Доктрина информационной безопасности

Размещено на http://www.allbest.ru/

Доктрина информационной безопасности РФ

Утверждена Указом Президента РФ № 646 от 5 декабря 2016 г.

Под информационной безопасностью РФ понимается состояние защищенности ее национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства

Методы обеспечения информационной безопасности:

- правовые методы;

- организационно-технические методы;

- экономические методы.

Правовые методы: - разработка нормативных правовых актов регламентирующих отношения в информационной сфере (закон «О навигационной деятельности», «О связи»);

- разработка нормативных методических документов по вопросам обеспечения информационной безопасности РФ.

Организационно-технические методы:

- создание и совершенствование системы обеспечения информационной безопасности РФ;

- привлечение к ответственности лиц совершивших преступление в этой сфере;

- создание систем и средств предотвращения несанкционированного доступа к обрабатываемой информации и специальных воздействий, вызывающих разрушение, уничтожение, искажение информации;

- выявление технических устройств и программ, представляющих опасность для нормального функционирования информационно-телекоммуникационных систем; предотвращение НСД с применением средств криптографической защиты как при передаче, так и при хранении информации;

- контроль за действиями персонала, имеющих доступ к информации, подготовка кадров в области обеспечения информационной безопасности РФ;

- создание системы мониторинга показателей и характеристик информационной безопасности РФ.

Экономические методы включают в себя:

- разработку программ обеспечения информационной безопасности РФ и определение порядка их финансирования;

- совершенствование системы финансирования работ, связанных с обеспечением информационной безопасности России.

Доктрина служит основой для:

Формирование государственной политики в области обеспечения информационной безопасности России;

Подготовка предложений по совершению правого, методического, научно-технического и организационного обеспечения безопасности России;

Разработка целевых программ обеспечения безопасности России.

Основные понятия и определения в области информационной безопасности

Информационная безопасность - это такое состояние социума, при котором обеспечена надежная и всесторонняя защита личности, общества и государства от воздействия на них особого вида угроз, выступающих в форме организованных информационных потоков и направленных на деформацию общественного и индивидуального сознания; состояние защищенности национальных интересов РФ в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства.

Информационная безопасность в широком смысле - это информационная безопасность человека, общества и государства. В узком смысле ИБ - это безопасность самой информации и каналов ее приема (передачи), а также организация защиты от применения противником информационного оружия в ходе боевых действий.

Безопасность сети - это защита ее от случайного или преднамеренного вмешательства в нормальный процесс функционирования, а также от попыток хищения, изменения или разрушения ее компонентов.

Доступ к информации - это ознакомление с информацией, ее обработка, в частности копирование, модификация или уничтожение информации.

Различают санкционированный и несанкционированный доступ к информации.

Санкционированный доступ - это доступ, не нарушающий установленные правила разграничения доступа.

Несанкционированный доступ (НСД) - это доступ, характеризующийся нарушением установленных правил разграничения доступа.

Лицо или процесс, осуществляющий НСД, является нарушителем правил разграничения доступа.

Субъект - это активный компонент системы, который может стать причиной потока информации от объекта к субъекту или изменения состояния системы.

Объект - это пассивный компонент системы, хранящий, принимающий или передающий информацию. Доступ к объекту означает доступ к содержащейся в нем информации.

Ущерб безопасности подразумевает нарушение состояния защищенности информации, содержащейся и обрабатывающейся в сети.

Политика безопасности - это совокупность норм, правил и практических рекомендаций, регламентирующих работу средств защиты сетей от заданного множества угроз безопасности.

Классификация угроз информационной безопасности

По природе возникновения и непосредственному источнику угроз:

- естественные (стихийные бедствия, магнитные бури, радиоактивное излучение и т.п.)

- искусственные (вызваны деятельностью человека): - человек (в виде вербовки и разглашения конфиденциальной информации); - программно-аппаратные данные.

2) По характеру воздействия:

- активные (оказывающее непосредственное влияние на работу сети (изменение конфигурации КС, нарушение работоспособности и т.д.) и нарушающее принятую в ней политику безопасности);

- пассивные (не оказывают непосредственного влияния на работу сети, но способно разрушить политику безопасности).

3)По цели воздействия:

- нарушение конфиденциальной информации;

- нарушение целостности информации;

- нарушение работоспособности или доступность сети.

4) По степени преднамеренности проявления:

- угрозы, вызванные ошибками или халатностью персонала. Например: ввод ошибочных данных; неумышленное повреждение каналов связи.

- угрозы преднамеренного действия(например, угрозы действий злоумышленника для хищения информации).

- угрозы случайного действия.

5) Удаленное воздействие, как и любое другое, может начать осуществляться только при определенных условиях. Существуют три вида таких условий:

- атака после запроса от атакуемого объекта;

- атака после наступления ожидаемого события на атакуемом объекте;

- безусловная атака.

6) По наличию обратной связи с атакуемым объектом:

- с обратной связью;

- без обратной связи, или однонаправленная атака.

7) По расположению субъекта атаки

8) По способу доступа к ресурсам:

- угрозы, осуществляемые прямым стандартным путем;

- угрозы, осуществляемые скрытым нестандартным путем.

9) По этапам доступа пользователей или программ к ресурсам:

- угрозы, которые могут проявляться на этапе доступа (например, угрозы несанкционированного доступа).

- угрозы, которые могут проявляться после разрешения доступа (например, угрозы несанкционированного или некорректного использования ресурсов).

10) По текущему месту расположения информации

- угрозы доступа к информации на внешних запоминающих устройства (например, угроза несанкционированного копирования секретной информации с жесткого диска).

- угрозы доступа к информации в оперативной памяти: (чтение остаточной информации из оперативной памяти);

- угрозы доступа к информации, циркулирующей в линиях связи (перехват всего потока данных с целью дальнейшего анализа не в реальном масштабе времени)

- угрозы доступа к информации, отображаемой на терминале или печатаемой на принтере (например, угроза записи отображаемой информации на скрытую видеокамеру).

11) По уровню эталонной модели ISO/OSI, на котором осуществляется воздействие:

- физический;

- канальный;

- сетевой;

- транспортный;

- сеансовый;

- представительный;

- прикладной.

Классификация подходов к обеспечению информационной безопасности информационный безопасность несанкционированный доступ

Существуют два подхода к проблеме обеспечения безопасности сетей: "фрагментарный" и комплексный.

"Фрагментарный" подход направлен на противодействие четко определенным угрозам в заданных условиях. В качестве примеров реализации такого подхода можно указать отдельные средства управления доступом, автономные средства шифрования, специализированные антивирусные программы и т.п.

Достоинством такого подхода является высокая избирательность к конкретной угрозе. Существенным недостатком данного подхода является отсутствие единой защищенной среды обработки информации.

Комплексный подход ориентирован на создание защищенной среды обработки информации, объединяющей в единый комплекс разнородные меры противодействия угрозам. Организация защищенной среды обработки информации позволяет гарантировать определенный уровень безопасности, что является несомненным достоинством комплексного подхода. К недостаткам этого подхода относятся: ограничения на свободу действий пользователей, большая чувствительность к ошибкам установки и настройки средств защиты, сложность управления.

Комплексный подход применяют для защиты сетей крупных организаций или небольших сетей, выполняющих ответственные задачи или обрабатывающих особо важную информацию.

Комплексный подход к проблеме обеспечения безопасности основан на разработанной для конкретной сети политике безопасности.

Политика безопасности представляет собой набор норм, правил и практических рекомендаций, на которых строится управление, защита и распределение информации в сети.

Различают два основных вида политики безопасности: избирательную и полномочную.

Избирательная политика безопасности основана на избирательном способе управления доступом.

Избирательная политика безопасности широко применяется в коммерческих сетях, так как ее реализация соответствует требованиям коммерческих организаций по разграничению доступа и подотчетности, а также имеет приемлемую стоимость.

Полномочная политика безопасности основана на полномочном (мандатном) способе управления доступом. Полномочное (или мандатное) управление доступом характеризуется совокупностью правил предоставления доступа в зависимости от метки конфиденциальности информации и уровня допуска пользователя. Полномочное управление доступом подразумевает, что:

1)все субъекты и объекты системы однозначно идентифицированы;

2)каждому объекту системы присвоена метка конфиденциальности информации, определяющая ценность содержащейся в нем информации;

3)каждому субъекту системы присвоен определенный уровень допуска, определяющий максимальное значение метки конфиденциальности информации объектов, к которым субъект имеет доступ.

Основным назначением полномочной политики безопасности является регулирование доступа субъектов системы к объектам с различными уровнями конфиденциальности, предотвращение утечки информации с верхних уровней должностной иерархии на нижние, а также блокирование возможных проникновений с нижних уровней на верхние.

Избирательное и полномочное управление доступом, а также управление информационными потоками являются тем фундаментом, на котором строится вся система защиты.

Построение системы защиты сети

Под системой защиты сети понимают единую совокупность правовых и морально-этических норм, административно-организационных мер, физических и программно-технических средств, направленных на противодействие угрозам сети с целью сведения к минимуму возможности ущерба.

Процесс построения системы защиты включает следующие этапы:

· анализ возможных угроз; · планирование системы защиты;

· реализация системы защиты; · сопровождение системы защиты.

Этап анализа возможных угроз необходим для фиксации состояния сети (конфигурации аппаратных и программных средств, технологии обработки информации) и определения учитываемых воздействий на компоненты системы.

На этапе планирования формулируется система защиты как единая совокупность мер противодействия угрозам различной природы.

По способам осуществления все меры обеспечения безопасности компьютерных систем подразделяют на:

· правовые (законодательные): указы и другие нормативные акты, регламентирующие правила обращения с информацией ограниченного использования и ответственности за их нарушения.;

· морально-этические: всевозможные нормы поведения, которые традиционно сложились или складываются в обществе по мере распространения компьютеров в стране. Эти нормы большей частью не являются обязательными, как законодательно утвержденные, но их несоблюдение обычно ведет к падению престижа человека, группы лиц или организации. Морально-этические нормы бывают как неписаными (например, общепризнанные нормы честности, патриотизма и т.д.), так и оформленными в некий свод правил или предписаний;

· административные: Административные меры защиты относятся к мерам организационного характера. Они регламентируют: процессы функционирования сети; использование ресурсов сети; деятельность ее персонала. Административные меры включают:· разработку правил обработки информации в сети; совокупность действий при проектировании и оборудовании вычислительных центров и других объектов (учет влияния стихии, пожаров, охрана помещений и т.п.); совокупность действий при подборе и подготовке персонала организацию надежного пропускного режима; организацию учета, хранения, использования и уничтожения документов и носителей с конфиденциальной информацией; распределение реквизитов разграничения доступа (паролей, полномочий и т.п.);

· физические: разного рода механические, электро- и электронно-механические устройства или сооружения, специально предназначенные для создания физических препятствий на возможных путях проникновения и доступа потенциальных нарушителей к компонентам системы и защищаемой информации;

· аппаратно-программные: различные электронные устройства и специальные программы, которые реализуют самостоятельно или в комплексе с другими средствами следующие способы защиты:

идентификацию (распознавание) и аутентификацию (проверка подлинности) субъектов (пользователей, процессов);

разграничение доступа к ресурсам сети;

контроль целостности данных;

обеспечение конфиденциальности данных;

регистрацию и анализ событий, происходящих в сети;

резервирование ресурсов и компонентов сети.

Большинство из перечисленных способов защиты реализуется криптографическими методами защиты информации. Защита информации наиболее эффективна, когда в компьютерной сети поддерживается многоуровневая защита. Она складывается из следующих компонентов:

1) политика безопасности локальной сети организации;2) система защиты хостов локальной сети;3) сетевой аудит;4) защита на основе маршрутизаторов;5) межсетевые экраны;6) системы обнаружения вторжений;7) план реагирования на выявленные атаки.

Полная защита целостности сети зависит от реализации всех выше перечисленных компонентов защиты. Использование многоуровневой защиты - это наиболее эффективный метод предотвращения НСД. Самым важным для функционирования защищенной сети является ее политика безопасности, которая определяет, что защищать и на каком уровне. Все остальные уровни защиты логически следуют после принятия для сети политики ее безопасности.

Базовые технологии безопасности сетей

В разных программных и аппаратных продуктах, предназначенных для защиты данных, часто используются одинаковые подходы, приемы и технические решения. К таким базовым технологиям безопасности относятся:

- аутентификация;

- авторизация;

- аудит;

- технология защищенного канала.

Аутентификация предотвращает доступ к сети нежелательных лиц и разрешает вход для легальных пользователей.

Авторизация - предоставление субъекту прав на выполнение каких либо действий.

Аудит - фиксация в системном журнале событий, связанных с доступом к защищаемым системным ресурсам.

Технология защищенного канала призвана обеспечивать безопасность передачи данных по открытой транспортной сети, например по Интернету.

Способы аутентификации

Аутентификация предотвращает доступ к сети нежелательных лиц и разрешает вход для легальных пользователей.

Аутентификацию следует отличать от идентификации. Идентификация заключается в сообщении пользователем системе своего идентификатора, в то время как аутентификация - это процедура доказательства пользователем того, что он есть тот, за кого себя выдает, в частности, доказательство того, что именно ему принадлежит введенный им идентификатор.

Способы аутентификации:

- аутентификация по многоразовым паролям;

- аутентификация по одноразовым паролям;

- многофакторная аутентификация.

Аутентификация по многоразовым паролям

Один из способов аутентификации в компьютерной системе состоит во вводе вашего пользовательского идентификатора, в просторечии называемого «логином» и пароля -- некой конфиденциальной информации.

Простая аутентификация имеет следующий общий алгоритм:

Субъект запрашивает доступ в систему и вводит личный идентификатор и пароль;

Введенные уникальные данные поступают на сервер аутентификации, где сравниваются с эталонными;

При совпадении данных с эталонными, аутентификация признается успешной, при различии -- субъектперемещается к 1-му шагу

Введённый субъектом пароль может передаваться в сети двумя способами:

- Незашифрованно, в открытом виде, на основе протокола парольной аутентификации;

- С использованием шифрования SSL или TLS.

Использование многоразовых паролей имеет ряд существенных минусов:

сам эталонный пароль или его хэшированный образ хранятся на сервере аутентификации. Хеширование - преобразование по некоторому алгоритму входного массива данных произвольной длины в выходную битовую строку фиксированной длины.

субъект вынужден запоминать (или записывать) свой многоразовый пароль.

Аутентификация по одноразовым паролям

Заполучив однажды многоразовый пароль субъекта, злоумышленник имеет постоянный доступ к взломанной конфиденциальной информации.

Эта проблема решается применением одноразовых паролей. Суть этого метода - пароль действителен только для одного входа в систему, при каждом следующем запросе доступа

- требуется новый пароль.

По сравнению с использованием многоразовых паролей, одноразовые пароли предоставляют более высокую степень защиты.

Многофакторная аутентификация

В последнее время всё чаще применяется, так называемая, расширенная или многофакторная аутентификация.

Она построена на совместном использовании нескольких факторов аутентификации. Это значительно повышает защищенность системы.

В качестве примера можно привести использование SIM-карт в мобильных телефонах. Субъект вставляет аппаратно свою карту (устройство аутентификации) в телефон и при включении вводит свой PIN-код (пароль).

Также, к примеру в некоторых современных ноутбуках присутствует сканер отпечатка пальца. Таким образом, при входе в систему субъект должен пройти эту

процедуру (биометрика), а потом ввести пароль.

Выбирая для системы тот или иной фактор или способ аутентификации необходимо прежде всего отталкиваться от требуемой степени защищенности, стоимости построения системы, обеспечения мобильности субъекта.

Можно привести сравнительную таблицу:

Уровень ущерба	Требования к каналу связи	Тип аутентификации	Примеры применения
Низкий	НСД не будет иметь значительных последствий	Многоразовые пароли	Регистрация на портале в сети Интернет
Средний	НСД причинит не большой ущерб	Одноразовые пароли	Произведение субъектом банковских операций
Высокий	НСД причинит значительный ущерб	Многофакторная аутентификация	Проведение крупных межбанковских операций руководящим аппаратом

Авторизация и аудит

Средства авторизации контролируют доступ легальных пользователей к ресурсам системы, предоставляя каждому из них именно те права, которые ему были определены администратором.

Система авторизации наделяет пользователя сети правами выполнять определенные действия над определенными ресурсами.

Процедуры авторизации реализуются программными средствами, которые могут быть встроены в операционную систему или в приложение, а также могут поставляться в виде отдельных программных продуктов. При этом программные системы авторизации могут строиться на базе двух схем:

- централизованная схема авторизации;

- децентрализованная схема;

- комбинированный подход.

В первой схеме сервер управляет процессом предоставления ресурсов пользователю. Главная цель таких систем - реализовать «принцип единого входа».

При втором подходе рабочая станция сама является защищенной - средства защиты работают на каждой машине, и сервер не требуется.

В крупных сетях часто применяется комбинированный подход предоставления пользователю прав доступа к ресурсам сети: сервер удаленного доступа ограничивает доступ пользователя к подсетям или серверам корпоративной сети, то есть к укрупненным элементам сети, а каждый отдельный сервер сети сам по себе ограничивает доступ пользователя к своим внутренним ресурсам: разделяемым каталогам, принтерам или приложениям.

Аудит - фиксация в системном журнале событий, связанных с доступом к защищаемым системным ресурсам. Подсистема аудита современных ОС позволяет дифференцированно задавать перечень интересующих администратора событий с помощью удобного графического интерфейса. Средства учета и наблюдения обеспечивают возможность обнаружить и зафиксировать важные события, связанные с безопасностью, или любые попытки создать, получить доступ или удалить системные ресурсы. Аудит используется для того, чтобы засекать даже неудачные попытки «взлома» системы.

Технология защищенного канала

Технология защищенного канала призвана обеспечивать безопасность передачи данных по открытой транспортной сети, например по Интернету. Защищенный канал подразумевает выполнение трех основных функций:

· взаимную аутентификацию абонентов при установлении соединения, которая может быть выполнена, например, путем обмена паролями;

· защиту передаваемых по каналу сообщений от несанкционированного доступа, например, путем шифрования;

· подтверждение целостности поступающих по каналу сообщений, например, путем передачи одновременно с сообщением его дайджеста.

Совокупность защищенных каналов, созданных предприятием в публичной сети для объединения своих филиалов, часто называют виртуальной частной сетью (Virtual Private Network, VPN).

VPN

Совокупность защищенных каналов, созданных предприятием в публичной сети для объединения своих филиалов, часто называют виртуальной частной сетью (Virtual Private Network, VPN).

Существуют разные реализации технологии защищенного канала, которые, в частности, могут работать на разных уровнях модели OSI.

В зависимости от места расположения программного обеспечения защищенного канала различают две схемы его образования:

· схему с конечными узлами, взаимодействующими через публичную сеть;

· схему с оборудованием поставщика услуг публичной сети, расположенным на границе между частной и публичной сетями.

В первом случае защищенный канал образуется программными средствами, установленными на двух удаленных компьютерах, принадлежащих двум разным локальным сетям одного предприятия и связанных между собой через публичную сеть. Преимущества:

- полная защищенность канала вдоль всего пути следования;

- возможность использования любых протоколов создания защищенных каналов, лишь бы на конечных точках канала поддерживался один и тот же протокол.

Недостатки: заключаются в избыточности и децентрализованности решения.

Рисунок 1.2 - Два способа образования защищенного канала

Во втором случае клиенты и серверы не участвуют в создании защищенного канала - он прокладывается только внутри публичной сети с коммутацией пакетов, например, внутри Интернета. Канал может быть проложен, например, между сервером удаленного доступа поставщика услуг публичной сети и пограничным маршрутизатором корпоративной сети. Реализация этого подхода сложнее - нужен стандартный протокол образования защищенного канала, требуется установка у всех поставщиков услуг программного обеспечения, поддерживающего такой протокол, необходима поддержка протокола производителями пограничного коммуникационного оборудования.

11 Классификация VPN

Классификация VPN:

рабочий уровень модели OSI;

конфигурация структурно - технического решения;

способ технической реализации.

1) Классификация VPN по рабочему уровню модели OSI:

- VPN канального уровня; - VPN сетевого уровня; - VPN сеансового уровня.

VPN канального уровня. Средства VPN, используемые на канальном уровне, позволяют обеспечить инкапсуляцию различных видов трафика третьего уровня (и выше) и построение виртуальных туннелей.

VPN сетевого уровня. VPN - продукты сетевого уровня выполняют инкапсуляцию IP в IP, предназначенный для аутентификации, туннелирования и шифрования IP - пакетов.

VPN сеансового уровня. Некоторые VPN используют другой подход под названием «посредники канала». Этот метод функционирует над транспортным уровнем и ретранслирует трафик из защищенной сети в общедоступную. Поскольку посреднику известно о трафике на уровне стыка, он может осуществлять контроль, блокировать пользователей и приложения.

2) Классификация VPN по конфигурации структурно - технического решения:

- VPN с удаленным доступом (Remote Access VPN);

- внутрикорпоративные VPN (Intranet VPN);

- межкорпоративные VPN (Extranet VPN).

VPN с удаленным доступом предназначены для обеспечения защищенного удаленного доступа к корпоративным информационным ресурсам мобильным и/или удаленным сотрудникам компании.

Внутрикорпоративные сети VPN предназначены для обеспечения защищенного взаимодействия между подразделениями внутри предприятия или между группой предприятий, объединенных корпоративными сетями связи, включая выделенные линии.

Межкорпоративные сети VPN предназначены для обеспечения защищенного обмена информацией со стратегическими партнерами по бизнесу, поставщиками, крупными заказчиками, пользователями, клиентами и т.д. Extranet VPN обеспечивает прямой доступ из сети одной компании к сети другой компании и тем самым способствует повышению надежности связи, поддерживаемой в ходе делового сотрудничества.

3) Классификация VPN по способу технической реализации:

- на основе маршрутизаторов;- на основе межсетевых экранов;- на основе программных решений;

- специализированных аппаратных средств со встроенными шифропроцессорами;

- на основе сетевой операционной системы.

VPN на основе маршрутизаторов. Данный способ построения VPN предполагает применение маршрутизаторов для создания защищенных каналов. Поскольку вся информация, исходящая из локальной сети, проходит через маршрутизатор, то вполне естественно возложить на него и задачи шифрования.

VPN на основе межсетевых экранов. Межсетевые экраны большинства производителей содержат функции туннелирования и шифрования данных. К программному обеспечению собственно межсетевого экрана добавляется модуль шифрования. К недостаткам этого метода относятся высокая стоимость решения в пересчете на одно рабочее место и зависимость производительности от аппаратного обеспечения, на котором работает межсетевой экран.

VPN на основе программных решений. VPN - продукты, реализованные программным способом, с точки зрения производительности уступают специализированным устройствам, однако обладают достаточной мощностью для реализации VPN - сетей. Несомненным достоинством программных продуктов является гибкость и удобство в применении, а также относительно невысокая стоимость.

VPN на основе специализированных аппаратных средств со встроенными шифропроцессорами. Главное преимущество таких VPN - высокая производительность, поскольку быстродействие обусловлено тем, что шифрование в них осуществляется специализированными микросхемами. Специализированные VPN - устройства обеспечивают высокий уровень безопасности. Недостатком является его высокая стоимость.

VPN на основе сетевой операционной системы. Реализацию VPN на основе сетевой ОС можно рассмотреть на примере операционной системы Windows NT. Для создания VPN компания Microsoft предлагает протокол PPTP, интегрированный в сетевую операционную систему Windows NT. Такое решение выглядит привлекательно для организаций, использующих Windows в качестве корпоративной ОС. В качестве достоинства следует отметить, что стоимость решения на основе сетевой ОС значительно ниже стоимости других решений.

Недостаток данной системы - недостаточная защищенность протокола PPTP.

12 Способы реализации VPN

- на основе маршрутизаторов;

- на основе межсетевых экранов;

- на основе программных решений;

- специализированных аппаратных средств со встроенными шифропроцессорами;

- на основе сетевой операционной системы.

Характеристики с инета, так как на лекции мы это не писали.

VPN на основе маршрутизаторов. Данный способ построения VPN предполагает применение маршрутизаторов для создания защищенных каналов. Поскольку вся информация, исходящая из локальной сети, проходит через маршрутизатор, то вполне естественно возложить на него и задачи шифрования.

VPN на основе межсетевых экранов. Межсетевые экраны большинства производителей содержат функции туннелирования и шифрования данных. К программному обеспечению собственно межсетевого экрана добавляется модуль шифрования. К недостаткам этого метода относятся высокая стоимость решения в пересчете на одно рабочее место и зависимость производительности от аппаратного обеспечения, на котором работает межсетевой экран. VPN на основе программных решений. VPN - продукты, реализованные программным способом, с точки зрения производительности уступают специализированным устройствам, однако обладают достаточной мощностью для реализации VPN - сетей. Следует отметить, что в случае удаленного доступа требования к необходимой полосе пропускания невелики. Поэтому чисто программные продукты легко обеспечивают производительность, достаточную для удаленного доступа. Несомненным достоинством программных продуктов является гибкость и удобство в применении, а также относительно невысокая стоимость.

VPN на основе специализированных аппаратных средств со встроенными шифропроцессорами. Главное преимущество таких VPN - высокая производительность, поскольку быстродействие обусловлено тем, что шифрование в них осуществляется специализированными микросхемами. Специализированные VPN - устройства обеспечивают высокий уровень безопасности. Недостатком является его высокая стоимость.

VPN на основе сетевой операционной системы. Решения на базе сетевой ОС мы рассмотрим на примере ОС Windows компании Microsoft. Для создания VPN Microsoft использует протокол PPTP, который интегрирован в систему Windows. Данное решение очень привлекательно для организаций использующих Windows в качестве корпоративной операционной системы. Необходимо отметить, что стоимость такого решения значительно ниже стоимости прочих решений. В работе VPN на базе Windows используется база пользователей, хранящаяся на Primary Domain Controller (PDC). При подключении к PPTP-серверу пользователь аутентифицируется по протоколам PAP, CHAP или MS-CHAP. Передаваемые пакеты инкапсулируются в пакеты GRE/PPTP. Для шифрования пакетов используется нестандартный протокол от Microsoft Point-to-Point Encryption c 40 или 128 битным ключом, получаемым в момент установки соединения. Недостатками данной системы являются отсутствие проверки целостности данных и невозможность смены ключей во время соединения. Положительными моментами являются легкость интеграции с Windows и низкая стоимость.

13. Схема поддержки VPN

1. VPN с удаленным доступом (Remote Access VPN)

Алгоритм работы:

Пользователь подключается к сети общего пользования в ближайшей точки присутствия провайдера.

По некоторому ID пользователя он распознается как объект, желающий получить доступ канала связи

В динамичном режиме создается безопасный т3уннель между абонентом и каналом связи

Созданный туннель автоматически расширяет сессию связи до корпоративного маршрутизатора

Доменный шлюз производит аутентификацию абонента и присваивает ему IP адрес и прочие параметры.

2. Внутрикорпоративная сеть



Алгоритм:

Создание туннелей между офисными маршрутизаторами

Поддержка Qos для разных подключений

Конфигурирование сети вручную

3.Межкорпоративная VPN

Наиболее распространенный вид в мире.

Особенности:

Проблема инф безопасности при объединении каналов связи нескольких предприятий

Всем входящим в экстрасеть конечным пользователям присваивается VPN - id который указывает на принадлежность к конкретной виртуальной сети

NPLS VPN позволяет предложить полностью интегрированный доступ, в том числе и к открытым сетям интернет

4.VPN типа клиент - сервис

Особенности:

Обеспечивает защиту между двумя удаленными узлами одной корпоративной сети

Часто создается вариант VPN внутри другой VPN

Способы тех реализации всех VPN:

на базе межсетевых экранов

на баземаршрутизаторов

на базе ПО

на базе сетевой операционной системы

на базе специализированных аппаратных средств.

14 Пассивные атаки на сеть ПД

Прослушивание сетевого трафика:

1.Прослушивание всего трафика с любого порта концентратора (устарело)

2.ARP - spoofing

Сетевой адаптер узла В работает в в беспорядочном режиме ( не включена фильтрация MAC адресов ). Атаку на данный информационный обмен возможно произвести, потому что протоколы ARP не требуют аутентификации. Для реализации атаки злоумышленнику с узла В необходмо послать обоим узлам сгенерированные ARP пакеты:

Для узла А, в котором прописан что IP адрес у узла Б соответствует МАС адресу узла В.

Для узла Б, в котором прописан что IP адрес у узла А соответствует МАС адресу узла В.

Узлы А и Б в соответствии со спецификацией протокола ARP получив подобные пакеты обновят свой кэш. Теперь пакеты отправленные узлом А узлу Б будут оправляться узлу В. Данная атака получила название - отправление кэша

3.Mac - duplication (использование повторяющихся Mac адресов). Заключается в том , что на узле злоумышленника В устанавливается МАС адрес совпадающий с МАС адресом другого узла. Теперь все пакеты, направленные узлу, который мы подделали будут посланы злоумышленнику

4.Mac - flooding ( переполнение памяти коммутатора) Основано на работе коммутаторов. Посылка огромного числа ARP запросов на коммутатор на несуществующие в сети IP адреса вызовет переполнение памяти коммутатора и его переход в другой режим функционирования ( менее защищенный)

15. Активные атаки на сеть ПД

Типы активных атак:

- сетевые атаки;

-уязвимые скрипты;

- троянский конь;

- утилиты для сокрытия факта компрометации;

- вирусы и сетевые атаки;

- несанкционированная установка доп.техн.средств.

Борьба с антивирусными атаки:

- противодействие сканирование;

- противодействие сетевым атакам;

- противодействие эксплойтам;

-противодействие ПО типа троянский конь.

Сканирование - автоматизированный процесс, разрешенный администратору сети и возможный со стороны злоумышленника.

Сетевые атаки - атаки, основанные на переполнении буфера (кэша).

Результаты работы эксплойтов:

- внедрение троянской программы;

-НСД;

- кража файлов с паролями пользователей.

Задачи, выполняемые троянским конем:

- предоставление удаленного доступа злоумышленнику;

- перехват и пересылка паролей;

- запись всех нажатий с клавиатуры;

- уничтожение файлов.

Основные способы проникновения:

- запуск вложений в письмах эл.почты;

- запуск активного содержимого Web-страниц;

- запуск непроверенных, антивирусным ПО, программ в внешнего носителя.

Руткиты - служат для сокрытия указанных процессов, файлов, сетевой активности.

Методы борьбы - сканирование, антивирусное ПО.

16. Демилитаризованная зона (ДМЗ)

Дмз - сегмент сети, содержащий общедоступные сервисы и отделяющий их от частных.

Задачи:

- контроль доступа из внешней сети к ДМЗ;

- контроль доступа из внутренней сети к ДМЗ;

- запрет доступа из внешней сети во внутреннюю;

- разрешение доступа из внутренней во внешнюю.

Для создания ДМЗ может быть использован один межсетевой экран, имеющий минимум 3 сетевых интерфейса:

- интерфейс, для создания подключения с внешней сетью;

- для локалки;

- сами ДМЗ.

Минусы системы: ДМЗ становится единой точкой отказа. В случае взлома или ошибки в настройках внутренняя сеть станет напрямую уязвимой из внешней.

Недостатки:

- высокая стоимость;

- невысокая эффективность;

- большая требовательность к ресурсам;

- недооценка риска сетевых атак;

- требуется высокая квалификация экспертов по внедрению таких систем.

17 Система обнаружения (предотвращения) вторжений

Система обнаружения вторжений (СОВ) -- программное или аппаратное средство, предназначенное для выявления фактов неавторизованного доступа в компьютерную систему или сеть либо несанкционированного управления ими в основном через Интернет. Соответствующий английский термин -- Intrusion Detection System (IDS). Системы обнаружения вторжений обеспечивают дополнительный уровень защиты компьютерных систем.

Системы обнаружения вторжений используются для обнаружения некоторых типов вредоносной активности, которая может нарушить безопасность компьютерной системы. К такой активности относятся сетевые атаки против уязвимых сервисов, атаки, направленные на повышение привилегий, неавторизованный доступ к важным файлам, а также действия вредоносного программного обеспечения (компьютерных вирусов, троянов и червей)

Обычно архитектура СОВ включает:

сенсорную подсистему, предназначенную для сбора событий, связанных с безопасностью защищаемой системы

подсистему анализа, предназначенную для выявления атак и подозрительных действий на основе данных сенсоров

хранилище, обеспечивающее накопление первичных событий и результатов анализа

консоль управления, позволяющая конфигурировать СОВ, наблюдать за состоянием защищаемой системы и СОВ, просматривать выявленные подсистемой анализа инциденты

Существует несколько способов классификации СОВ в зависимости от типа и расположения сенсоров, а также методов, используемых подсистемой анализа для выявления подозрительной активности. Во многих простых СОВ все компоненты реализованы в виде одного модуля или устройства.

Виды систем обнаружения вторжений

В сетевой СОВ, сенсоры расположены на важных для наблюдения точках сети, часто в демилитаризованной зоне, или на границе сети. Сенсор перехватывает весь сетевой трафик и анализирует содержимое каждого пакета на наличие вредоносных компонентов. Протокольные СОВ используются для отслеживания трафика, нарушающего правила определенных протоколов либо синтаксис языка (например, SQL). В хостовых СОВ сенсор обычно является программным агентом, который ведет наблюдение за активностью хоста, на который установлен. Также существуют гибридные версии перечисленных видов СОВ.

Сетевая СОВ (Network-based IDS, NIDS) отслеживает вторжения, проверяя сетевой трафик и ведет наблюдение за несколькими хостами. Сетевая система обнаружения вторжений получает доступ к сетевому трафику, подключаясь к хабу или свитчу, настроенному на зеркалирование портов, либо сетевое TAP устройство. Примером сетевой СОВ является Snort.

Основанная на протоколе СОВ (Protocol-based IDS, PIDS) представляет собой систему (либо агента), которая отслеживает и анализирует коммуникационные протоколы со связанными системами или пользователями. Для веб-сервера подобная СОВ обычно ведет наблюдение за HTTP и HTTPS протоколами. При использовании HTTPS СОВ должна располагаться на таком интерфейсе, чтобы просматривать HTTPS пакеты ещё до их шифрования и отправки в сеть.

Основанная на прикладных протоколах СОВ (Application Protocol-based IDS, APIDS) -- это система (или агент), которая ведет наблюдение и анализ данных, передаваемых с использованием специфичных для определенных приложений протоколов. Например, на веб-сервере с SQL базой данных СОВ будет отслеживать содержимое SQL команд, передаваемых на сервер.

Узловая СОВ (Host-based IDS, HIDS) -- система (или агент), расположенная на хосте, отслеживающая вторжения, используя анализ системных вызовов, логов приложений, модификаций файлов (исполняемых, файлов паролей, системных баз данных), состояния хоста и прочих источников. Примером является OSSEC.

Гибридная СОВ совмещает два и более подходов к разработке СОВ. Данные от агентов на хостах комбинируются с сетевой информацией для создания наиболее полного представления о безопасности сети. В качестве примера гибридной СОВ можно привести Prelude.

Пассивные и активные системы обнаружения вторжений

В пассивной СОВ при обнаружении нарушения безопасности информация о нарушении записывается в лог приложения, а также сигналы опасности отправляются на консоль и/или администратору системы по определенном

18 Туннелирование

- вставка PDU- протокола более низкого уровня в поле данных протокола более высокого уровня;

- обертывание или инкапсуляция одного протокола в другой.

Цель:

1) передача данных принадлежали протоколу (которые в данной сети не поддерживаются);

2) обеспечение слабой формы конфиденциальности за счет сокрытия адресов получателя и отправителя;

3) обеспечение конфиденциальности при использовании вместе с криптографическими службами.

Основными компонентами тунели являются:

1)инициатор тунеля, встраивает или инкапсулирует пакеты в новый пакет и т.д.

2) маршрут между инициатором и терминатором тунеля определяет обычная маршрутизируемая сеть.

3) тунельный коммутатор

4) 1 или несколько тунельных терминаторов.

Терминатор тунеля выполняет процесс инкапсуляции.

Особенности туннелирования:

Возможность зашифровать исходный пакет целиком вместе с заголовком.

Злоумышленник не сможет считать и анализировать поля с заголовком; злоумышленник не сможет анализировать интенсивность входящего и исходящего трафика.

Туннелирование обеспечивает не только конфиденциальность, но и целостность и аутентичность (зашифрованный пакет защищается более полно, т.к ЭЦП распространяется на все поля исходного пакета).

19 Шифрование: симметричное и асимметричное

Шифрование - это способ преобразования данных из открытого представления (исх. данные) в закрытое (криптограмма).



C = Ek1 * M;

M = Dk2 * C.

C - криптограмма

М - исх. сообщение

Ek1 - криптографическое преобразование

k1 - параметр ф-ии, называемый ключом шифрования

k2 - ключ расшифровки

Dk2 - преобразование обратной ф-ии

В зависимости от алгоритма преобразования данных, методы шифрования подразделяются на гарантированной или временной криптостойкости.

Шифрование данных, в зависимости от структуры ключей, используемых при шифровании, делятся на:

1) симметричное шифрование (k1=k2): стороннему лицу может быть известен алгоритм шифрования, но неизвестна небольшая часть секретной информации - ключа, одинакового для отправителя и получателя сообщения.

Достоинства симм. системы:

- высокая скорость шифрования

- конфиденциальность

- подлинность

- целостность

Недостаток симм. системы - проблема надежной передачи ключа

2) асимметричное шифрование (k1?k2): стороннему лицу может быть известен алгоритм шифрования, и, возможно, открытый ключ, но неизвестен закрытый ключ, известный только получателю сообщения.

Открытый ключ k1 используется для шифрования инф. и вычисляется из cекретного ключа k2. След-но, ключ k2 используется для расшифровки инф-ии зашифрованной по парному ему k1. Ключи вычисляются таким образом, что с помощью вычисления ключа k2 из открытого ключа k1 ответ получить не возможно.

Достоинства асимм. сис:

- решена сложная проблема распределения ключей между пользователями

- в сетях с кол-ом пользователей n необходимо 2n ключей

- реализация криптосистем не доверяющей друг другу

Недостатки ассим. сис:

- на настоящий момент нет математического доказательства необратимости используемых в асимметричных алгоритмах функций;

- требует много ресурсов

- необходимость защиты открытых ключей от подмены

20 Cистемы автомониторинга

Система мониторинга транспортных средств способна решить целый перечень экономических проблем предприятия, а также повысить безопасность грузов и водителей во время пути.

Система автомониторинга включает:

-- наблюдение за местонахождением объектов и их передвижениями на карте;

-- отслеживание движения объекта по заданному маршруту;

-- отслеживание изменений определенных параметров объектов, таких как скорость движения, уровень топлива, температура двигателя и проч.;

-- моментальное оповещение о важных событиях (превышение скорости, простой транспортного средства, нажатие тревожной кнопки, изменение показателей датчиков, потеря связи с объектом или прибытие в контрольную точку заданного маршрута) через системные сообщения или SMS;

-- получение изображения с камер на транспорте в режиме реального времени;

-- интерпретацию полученной от объекта информации в разнообразных отчетах (таблицы, графики), и многое другое.

При установке системы мониторинга транспорта каждый автомобиль оснащается специальным прибором. Это своеобразный «черный ящик» транспортного средства - устройство контролирует основные параметры состояния авто, его расположение в реальном временном режиме. Контроль авто ведется круглосуточно с помощью мобильной связи. Прием данных осуществляет диспетчер, у которого вся информация отображается на мониторе компьютера. После оборудования автомобиля подобной техникой можно сравнить расчетные показатели с реальными, выясняются причины отклонений и производится корректировка.

В процессе перевозки грузов могут возникать различные внештатные ситуации: неожиданные проблемы со здоровьем у шофера, поломка автомобиля, угон и т.д. Во всех этих случаях диспетчер мгновенно примет сигнал и оперативно примет решение. Если транспорт вышел из строя, то тут же можно послать дежурный экипаж, перегрузить содержимое фургона и тем самым выполнить заказ. При угоне тут же посылается сообщение в автоинспекцию, ближайший наряд начинает преследование. Задача облегчается тем, что спутниковая навигация позволяет отслеживать движение транспортного средства и корректировать движение патрулей.

Механизмы мониторинга местонахождения и перемещения транспортных средств основаны на принципах пеленгации и геолокации (GPS). Так, специалистом по дополнительному оборудованию устанавливается маячок на машину для отслеживания передвижения и текущего нахождения автомобиля или мототехники.

Различают модели маяков (трекеров) с универсальным питанием от бортовой сети транспортного средства и с автономными источниками питания. Заряда батарей в последнем случае хватает в среднем на 1 год -- если устройство подавляющую часть времени находится в режиме «сна»; либо на несколько часов -- при постоянном нахождении в режиме «тревоги».

Компактные размеры устройства позволяют незаметно разместить его в любом удобном и незаметном месте салона машины (наиболее подходящим местом для установки антенны является крыша автомобиля)

Система радиосвязи. С точки зрения ИБ

Радиосвязь - электросвязь, осуществляемая посредством радиоволн. Передача сообщений ведется при помощи радиопередатчика и передающей антенны, а прием - при помощи приемной антенны и радиоприемника. В радиопередатчике формируются радиосигналы - электрические колебания несущей частоты, промодулированные по амплитуде, частоте или фазе в соответствии с передаваемым сообщением.

Распространение радиоволн в открытом пространстве делает возможным в принципе приём радиосигналов, передаваемых по линиям радиосвязи, лицами, для которых они не предназначены (радиоперехват, радиоподслушивание); в этом - недостаток радиосвязи по сравнению с электросвязью по кабелям, радиоволноводам и др. закрытым линиям.

Внешний нарушитель в зависимости от уровня технической оснащенности может применять различные способы получения информации. Он может перехватить сигнал и попытаться дешифровать закрытое речевое сообщение. Нарушитель также может быть нацелен не на получение информации, а на выведение радиосистемы из работоспособного состояния. Он может перехватывать радиопереговоры, записывать их, может вносить некоторые изменения и снова повторять их в нужный момент в эфире. Нарушитель может создавать помеху, делая невозможным ведение переговоров на данной радиочастоте.

Информационная безопасность в сетях радиосвязи разделяется на три части: конфиденциальность, целостность и аутентификация, и управление ключами. Защита информации по этим трем направлениям позволит добиться наилучшего результата в обеспечении безопасности радиопереговоров.

Для обеспечения конфиденциальности должны применяться средства криптографической защиты информации (СКЗИ) определенного класса (уровня защиты). В основном алгоритмы криптоядра в СКЗИ - это алгоритмы блочного шифрования ГОСТ 28147-89, Уступ. Средства защиты импортного производства могут строиться на блочных алгоритмах AES и DES. Возможно применение алгоритмов поточного шифрования, например RC4. Для обеспечения работы шифраторов требуется их надежная синхронизация на передающей и приёмной стороне. Для обеспечения целостности сообщения должны функционировать механизмы выработки MAC в режиме CFB в алгоритмах AES и DES или в режиме имитовставки алгоритма ГОСТ 28147-89, что более актуально для СКЗИ. Должны быть предусмотрены механизмы обеспечения хронологической целостности и аутентификации источника сообщения.

Для алгоритмов шифрования и аутентификации требуется своевременная смена криптографических ключей по надежному каналу. Механизм управления ключами определяет момент смены и обновления ключей. При компрометации ключевой информации должна быть запущена процедура установки новых ключей.

Система телефонной связи. С точки зрения ИБ



Поскольку АТС - это программируемая информационная система с множеством внешних связей, появляется необходимость классифицировать тип связей и опасность вмешательства. На Рисунке 1 угрозы для цифровых АТС.

Потенциально опасные точки угроз для цифровых АТС:

Угроза атаки через АРМ администратора.

Угроза несанкционированного входа в АРМ администратора.

Угроза модификации системного или программного обеспечения администрирования узла связи.

Угроза заражения файлов компьютерными вирусами.

Угроза прослушивания и модификации трафика.

Угроза модификации аппаратной части АРМ, АТС и линейной аппаратуры (вставка постороннего устройства).

Угроза отказа в обслуживании.

Угроза атаки через систему удаленного программирования и диагностики.

Угроза атаки через систему сигнализации и управления.

Угроза атаки наведенным сигналом.

Угроза атаки по абонентским линиям.

Угроза атаки через сеть электропитания.

Угроза атаки через системы тарификации и записи переговоров.

Входы в программное обеспечение АТС могут быть легальными и нелегальными. К легальным входам относятся связи с системой удаленного программирования и диагностики и с локальной системой программирования и тарификации. Остальные входы - нелегальные. При этом в современных АТС вход удаленного программирования может быть заблокирован парольной защитой или физическим отключением. Вход локального программирования и тарификации также очень опасен для ПО, однако, доступ к нему ограничен персоналом станции и безопасность может быть обеспечена организационными мерами.

Нападение по абонентским и соединительным линиям, а также со стороны системы сигнализации может быть произведено через включение в ПО "закладок", открывающих по кодовому сигналу доступ к ПО АТС с указанных направлений.

Нападение наведенным сигналом (например, с космического объекта) может быть осуществлено через аппаратурные закладки совместно с программными закладками.

Особой разновидностью может быть "внутреннее" направление, обеспеченное закладкой в ПО, срабатывающее от счетчика, даты или других внутренних факторов.

Для эффективной защиты цифровых АТС от угроз необходимо применять все возможные методы, начиная от организационно - технических мероприятий по охране объектов связи и кончая агентурно-оперативными по выявлению закладок непосредственно у разработчика и изготовителя систем коммутации.

Возможны три метода защиты ПО АТС: радикальный; консервативный; прагматический.

...