Bezpieczeństwo sieciowe bezpieczne systemy informacyjne. ABC bezpieczeństwa sieciowego

Zapora sieciowa

Sieć lub zapora sieciowa to kompleks oprogramowania i sprzętu, który implementuje bezpieczeństwo informacji jeden kawałek sieć komputerowa od drugiego, analizując ruch przechodzący między nimi.

W przypadku zapory jedna część sieci jest wewnętrzna, a druga zewnętrzna. Zapora sieciowa chroni sieć wewnętrzną (na przykład sieć lokalną przedsiębiorstwa lub w zdegenerowanym przypadku indywidualny komputer użytkownika) przed zagrożeniami pochodzącymi z sieci zewnętrznej (zazwyczaj przez taką sieć rozumie się Internet).

Ochronę granic pomiędzy sieciami lokalnymi przedsiębiorstwa a Internetem zapewniają firewalle korporacyjne; te same funkcje, tyle że na granicy komputera domowego i Internetu, pełnią firewalle osobiste.

Aby zapora ogniowa skutecznie spełniała swoją główną funkcję ochronną, konieczne jest, aby cały ruch wymieniany pomiędzy węzłami chronionej części sieci a węzłami internetowymi przechodził przez nią.

Dzięki takiemu rozwiązaniu zapora ogniowa może w pełni kontrolować dostęp (odmawiać, ograniczać lub rejestrować). użytkownicy zewnętrzni do zasobów sieć wewnętrzna. Firewall chroni sieć nie tylko przed nieuprawnionym dostępem zewnętrznych intruzów, ale także przed błędnymi działaniami użytkowników chronionej sieci, takimi jak przesyłanie poufnych informacji do sieci zewnętrznej.

Aby wdrożyć kontrolę dostępu, zapora sieciowa musi być w stanie wykonywać następujące funkcje:

* analizować, monitorować i regulować ruch (funkcja filtrowania);

* pełnić rolę logicznego pośrednika pomiędzy klientami wewnętrznymi a serwerami zewnętrznymi (funkcja serwera proxy);

* rejestracja wszystkich zdarzeń związanych z bezpieczeństwem (funkcja audytu).

* Oprócz tych podstawowych funkcji firewallowi można przypisać także inne pomocnicze funkcje zabezpieczające, w szczególności:

* ochrona antywirusowa;

* szyfrowanie ruchu;

* filtrowanie wiadomości według treści, w tym typów przesyłanych plików, nazw DNS i słów kluczowych;

* zapobieganie i wykrywanie włamań i ataków sieciowych;

* Funkcje VPN;

* tłumaczenie adresów sieciowych.

Jak widać, większość wymienionych funkcji jest realizowana jako osobne produkty lub jako część innych typów systemów zabezpieczeń. Dlatego funkcje filtrowania pakietów są wbudowane w prawie wszystkie routery, zadanie wykrywania wirusów rozwiązuje wiele różnych programów, szyfrowanie ruchu jest integralnym elementem technologii bezpiecznego kanału itp. itp. Serwery proxy są często dostarczane jako aplikacje, ponadto one same często integrują wiele funkcji charakterystycznych dla zapór sieciowych, takich jak uwierzytelnianie, translacja adresów sieciowych lub filtrowanie treści.

W tym miejscu pojawiają się trudności przy definiowaniu pojęcia „firewall”. Na przykład dość często uważa się, że zapora sieciowa to urządzenie brzegowe, które wykonuje filtrowanie pakietów (czyli router), a serwer proxy to zupełnie inne narzędzie bezpieczeństwa niż zapora ogniowa. Inni twierdzą, że serwer proxy jest niezbędnym i integralnym atrybutem zapory ogniowej. Jeszcze inni uważają, że zaporę sieciową można nazwać jedynie oprogramowaniem lub urządzeniem sprzętowym, które jest w stanie monitorować stan przepływu pakietów w ramach połączenia. Będziemy więc trzymać się powszechnie przyjętego punktu widzenia, że ​​zapora ogniowa to zespół oprogramowania i sprzętu, który wykonuje różnorodne funkcje w celu ochrony sieci wewnętrznej, których zestaw może się różnić w zależności od rodzaju, modelu i konkretnej konfiguracji zapory ogniowej .

System wykrywania włamań

System wykrywania włamań (IDS) - oprogramowanie lub sprzęt komputerowy, mające na celu wykrywanie faktów nieuprawnionego dostępu (włamanie lub atak sieciowy) do systemu komputerowego lub sieci.

IDS w coraz większym stopniu stają się niezbędnym dodatkiem do infrastruktury bezpieczeństwa sieci. Oprócz zapór ogniowych, które działają w oparciu o polityki bezpieczeństwa, IDS służą jako mechanizmy monitorowania i obserwacji podejrzanej aktywności. Potrafią wykryć atakujących, którzy ominęli Zaporę sieciową i zgłosić to administratorowi, który z kolei podejmie dalsze kroki, aby zapobiec atakowi. Technologie wykrywania włamań nie zapewniają całkowitego bezpieczeństwa systemu. Niemniej jednak praktyczne korzyści z IDS niosą ze sobą i nie są one małe.

Korzystanie z IDS pomaga osiągnąć kilka celów:

* wykryć włamanie lub atak sieciowy;

* przewidywać możliwe przyszłe ataki i identyfikować luki, aby im zapobiec dalszy rozwój. Osoba atakująca zwykle wykonuje szereg wstępnych działań, takich jak sondowanie (skanowanie) sieci lub inne testy w celu wykrycia podatności systemu docelowego;

* dokumentować istniejące zagrożenia;

* zapewnić kontrolę jakości administracji z punktu widzenia bezpieczeństwa, zwłaszcza w dużych i skomplikowanych sieciach;

* uzyskać przydatne informacje na temat penetracji, które miały miejsce, w celu przywrócenia i skorygowania czynników, które spowodowały penetrację;

* określić lokalizację źródła ataku w stosunku do sieć lokalna(ataki zewnętrzne lub wewnętrzne), co jest istotne przy podejmowaniu decyzji o lokalizacji zasobów w sieci.

System zapobiegania włamaniom (IPS) to oprogramowanie lub narzędzie sprzętowe monitorujące sieć lub system komputerowy w czasie rzeczywistym w celu identyfikowania, zapobiegania lub blokowania szkodliwej aktywności.

Ogólnie rzecz biorąc, IPS są podobne pod względem klasyfikacji i funkcji do IDS. Ich główna różnica polega na tym, że działają w czasie rzeczywistym i mogą tryb automatyczny blokować ataki sieciowe. Każdy IPS zawiera moduł IDS.

Jak stwierdzono powyżej, prawidłowe umiejscowienie Systemy IDS/IPS w sieci nie wpływają na jej topologię, ale mają ogromne znaczenie dla optymalnego monitorowania i osiągnięcia maksymalnego efektu jej ochrony.

Kopia zapasowa danych

Temat tworzenia kopii zapasowych działającego systemu operacyjnego typu Unix (zwykle Linux) pojawia się regularnie na listach mailingowych i forach Linux. I niezmiennie ktoś powie Ci, żebyś po prostu zarchiwizował za pomocą tar cvfz Backup.tgz /bin /boot /etc... Niestety, utworzenie prawidłowej kopii zapasowej będzie wymagało więcej wysiłku.

Prawidłowa kopia zapasowa pozwala zaoszczędzić nie tylko dane. Zawiera także dane o danych: metadane. Kopiowane są także atrybuty określonego systemu plików i specjalne pliki urządzeń niezbędne do działania systemu operacyjnego. Niezwykle ważne jest, aby nośnik kopii zapasowych i oprogramowanie używane do pracy z nim mogły zapewnić taką kopię. Na przykład zdecydowanie nie zalecam tworzenia kopii zapasowej systemu plików Ext3 (standardowy system plików w systemie Linux) na partycjach sformatowanych w FAT32/FAT16 (przedpotopowy system plików firmy Microsoft, wciąż spotykany na dyskach USB i podobnych urządzeniach, chociaż są one, oczywiście możliwe, format do dowolnego systemu plików).

Na partycjach z Ext3 FS metadane plików obejmują: czas modyfikacji pliku, czas modyfikacji i-węzła, czas ostatniego dostępu, identyfikatory użytkowników i grup, a także prawa dostępu do plików i katalogów. W przypadku rozbudowanych atrybutów metadanych może być znacznie więcej, głównie za sprawą informacji z listy kontroli dostępu (ACL, Access Control List). Im więcej danych zostanie skopiowanych, tym lepiej. Oczywiście, jeśli nie zapiszesz i nie przywrócisz praw dostępu, doprowadzi to do niesprawności systemu. Dotyczy to nawet czegoś tak prostego jak mtime (czas modyfikacji). Na przykład dystrybucja Gentoo Linux używa mtime do określenia, czy pliki należą do konkretnego pakietu, czy też zostały później zmodyfikowane. Jeśli nie przywrócisz poprawnych czasów modyfikacji plików, system zarządzania pakietami zostanie całkowicie uszkodzony.

W zależności od używanego oprogramowania do zapisania wszystkich tych informacji mogą być wymagane różne kroki. Na przykład, jeśli używasz tar z jego domyślnymi opcjami, nie można zapisać prawidłowych informacji o uprawnieniach. Szybki test może wydawać się możliwy, ale jest to mylące. Przy parametrach domyślnych tar rozpakowuje pliki z ustawieniami umask (maski trybu tworzenia plików użytkownika) bieżącego użytkownika. Jeśli bieżące ustawienia umask są wystarczająco luźne, pliki można odzyskać z ustawieniami praw, ale przy bardziej rygorystycznych ustawieniach umask te ograniczenia zostaną zastosowane do odzyskanych plików. Aby temu zapobiec, należy użyć tar z opcją --preserve-permissions.

Informacje o właścicielach plików można przechowywać na dwa sposoby: liczbowo i tekstowo. Wiele programów do tworzenia kopii zapasowych preferuje reprezentację tekstową, aby była czytelna dla człowieka, ale nie jest to pożądane w przypadku tworzenia kopii zapasowych całego systemu. Prawdopodobnie będziesz przywracał system przy użyciu jakiegoś rodzaju Live CD, podczas gdy kopia zapasowa została utworzona na samym kopiowanym systemie. Po przywróceniu pliki należące do użytkownika bin otrzymają identyfikator systemu plików oparty na danych w pliku /etc/passwd z Live CD. Jeśli jest to na przykład identyfikator 2, ale ten sam identyfikator jest przypisany demonowi użytkownika w odtwarzanym systemie, wówczas pliki należące do bin będą własnością demona. Dlatego zawsze powinieneś przechowywać informacje o właścicielach plików w postać liczbowa. W tym celu w tar dostępna jest opcja --numeric-owner. rdiff-backup ma podobną opcję --preserve-numerical-ids, dodaną od wersji 1.1.0. dar nigdy nie będzie obsługiwał reprezentacji tekstu.

Niektóre programy do tworzenia kopii zapasowych (takie jak tar i dar) mogą przywrócić atime (czas dostępu) po odczytaniu plików podczas tworzenia kopii. Ma to na celu zapewnienie jak największej zgodności kopii z oryginałem. Tej funkcji należy używać ostrożnie, ponieważ przywrócenie atime zmienia ctime (czas zmiany). Nic nie możesz z tym zrobić, ponieważ ctime nie można zainstalować na siłę. Strona podręcznika dar stwierdza, że ​​serwer NNTP Leafnode oczekuje przywrócenia czasu ostatniego dostępu podczas buforowania, ale zwykle bardzo rzadko zdarza się potrzeba przywrócenia czasu. Zakładanie, że wartość atime została przywrócona z kopii zapasowej przez dowolny program, jest poważną wadą. Czas dostępu może zostać dowolnie zmieniony, nawet przez użytkownika, który nie ma uprawnień do zapisu pliku. Ponadto programy do automatycznego indeksowania, takie jak Beagle, mogą zmieniać czas. Ponadto zmiana czasu ctime może uruchomić niektóre programy zabezpieczające komputer. Jak już wspomniano, ctime nie można ustawić na siłę, co oznacza, że ​​jeśli wartość ctime pliku uległa zmianie, podczas gdy mtime nie uległo zmianie od ostatniego sprawdzenia, plik ten mógł zostać zastąpiony innym, co zwykle oznacza wprowadzenie rootkita. Dlatego oszczędzanie czasu dostępu ma sens tylko wtedy, gdy absolutnie wiesz, co robisz. Domyślnie dar oszczędza czas. Zmiany mające na celu skorygowanie tego zachowania zostały już wprowadzone w CVS i prawdopodobnie pojawią się w wersji 2.4.0. W przypadku starszych wersji użyj opcji --alter=atime.

Istnieją dwa rodzaje linków: symboliczne i twarde. Dowiązanie symboliczne (lub dowiązanie symboliczne) to po prostu wskaźnik do innej lokalizacji w systemie plików. Twarde łącze lub twarde łącze to dodatkowy wskaźnik do i-węzła (uchwytu indeksu).

Aby zapisać dowiązania symboliczne, wystarczy upewnić się, że aplikacja do tworzenia kopii zapasowych zapisuje łącze, a nie plik, na który wskazuje. Nie wszystkie programy zachowują się w ten sposób przy ustawieniach domyślnych, więc należy zachować ostrożność.

Twarde linki wymagają kilku więcej uwagi. Jak już wspomniano, twardy link to w zasadzie druga (trzecia, czwarta...) nazwa pliku. Jeśli masz plik A i plik B, które się do niego odwołują, zachowują się tak, jakbyś miał dwa pliki. Jeśli oba pliki mają rozmiar 1 GB, zajmą 1 GB miejsca na dysku, ale aplikacje będą myśleć, że zajmują 2 GB. Ponieważ plik B to nie tylko łącze do A, ale inna nazwa tego samego pliku, możesz bezpiecznie usunąć plik A. Plik B nie zostanie usunięty, gdy usuniesz plik A.

Większość aplikacji do tworzenia kopii zapasowych obsługuje dowiązania twarde, ale tylko wtedy, gdy wszystkie znajdują się w tym samym drzewie katalogów. Jeśli skopiujesz katalogi /bin, /etc, /usr itp. z oddzielnym poleceniem cp -a dla każdego z nich, wówczas informacje o dowiązaniach stałych nie zostaną rozpoznane i skopiowane. Ponieważ twarde łącza nie mogą wskazywać pliku w innym systemie plików, wystarczy skopiować i przywrócić jedną partycję na raz. Na przykład, jeśli katalog /home znajduje się na osobna sekcja, możesz utworzyć osobne archiwum z katalogiem głównym / bez /home i oddzielne archiwum z samym /home. Jeśli utworzysz archiwum zawierające wszystkie punkty podłączenia, wymagane będą dodatkowe kroki, aby zapewnić przywrócenie danych na właściwych partycjach. Jeśli program nie ingeruje w istniejące katalogi, przed przywróceniem danych możesz utworzyć punkty podłączenia o tych samych nazwach w nowym systemie plików. W W przeciwnym razie Ta opcja powinna pomóc: najpierw przywróć dane na jedną partycję, a następnie skopiuj części na swoje partycje za pomocą cp -a. Nie używaj mv do przenoszenia danych. Wyobraź sobie, co by się stało, gdyby program uległ awarii i nie zakończył swojej pracy.

Linux i inne systemy operacyjne podobne do Uniksa w szerokim zakresie korzystają z twardych łączy.

Plik rozrzedzony to plik, w którym zera nie są zapisywane na dysku jako zera, ale po prostu nie są zaznaczane. Dzięki temu np. gigabajtowy plik z duża liczba pusta przestrzeń może zająć tylko megabajt. Takie pliki są używane przez klienta torrentowego Azureus.

Programy do tworzenia kopii zapasowych nie zawsze obsługują pliki rzadkie. W przypadku korzystania z programu, który nie obsługuje plików rozrzedzonych, plik jest odczytywany jako zwykły plik. Dane w pliku pozostają takie same, ale może to potrwać znacznie dłużej więcej miejsca. Zachowaj ostrożność, kopia zapasowa może po przywróceniu nie zmieścić się na zamierzonym dysku, jeśli pliki rzadkie zostaną utworzone jak zwykłe pliki.

W przypadku plików pobieranych przez torrenty nie jest tak źle; zostaną one wypełnione danymi po pobraniu w ten czy inny sposób. Jeśli jednak masz dużą liczbę rzadkich plików, które muszą pozostać rzadkie, niezbędny jest program do tworzenia kopii zapasowych obsługujący rzadkie pliki. Ale w każdym razie, nawet jeśli plik zostanie zdefiniowany jako rzadki, kopia nie zostanie umieszczona w tym samym miejscu i w taki sam sposób jak oryginał, ponieważ nie można uzyskać tej informacji. Zamiast tego zostanie utworzony nowy plik rozrzedzony, w którym nieprzydzielone obszary zostaną wykorzystane według uznania programu, który go tworzy. Jednak nie powinno to stanowić problemu.

Istnieją inne specjalne pliki, takie jak FIFO, nazwane potoki, urządzenia blokowe itp. Nie są one niczym specjalnym i większość aplikacji wie, jak z nimi pracować. Ale musisz podać prawidłowe parametry. Na przykład cp bez opcji -a podejmie próbę skopiowania danych nazwanego potoku zamiast ich odtworzenia.

Istnieją także specjalne katalogi: Lost+found (w systemach plików Ext2/3/4). W rzeczywistości nie jest to wcale katalog; nie można go utworzyć za pomocą programu mkdir. Zamiast tego użyj mklost+found. Jeśli nie wiesz, Lost+found służy do przechowywania plików odzyskanych przez e2fsck, gdy system plików jest uszkodzony.

Aby zaoszczędzić miejsce na nośniku kopii zapasowej, możesz zrezygnować z zapisywania niektórych katalogów.

Istnieją również specjalne systemy plików montowane w katalogu głównym, które są tworzone dynamicznie podczas rozruchu; nie trzeba ich zapisywać.

Tworząc kopię zapasową działającego systemu, nie należy zapominać o programach, które podczas kopiowania mogą zmieniać swoje dane. Dobrym przykładem są bazy danych takie jak MySQL czy PostgreSQL, a także dane programów pocztowych (pliki mbox są bardziej podatne na ataki niż maildir). Pliki danych (zwykle przechowywane gdzieś w /var) mogą podlegać zmianom podczas działania systemu. Może to być spowodowane normalnymi operacjami lub automatycznym czyszczeniem bazy danych. Nigdy nie polegaj na plikach danych działającej bazy danych, serwera LDAP, repozytorium Subversion ani żadnego podobnego programu, którego używasz.

Jeżeli zatrzymanie tych programów przed wykonaniem kopii zapasowej nie jest możliwe, należy zaplanować zadania okresowego zapisywania zrzutów bazy danych.

Tworzenie zaplanowanych zrzutów jest zawsze przydatne, bez względu na sytuację. W przypadku nagłego uszkodzenia danych pozostaną zrzuty poprzednich stanów bazy danych i nie wszystko zostanie utracone. A jeśli zrzut jest przechowywany w lokalnym systemie plików, nie musisz się męczyć z wyszukiwaniem kopie zapasowe gdy istnieje potrzeba przywrócenia bazy danych (lub innych danych aplikacji).

Tryb WPA-PSK jest przeznaczony do użytku osobistego. Przewiduje stosowanie predefiniowanych kluczy szyfrujących (hasła dostępu), takich samych dla wszystkich urządzeń sieciowych, a za pomocą tego klucza odbywa się uwierzytelnianie użytkownika głównego.

Aby skonfigurować szyfrowanie WPA, w oknie ustawień punktu dostępowego lub routera należy wybrać typ uwierzytelniania WPA-PSK i ustawić typ szyfrowania (szyfrowanie WPA) na TKIP lub AES. Następnie ustawiany jest klucz szyfrowania (hasło WPA-PSK). Kluczem może być dowolne słowo. Klucz ten, podobnie jak klucz w przypadku szyfrowania WEP, jest ustawiony na wszystkich urządzeniach.

W przypadku korzystania ze standardu WPA jako algorytm szyfrowania wybierany jest TKIP.

Szyfrowanie WPA-PSK przez TKIP jest uważane za barierę nie do pokonania przed nieautoryzowanym dostępem i stanowi jeszcze skuteczniejszą metodę bezpieczeństwa stosowaną wcześniej w sieciach VPN. Technologia ta nie jest obsługiwana przez wszystkie nowoczesne urządzenia sieciowe.

W trybie PSK dostęp bezprzewodowy nie może być kontrolowany indywidualnie ani centralnie. Jedno hasło obowiązuje wszystkich użytkowników i należy je zmienić ręcznie na każdym urządzeniu bezprzewodowym po ręcznej zmianie w routerze bezprzewodowym lub punkcie dostępowym. To hasło jest przechowywane na urządzeniach bezprzewodowych. W ten sposób każdy użytkownik komputera może połączyć się z siecią i zobaczyć także hasło.

Dużym plusem przy wdrażaniu EWPA jest możliwość działania tej technologii na istniejącym sprzęcie Wi-Fi.

TKIP odpowiada za zwiększenie rozmiaru klucza z 40 do 128 bitów, a także zastąpienie pojedynczego, statycznego klucza WEP kluczami, które są automatycznie generowane i dystrybuowane przez serwer uwierzytelniający. Ponadto TKIP wykorzystuje specjalną hierarchię kluczy i metodologię zarządzania kluczami, która eliminuje nadmierną przewidywalność stosowaną do usuwania ochrony kluczy WEP.

Innym sposobem uzyskania hasła jest wprowadzenie „konia trojańskiego” do komputera innej osoby. Jest to nazwa nadana programowi rezydentnemu, który działa bez wiedzy właściciela danego komputera i wykonuje czynności określone przez atakującego. W szczególności tego typu programy potrafią odczytać kody haseł wprowadzone przez użytkownika podczas logicznego logowania.

Koń trojański zawsze maskuje się pod postacią przydatnego narzędzia lub gry, ale wykonuje działania, które niszczą system. Działają na tej zasadzie programy wirusowe, osobliwość czyli możliwość „infekowania” innych plików poprzez wprowadzenie do nich własnych kopii. Najczęściej wirusy infekują pliki wykonywalne. Kiedy taki kod wykonywalny jest ładowany do pamięci RAM w celu wykonania, wirus może wraz z nim wykonywać swoje szkodliwe działania. Wirusy mogą powodować uszkodzenia lub nawet całkowitą utratę informacji.

Nielegalne działania legalnego użytkownika - Tego typu zagrożenie pochodzi od legalnych użytkowników sieci, którzy korzystając ze swoich uprawnień, próbują wykonywać działania wykraczające poza zakres ich obowiązków służbowych. Na przykład administrator sieci ma prawie nieograniczone prawa dostępu współ wszystkie zasoby sieciowe. Jednakże przedsiębiorstwo może posiadać informacje, do których administrator sieci nie ma dostępu. Można podjąć środki w celu wdrożenia tych ograniczeń specjalne środki takie jak np. szyfrowanie danych, ale i w tym przypadku administrator może podjąć próbę uzyskania dostępu do klucza. Zwykły użytkownik sieci może także próbować podejmować nielegalne działania. Istniejące statystyki pokazują, że prawie połowa wszystkich prób naruszenia bezpieczeństwa systemu jest podejmowana przez pracowników przedsiębiorstw, którzy są legalnymi użytkownikami sieci.

„Podsłuchując ruch w intranecie – Jest to nielegalne monitorowanie sieci, przechwytywanie i analiza wiadomości sieciowych. Dostępnych jest wiele programowych i sprzętowych analizatorów ruchu, które sprawiają, że to zadanie jest dość trywialne. Ochrona przed tego typu zagrożeniami staje się jeszcze trudniejsza w globalnie połączonych sieciach. Łączność globalna, rozciągająca się na dziesiątki i tysiące kilometrów, jest ze swej natury mniej bezpieczna niż komunikacja lokalna (więcej możliwości podsłuchiwania ruchu, wygodniejsza pozycja dla atakującego podczas przeprowadzania procedur uwierzytelniania). Zagrożenie to jest w równym stopniu nieodłącznym elementem wszystkich rodzajów terytorialnych kanałów komunikacji i nie zależy w żaden sposób od tego, czy korzystasz z własnych, dzierżawionych kanałów, czy z usług publicznie dostępnych sieci terytorialnych, takich jak Internet.

Jednak korzystanie z sieci publicznych (mówimy głównie o Internecie) dodatkowo pogarsza sytuację. Rzeczywiście korzystanie z Internetu zwiększa niebezpieczeństwo przechwycenia danych przesyłanych liniami komunikacyjnymi, niebezpieczeństwo nieuprawnionego wejścia do węzłów sieci, ponieważ obecność ogromnej liczby hakerów w Internecie zwiększa prawdopodobieństwo prób nielegalnego przedostania się do sieci komputer. Stanowi to ciągłe zagrożenie dla sieci podłączonych do Internetu.

Celem jest sam Internet różne rodzaje intruzi. Ponieważ Internet został stworzony jako otwarty system przeznaczony do swobodnej wymiany informacji, wcale nie jest zaskakujące, że prawie wszystkie protokoły w stosie TCP/IP mają „wrodzone” wady bezpieczeństwa. Korzystając z tych niedociągnięć-| Jednak napastnicy coraz częściej próbują uzyskać nieautoryzowany dostęp do informacji przechowywanych na stronach internetowych.

Systematyczne podejście do bezpieczeństwa

Budowa i wsparcie bezpieczny system wymaga systematycznego podejścia. Zgodnie z tym podejściem należy przede wszystkim zrozumieć całą gamę możliwych zagrożeń dla konkretnej sieci i przemyśleć taktykę dla każdego z tych zagrożeń. jej refleksje. W tej walce można i należy stosować najróżniejsze środki i techniki - moralne, etyczne i legislacyjne, administracyjne i psychologiczne, a także możliwości ochronne oprogramowania i sprzętu sieciowego.

DO moralne i etyczneśrodki ochrony obejmują wszelkiego rodzaju normy, które rozwinęły się w miarę rozprzestrzeniania się narzędzi komputerowych w danym kraju. Przykładowo, tak jak w walce z pirackim kopiowaniem programów stosuje się obecnie głównie środki edukacyjne, tak trzeba wpajać ludziom w świadomość niemoralność wszelkich prób naruszania poufności, integralności i dostępności cudzych zasobów informacyjnych.

Ustawodawczyśrodkami zaradczymi są ustawy, rozporządzenia rządowe oraz dekrety, rozporządzenia i standardy prezydenckie, które regulują zasady wykorzystywania i przetwarzania informacji o zastrzeżonym dostępie, a także wprowadzają kary za naruszenie tych zasad. Regulacja prawna działania w zakresie bezpieczeństwa informacji mają na celu ochronę informacji stanowiących tajemnica państwowa, zapewnienie praw konsumentów do otrzymania produktów wysokiej jakości, ochrona prawa konstytucyjne obywateli do ochrony prywatności i zwalczania przestępczości zorganizowanej.

Środki administracyjne - Są to działania podejmowane przez kierownictwo przedsiębiorstwa lub organizacji w celu zapewnienia bezpieczeństwa informacji. Takie środki obejmują konkretne zasady praca pracowników przedsiębiorstwa, na przykład godziny pracy pracowników, ich opisy stanowisk, ściśle określając procedurę pracy z informacje poufne na komputerze. DO środki administracyjne Obowiązują także zasady zakupu przez przedsiębiorstwo sprzętu zabezpieczającego. Urzędnicy administracji odpowiedzialni za ochronę informacji muszą określić, jak bezpieczne jest używanie produktów zakupionych od zagranicznych dostawców. Dotyczy to zwłaszcza produktów związanych z szyfrowaniem. W takich przypadkach wskazane jest sprawdzenie, czy produkt posiada certyfikat wydany przez rosyjskie organizacje badawcze.

Środki psychologiczne systemy bezpieczeństwa mogą odegrać znaczącą rolę we wzmacnianiu bezpieczeństwa systemu. Zaniedbanie uwzględnienia aspektów psychologicznych w nieformalnych procedurach związanych z bezpieczeństwem może prowadzić do naruszeń ochrony. Rozważmy na przykład sieć korporacyjną z wieloma zdalnymi użytkownikami. Użytkownicy powinni od czasu do czasu zmieniać swoje hasła (powszechna praktyka zapobiegająca zgadywaniu haseł). W tym systemie administrator wybiera hasła. W takich warunkach osoba atakująca może zadzwonić do administratora i spróbować uzyskać hasło w imieniu uprawnionego użytkownika. Na duże ilości zdalnych użytkowników, możliwe, że taka prosta technika psychologiczna mogłaby zadziałać.

DO fizycznyśrodki ochrony obejmują ekranowanie pomieszczeń w celu ochrony przed promieniowaniem, sprawdzanie dostarczonego sprzętu pod kątem zgodności ze specyfikacją i braku „błędów” sprzętowych, zewnętrzne urządzenia nadzoru, urządzenia blokujące fizyczny dostęp do poszczególnych jednostek komputerowych, różne zamki i inny sprzęt zabezpieczający pomieszczenia, miejsca, w którym znajdują się nośniki danych, przed nielegalnym wjazdem itp. itp.

TechnicznyŚrodki bezpieczeństwa informacji realizowane są poprzez oprogramowanie i sprzęt sieci komputerowych. Narzędzia takie, zwane także usługami bezpieczeństwa sieci, rozwiązują szeroką gamę zadań związanych z ochroną systemu, na przykład kontrolę dostępu, w tym procedury uwierzytelniania i autoryzacji, audyt, szyfrowanie informacji, ochronę antywirusową, kontrolę grafika sieciowa i wiele innych zadań. Techniczne środki bezpieczeństwa mogą być wbudowane w oprogramowanie ( systemy operacyjne i aplikacje) oraz sprzęt (komputery i sprzęt komunikacyjny) do obsługi sieci lub są wdrażane w postaci odrębnych produktów stworzonych specjalnie w celu rozwiązywania problemów związanych z bezpieczeństwem.

Polityka bezpieczeństwa

Znaczenie i złożoność problemu bezpieczeństwa wymaga rozwoju polityki bezpieczeństwa informacji, co implikuje odpowiedzi na następujące pytania:

• Jakie informacje należy chronić?
• Jakie szkody poniesie firma w przypadku utraty lub ujawnienia określonych danych?
• Kto lub co jest potencjalnym źródłem zagrożenia, Co jakiego rodzaju ataki na bezpieczeństwo systemu można przeprowadzić?
• Jakie środki należy zastosować, aby chronić każdy rodzaj informacji?

Tworząc politykę bezpieczeństwa specjaliści odpowiedzialni za bezpieczeństwo systemu muszą wziąć pod uwagę kilka podstawowych zasad. Jedną z tych zasad jest zapewnienie każdemu pracownikowi przedsiębiorstwa minimalny poziom uprawnień dostępu do danych niezbędnych mu do wykonywania obowiązków służbowych. Biorąc pod uwagę, że większość naruszeń bezpieczeństwa w przedsiębiorstwach jest popełniana przez ich własnych pracowników, ważne jest wprowadzenie jasnych ograniczeń dla wszystkich użytkowników sieci, bez dawania im zbędnych możliwości.

Następna zasada- użycie zintegrowane podejście aby zapewnić bezpieczeństwo. Aby utrudnić atakującemu dostęp do danych, należy zapewnić ich jak najwięcej różne środki bezpieczeństwo, począwszy od zakazów organizacyjnych i administracyjnych, a skończywszy na wbudowanych urządzeniach sieciowych. Zakaz administracyjny do pracy w niedzielę stawia potencjalnego intruza pod wizualną kontrolą administratora i innych użytkowników, fizyczne zabezpieczenia (zamknięty lokal, zamykanie na klucze) ograniczają bezpośredni kontakt użytkownika jedynie z przypisanym mu komputerem, wbudowane narzędzia sieciowe OS (uwierzytelnianie i system autoryzacji) uniemożliwiają wejście do sieci nielegalnych użytkowników, a dla legalnego użytkownika ograniczają możliwości jedynie do operacji mu dozwolonych (podsystem audytu rejestruje jego działania). Taki system ochrony z wielokrotną redundancją środków bezpieczeństwa zwiększa prawdopodobieństwo bezpieczeństwa danych.

Podczas korzystania z wielopoziomowego systemu bezpieczeństwa ważne jest zapewnienie równowaga niezawodności ochrony na wszystkich poziomach. Jeśli wszystkie wiadomości w sieci są zaszyfrowane, Ale Ponieważ klucze są łatwo dostępne, efekt szyfrowania jest zerowy. Lub jeśli komputery mają zainstalowany system plików obsługujący selektywny dostęp na poziomie poszczególnych plików, ale można zdobyć dysk twardy i zainstalować go na innym komputerze, wówczas wszystkie zalety ochrony systemu plików zostaną zredukowane do zera. Jeśli ruch zewnętrzny w sieci podłączonej do Internetu przechodzi przez potężną zaporę sieciową, ale użytkownicy mogą komunikować się z hostami internetowymi za pośrednictwem łączy dial-up przy użyciu lokalnie zainstalowanych modemów, wówczas pieniądze (zwykle całkiem spore) wydane na zaporę mogą należy uznać za wyrzucone na wiatr.

Następny uniwersalna zasada to użycie środków, które w przypadku niepowodzenia przechodzą w stan maksymalna ochrona. Dotyczy to jak najbardziej różne środki bezpieczeństwo. Jeżeli np. zepsuje się automatyczny punkt kontrolny w jakimkolwiek obiekcie, należy go ustawić w takim położeniu, aby żadna osoba nie mogła wejść na chroniony obszar. A jeśli w sieci jest urządzenie, które analizuje cały ruch przychodzący i odrzuca ramki z określonym, z góry określonym adresem zwrotnym, to w przypadku awarii powinno całkowicie zablokować wejście do sieci. Za niedopuszczalne należy uznać urządzenie, które w przypadku awarii umożliwiłoby wpuszczenie do sieci całego ruchu zewnętrznego.

Zasada jednego punktu kontrolnego - Cały ruch wchodzący do sieci wewnętrznej i wychodzący do sieci zewnętrznej musi przechodzić przez pojedynczy węzeł sieci, na przykład przez zaporę ogniową. Tylko to pozwala na wystarczającą kontrolę ruchu. W przeciwnym wypadku, gdy w sieci znajduje się wiele stacji użytkowników, które posiadają niezależny dostęp do sieci zewnętrznej, bardzo trudno jest skoordynować zasady ograniczające prawa użytkowników sieci wewnętrznej do dostępu do serwerów sieci zewnętrznej i odwrotnie – prawa klientów zewnętrznych aby uzyskać dostęp do wewnętrznych sieci zasobów.

Zasada równoważenia ewentualnych szkód wynikających z realizacji zagrożenia i kosztów zapobiegania mu.Żaden system bezpieczeństwa nie gwarantuje 100% ochrony danych, ponieważ jest to wynik kompromisu pomiędzy możliwymi zagrożeniami i możliwymi kosztami. Ustalając politykę bezpieczeństwa, administrator musi wyważyć wielkość szkód, jakie może ponieść przedsiębiorstwo w wyniku naruszenia bezpieczeństwa danych i skorelować ją z wysokością kosztów niezbędnych do zapewnienia bezpieczeństwa tych danych. Tak więc w niektórych przypadkach można porzucić kosztowną zaporę sieciową na rzecz standardowych narzędzi filtrujących zwykłego routera, podczas gdy w innych można ponieść niespotykane dotąd koszty. Najważniejsze jest to podjęta decyzja było uzasadnione ekonomicznie.

Ustalając politykę bezpieczeństwa sieci z dostępem do Internetu, eksperci zalecają podzielenie zadania na dwie części: opracowanie polityki dostępu do usług sieciowych Internetu oraz opracowanie polityki dostępu do zasobów w sieci wewnętrznej firmy.

Polityka dostępu do usług sieciowych obejmuje m.in następujące punkty:

• Zdefiniuj listę usług internetowych, do których użytkownicy sieci wewnętrznej powinni mieć ograniczony dostęp.
• Definiowanie ograniczeń metod dostępu, takich jak użycie protokołu SLIP (Serial Line Internet Protocol) i PPP (Point-to-Point Protocol).
• Decydowanie, czy użytkownicy zewnętrzni z Internetu mogą uzyskać dostęp do sieci wewnętrznej. Jeśli tak, to komu? Często dostęp możliwy jest jedynie w przypadku niektórych usług, które są absolutnie niezbędne do funkcjonowania przedsiębiorstwa, np. poczty elektronicznej.

Politykę dostępu do zasobów w sieci wewnętrznej firmy można wyrazić w jednej z dwóch zasad:

· zakazać wszystkiego, co nie jest wyraźnie dozwolone;

· zezwalać na wszystko, co nie jest wyraźnie zabronione.

Zgodnie z wybraną zasadą określane są zasady przetwarzania grafiki zewnętrznej przez firewalle lub routery. Wdrożenie ochrony w oparciu o pierwszą zasadę zapewnia wyższy stopień bezpieczeństwa, jednak może to spowodować większe niedogodności dla użytkowników, a dodatkowo ten sposób ochrony będzie znacznie droższy. Wdrażając drugą zasadę, sieć będzie mniej bezpieczna, ale będzie wygodniejsza w obsłudze i będzie wymagała mniejszych kosztów.

W dzisiejszym globalnym świecie bezpieczeństwo sieci ma kluczowe znaczenie. Przedsiębiorstwa muszą zapewnić pracownikom bezpieczny dostęp do zasobów sieciowych w dowolnym momencie, dla czego nowoczesna strategia bezpieczeństwa sieci musi uwzględniać szereg czynników, takich jak zwiększenie niezawodności sieci, skuteczne zarządzanie bezpieczeństwo i ochrona przed stale ewoluującymi zagrożeniami i nowymi metodami ataków. Dla wielu firm problem zapewnienia bezpieczeństwa sieci staje się coraz bardziej złożony, ponieważ... Dzisiejsza mobilna siła robocza, wykorzystująca w pracy osobiste smartfony, laptopy i tablety, stwarza nowe potencjalne wyzwania. Jednocześnie hakerzy również nie pozostają bezczynni i tworzą coraz bardziej wyrafinowane nowe zagrożenia cybernetyczne.

Niedawna ankieta przeprowadzona wśród specjalistów IT zarządzających bezpieczeństwem sieci [przeprowadzona przez Slashdotmedia] wykazała, że ​​wśród ważnych czynników przy wyborze rozwiązań w zakresie bezpieczeństwa sieci prawie połowa ankietowanych jako najwyższy priorytet uznała niezawodność wybranego rozwiązania sieciowego.

Zadane pytanie: Jakie czynniki są dla Twojej firmy najważniejsze przy wyborze rozwiązania w zakresie bezpieczeństwa sieci?

Luki w zabezpieczeniach sieci pozostały otwarte cała seria potencjalne problemy i narażają firmę na różnorodne ryzyka. Za ich pośrednictwem może dojść do naruszenia bezpieczeństwa systemów informatycznych, kradzieży informacji, pracownicy i klienci mogą mieć problemy z dostępem do zasobów, do których są uprawnieni, co może zmusić klientów do przejścia do konkurencji.

Przestoje w świadczeniu usług ze względów bezpieczeństwa mogą mieć inne konsekwencje finansowe. Na przykład strona internetowa, która nie działa w godzinach szczytu, może generować zarówno bezpośrednie straty, jak i silny negatywny PR, co oczywiście wpłynie na przyszłą sprzedaż. Ponadto w niektórych branżach obowiązują rygorystyczne kryteria dostępności zasobów, których naruszenie może prowadzić do kar finansowych i innych nieprzyjemnych konsekwencji.

Oprócz niezawodności rozwiązań, na pierwszy plan wysunęło się dziś szereg kwestii. Przykładowo, około 23% ankietowanych specjalistów IT wskazuje koszt rozwiązania jako jeden z głównych problemów związanych z bezpieczeństwem sieci; Nie jest to zaskakujące, biorąc pod uwagę, że budżety IT były w ciągu ostatnich kilku lat znacznie ograniczone. Co więcej, około 20% respondentów uznało łatwość integracji za parametr priorytetowy przy wyborze rozwiązania. Jest to naturalne w środowisku, w którym dział IT musi robić więcej przy mniejszych zasobach.

Kończąc rozmowę na temat kluczowych parametrów przy wyborze rozwiązania, pragnę zauważyć, że tylko około 9% respondentów jako kluczowy czynnik przy wyborze rozwiązań z zakresu bezpieczeństwa sieci wskazało funkcje sieciowe. Przy wyborze rozwiązania zabezpieczającego sieć systemy korporacyjne i minimalizacji ryzyka z nim związanego, dla prawie połowy (ok. 48%) respondentów jednym z najważniejszych czynników była niezawodność sieci i związanego z nią rozwiązania.

Zadane pytanie: Jakiego rodzaju ataku sieciowego najbardziej obawia się Twoja organizacja IT?

Dziś korzystają z nich hakerzy różne metody ataki na sieci firmowe. Badanie wykazało, że specjaliści IT są najbardziej zaniepokojeni dwoma konkretnymi rodzajami ataków: atakami typu „odmowa usługi” (DoS) i podsłuchiwaniem (podsłuchiwanie) – ataki te są wymieniane jako najniebezpieczniejsze i traktowane priorytetowo przez około 25% respondentów. Natomiast 15% respondentów jako kluczowe zagrożenia wybrało ataki typu IP Spoofing i MITM (man-in-the-middle). Inne rodzaje zagrożeń uznano za priorytetowe dla niespełna 12% respondentów.

Zadane pytanie: Jeśli chodzi o luki w zabezpieczeniach urządzeń mobilnych, jakie są największe obawy Twojego zespołu IT?

Rosnąca obecnie liczba pracowników mobilnych i przyjęcie zasady „przynieś własne urządzenie” (BOYD) stawiają nowe wymagania w zakresie bezpieczeństwa sieci. Jednocześnie niestety liczba niebezpiecznych aplikacji sieciowych rośnie bardzo szybko. W 2013 roku HP przetestował ponad 2000 aplikacji i stwierdził, że 90% aplikacji ma luki w zabezpieczeniach. Sytuacja ta stwarza poważne zagrożenie dla bezpieczeństwa firmy i nie jest zaskakujące, że 54% respondentów uznało zagrożenia ze strony szkodliwych aplikacji za najbardziej niebezpieczne.

Podsumowując powyższe, można wyciągnąć następujący wniosek: nowoczesne rozwiązania w zakresie bezpieczeństwa sieci muszą między innymi posiadać następujące właściwości:

• potrafić pracować na siódmej warstwie modelu OSI (na poziomie aplikacji);
• móc powiązać konkretnego użytkownika z treścią ruchu;
• mieć zintegrowany z rozwiązaniem system ochrony przed atakami sieciowymi (IPS).
• wspierać wbudowaną ochronę przed atakami DoS i podsłuchiwaniem;
• ogólnie charakteryzują się wysokim stopniem niezawodności.

Kilka słów o praktyce zapewnienia bezpieczeństwa informacji w naszym kraju; Opiszmy pokrótce obecną dziedzinę prawa definiującą aspekty bezpieczeństwa informacji w Federacji Rosyjskiej. W Federacja Rosyjska Wszelkie kwestie związane z bezpieczeństwem informacji regulują następujące podstawowe przepisy:

• Ustawa federalna 149 „W sprawie informacji technologia informacyjna i ochrona informacji”;
• Ustawa federalna 152 „O ochronie danych osobowych”;
• Ustawa federalna 139 (zmiany w ustawie federalnej 149, ustawie o komunikacji i ustawie federalnej 436 o ochronie dzieci przed informacjami);
• Ustawa federalna 436 (o ochronie dzieci przed informacjami);
• Ustawa federalna 187 (o ochronie własność intelektualna i Internetu);
• Ustawa federalna 398 (w sprawie blokowania stron ekstremistycznych);
• Ustawa federalna nr 97 (o blogerach, zrównując ich z mediami);
• Ustawa federalna 242 (w sprawie umieszczania danych osobowych na terytorium Federacji Rosyjskiej).

Jednocześnie przepisy regulujące działalność w obszarach związanych z bezpieczeństwem informacji pociągają za sobą poważną odpowiedzialność za naruszenie niektórych przepisów, np.:

• z art. 137 Kodeksu karnego Federacji Rosyjskiej (nielegalne gromadzenie lub rozpowszechnianie informacji o prywatność osób) – karę pozbawienia wolności do lat czterech;
• zgodnie z art. 140 Kodeksu karnego Federacji Rosyjskiej ( bezprawną odmowę w dostarczaniu zebranych w w przepisany sposób dokumentów i materiałów) – kara pieniężna lub pozbawienie prawa do zajmowania pewne stanowiska lub angażować się w określoną działalność przez okres od 2 do 5 lat;
• zgodnie z art. 272 ​​Kodeksu karnego Federacji Rosyjskiej (nielegalny dostęp do informacji komputerowych chronionych przez prawo) - kara pozbawienia wolności do lat 5.

Dla większości rosyjskich przedsiębiorstw znaczenie kwestii bezpieczeństwa sieci wiąże się przede wszystkim z faktem, że w jakiś sposób przetwarzają one dane osób fizycznych (przynajmniej dane swoich pracowników). W związku z tym, niezależnie od rodzaju działalności, każda firma musi uwzględniać wymagania ustawodawstwa Federacji Rosyjskiej i jest zobowiązana do stosowania różnych środków organizacyjnych i technicznych w celu ochrony informacji. Konkretne środki dotyczące ochrony tej lub innej informacji są określone w odpowiednich przepisach Normy rosyjskie Bezpieczeństwo informacji (GOST R ISO/IEC 15408, GOST R ISO 27001 itp.), a także dokumenty regulujące Federalnej Służby Kontroli Technicznej i Eksportu (na przykład zarządzenie FSTEC nr 58 z 02.05.10, definiujące metody i środki ochrony systemów, przetwarzania danych osobowych).

Przestrzeganie przez przedsiębiorstwa wymogów prawa federalnego jest obecnie monitorowane przez trzy agencja rządowa: Służba federalna bezpieczeństwo (FSB), Roskomnadzor i FSTEC. Kontrola odbywa się w drodze planowych i niezapowiedzianych inspekcji, w wyniku których firma może zostać pociągnięta do odpowiedzialności.

Tym samym ignorowanie problemu zapewnienia bezpieczeństwa sieci w naszym kraju może nie tylko przynieść biznesowi ogromne straty, ale także wiązać się z odpowiedzialnością karną konkretnych menadżerów firm.

Wniosek

Zagrożenia dla bezpieczeństwa informacji stają się coraz bardziej złożone, a hakerzy i cyberprzestępcy wykorzystują nowe techniki i przeprowadzają coraz bardziej wyrafinowane ataki w celu naruszenia bezpieczeństwa systemów i kradzieży danych.

Zwalczanie nowych ataków wymaga rozwiązań w zakresie bezpieczeństwa sieci i opracowania strategii bezpieczeństwa sieci, która uwzględnia kwestie niezawodności, kosztów i integracji z innymi systemami informatycznymi. Opracowywane rozwiązania muszą być niezawodne, zapewniać ochronę przed atakami na poziomie aplikacji i umożliwiać identyfikację ruchu.

Z tego wszystkiego nasuwa się prosty wniosek – we współczesnym świecie nie można lekceważyć kwestii bezpieczeństwa informacji; W odpowiedzi na nowe zagrożenia konieczne jest poszukiwanie nowych podejść do realizacji strategii ochrony informacji oraz stosowanie nowych metod i narzędzi zapewniających bezpieczeństwo sieci.

Nasze poprzednie publikacje:
»

· Podstawowe pojęcia bezpieczeństwa

· Poufność, integralność i dostępność danych

· Klasyfikacja zagrożeń

· Systematyczne podejście do bezpieczeństwa

· Polityka bezpieczeństwa

· Podstawowe technologie bezpieczeństwa

· Technologia bezpiecznego kanału

Technologie uwierzytelniania

· Uwierzytelnianie sieciowe w oparciu o hasło wielokrotnego użytku

· Uwierzytelnianie za pomocą hasła jednorazowego

· Uwierzytelnianie oparte na certyfikatach

Uwierzytelnianie informacji

· System Kerberos

· Uwierzytelnianie podstawowe

· Uzyskanie pozwolenia na dostęp do serwera zasobów

· Uzyskanie dostępu do zasobu

· Zalety i wady

· Zadania i ćwiczenia

Rozważając bezpieczeństwo systemów informatycznych, zazwyczaj wyróżnia się dwie grupy problemów: bezpieczeństwo komputerów i bezpieczeństwo sieci. Bezpieczeństwo komputerowe obejmuje całokształt problemów ochrony danych przechowywanych i przetwarzanych przez komputer, który jest uważany za system autonomiczny. Problemy te rozwiązują systemy operacyjne i aplikacje, takie jak bazy danych, a także sprzęt wbudowany w komputer. Bezpieczeństwo sieci odnosi się do wszelkich zagadnień związanych ze współpracą urządzeń w sieci, oznacza to przede wszystkim ochronę danych w momencie ich transmisji liniami komunikacyjnymi oraz ochronę przed nieuprawnionym zdalnym dostępem do sieci. I choć czasami trudno oddzielić od siebie problemy bezpieczeństwa komputerów i sieci, są one na tyle ze sobą powiązane, że dość oczywiste jest, że bezpieczeństwo sieci ma swoją specyfikę.

Samodzielny komputer można skutecznie chronić przed atakami zewnętrznymi na różne sposoby, na przykład po prostu blokując klawiaturę lub wyjmując dysk twardy i umieszczając go w sejfie. Komputer pracujący w sieci z definicji nie może całkowicie odizolować się od świata, musi komunikować się z innymi komputerami, być może nawet znajdującymi się w dużych odległościach, dlatego zapewnienie bezpieczeństwa sieci jest zadaniem znacznie bardziej złożonym. Logiczne wejście obcego użytkownika na Twój komputer jest normalną sytuacją, jeśli pracujesz w sieci. Zapewnienie bezpieczeństwa w takiej sytuacji sprowadza się do kontrolowania tej penetracji – każdy użytkownik sieci musi mieć jasno określone prawa dostępu do informacji, urządzeń zewnętrznych i wykonywania działania systemowe na każdym komputerze w sieci.

Oprócz problemów generowanych przez możliwość zdalnego logowania się do komputerów w sieci, sieci ze swej natury są podatne na innego rodzaju zagrożenia - przechwytywanie i analizę wiadomości przesyłanych w sieci, a także tworzenie „fałszywego” ruchu. Większość narzędzi bezpieczeństwa sieci ma na celu zapobieganie tego typu naruszeniom.

Zagadnienia bezpieczeństwa sieci nabierają szczególnego znaczenia obecnie, gdy w budowie sieci korporacyjnych następuje przejście od wykorzystania kanałów dedykowanych do sieci publicznych (Internet, Frame Relay). Dostawcy usług sieci publicznych rzadko chronią dane użytkowników przesyłane przez ich szkielet, pozostawiając użytkowników martwiących się o ich poufność, integralność i dostępność.

Podstawowe koncepcje bezpieczeństwa

Poufność, integralność i dostępność danych

Bezpieczny system informacyjny to system, który po pierwsze chroni dane przed nieuprawnionym dostępem, po drugie jest zawsze gotowy do udostępnienia ich swoim użytkownikom, a po trzecie bezpiecznie przechowuje informacje i gwarantuje niezmienność danych. Zatem bezpieczny system z definicji ma właściwości poufności, dostępności i integralności.

• Poufność to gwarancja, że ​​dane wrażliwe będą dostępne tylko dla tych użytkowników, którzy mają do nich zezwolenie (tacy użytkownicy nazywani są autoryzowanymi).
• Dostępność to gwarancja, że ​​autoryzowani użytkownicy zawsze będą mieli dostęp do danych.
• Integralność – gwarancja bezpieczeństwa danych prawidłowe wartości, co gwarantuje, że nieuprawnionym użytkownikom nie wolno w żaden sposób zmieniać, modyfikować, niszczyć ani tworzyć danych.

Wymagania bezpieczeństwa mogą się różnić w zależności od przeznaczenia systemu, charakteru wykorzystywanych danych oraz rodzaju ewentualnych zagrożeń. Trudno wyobrazić sobie system, dla którego właściwości integralności i dostępności nie byłyby istotne, ale nie zawsze wymagana jest cecha poufności. Na przykład, jeśli publikujesz informacje w Internecie na serwerze WWW i Twoim celem jest udostępnienie ich jak najszerszemu gronu osób, wówczas poufność w tym przypadku nie jest wymagane. Wymogi dotyczące integralności i dostępności pozostają jednak istotne.

Rzeczywiście, jeśli nie podejmiesz specjalnych środków w celu zapewnienia integralności danych, osoba atakująca może zmienić dane na Twoim serwerze i tym samym wyrządzić szkody Twojemu przedsiębiorstwu. Przestępca może na przykład wprowadzić zmiany w cenniku zamieszczonym na serwerze internetowym, co zmniejszyłoby konkurencyjność Twojej firmy lub uszkodzić kody swobodnie dystrybuowane przez Twoją firmę. oprogramowanie, co z pewnością wpłynie na jej wizerunek biznesowy.

Równie ważne w tym przykładzie jest zapewnienie dostępności danych. Przedsiębiorstwo, wydając znaczne pieniądze na utworzenie i utrzymanie serwera w Internecie, ma prawo liczyć na zwrot: wzrost liczby klientów, wzrost sprzedaży itp. Istnieje jednak możliwość, że atakujący przeprowadzić atak, w wyniku którego dane umieszczone na serwerze staną się niedostępne dla osób, dla których były przeznaczone. Przykładem takich złośliwych działań jest bombardowanie serwera pakietami IP z nieprawidłowym adresem zwrotnym, co zgodnie z logiką tego protokołu może spowodować przekroczenie limitu czasu i ostatecznie sprawić, że serwer będzie niedostępny dla wszystkich innych żądań.

Pojęcia poufności, dostępności i integralności można definiować nie tylko w odniesieniu do informacji, ale także do innych zasobów w sieci komputerowej, takich jak urządzenia czy aplikacje zewnętrzne. Jest ich wiele zasoby systemowe, których możliwość „nielegalnego” wykorzystania może prowadzić do naruszenia bezpieczeństwa systemu. Przykładowo nieograniczony dostęp do urządzenia drukującego pozwala atakującemu uzyskać kopie drukowanych dokumentów, zmienić ustawienia, co może skutkować zmianą kolejności pracy, a nawet uszkodzeniem urządzenia. Właściwość prywatności zastosowaną do urządzenia drukującego można interpretować w ten sposób, że ci i tylko ci użytkownicy, którzy są upoważnieni do dostępu do urządzenia, mogą wykonywać na urządzeniu tylko te operacje, które są dla nich zdefiniowane. Dostępność urządzenia oznacza, że ​​jest ono gotowe do użycia zawsze, gdy zajdzie taka potrzeba. Natomiast właściwość integralności można zdefiniować jako właściwość niezmienności ustawień tego urządzenia. Legalność korzystania z urządzeń sieciowych jest istotna nie tylko dlatego, że wpływa na bezpieczeństwo danych. Urządzenia mogą zapewnić różne usługi: drukowanie tekstów, wysyłanie faksów, dostęp do Internetu, e-mail itp., których nielegalne spożycie, wyrządzając szkodę materialną przedsiębiorstwu, stanowi jednocześnie naruszenie bezpieczeństwa systemu.

Każde działanie, którego celem jest naruszenie poufności, integralności i/lub dostępności informacji, a także nielegalne wykorzystanie innych zasobów sieciowych, nazywane jest zagrożeniem. Zrealizowane zagrożenie nazwać atakiem. Ryzyko to probabilistyczna ocena wielkości możliwych szkód, jakie może ponieść właściciel źródło informacji w wyniku udanego ataku. Im wyższe ryzyko, tym bardziej jesteś bezbronny istniejącego systemu bezpieczeństwo i większe prawdopodobieństwo ataku.

Klasyfikacja zagrożeń

Nie ma uniwersalnej klasyfikacji zagrożeń, być może także dlatego, że nie ma limitu kreatywność ludzi i każdego dnia wykorzystywane są nowe metody nielegalnej penetracji sieci, opracowywane są nowe sposoby monitorowania ruchu sieciowego, pojawiają się nowe wirusy, wykrywane są nowe wady w istniejącym oprogramowaniu i sprzęcie sieciowym. W odpowiedzi opracowywane są coraz bardziej wyrafinowane mechanizmy obronne, które udaremniają wiele rodzajów zagrożeń, by same stać się nowymi celami. Niemniej jednak spróbujemy dokonać pewnych uogólnień. Zatem przede wszystkim zagrożenia można podzielić na zamierzone i niezamierzone.

Zagrożenia niezamierzone powstają na skutek błędnych działań lojalnych pracowników i wynikają z ich niskich kwalifikacji lub nieodpowiedzialności. Ponadto tego typu zagrożenie obejmuje konsekwencje zawodnego działania oprogramowania i sprzętu systemu. Na przykład awaria dysku, kontrolera dysku lub całego serwera plików może spowodować, że dane krytyczne dla funkcjonowania przedsiębiorstwa staną się niedostępne. Dlatego kwestie bezpieczeństwa są tak ściśle powiązane z kwestiami niezawodności i odporności na awarie urządzeń technicznych. Zagrożeniom bezpieczeństwa wynikającym z zawodności oprogramowania i sprzętu zapobiega się poprzez ich udoskonalanie, stosując redundancję na poziomie sprzętowym (macierze RAID, komputery wieloprocesorowe, zasilacze awaryjne, architektury klastrowe) lub na poziomie macierzy danych (replikacja plików, tworzenie kopii zapasowych) .

Zamierzone zagrożenia mogą ograniczać się do pasywnego odczytu danych lub monitorowania systemu lub obejmować aktywne działania na przykład naruszenie integralności i dostępności informacji, powodujące niemożność działania aplikacji i urządzeń. Zatem celowe zagrożenia powstają w wyniku działań hakerów i mają wyraźnie na celu wyrządzenie szkody przedsiębiorstwu.

W sieciach komputerowych można wyróżnić następujące rodzaje zagrożeń celowych:

• nielegalne wejście na jeden z komputerów sieciowych pod przykrywką legalnego użytkownika;
• zniszczenie systemu za pomocą programów wirusowych;
• nielegalne działania legalnego użytkownika;
• „podsłuchiwanie” ruchu intranetowego.

Nielegalnej penetracji można dokonać poprzez luki w zabezpieczeniach wykorzystujące nieudokumentowane możliwości systemu operacyjnego. Możliwości te mogą pozwolić atakującemu na „ominięcie” standardowa procedura, który kontroluje wejście do sieci.

Innym sposobem nielegalnego przedostania się do sieci jest wykorzystanie haseł „innych osób” uzyskanych w wyniku szpiegowania, odszyfrowania pliku haseł, odgadnięcia haseł lub uzyskania hasła poprzez analizę ruchu sieciowego. Szczególnie niebezpieczna jest penetracja atakującego pod nazwiskiem użytkownika o dużych uprawnieniach, np. administratora sieci. W celu zdobycia hasła administratora atakujący może podjąć próbę zalogowania się do sieci pod nazwą zwykłego użytkownika. Dlatego bardzo ważne jest, aby wszyscy użytkownicy Internetu zachowali swoje hasła w tajemnicy, a także wybierali je w taki sposób, aby jak najbardziej utrudnić ich odgadnięcie.

Osoba atakująca wybiera hasła za pomocą specjalnych programów, które działają poprzez wyliczanie słów z pliku zawierającego dużą liczbę słów. Zawartość pliku słownika jest tworzona z uwzględnieniem cechy psychologiczne osoby, które wyrażają się w tym, że osoba wybiera jako hasło łatwe do zapamiętania słowa lub kombinacje liter.

Innym sposobem uzyskania hasła jest wprowadzenie „konia trojańskiego” do komputera innej osoby. Jest to nazwa programu rezydentnego, który działa bez wiedzy właściciela komputera i wykonuje działania określone przez atakującego. W szczególności tego typu programy potrafią odczytać kody haseł wprowadzone przez użytkownika podczas logicznego logowania.

Program typu koń trojański jest zawsze zamaskowany pod jakąś postacią przydatne narzędzie lub grę, ale wykonuje działania niszczące system. Programy wirusowe działają na tej samej zasadzie, a ich charakterystyczną cechą jest możliwość „infekowania” innych plików poprzez wprowadzenie do nich własnych kopii. Najczęściej wirusy infekują pliki wykonywalne. Kiedy taki kod wykonywalny jest ładowany do BARAN do egzekucji, wraz z nim wirus otrzymuje możliwość przeprowadzenia swoich destrukcyjnych działań. Wirusy mogą powodować uszkodzenia lub nawet całkowitą utratę informacji.

Nielegalne działania legalnego użytkownika - tego typu zagrożenie pochodzi od legalnych użytkowników sieci, którzy korzystając ze swoich uprawnień, starają się dokonywać czynności wykraczających poza zakres ich obowiązków służbowych. Na przykład administrator sieci ma praktycznie nieograniczone prawa dostępu do wszystkich zasobów sieciowych. Jednakże w przedsiębiorstwie mogą znajdować się informacje, do których administrator sieci nie ma dostępu. Aby wyegzekwować te ograniczenia, można zastosować specjalne środki, takie jak szyfrowanie danych, ale nawet w tym przypadku administrator może podjąć próbę uzyskania dostępu do klucza. Zwykły użytkownik sieci może także próbować podejmować nielegalne działania. Istniejące statystyki pokazują, że prawie połowa wszystkich prób naruszenia bezpieczeństwa systemu jest podejmowana przez pracowników przedsiębiorstw, którzy są legalnymi użytkownikami sieci.

Podsłuchiwanie ruchu intranetowego to nielegalne monitorowanie sieci, przechwytywanie i analizowanie komunikacji sieciowej. Dostępnych jest wiele programowych i sprzętowych analizatorów ruchu, które sprawiają, że to zadanie jest dość trywialne. Ochrona przed tego typu zagrożeniami staje się jeszcze trudniejsza w globalnie połączonych sieciach. Łączność globalna, rozciągająca się na dziesiątki i tysiące kilometrów, jest ze swej natury mniej bezpieczna niż komunikacja lokalna (więcej możliwości podsłuchiwania ruchu, wygodniejsza pozycja dla atakującego podczas przeprowadzania procedur uwierzytelniania). Zagrożenie to jest w równym stopniu nieodłącznym elementem wszystkich rodzajów kanałów komunikacji terytorialnej i nie zależy w żaden sposób od tego, czy korzystasz z własnych, dzierżawionych kanałów, czy z usług publicznych sieci terytorialnych, takich jak Internet.

Jednak korzystanie z sieci publicznych (mówimy głównie o Internecie) dodatkowo pogarsza sytuację. Rzeczywiście korzystanie z Internetu zwiększa niebezpieczeństwo przechwycenia danych przesyłanych liniami komunikacyjnymi, niebezpieczeństwo nieuprawnionego wejścia do węzłów sieci, ponieważ obecność ogromnej liczby hakerów w Internecie zwiększa prawdopodobieństwo prób nielegalnego przedostania się do sieci komputer. Stanowi to ciągłe zagrożenie dla sieci podłączonych do Internetu.

Internet sam w sobie jest celem wszelkiego rodzaju atakujących. Ponieważ Internet został zaprojektowany jako otwarty system swobodnej wymiany informacji, nie jest zaskakujące, że praktycznie wszystkie protokoły w stosie TCP/IP mają nieodłączne wady bezpieczeństwa. Wykorzystując te braki, napastnicy coraz częściej próbują uzyskać nieautoryzowany dostęp do informacji przechowywanych na stronach internetowych.

Systematyczne podejście do bezpieczeństwa

Budowanie i utrzymywanie bezpiecznego systemu wymaga systematycznego podejścia. Zgodnie z tym podejściem należy przede wszystkim zrozumieć całą gamę możliwych zagrożeń dla danej sieci i dla każdego z tych zagrożeń przemyśleć taktykę jego odparcia. W tej walce można i należy stosować najróżniejsze środki i techniki - moralne, etyczne i legislacyjne, administracyjne i psychologiczne, a także możliwości ochronne oprogramowania i sprzętu sieciowego.

Moralne i etyczne środki ochrony obejmują wszelkiego rodzaju normy, które rozwinęły się w miarę rozprzestrzeniania się zaplecze komputerowe w tym czy innym kraju. Przykładowo, tak jak w walce z pirackim kopiowaniem programów stosuje się obecnie głównie środki edukacyjne, tak trzeba wpajać ludziom w świadomość niemoralność wszelkich prób naruszania poufności, integralności i dostępności cudzych zasobów informacyjnych.

Środki legislacyjne to ustawy, rozporządzenia rządowe oraz dekrety, rozporządzenia i standardy prezydenta, które regulują zasady wykorzystywania i przetwarzania informacji o ograniczonym dostępie, a także wprowadzają kary za naruszenie tych zasad. Regulacja prawna działań w zakresie ochrony informacji ma na celu ochronę informacji stanowiących tajemnicę państwową, zapewnienie konsumentom praw do otrzymania produktów wysokiej jakości, ochronę konstytucyjnych praw obywateli do zachowania tajemnicy osobistej oraz zwalczanie przestępczości zorganizowanej.

Środki administracyjne to działania podejmowane przez kierownictwo przedsiębiorstwa lub organizacji w celu zapewnienia bezpieczeństwa informacji. Do środków takich zaliczają się określone zasady pracy pracowników przedsiębiorstwa, na przykład godziny pracy pracowników, opisy stanowisk, które ściśle określają tryb pracy z poufnymi informacjami na komputerze. Do środków administracyjnych zaliczają się także zasady nabywania przez przedsiębiorstwo sprzętu zabezpieczającego. Urzędnicy administracji odpowiedzialni za ochronę informacji powinni ustalić, czy produkty zakupione od zagranicznych dostawców są bezpieczne w użyciu. Dotyczy to zwłaszcza produktów związanych z szyfrowaniem. W takich przypadkach wskazane jest sprawdzenie, czy produkt posiada certyfikat wydany przez rosyjskie organizacje badawcze.

Środki bezpieczeństwa psychologicznego mogą odegrać znaczącą rolę w zwiększaniu bezpieczeństwa systemu. Zaniedbanie uwzględnienia aspektów psychologicznych w nieformalnych procedurach związanych z bezpieczeństwem może prowadzić do naruszeń bezpieczeństwa. Rozważmy na przykład sieć korporacyjną z wieloma zdalnymi użytkownikami. Użytkownicy powinni od czasu do czasu zmieniać swoje hasła (powszechna praktyka zapobiegająca zgadywaniu haseł). W tym systemie administrator wybiera hasła. W takich warunkach osoba atakująca może zadzwonić do administratora i spróbować uzyskać hasło w imieniu uprawnionego użytkownika. Przy dużej liczbie zdalnych użytkowników możliwe jest, że będzie to takie proste technika psychologiczna może zadziałać.

Fizyczne środki ochrony obejmują ekranowanie pomieszczeń w celu ochrony przed promieniowaniem, sprawdzenie dostarczonego sprzętu pod kątem zgodności ze specyfikacjami i braku „błędów” sprzętowych, zewnętrzny sprzęt monitorujący, urządzenia blokujące fizyczny dostęp do poszczególnych jednostek komputerowych, różne zamki i inny sprzęt zabezpieczające pomieszczenia, w których znajdują się nośniki danych, przed nielegalnym wejściem itp. itp.

Techniczne środki bezpieczeństwa informacji realizowane są poprzez oprogramowanie i sprzęt sieci komputerowych. Narzędzia takie, zwane także usługami bezpieczeństwa sieci, rozwiązują szeroką gamę zadań związanych z ochroną systemu, takich jak kontrola dostępu, w tym procedury uwierzytelniania i autoryzacji, audyt, szyfrowanie informacji, ochrona antywirusowa, kontrola ruchu sieciowego i wiele innych zadań. Techniczne środki bezpieczeństwa mogą być wbudowane w oprogramowanie (systemy operacyjne i aplikacje) oraz sprzęt (komputery i sprzęt komunikacyjny) sieci lub wdrożone w postaci oddzielnych produktów stworzonych specjalnie w celu rozwiązywania problemów związanych z bezpieczeństwem.

Polityka bezpieczeństwa

Ważność i złożoność problemu bezpieczeństwa wymaga opracowania polityki bezpieczeństwa informacji, która implikuje odpowiedzi na następujące pytania:

• Jakie informacje należy chronić?
• Jakie szkody poniesie firma w przypadku utraty lub ujawnienia określonych danych?
• Kto lub co jest możliwe źródło zagrożeń, jakiego rodzaju ataki na bezpieczeństwo systemu można przeprowadzić?
• Jakie środki należy zastosować, aby chronić każdy rodzaj informacji?

Tworząc politykę bezpieczeństwa specjaliści odpowiedzialni za bezpieczeństwo systemu muszą wziąć pod uwagę kilka podstawowych zasad. Jedną z tych zasad jest zapewnienie każdemu pracownikowi przedsiębiorstwa minimalnego poziomu uprawnień dostępu do danych, jaki jest mu niezbędny do wykonywania obowiązków służbowych. Biorąc pod uwagę, że większość naruszeń w zakresie bezpieczeństwa przedsiębiorstw ma swoje źródło własnych pracowników ważne jest wprowadzenie jasnych ograniczeń dla wszystkich użytkowników sieci, bez dawania im zbędnych możliwości.

Kolejną zasadą jest stosowanie zintegrowanego podejścia do zapewnienia bezpieczeństwa. Aby utrudnić atakującemu dostęp do danych, konieczne jest zapewnienie różnorodnych zabezpieczeń, począwszy od ograniczeń organizacyjnych i administracyjnych, aż po wbudowany sprzęt sieciowy. Administracyjny zakaz pracy w niedziele stawia potencjalnego sprawcę naruszenia kontrola wizualna administratora i innych użytkowników, fizyczne zabezpieczenia (zamknięty lokal, zamykanie kluczy) ograniczają bezpośredni kontakt użytkownika jedynie z przypisanym mu komputerem, wbudowane narzędzia sieciowego systemu operacyjnego (system uwierzytelniania i autoryzacji) uniemożliwiają przedostanie się do sieci nielegalnych użytkowników, a dla . możliwości legalnego użytkownika ograniczane są jedynie przez dozwolone dla niego operacje (podsystem audytu rejestruje jego działania). Taki system ochrony z wielokrotną redundancją środków bezpieczeństwa zwiększa prawdopodobieństwo bezpieczeństwa danych.

Stosując wielopoziomowy system ochrony ważne jest zapewnienie równowagi pomiędzy niezawodnością ochrony na wszystkich poziomach. Jeśli wszystkie wiadomości w sieci są zaszyfrowane, ale klucze są łatwo dostępne, wówczas efekt szyfrowania wynosi zero. Lub jeśli twoje komputery mają system plików, który obsługuje selektywny dostęp na poziomie poszczególnych plików, ale jest to możliwe dysk twardy i zainstaluj go na innym komputerze, wówczas wszystkie zalety narzędzi do ochrony systemu plików zostaną zredukowane do zera. Jeśli ruch zewnętrzny do sieci podłączonej do Internetu przechodzi przez potężną zaporę ogniową, ale użytkownicy mogą komunikować się z hostami internetowymi za pośrednictwem łączy telefonicznych przy użyciu lokalnie zainstalowanych modemów, wówczas można rozważyć pieniądze (zwykle całkiem spore) wydane na zaporę marnotrawstwo.

Kolejną uniwersalną zasadą jest użycie środków, które w przypadku awarii przechodzą w stan maksymalnej ochrony. Dotyczy to szerokiej gamy funkcji bezpieczeństwa. Jeżeli np. zepsuje się automatyczny punkt kontrolny w jakimkolwiek obiekcie, należy go ustawić w takim położeniu, aby żadna osoba nie mogła wejść na chroniony obszar. A jeśli w sieci jest urządzenie, które analizuje cały ruch przychodzący i odrzuca ramki z określonym, z góry określonym adresem zwrotnym, to w przypadku awarii powinno całkowicie zablokować wejście do sieci. Urządzenie, które w przypadku awarii przepuszczałoby cały ruch zewnętrzny do sieci, byłoby uważane za niedopuszczalne.

Zasada pojedynczego punktu kontrolnego – cały ruch wchodzący do sieci wewnętrznej i wychodzący z sieci zewnętrznej musi przejść przez pojedynczy węzeł sieci, na przykład przez zaporę ogniową. Tylko to pozwala na wystarczającą kontrolę ruchu. W przeciwnym wypadku, gdy w sieci znajduje się wiele stacji użytkowników, które posiadają niezależny dostęp do sieci zewnętrznej, bardzo trudno jest skoordynować zasady ograniczające prawa użytkowników sieci wewnętrznej do dostępu do serwerów sieci zewnętrznej i odwrotnie – prawa klientów zewnętrznych aby uzyskać dostęp do wewnętrznych zasobów sieciowych.

Zasada równoważenia ewentualnych szkód wynikających z realizacji zagrożenia i kosztów zapobiegania mu. Żaden system bezpieczeństwa nie gwarantuje 100% ochrony danych, ponieważ jest to wynik kompromisu pomiędzy możliwe ryzyko i ewentualne koszty. Ustalając politykę bezpieczeństwa, administrator musi wyważyć wielkość szkód, jakie może ponieść przedsiębiorstwo w wyniku naruszenia bezpieczeństwa danych i powiązać ją z wysokością kosztów niezbędnych do zapewnienia bezpieczeństwa tych danych. Dlatego w niektórych przypadkach możesz porzucić kosztowną zaporę ogniową na rzecz standardowe środki filtrowanie zwykłego routera, podczas gdy w innych można przejść do niespotykanych dotąd kosztów. Najważniejsze, aby podjęta decyzja była uzasadniona ekonomicznie.

Ustalając politykę bezpieczeństwa sieci z dostępem do Internetu, eksperci zalecają podzielenie zadania na dwie części: opracowanie polityki dostępu do usług sieciowych Internetu oraz opracowanie polityki dostępu do zasobów sieci wewnętrznej firmy.

Polityka dostępu do usług sieciowych Internetu obejmuje następujące elementy:

• Zdefiniuj listę usług internetowych, do których użytkownicy sieci wewnętrznej powinni mieć ograniczony dostęp.
• Zdefiniuj ograniczenia metod dostępu, takie jak użycie protokołu SLIP (Serial Line Internet Protocol) i PPP (Point-to-Point Protocol). Ograniczenia metod dostępu są konieczne, aby uniemożliwić użytkownikom dostęp do „zakazanych” usług internetowych poprzez tylne drzwi. Przykładowo, jeśli w sieci zostanie zainstalowana specjalna bramka ograniczająca dostęp do Internetu, która nie pozwala użytkownikom na pracę w systemie WWW, będą oni mogli nawiązywać połączenia PPP z serwerami WWW poprzez linię komutowaną. Aby tego uniknąć, wystarczy zabronić korzystania z protokołu PPP.
• Zdecyduj, czy użytkownicy zewnętrzni z Internetu mogą uzyskać dostęp do sieci wewnętrznej. Jeśli tak, to komu? Często dostęp możliwy jest jedynie w przypadku niektórych usług, które są absolutnie niezbędne do funkcjonowania przedsiębiorstwa, np. poczty elektronicznej.

Politykę dostępu do zasobów w sieci wewnętrznej firmy można wyrazić w jednej z dwóch zasad:

• zabraniać wszystkiego, co nie jest wyraźnie dozwolone;
• zezwalać na wszystko, co nie jest wyraźnie zabronione.

Zgodnie z wybraną zasadą ustalane są zasady przetwarzania ruchu zewnętrznego przez zapory ogniowe lub routery. Wdrożenie ochrony w oparciu o pierwszą zasadę zapewnia wyższy stopień bezpieczeństwa, jednak może to spowodować większe niedogodności dla użytkowników, a ponadto ten sposób ochrony będzie znacznie droższy. Jeśli wdroży się drugą zasadę, sieć będzie mniej bezpieczna, ale będzie wygodniejsza w obsłudze i będzie wymagała mniejszych kosztów.

Podstawowe technologie bezpieczeństwa

Różne produkty programowe i sprzętowe przeznaczone do ochrony danych często wykorzystują te same podejścia, techniki i rozwiązania techniczne. Te podstawowe technologie zabezpieczeń obejmują uwierzytelnianie, autoryzację, audyt i technologię bezpiecznego kanału.

Szyfrowanie

Szyfrowanie jest podstawą wszystkich usług bezpieczeństwa informacji, niezależnie od tego, czy jest to system uwierzytelniania lub autoryzacji, sposób tworzenia bezpiecznego kanału, czy sposób bezpiecznego przechowywania danych.

Każda procedura szyfrowania, która przekształca informację ze zwykłej „zrozumiałej” formy w „nieczytelną” zaszyfrowaną formę, musi oczywiście zostać uzupełniona procedurą deszyfrowania, która po zastosowaniu do zaszyfrowanego tekstu przywraca go do zrozumiałej postaci. Para procedur – szyfrowanie i deszyfrowanie – nazywana jest kryptosystemem.

Informacje, na których wykonywane są funkcje szyfrowania i deszyfrowania, będziemy umownie nazywać „tekstem”, biorąc pod uwagę, że może to być również tablica numeryczna lub dane graficzne.

Nowoczesne algorytmy szyfrowania zapewniają obecność parametru - tajnego klucza. W kryptografii przyjmuje się zasadę Kerkhoffa: „Siła szyfru powinna zależeć jedynie od tajności klucza”. Zatem wszystkie standardowe algorytmy szyfrowania (np. DES, PGP) są powszechnie znane, ich szczegółowe opisy zawarte są w łatwo dostępnych dokumentach, ale nie zmniejsza to ich skuteczności. Osoba atakująca może wiedzieć o algorytmie szyfrowania wszystko poza tajnym kluczem (należy jednak zaznaczyć, że istnieje wiele algorytmów zastrzeżonych, których opis nie jest publikowany).

Algorytm szyfrowania uważa się za rozwiązany, jeżeli zostanie znaleziona procedura pozwalająca na znalezienie klucza w czasie rzeczywistym. Złożoność algorytmu ujawniania jest jedną z ważnych cech kryptosystemu i nazywa się ją siłą kryptograficzną.

Istnieją dwie klasy kryptosystemów – symetryczne i asymetryczne. W symetrycznych schematach szyfrowania (kryptografia klasyczna) tajny klucz szyfrujący jest taki sam, jak tajny klucz deszyfrujący. W asymetrycznych schematach szyfrowania (kryptografia klucza publicznego) publiczny klucz szyfrujący nie jest tym samym, co prywatny klucz deszyfrujący.