.

Με τον όρο «δούρειος ίππος» εννοούμε προγράμματα που έχουν σχεδιαστεί για την επίλυση ορισμένων μυστικών προβλημάτων, αλλά μεταμφιεσμένα ως «ευγενή» προϊόντα λογισμικού. Ένα κλασικό παράδειγμα «Trojans» είναι προγράμματα που προσδιορίζονται σε ορισμένα προγράμματα λογισμικού. ΟΙΚΟΝΟΜΙΚΕΣ ΣΥΝΑΛΛΑΓΕΣτοπικά τραπεζικά δίκτυα. Αυτά τα προγράμματα εκτελούσαν τη λειτουργία πίστωσης ποσών ίσων με «μισή δεκάρα» στον λογαριασμό των κατόχων τους. Τέτοια ποσά που προκύπτουν από συναλλαγές τραπεζικών εμβασμάτων πρέπει να στρογγυλοποιούνται, οπότε η εξαφάνισή τους πέρασε απαρατήρητη. Η κλοπή ανακαλύφθηκε μόνο λόγω της ταχείας ανάπτυξης των προσωπικών λογαριασμών των υπαλλήλων που ευθύνονται για λογισμικό. Η άνευ προηγουμένου ανάπτυξη οφειλόταν στον τεράστιο αριθμό πράξεων μετατροπής. Τα προγράμματα δούρειου ίππου περιλαμβάνουν επίσης τους σελιδοδείκτες λογισμικού που συζητήθηκαν παραπάνω.

Κατά κανόνα, οι λογικές βόμβες είναι προγράμματα που πραγματοποιούν τις καταστροφικές τους ενέργειες όταν πληρούνται ορισμένες προϋποθέσεις, για παράδειγμα, εάν η δέκατη τρίτη ημέρα του μήνα πέσει Παρασκευή, 26 Απριλίου κ.λπ.

Οι ιοί, όπως σημειώθηκε παραπάνω, είναι προγράμματα ικανά να «αναπαράγουν» και να εκτελούν αρνητικές ενέργειες.

Ο όρος μιας τέτοιας ταξινόμησης μπορεί να ειπωθεί με βάση ότι το παράδειγμα με ένα πρόγραμμα σελιδοδεικτών στο χρηματοπιστωτικό σύστημα μιας τράπεζας μπορεί επίσης να χαρακτηριστεί ως λογική βόμβα, καθώς συνέβη το γεγονός πίστωσης "μισής δεκάρας" σε προσωπικό λογαριασμό ως αποτέλεσμα της εκπλήρωσης μιας προϋπόθεσης - κλασματικό υπόλοιπο ως αποτέλεσμα συναλλαγών που περιλαμβάνουν χρηματικό ποσό. Η λογική βόμβα «Παρασκευή και δέκατη τρίτη» δεν είναι παρά ένας ιός, αφού έχει τη δυνατότητα να μολύνει άλλα προγράμματα. Και γενικά, τα προγράμματα σελιδοδεικτών μπορούν να ενσωματωθούν σε έναν υπολογιστή όχι μόνο ως αποτέλεσμα της άμεσης συμπερίληψής τους στο κείμενο συγκεκριμένων προϊόντων λογισμικού, αλλά επίσης, όπως ένας ιός, υποδεικνύοντας μια συγκεκριμένη διεύθυνση για μελλοντική τοποθέτηση και σημεία εισόδου.

Από τα παραπάνω συνάγεται ότι για να προστατεύσετε τον υπολογιστή σας από σελιδοδείκτες λογισμικού, πρέπει να συμμορφώνεστε με όλες τις απαιτήσεις που ορίζονται όταν εξετάζετε θέματα καταπολέμησης ιών υπολογιστών. Επιπλέον, είναι απαραίτητο να αποκλείσετε την ανεξέλεγκτη πρόσβαση στις υπολογιστικές σας εγκαταστάσεις μη εξουσιοδοτημένα άτομα, η οποία μπορεί να διασφαλιστεί, μεταξύ άλλων μέσω της χρήσης των μέσων φυσικής προστασίας που έχουν ήδη συζητηθεί.

Όσον αφορά τα θέματα καταπολέμησης σελιδοδεικτών λογισμικού - υποκλοπών κωδικών πρόσβασης, θα πρέπει να σημειωθούν τα ακόλουθα μέτρα.

1. Απαιτήσεις για προστασία από προσομοιωτές συστημάτων εγγραφής:

Διαδικασία συστήματος, που λαμβάνει από τον χρήστη το όνομα και τον κωδικό πρόσβασής του κατά την εγγραφή του, πρέπει να έχει δικό του επιτραπέζιο υπολογιστή, απρόσιτο σε άλλους προϊόντα λογισμικού;

Η εισαγωγή χαρακτηριστικών αναγνώρισης χρήστη (για παράδειγμα, κωδικός πρόσβασης) πρέπει να γίνεται χρησιμοποιώντας συνδυασμούς πλήκτρων που δεν είναι διαθέσιμοι σε άλλα προγράμματα εφαρμογής.

Ο χρόνος για τον έλεγχο ταυτότητας θα πρέπει να είναι περιορισμένος (περίπου 30 δευτερόλεπτα), γεγονός που θα επιτρέψει την αναγνώριση προγραμμάτων προσομοιωτών με βάση το γεγονός ότι το παράθυρο εγγραφής παραμένει στην οθόνη της οθόνης για μεγάλο χρονικό διάστημα.

2. Συνθήκες που παρέχουν προστασία από προγράμματα υποκλοπής κωδικών πρόσβασης τύπου φίλτρου:

Αποτρέψτε την αλλαγή διατάξεων πληκτρολογίου κατά την εισαγωγή κωδικού πρόσβασης.

Παρέχετε πρόσβαση στις επιλογές διαμόρφωσης για αλυσίδες λειτουργικών μονάδων προγράμματος και στις ίδιες τις μονάδες που εμπλέκονται στην εργασία με τον κωδικό πρόσβασης χρήστη μόνο στον διαχειριστή του συστήματος.

3. Η προστασία από τη διείσδυση υποκατάστατων των λειτουργικών μονάδων λογισμικού του συστήματος ελέγχου ταυτότητας δεν προβλέπει συγκεκριμένες συστάσεις, αλλά μπορεί να εφαρμοστεί μόνο με βάση μια μόνιμη, καλά μελετημένη πολιτική του επικεφαλής της υπηρεσίας ασφαλείας και διαχειριστής συστήματος; Κάποια παρηγοριά εδώ μπορεί να είναι η χαμηλή πιθανότητα οι ανταγωνιστές σας να χρησιμοποιήσουν υποκατάστατα προγράμματα λόγω της πολυπλοκότητας της πρακτικής εφαρμογής τους.

Το λειτουργικό σύστημα πληροί πλήρως όλες τις δηλωμένες απαιτήσεις για προστασία από σελιδοδείκτες λογισμικού - υποκλοπές κωδικών πρόσβασης. Σύστημα Windows NT και εν μέρει UNIX.

Μόνο οι οργανισμοί που έχουν άδεια από την Ομοσπονδιακή Υπηρεσία Κυβερνητικών Επικοινωνιών και Πληροφοριών για αυτόν τον τύπο δραστηριότητας μπορούν να αναγνωρίσουν επαγγελματικά τους σελιδοδείκτες υλικού. Οι οργανισμοί αυτοί διαθέτουν κατάλληλο εξοπλισμό, τεχνικές και εκπαιδευμένο προσωπικό. Είναι δυνατό να αποκαλύψει το πρωτόγονο υλικό στη γυναίκα χρησιμοποιώντας μια μέθοδο χειροτεχνίας. Εάν αντιμετωπίζετε ορισμένες οικονομικές δυσκολίες και δεν έχετε την οικονομική δυνατότητα να συνάψετε μια κατάλληλη συμφωνία, τότε τουλάχιστον λάβετε μέτρα για να προστατεύσετε φυσικά τον υπολογιστή σας.

Οι πληροφορίες κωδικοποίησης παρέχουν τα περισσότερα υψηλό επίπεδοπροστασία από μη εξουσιοδοτημένη πρόσβαση. Ο απλούστερος τύπος κωδικοποίησης μπορεί να θεωρηθεί ως η συνήθης συμπίεση δεδομένων με χρήση προγραμμάτων αρχειοθέτησης, αλλά επειδή μπορεί να προστατεύσει μόνο από μη εξουσιοδοτημένο χρήστη, η αρχειοθέτηση δεν θα πρέπει να θεωρείται ως ανεξάρτητη μέθοδος προστασίας. Ωστόσο, μια τέτοια κωδικοποίηση καθιστά δυνατή την αύξηση της κρυπτογραφικής ισχύος άλλων μεθόδων όταν χρησιμοποιούνται μαζί.

Χωρίς να αγγίξουμε τις κύριες μεθόδους κωδικοποίησης, θα εξετάσουμε μόνο παραδείγματα συστημάτων ασφαλείας υλικού, λογισμικού και πληροφοριών στα οποία η κωδικοποίηση είναι ένα από τα ίδια στοιχεία μαζί με άλλες μεθόδους ασφαλείας.

Σύμπλεγμα υλικού και λογισμικού "Accord". Αποτελείται από έναν ελεγκτή μονής πλακέτας που εισάγεται μέσα δωρεάν κουλοχέρηυπολογιστή, συσκευή ελέγχου ταυτότητας επαφών, λογισμικό και προσωπικά αναγνωριστικά DS199x Touch Memory σε μορφή tablet. Η συσκευή επαφής (εξαγωγέας πληροφοριών) είναι εγκατεστημένη στον μπροστινό πίνακα του υπολογιστή και ο έλεγχος ταυτότητας πραγματοποιείται αγγίζοντας το "χάπι" (αναγνωριστικό) στον εξαγωγέα. Η διαδικασία ελέγχου ταυτότητας πραγματοποιείται πριν από την εκκίνηση του λειτουργικού συστήματος. συν-

Η αποθήκευση δεδομένων παρέχεται ως πρόσθετη λειτουργίακαι πραγματοποιείται με χρήση πρόσθετου λογισμικού.

Σύμπλεγμα λογισμικού και υλικού «Dallas LockZ.1». Παρέχει άφθονες ευκαιρίεςσχετικά με την προστασία πληροφοριών, συμπεριλαμβανομένων: διασφαλίζει την εγγραφή του χρήστη πριν από τη φόρτωση του λειτουργικού συστήματος και μόνο με την παρουσίαση προσωπικών ηλεκτρονική κάρταΠατήστε Μνήμη και εισαγωγή κωδικού πρόσβασης. εφαρμόζει αυτόματο και αναγκαστικό μπλοκάρισμα του υπολογιστή με σβήσιμο της οθόνης κατά την απουσία του εγγεγραμμένου χρήστη. πραγματοποιεί εγγυημένη διαγραφή αρχείων κατά τη διαγραφή τους. εκτελεί κωδικοποίηση αρχείων με αντοχή στον θόρυβο.

Σύστημα λογισμικούπροστασία πληροφοριών "Cobra". Ελέγχει την ταυτότητα των χρηστών χρησιμοποιώντας έναν κωδικό πρόσβασης και διαφοροποιεί τις δυνάμεις τους. Σας επιτρέπει να εργαστείτε διαφανής κρυπτογράφηση. Παρέχει υψηλός βαθμόςπροστασία των πληροφοριών σε προσωπικούς υπολογιστές.

Σύστημα προστασίας λογισμικού "Snow-1.0". Σχεδιασμένο για να ελέγχει και να περιορίζει την πρόσβαση σε πληροφορίες που είναι αποθηκευμένες σε έναν προσωπικό υπολογιστή, καθώς και να προστατεύει τους πόρους πληροφοριών ενός σταθμού εργασίας τοπικού δικτύου υπολογιστών. Το "Snow-1.0" περιλαμβάνει ένα πιστοποιημένο σύστημα κωδικοποίησης πληροφοριών "Rime", κατασκευασμένο με χρήση τυπικός αλγόριθμοςμετασχηματισμός κρυπτογραφικών δεδομένων GOST 28147-89.

Ένα παράδειγμα συστήματος που κωδικοποιεί μόνο πληροφορίες είναι η συσκευή Krypton-ZM.

Σας υπενθυμίζουμε ότι αυτή η υποενότητα εξέτασε τις μεθόδους προστασίας που αφορούν αποκλειστικά δίκτυα υπολογιστών. Ωστόσο, η πλήρης προστασία των πληροφοριών σε υπολογιστικές εγκαταστάσεις είναι αδύνατη χωρίς την ολοκληρωμένη εφαρμογή όλων των παραπάνω οργανωτικών και τεχνικών μέτρων.

Εάν το έργο της εταιρείας σας σχετίζεται με την εκτέλεση κυβερνητικών εντολών, τότε πιθανότατα δεν μπορείτε να κάνετε χωρίς να λάβετε άδεια εργασίας με κρατικά μυστικά και επομένως να ελέγξετε τον εξοπλισμό για την παρουσία πιθανών ενσωματωμένων "σελιδοδεικτών" και για την παρουσία και κίνδυνος τεχνικά κανάλιαδιαρροές πληροφοριών. Ωστόσο, εάν δεν υπάρχει τέτοια ανάγκη, τότε σε ορισμένες περιπτώσεις μπορείτε να το κάνετε μόνοι σας, καθώς το κόστος μιας τέτοιας εργασίας εξακολουθεί να είναι αρκετά υψηλό.

Η μη εξουσιοδοτημένη πρόσβαση σε πληροφορίες είναι η απρογραμμάτιστη εξοικείωση, επεξεργασία, αντιγραφή, χρήση διάφορους ιούς, συμπεριλαμβανομένων εκείνων που καταστρέφουν προϊόντα λογισμικού, καθώς και τροποποίηση ή καταστροφή πληροφοριών κατά παράβαση των καθιερωμένων κανόνων ελέγχου πρόσβασης.

Επομένως, με τη σειρά της, η προστασία των πληροφοριών από μη εξουσιοδοτημένη πρόσβαση έχει σκοπό να αποτρέψει έναν εισβολέα από το να αποκτήσει πρόσβαση στον φορέα πληροφοριών. Υπάρχουν τρεις κύριοι τομείς για την προστασία των πληροφοριών υπολογιστή και δικτύου από μη εξουσιοδοτημένη πρόσβαση:

– επικεντρώνεται στην αποτροπή της πρόσβασης του εισβολέα στο υπολογιστικό περιβάλλον και βασίζεται σε ειδικές τεχνικά μέσαΑχ αναγνώριση χρήστη?

- σχετίζονται με την προστασία υπολογιστικό περιβάλλονκαι βασίζεται στη δημιουργία ειδικού λογισμικού.

– σχετίζεται με τη χρήση ειδικών μέσων για την προστασία των πληροφοριών του υπολογιστή από μη εξουσιοδοτημένη πρόσβαση.

Θα πρέπει να ληφθεί υπόψη ότι για την επίλυση κάθε προβλήματος χρησιμοποιούνται τόσο διαφορετικές τεχνολογίες όσο και διαφορετικά μέσα. Οι απαιτήσεις για τον προστατευτικό εξοπλισμό, τα χαρακτηριστικά τους, οι λειτουργίες που εκτελούν και η ταξινόμησή τους, καθώς και οι όροι και οι ορισμοί για την προστασία από μη εξουσιοδοτημένη πρόσβαση παρέχονται στα διοικητικά έγγραφα της Κρατικής Τεχνικής Επιτροπής:

– «Αυτοματοποιημένα συστήματα. Προστασία από μη εξουσιοδοτημένη πρόσβαση σε πληροφορίες. Ταξινόμηση AS και απαιτήσεις για την προστασία των πληροφοριών».

- "Εγκαταστάσεις τεχνολογία υπολογιστών. Προστασία από μη εξουσιοδοτημένη πρόσβαση σε πληροφορίες. Δείκτες ασφάλειας έναντι μη εξουσιοδοτημένης πρόσβασης σε πληροφορίες».

- «Προστασία από μη εξουσιοδοτημένη πρόσβαση σε πληροφορίες. Οροι και ορισμοί". Τα τεχνικά μέσα που εφαρμόζουν λειτουργίες προστασίας μπορούν να χωριστούν σε:

o ενσωματωμένο?

o εξωτερικός.

Τα ενσωματωμένα μέσα προστασίας ενός προσωπικού υπολογιστή και λογισμικού (Εικ. 3.12) περιλαμβάνουν μέσα προστασίας με κωδικό πρόσβασης για το BIOS, το λειτουργικό σύστημα και το DBMS. Αυτά τα εργαλεία μπορεί να είναι ειλικρινά αδύναμα - BIOS με κωδικό πρόσβασης επόπτη, προστασία κωδικού πρόσβασης Win95/98, αλλά μπορεί επίσης να είναι πολύ πιο ισχυρά - BIOS χωρίς κωδικούς πρόσβασης επόπτη, προστασία με κωδικό πρόσβασης Προστασία των Windows NT, ORACLE DBMS. Χρήση δυνάμειςΑυτά τα εργαλεία μπορούν να ενισχύσουν σημαντικά το σύστημα προστασίας πληροφοριών από μη εξουσιοδοτημένη πρόσβαση.

Τα εξωτερικά εργαλεία έχουν σχεδιαστεί για να αντικαθιστούν τα ενσωματωμένα εργαλεία για να ενισχύσουν την προστασία ή να τα συμπληρώσουν με λειτουργίες που λείπουν.

Αυτά περιλαμβάνουν:

– αξιόπιστο υλικό εκκίνησης.

– συστήματα υλικού και λογισμικού για τη διαίρεση των δικαιωμάτων πρόσβασης των χρηστών·

– μέσα βελτιωμένου ελέγχου ταυτότητας των συνδέσεων δικτύου.

Το αξιόπιστο υλικό εκκίνησης είναι ένα προϊόν, που μερικές φορές ονομάζεται "ηλεκτρονική κλειδαριά", του οποίου η λειτουργία είναι η ασφαλής αναγνώριση του χρήστη καθώς και η επαλήθευση της ακεραιότητας του λογισμικού του υπολογιστή. Συνήθως πρόκειται για κάρτα επέκτασης προσωπικού υπολογιστή, με το απαραίτητο λογισμικό εγγεγραμμένο είτε στη μνήμη Flash της κάρτας είτε στον σκληρό δίσκο του υπολογιστή.

Η αρχή της λειτουργίας τους είναι απλή. Κατά τη διαδικασία εκκίνησης, ξεκινούν οι πλακέτες προστασίας BIOS και anti-SD. Ζητάει το αναγνωριστικό χρήστη και το συγκρίνει με αυτό που είναι αποθηκευμένο στη μνήμη Flash της κάρτας. Το αναγνωριστικό μπορεί επιπλέον να προστατευτεί με κωδικό πρόσβασης. Στη συνέχεια ξεκινά το ενσωματωμένο λειτουργικό σύστημα της πλακέτας ή του υπολογιστή (τις περισσότερες φορές αυτό είναι μια παραλλαγή του MS-DOS), μετά το οποίο ξεκινά το πρόγραμμα ελέγχου ακεραιότητας λογισμικού. Κατά κανόνα, οι περιοχές συστήματος του δίσκου εκκίνησης, τα αρχεία εκκίνησης και τα αρχεία που καθορίζονται από τον χρήστη για σάρωση σαρώνονται. Ο έλεγχος πραγματοποιείται είτε με βάση την προσομοιωμένη εισαγωγή του αλγορίθμου GOST 28147-89 είτε με βάση τη συνάρτηση κατακερματισμού του αλγορίθμου GOST R 34.11-34 ή άλλου αλγορίθμου. Το αποτέλεσμα της δοκιμής συγκρίνεται με αυτό που είναι αποθηκευμένο στη μνήμη Flash της κάρτας. Εάν, ως αποτέλεσμα σύγκρισης κατά τον έλεγχο του αναγνωριστικού ή της ακεραιότητας του συστήματος, αποκαλυφθεί διαφορά με το πρότυπο, η πλακέτα θα μπλοκάρει περισσότερη δουλειακαι θα εμφανίσει ένα αντίστοιχο μήνυμα στην οθόνη. Εάν οι έλεγχοι δώσουν θετικό αποτέλεσμα, τότε η πλακέτα μεταφέρει τον έλεγχο στον προσωπικό υπολογιστή για περαιτέρω φόρτωση του λειτουργικού συστήματος.

Όλες οι διαδικασίες αναγνώρισης και επαλήθευσης ακεραιότητας καταγράφονται σε ένα αρχείο καταγραφής. Τα πλεονεκτήματα των συσκευών αυτής της κατηγορίας είναι η υψηλή αξιοπιστία, η απλότητα και η χαμηλή τιμή τους. Εάν δεν υπάρχει εργασία πολλών χρηστών στον υπολογιστή, οι λειτουργίες προστασίας αυτού του εργαλείου είναι συνήθως επαρκείς.

Συγκροτήματα υλικού και λογισμικού για τη διαίρεση των δικαιωμάτων πρόσβασης χρησιμοποιούνται όταν πολλοί χρήστες εργάζονται σε έναν υπολογιστή, εάν προκύψει η εργασία του διαχωρισμού των δικαιωμάτων τους για πρόσβαση στα δεδομένα του άλλου. Η λύση σε αυτό το πρόβλημα βασίζεται: 01 που απαγορεύει στους χρήστες να εκτελούν ορισμένες εφαρμογές και διαδικασίες. Q Επιτρέποντας στους χρήστες και τις εφαρμογές που εκκινούν μόνο ένα συγκεκριμένο είδος ενέργειας με δεδομένα.

Η εφαρμογή των απαγορεύσεων και των αδειών επιτυγχάνεται με διάφορους τρόπους. Κατά κανόνα, όταν ξεκινά το λειτουργικό σύστημα, ξεκινά το πρόγραμμα προστασίας από μη εξουσιοδοτημένη πρόσβαση. Υπάρχει στη μνήμη του υπολογιστή ως λειτουργική μονάδα και ελέγχει τις ενέργειες του χρήστη για την εκκίνηση εφαρμογών και την πρόσβαση σε δεδομένα. Όλες οι ενέργειες χρήστη καταγράφονται σε ένα αρχείο καταγραφής στο οποίο έχει πρόσβαση μόνο ο διαχειριστής ασφαλείας. Τα μέσα αυτής της κατηγορίας συνήθως νοούνται ως μέσα προστασίας από μη εξουσιοδοτημένη πρόσβαση. Είναι σύμπλοκα υλικού-λογισμικού που αποτελούνται από ένα μέρος υλικού - μια αξιόπιστη πλακέτα εκκίνησης υπολογιστή, η οποία τώρα ελέγχει επιπλέον την ακεραιότητα του λογισμικού του ίδιου του συστήματος κατά της παραβίασης στον σκληρό δίσκο και ένα μέρος λογισμικού - το πρόγραμμα διαχειριστή, έναν κάτοικο μονάδα μέτρησης. Αυτά τα προγράμματα βρίσκονται σε έναν ειδικό κατάλογο και είναι προσβάσιμα μόνο στον διαχειριστή. Αυτά τα συστήματα μπορούν επίσης να χρησιμοποιηθούν σε ένα σύστημα ενός χρήστη για να περιορίσουν τον χρήστη από την εγκατάσταση και εκτέλεση προγραμμάτων που δεν χρειάζεται για την εργασία του.

Τα μέσα βελτιωμένης επαλήθευσης των συνδέσεων δικτύου χρησιμοποιούνται όταν η λειτουργία σταθμών εργασίας ως μέρος ενός δικτύου επιβάλλει απαιτήσεις για την προστασία των πόρων του σταθμού εργασίας από την απειλή μη εξουσιοδοτημένης εισόδου στο σταθμό εργασίας από το δίκτυο και τροποποίηση πληροφοριών ή λογισμικού, καθώς και ως έναρξη μιας μη εξουσιοδοτημένης διαδικασίας. Η προστασία από παραβίαση στην πλευρά του δικτύου επιτυγχάνεται μέσω βελτιωμένου ελέγχου ταυτότητας δικτυακές συνδέσεις. Αυτή η τεχνολογία ονομάζεται τεχνολογία εικονικού ιδιωτικού δικτύου.

Ένα από τα κύρια καθήκοντα προστασίας από μη εξουσιοδοτημένη πρόσβαση είναι η εξασφάλιση αξιόπιστης αναγνώρισης χρήστη (Εικ. 3.13) και η δυνατότητα επαλήθευσης της γνησιότητας οποιουδήποτε χρήστη δικτύου που μπορεί να αναγνωριστεί μοναδικά από το γεγονός ότι:

- αντιπροσωπεύει τον εαυτό του.

Τι γνωρίζει ο χρήστης; Το όνομα και τον κωδικό πρόσβασής σας. Τα σχήματα αναγνώρισης κωδικών πρόσβασης βασίζονται σε αυτή τη γνώση. Το μειονέκτημα αυτών των συστημάτων είναι ότι χρειάζεται να θυμάται σύνθετους κωδικούς πρόσβασης, κάτι που πολύ συχνά δεν συμβαίνει: είτε ο κωδικός πρόσβασης επιλέγεται αδύναμος, είτε απλώς γράφεται σε ένα σημειωματάριο, σε ένα κομμάτι χαρτί, κ.λπ. χρησιμοποιώντας μόνο προστασία με κωδικό πρόσβασης, λαμβάνονται τα κατάλληλα μέτρα για να διασφαλιστεί ότι η διαχείριση δημιουργεί κωδικούς πρόσβασης, την αποθήκευσή τους, για την παρακολούθηση της λήξης της χρήσης τους και έγκαιρη αφαίρεση. Η χρήση κρυπτογραφικού κλειδώματος κωδικών πρόσβασης μπορεί να λύσει σε μεγάλο βαθμό αυτό το πρόβλημα και να δυσκολέψει έναν εισβολέα να νικήσει τον μηχανισμό ελέγχου ταυτότητας.

Τι μπορεί να έχει ο χρήστης; Φυσικά, ένα ειδικό κλειδί είναι ένα μοναδικό αναγνωριστικό, όπως ένα tablet μνήμης αφής (κουμπί I), ένα e-token, μια έξυπνη κάρτα ή κρυπτογραφικό κλειδί, στο οποίο είναι κρυπτογραφημένη η είσοδός του στη βάση δεδομένων των χρηστών. Ένα τέτοιο σύστημα είναι το πιο σταθερό, ωστόσο, απαιτεί από τον χρήστη να έχει πάντα μαζί του ένα αναγνωριστικό, το οποίο τις περισσότερες φορές είναι προσαρτημένο στο μπρελόκ και συχνά είτε ξεχνιέται στο σπίτι είτε χάνεται. Θα ήταν σωστό εάν ο διαχειριστής εκδώσει αναγνωριστικά το πρωί και γράψει σχετικά στο ημερολόγιο και τα αποδέχεται πίσω για αποθήκευση το βράδυ, κάνοντας ξανά μια καταχώριση στο ημερολόγιο.

Τι είναι ένας χρήστης; Αυτά είναι τα χαρακτηριστικά που είναι μοναδικά για αυτόν τον χρήστη, μόνο για αυτόν, και παρέχουν βιομετρική αναγνώριση. Ένα αναγνωριστικό μπορεί να είναι ένα δακτυλικό αποτύπωμα, ένα σχέδιο της ίριδας, ένα αποτύπωμα παλάμης κ.λπ. Επί του παρόντος, αυτή είναι η πιο πολλά υποσχόμενη κατεύθυνση στην ανάπτυξη εργαλείων αναγνώρισης. Είναι αξιόπιστα και ταυτόχρονα δεν απαιτούν από τον χρήστη πρόσθετη γνώση ή μόνιμη ιδιοκτησία για οτιδήποτε. Με την ανάπτυξη της τεχνολογίας και το κόστος αυτών των κεφαλαίων γίνεται διαθέσιμο σε κάθε οργανισμό.

Η εγγυημένη επαλήθευση της ταυτότητας του χρήστη είναι καθήκον διαφόρων μηχανισμών αναγνώρισης και πιστοποίησης ταυτότητας.

Σε κάθε χρήστη (ομάδα χρηστών) του δικτύου εκχωρείται ένα συγκεκριμένο διακριτικό χαρακτηριστικό - ένα αναγνωριστικό και συγκρίνεται με την εγκεκριμένη λίστα. Ωστόσο, μόνο το δηλωμένο αναγνωριστικό στο δίκτυο δεν μπορεί να παρέχει προστασία από μη εξουσιοδοτημένες συνδέσεις χωρίς να επαληθεύει την ταυτότητα του χρήστη.

Η διαδικασία επαλήθευσης της ταυτότητας ενός χρήστη ονομάζεται έλεγχος ταυτότητας. Συμβαίνει με τη βοήθεια ενός ειδικού διακριτικού χαρακτηριστικού που παρουσιάζεται από τον χρήστη - ενός αυθεντικοποιητή που είναι μοναδικός για αυτόν. Η αποτελεσματικότητα του ελέγχου ταυτότητας καθορίζεται κυρίως από τα ιδιαίτερα χαρακτηριστικά κάθε χρήστη.

Συγκεκριμένοι μηχανισμοί αναγνώρισης και επαλήθευσης ταυτότητας στο δίκτυο μπορούν να υλοποιηθούν με βάση τα ακόλουθα εργαλεία και διαδικασίες ασφάλειας πληροφοριών:

– κωδικούς πρόσβασης·

- τεχνικά μέσα·

– βιομετρικά εργαλεία·

– κρυπτογράφηση με μοναδικά κλειδιά για κάθε χρήστη.

Το ζήτημα της δυνατότητας εφαρμογής ενός συγκεκριμένου μέσου αποφασίζεται ανάλογα με τις εντοπισμένες απειλές και τα τεχνικά χαρακτηριστικά του προστατευόμενου αντικειμένου. Δεν μπορεί να δηλωθεί κατηγορηματικά ότι η χρήση υλικού που χρησιμοποιεί κρυπτογραφία θα δώσει στο σύστημα μεγαλύτερη αξιοπιστία από τη χρήση λογισμικού.

Η ανάλυση της ασφάλειας ενός αντικειμένου πληροφοριών και ο εντοπισμός απειλών για την ασφάλειά του είναι μια εξαιρετικά περίπλοκη διαδικασία. Μια εξίσου πολύπλοκη διαδικασία είναι η επιλογή τεχνολογιών και μέσων προστασίας για την εξάλειψη των εντοπισμένων απειλών. Είναι καλύτερο να αναθέσετε τη λύση αυτών των προβλημάτων σε ειδικούς με μεγάλη εμπειρία.

Μη εξουσιοδοτημένη πρόσβαση – ανάγνωση, ενημέρωση ή καταστροφή πληροφοριών χωρίς την αρμόδια αρχή να το κάνει.

Η μη εξουσιοδοτημένη πρόσβαση πραγματοποιείται, κατά κανόνα, με τη χρήση του ονόματος κάποιου άλλου, την αλλαγή των φυσικών διευθύνσεων των συσκευών, τη χρήση πληροφοριών που απομένουν μετά την επίλυση προβλημάτων, την τροποποίηση λογισμικού και υποστήριξη πληροφοριών, κλοπή αποθηκευτικών μέσων, εγκατάσταση εξοπλισμού εγγραφής.

Για την επιτυχή προστασία των πληροφοριών σας, ο χρήστης πρέπει να έχει απολύτως σαφή κατανόηση του δυνατού τρόπους μη εξουσιοδοτημένης πρόσβασης. Παραθέτουμε τους κύριους τυπικούς τρόπους απόκτησης πληροφοριών χωρίς άδεια:

· κλοπή μέσων αποθήκευσης και απόβλητα παραγωγής.

· Αντιγραφή μέσων αποθήκευσης υπερβαίνοντας τα μέτρα ασφαλείας.

· Μεταμφίεση ως εγγεγραμμένος χρήστης.

· φάρσα (μεταμφίεση ως αιτήματα συστήματος).

· εκμετάλλευση των ελλείψεων λειτουργικά συστήματακαι γλώσσες προγραμματισμού·

· χρήση σελιδοδεικτών λογισμικού και μπλοκ λογισμικού τύπου «Δούρειος ίππος».

· Υποκλοπή ηλεκτρονικής ακτινοβολίας.

· αναχαίτιση ακουστικής ακτινοβολίας.

· φωτογράφιση από απόσταση.

· χρήση συσκευών ακρόασης.

· κακόβουλη απενεργοποίηση μηχανισμών προστασίας κ.λπ.

Για την προστασία των πληροφοριών από μη εξουσιοδοτημένη πρόσβαση, χρησιμοποιούνται τα ακόλουθα:

1) οργανωτικές εκδηλώσεις.

2) τεχνικά μέσα.

3) λογισμικό?

4) κρυπτογράφηση.

Οργανωτικές εκδηλώσειςπεριλαμβάνω:

· Λειτουργία πρόσβασης.

· αποθήκευση πολυμέσων και συσκευών σε χρηματοκιβώτιο (δισκέτες, οθόνη, πληκτρολόγιο κ.λπ.).

· περιορισμός της πρόσβασης προσώπων στις αίθουσες ηλεκτρονικών υπολογιστών κ.λπ.

Τεχνικά μέσαπεριλαμβάνω:

· φίλτρα, οθόνες για εξοπλισμό.

· Κλειδί για το κλείδωμα του πληκτρολογίου.

· Συσκευές ελέγχου ταυτότητας – για ανάγνωση δακτυλικών αποτυπωμάτων, σχήμα χεριού, ίριδα, ταχύτητα και τεχνικές πληκτρολόγησης κ.λπ.

· ηλεκτρονικά κλειδιάσε μικροκυκλώματα κ.λπ.

Λογισμικό περιλαμβάνω:

· Πρόσβαση με κωδικό πρόσβασης – ρύθμιση αδειών χρήστη.

· Κλείδωμα της οθόνης και του πληκτρολογίου χρησιμοποιώντας έναν συνδυασμό πλήκτρων στο βοηθητικό πρόγραμμα Diskreet από το πακέτο Norton Utilites.

· χρήση κεφαλαίων προστασία με κωδικό πρόσβασης BIOS – για το ίδιο το BIOS και για τον υπολογιστή συνολικά, κ.λπ.

Κρυπτογράφηση– αυτή είναι μια μετατροπή (κωδικοποίηση) ανοιχτές πληροφορίεςκρυπτογραφημένο, απρόσιτο σε ξένους. Η κρυπτογράφηση χρησιμοποιείται κυρίως για τη μετάδοση ευαίσθητων πληροφοριών μέσω μη ασφαλών καναλιών επικοινωνίας. Μπορείτε να κρυπτογραφήσετε οποιαδήποτε πληροφορία - κείμενα, εικόνες, ήχο, βάσεις δεδομένων κ.λπ. Η ανθρωπότητα χρησιμοποιεί κρυπτογράφηση από την αρχή του χρόνου. μυστικές πληροφορίες, που έπρεπε να κρυφτεί από τους εχθρούς. Το πρώτο κρυπτογραφημένο μήνυμα που είναι γνωστό στην επιστήμη είναι ένα αιγυπτιακό κείμενο, στο οποίο χρησιμοποιήθηκαν άλλοι χαρακτήρες αντί για τα τότε αποδεκτά ιερογλυφικά. Η επιστήμη μελετά μεθόδους κρυπτογράφησης και αποκρυπτογράφησης μηνυμάτων. κρυπτολογία , του οποίου η ιστορία ξεκινά περίπου τέσσερις χιλιάδες χρόνια. Αποτελείται από δύο κλάδους: την κρυπτογραφία και την κρυπτανάλυση.

Κρυπτογράφησηείναι η επιστήμη των τρόπων κρυπτογράφησης πληροφοριών. Κρυπτανάλυση είναι η επιστήμη των μεθόδων και τεχνικών για το σπάσιμο κρυπτογράφησης.

Συνήθως θεωρείται ότι ο ίδιος ο αλγόριθμος κρυπτογράφησης είναι γνωστός σε όλους, αλλά το κλειδί του είναι άγνωστο, χωρίς το οποίο το μήνυμα δεν μπορεί να αποκρυπτογραφηθεί. Αυτή είναι η διαφορά μεταξύ της κρυπτογράφησης και της απλής κωδικοποίησης, στην οποία για να επαναφέρετε ένα μήνυμα αρκεί να γνωρίζετε μόνο τον αλγόριθμο κωδικοποίησης.

Κλειδί- αυτή είναι μια παράμετρος του αλγορίθμου κρυπτογράφησης (κρυπτογράφηση), η οποία σας επιτρέπει να επιλέξετε έναν συγκεκριμένο μετασχηματισμό από όλες τις επιλογές που παρέχονται από τον αλγόριθμο. Η γνώση του κλειδιού σάς επιτρέπει να κρυπτογραφείτε και να αποκρυπτογραφείτε ελεύθερα μηνύματα.

Όλοι οι κρυπτογράφοι (συστήματα κρυπτογράφησης) χωρίζονται σε δύο ομάδες - συμμετρικούς και ασύμμετρους (με δημόσιο κλειδί). Συμμετρική κρυπτογράφηση σημαίνει ότι το ίδιο κλειδί χρησιμοποιείται τόσο για την κρυπτογράφηση όσο και για την αποκρυπτογράφηση μηνυμάτων. Σε συστήματα με δημόσιο κλειδίχρησιμοποιούνται δύο κλειδιά - δημόσιο και ιδιωτικό, τα οποία σχετίζονται μεταξύ τους χρησιμοποιώντας ορισμένες μαθηματικές εξαρτήσεις. Οι πληροφορίες κρυπτογραφούνται χρησιμοποιώντας δημόσιο κλειδί, το οποίο είναι διαθέσιμο σε όλους και αποκρυπτογραφείται χρησιμοποιώντας ένα ιδιωτικό κλειδί που είναι γνωστό μόνο στον παραλήπτη του μηνύματος.

Δύναμη κρυπτογράφησηςείναι η αντίσταση ενός κρυπτογράφησης στην αποκρυπτογράφηση χωρίς να γνωρίζει το κλειδί. Ένας αλγόριθμος θεωρείται ανθεκτικός εάν, για επιτυχή αποκάλυψη, απαιτεί από τον εχθρό μη εφικτούς υπολογιστικούς πόρους, έναν ανέφικτο όγκο υποκλοπών μηνυμάτων ή χρόνο που μετά τη λήξη του οι προστατευμένες πληροφορίες δεν θα είναι πλέον σχετικές.

Ένας από τους πιο διάσημους και παλαιότερους κρυπτογράφησης είναι κρυπτογράφηση του Καίσαρα. Σε αυτόν τον κρυπτογράφηση, κάθε γράμμα αντικαθίσταται από ένα άλλο, που βρίσκεται στο αλφάβητο στο δεδομένου αριθμούθέσεις k στα δεξιά του. Το αλφάβητο είναι κλειστό σε ένα δαχτυλίδι, έτσι ώστε οι τελευταίοι χαρακτήρες να αντικαθίστανται από τον πρώτο. Η κρυπτογράφηση του Καίσαρα αναφέρεται σε απλούς κρυπτογράφους αντικατάστασης, αφού κάθε χαρακτήρας του αρχικού μηνύματος αντικαθίσταται από έναν άλλο χαρακτήρα από το ίδιο αλφάβητο. Τέτοιοι κρυπτογράφοι λύνονται εύκολα χρησιμοποιώντας ανάλυση συχνότητας, επειδή σε κάθε γλώσσα η συχνότητα εμφάνισης των γραμμάτων είναι περίπου σταθερή για οποιοδήποτε κείμενο αρκετά μεγάλο.

Πολύ πιο δύσκολο να σπάσει κρυπτογράφηση Vigenère, που έγινε μια φυσική εξέλιξη του κρυπτογράφησης του Καίσαρα. Για να χρησιμοποιήσετε τον κρυπτογράφηση Vigenère, χρησιμοποιήστε λέξη-κλειδί, που θέτει μεταβλητή τιμήβάρδια Ο κρυπτογράφησης Vigenère έχει σημαντικά υψηλότερη κρυπτογραφική ισχύ από τον κρυπτογράφηση του Caesar. Αυτό σημαίνει ότι είναι πιο δύσκολο να το ανοίξετε - να επιλέξετε τη σωστή λέξη-κλειδί. Θεωρητικά, εάν το μήκος του κλειδιού είναι ίσο με το μήκος του μηνύματος και κάθε κλειδί χρησιμοποιείται μόνο μία φορά, ο κρυπτογράφηση Vigenère δεν μπορεί να σπάσει.

Προστασία από μη εξουσιοδοτημένη πρόσβαση (προστασία έναντι μη εξουσιοδοτημένης πρόσβασης) είναι η αποτροπή ή σημαντική δυσκολία μη εξουσιοδοτημένης πρόσβασης.

Ένα εργαλείο για την προστασία πληροφοριών από μη εξουσιοδοτημένη πρόσβαση (IPS από NSD) είναι ένα λογισμικό, υλικό ή εργαλείο λογισμικού-υλισμικού σχεδιασμένο να αποτρέπει ή να εμποδίζει σημαντικά τη μη εξουσιοδοτημένη πρόσβαση.

Σκοπός και γενική ταξινόμηση SZI.

Το IPS από το NSD μπορεί να χωριστεί σε καθολικό και εξειδικευμένο (ανάλογα με την περιοχή εφαρμογής), σε ιδιωτικό και ολοκληρωμένες λύσεις(με βάση το σύνολο των εργασιών που πρέπει να επιλυθούν), σε ενσωματωμένα εργαλεία συστήματος και πρόσθετα (με βάση τη μέθοδο υλοποίησης).

Η ταξινόμηση είναι εξαιρετικά σημαντική, καθώς κατά την κατασκευή ενός συστήματος ασφάλειας πληροφοριών κάθε τύπου, οι προγραμματιστές διαμορφώνουν και αποφασίζουν πλήρως διαφορετικά καθήκοντα(μερικές φορές αντιφατικές μεταξύ τους). Έτσι, η έννοια της προστασίας της καθολικής εργαλεία συστήματοςθεσπίζονται αρχές πλήρη εμπιστοσύνηστον χρήστη», η προστασία τους είναι σε μεγάλο βαθμό άχρηστη εταιρικά συστήματα, για παράδειγμα, κατά την επίλυση προβλημάτων αντιμετώπισης εσωτερικών απειλών πληροφορικής. Η συντριπτική πλειονότητα των συστημάτων ασφάλειας πληροφοριών σήμερα δημιουργείται για να ενισχύσει τους μηχανισμούς ασφαλείας που είναι ενσωματωμένοι σε καθολικά λειτουργικά συστήματα για χρήση σε εταιρικό περιβάλλον. Εάν μιλάμε για ένα σύνολο εργασιών που πρέπει να επιλυθούν, τότε θα πρέπει να μιλήσουμε για την ενοποίηση μηχανισμών, και οι δύο εν μέρει αποτελεσματική λύσηένα συγκεκριμένο έργο προστασίας, καθώς και όσον αφορά την επίλυση ενός συνόλου προβλημάτων.

Οι ιδιότητες των καταναλωτών (σκοπός) του συστήματος πρόσθετης προστασίας πληροφοριών από το NSD καθορίζονται από τον βαθμό στον οποίο το πρόσθετο εργαλείο εξαλείφει τις αρχιτεκτονικές ελλείψεις των μηχανισμών προστασίας που είναι ενσωματωμένοι στο λειτουργικό σύστημα, σε σχέση με την επίλυση των απαιτούμενων εργασιών σε εταιρικές εφαρμογές, και πόσο ολοκληρωμένα (αποτελεσματικά) επιλύει αυτό το σύνολο προβλημάτων ασφάλειας πληροφοριών.

Ερωτήσεις για την αξιολόγηση της αποτελεσματικότητας των συστημάτων προστασίας πληροφοριών από την NSD

Η αποτελεσματικότητα της ασφάλειας των πληροφοριών έναντι μη εξουσιοδοτημένης πρόσβασης μπορεί να αξιολογηθεί εξετάζοντας τα ζητήματα της σωστής εφαρμογής των μηχανισμών προστασίας και την επάρκεια ενός συνόλου μηχανισμών προστασίας σε σχέση με πρακτικές συνθήκεςχρήση.

Αξιολόγηση της ορθότητας της εφαρμογής μηχανισμών προστασίας

Με την πρώτη ματιά, μια τέτοια αξιολόγηση δεν είναι δύσκολο να πραγματοποιηθεί, αλλά στην πράξη αυτό δεν συμβαίνει πάντα. Ένα παράδειγμα: στο αρχείο NTFSένα αντικείμενο μπορεί να αναγνωριστεί με διάφορους τρόπους: να αρχειοθετήσει τα καθορισμένα αντικείμενα μεγάλα ονόματα, μπορείτε να αποκτήσετε πρόσβαση σε αυτό με ένα σύντομο όνομα (για παράδειγμα, ο κατάλογος "Αρχεία προγράμματος" είναι προσβάσιμος με το σύντομο όνομα "Progra~1") και ορισμένα προγράμματα έχουν πρόσβαση σε αντικείμενα αρχείων όχι με όνομα, αλλά με αναγνωριστικό. Εάν το σύστημα ασφάλειας πληροφοριών που είναι εγκατεστημένο στο σύστημα πληροφοριών δεν παρακολουθεί και αναλύει μόνο ένα παρόμοια μέθοδοςπρόσβαση σε ένα αντικείμενο αρχείου, στη συνέχεια, από σε μεγάλο βαθμό, γίνεται εντελώς άχρηστο (αργά ή γρήγορα ο εισβολέας θα αποκαλύψει αυτό το μειονέκτημαπροστατευτικό εξοπλισμό και χρησιμοποιήστε τον). Ας αναφέρουμε επίσης ότι τα αντικείμενα αρχείων που δεν μοιράζονται μεταξύ των χρηστών από το σύστημα και τις εφαρμογές μπορούν να χρησιμεύσουν ως «κανάλι» για την υποβάθμιση ενός εγγράφου, κάτι που αναιρεί την προστασία εμπιστευτικές πληροφορίες. Υπάρχουν πολλά παρόμοια παραδείγματα που μπορούν να δοθούν.

Οι απαιτήσεις για τη σωστή εφαρμογή των μηχανισμών προστασίας ορίζονται στο κανονιστικό έγγραφο «Κρατική Τεχνική Επιτροπή της Ρωσίας. Έγγραφο καθοδήγησης. Εγκαταστάσεις ηλεκτρονικών υπολογιστών. Προστασία από μη εξουσιοδοτημένη πρόσβαση σε πληροφορίες. Δείκτες ασφάλειας από μη εξουσιοδοτημένη πρόσβαση σε πληροφορίες». χρησιμοποιείται για την πιστοποίηση συστημάτων προστασίας πληροφοριών από την NSD.

Αυτές οι απαιτήσεις υπάρχουν στο έγγραφο στον απαιτούμενο βαθμό, αλλά είναι διατυπωμένες γενική εικόνα(πώς θα μπορούσε να είναι διαφορετικά, διαφορετικά θα ήταν απαραίτητο να δημιουργηθεί το δικό του ρυθμιστικό έγγραφο για κάθε οικογένεια λειτουργικών συστημάτων και πιθανώς για κάθε εφαρμογή του λειτουργικού συστήματος μιας οικογένειας) και για να εκπληρωθεί μία απαίτηση, μπορεί να είναι απαραίτητο να εφαρμοστούν πολλά συστήματα προστασίας μηχανισμών. Συνέπεια αυτού είναι η ασάφεια της ερμηνείας αυτών των απαιτήσεων (όσον αφορά τις προσεγγίσεις για την εφαρμογή τους) και η πιθανότητα θεμελιωδών διαφορετικών προσεγγίσεων για την εφαρμογή μηχανισμών προστασίας σε συστήματα ασφάλειας πληροφοριών από μη εξουσιοδοτημένη πρόσβαση από προγραμματιστές. Το αποτέλεσμα είναι διαφορετική αποτελεσματικότητα των συστημάτων προστασίας πληροφοριών από τις μη περιγραφικές πληροφορίες μεταξύ των κατασκευαστών που εφαρμόζουν τις ίδιες επίσημες απαιτήσεις. Ωστόσο, η μη συμμόρφωση με οποιαδήποτε από αυτές τις απαιτήσεις μπορεί να αναιρέσει όλες τις προσπάθειες για τη διασφάλιση της ασφάλειας των πληροφοριών.

Εκτίμηση της επάρκειας (πληρότητας) ενός συνόλου μηχανισμών προστασίας

Οι απαιτήσεις για την επάρκεια (πληρότητα, σε σχέση με τις συνθήκες χρήσης) του συνόλου των μηχανισμών προστασίας ορίζονται στο έγγραφο «Κρατική Τεχνική Επιτροπή της Ρωσίας. Έγγραφο καθοδήγησης. Αυτοματοποιημένα συστήματα. Προστασία από μη εξουσιοδοτημένη πρόσβαση σε πληροφορίες. Δείκτες ασφάλειας από το NSD στις πληροφορίες», το οποίο χρησιμοποιείται στην πιστοποίηση αντικειμένων πληροφόρησης, συμπεριλαμβανομένης της χρήσης σε αυτοματοποιημένα συστήματα ασφάλειας πληροφοριών από το NSD. Ωστόσο, εδώ η κατάσταση είναι σε μεγάλο βαθμό παρόμοια με αυτή που περιγράφηκε παραπάνω.

Επομένως, θα ήταν σκόπιμο να επεκταθεί η διατύπωση της απαίτησης για την επάρκεια μηχανισμών στο σύστημα ασφάλειας πληροφοριών από την NSD για την προστασία των εμπιστευτικών δεδομένων σε κανονιστικά έγγραφα, στα οποία υπάρχει ασάφεια ως προς τον προσδιορισμό του τι χαρακτηρίζεται ως προστατευόμενος πόρος, για παράδειγμα , ως εξής: «Θα πρέπει να υπάρχει έλεγχος στη σύνδεση πόρων, ιδίως συσκευών, σύμφωνα με τις συνθήκες πρακτική χρήσηπροστατευμένη υπολογιστική εγκατάσταση και έλεγχος της πρόσβασης των υποκειμένων σε προστατευμένους πόρους, ιδίως σε συσκευές που επιτρέπονται για σύνδεση.»

Σημειώστε ότι οι μηχανισμοί ελέγχου πρόσβασης σε πόρους που υπάρχουν πάντα στο σύστημα - αντικείμενα αρχείου, αντικείμενα μητρώου λειτουργικού συστήματος κ.λπ. - προστατεύονται εκ των προτέρων και πρέπει να είναι παρόντες στο σύστημα ασφάλειας πληροφοριών από το NSD σε κάθε περίπτωση, και όσον αφορά τους εξωτερικούς πόρους, λαμβάνοντας υπόψη τον σκοπό του συστήματος ασφάλειας πληροφοριών. Εάν ο σκοπός του συστήματος ασφάλειας πληροφοριών είναι η προστασία των υπολογιστών στο δίκτυο, τότε πρέπει να διαθέτει μηχανισμούς ελέγχου πρόσβασης στους πόρους του δικτύου. αν χρησιμεύει για προστασία αυτόνομους υπολογιστές, τότε θα πρέπει να παρέχει έλεγχο (απαγόρευση) σύνδεσης με τον υπολογιστή πόρους δικτύου. Αυτός ο κανόνας, κατά τη γνώμη μας, ισχύει για όλους τους πόρους χωρίς εξαίρεση και μπορεί να χρησιμοποιηθεί ως βασική απαίτησησε ένα σύνολο μηχανισμών προστασίας κατά την πιστοποίηση αντικειμένων πληροφορικής.

Τα ζητήματα επάρκειας των μηχανισμών προστασίας θα πρέπει να εξετάζονται όχι μόνο σε σχέση με το σύνολο των πόρων, αλλά και σε σχέση με τα προβλήματα ασφάλειας των πληροφοριών που επιλύονται. Υπάρχουν μόνο δύο παρόμοιες εργασίες κατά τη διασφάλιση της ασφάλειας του υπολογιστή - αντιμετώπιση εσωτερικών και εξωτερικών απειλών πληροφορικής.

Το γενικό καθήκον της αντιμετώπισης εσωτερικών απειλών πληροφορικής είναι να διασφαλιστεί η διαφοροποίηση της πρόσβασης στους πόρους σύμφωνα με τις απαιτήσεις για την επεξεργασία δεδομένων διαφόρων κατηγοριών εμπιστευτικότητας. Δυνατόν διαφορετικές προσεγγίσειςγια να ορίσετε διακρίσεις: κατά λογαριασμούς, κατά διαδικασίες, με βάση την κατηγορία του εγγράφου που διαβάστηκε. Καθένα από αυτά θέτει τις δικές του απαιτήσεις για επάρκεια. Έτσι, στην πρώτη περίπτωση, πρέπει να απομονώσετε το πρόχειρο μεταξύ των χρηστών. στο δεύτερο - μεταξύ διαδικασιών. για την τρίτη περίπτωση, είναι γενικά απαραίτητο να επανεξεταστεί ριζικά ολόκληρη η πολιτική περιοριστικής πρόσβασης σε όλους τους πόρους, καθώς ο ίδιος χρήστης, χρησιμοποιώντας την ίδια εφαρμογή, μπορεί να επεξεργάζεται δεδομένα διαφορετικών κατηγοριών εμπιστευτικότητας.

Υπάρχουν δεκάδες τρόποι επικοινωνίας μεταξύ διεργασιών (ονομαζόμενοι σωλήνες, τομείς μνήμης κ.λπ.), επομένως είναι απαραίτητο να διασφαλιστεί το κλείσιμο περιβάλλον λογισμικού- να αποτρέψει τη δυνατότητα έναρξης ενός προγράμματος που υλοποιεί ένα τέτοιο κανάλι ανταλλαγής. Προκύπτουν επίσης ερωτήματα για πόρους που δεν μοιράζονται το σύστημα και τις εφαρμογές, τον έλεγχο της ορθότητας της αναγνώρισης του υποκειμένου πρόσβασης, την προστασία της ίδιας της ασφάλειας των πληροφοριών από μη εξουσιοδοτημένη πρόσβαση (ο κατάλογος των απαραίτητων μηχανισμών προστασίας για την αποτελεσματική επίλυση αυτού του προβλήματος είναι πολύ εντυπωσιακός). Τα περισσότερα από αυτά δεν αναφέρονται ρητά στα κανονιστικά έγγραφα.

Το καθήκον της αποτελεσματικής αντιμετώπισης εξωτερικών απειλών πληροφορικής, κατά τη γνώμη μας, μπορεί να επιλυθεί μόνο εάν οριστεί μια πολιτική οριοθέτησης για το θέμα της «διαδικασίας» (δηλαδή, η «διαδικασία» θα πρέπει να θεωρείται ως ανεξάρτητο θέμα πρόσβασης στους πόρους). Αυτό οφείλεται στο γεγονός ότι είναι αυτός που φέρει την απειλή της εξωτερικής επίθεσης. Δεν υπάρχει τέτοια απαίτηση ρητά στα κανονιστικά έγγραφα, αλλά στην περίπτωση αυτή, η επίλυση του προβλήματος της προστασίας των πληροφοριών απαιτεί ριζική αναθεώρηση των βασικών αρχών για την εφαρμογή της περιοριστικής πολιτικής πρόσβασης στους πόρους.

Εάν τα ζητήματα επάρκειας των μηχανισμών προστασίας σε σχέση με ένα σύνολο προστατευόμενων πόρων εξακολουθούν να επιδέχονται κατά κάποιο τρόπο επισημοποίηση, τότε σε σχέση με τα καθήκοντα ασφάλειας πληροφοριών δεν είναι δυνατό να επισημοποιηθούν τέτοιες απαιτήσεις.

Σε αυτήν την περίπτωση, τα συστήματα ασφάλειας πληροφοριών από την NSD διαφορετικών κατασκευαστών που πληρούν τις επίσημες απαιτήσεις των κανονιστικών εγγράφων ενδέχεται επίσης να έχουν θεμελιώδεις διαφορές τόσο στις εφαρμοσμένες προσεγγίσεις και τεχνικές λύσεις όσο και στην αποτελεσματικότητα αυτών των εργαλείων γενικά.

Συμπερασματικά, σημειώνουμε ότι δεν μπορεί κανείς να υποτιμήσει τη σημασία του έργου της επιλογής συστημάτων ασφάλειας πληροφοριών από συσκευές που δεν κάνουν διακρίσεις, καθώς πρόκειται για μια ειδική κατηγορία τεχνικών μέσων, η αποτελεσματικότητα των οποίων δεν μπορεί να είναι υψηλή ή χαμηλή. Λαμβάνοντας υπόψη την πολυπλοκότητα της αξιολόγησης της πραγματικής αποτελεσματικότητας των συστημάτων προστασίας πληροφοριών από το NSD, συνιστούμε στον καταναλωτή να εμπλέξει ειδικούς (κατά προτίμηση από προγραμματιστές που αντιμετωπίζουν πρακτικά αυτά τα προβλήματα) στο στάδιο της επιλογής συστημάτων προστασίας πληροφοριών από το NSD.