В.П. Мельников и др. - Информационная безопасность и защита информации (1022816), страница 74
Текст из файла (страница 74)
Такая программа потенциально угрожает всем основным аспектам ИБ: ° доступности (программа может поглотить все наличные ресурсы); ° целостности (программа может удалить или повредить данные); ° конфиденциальности (программа может прочитать данные и передать их по сети). Так, система программирования зауа предлагает три оборонительных рубежа: ° надежность языка; ° контроль при получении программ; ° контроль при выполнении программ. Сугцествует еще одно очень важное средство обеспечения ИБ— беспрецедентная открытость зача-системы. Исходные тексты Зауакомпилятора и интерпретатора доступны для проверки, поэтому велика вероятность, что ошибки и недочеты первыми будут обнаруживать честные специалисты, а не злоумышленники. В концептуальном плане наибольшие трудности представляет контролируемое выполнение программ„загруженных по сети. Прежде всего, необходимо определить, какие действия считаются лля таких программ допустимыми.
Если исходить из того, что зауа — это язык для написания клиентских частей приложений, одним из основных требований к которым является мобильность, 322 то загруженная программа может обслуживать только пользовательский интерфейс и осуществлять сетевое взаимодействие с сервером. Программа не может работать с файлами хотя бы потому, что на )аха-терминале их, возможно, не будет. Более содержательные действия должны производиться на серверной стороне или осуществляться программами, локальными для клиентской системы.
Интересный подход предлагают специалисты компании Яип Мгсгозузгегпз для обеспечения безопасного выполнения командных файлов. Речь идет о среде ЯаГе-Тс! (Тоо! Сошгпап Еапяиаяе— инструментальный командный язык). Бип предложила так называемую ячеечную модель интерпретации командных файлов. Существует главный интерпретатор, которому доступны все возможности языка. Если в процессе работы приложения необходимо выполнить сомнительный командный файл, то порождается подчиненный командный интерпретатор, обладающий ограниченной функциональностью (например, из него могут быть удалены средства работы с файлами и сетевые возможности).
В результате потенциально опасные программы оказываются заключенными в ячейки, защищающие пользовательские системы от враждебных действий. Для выполнения действий, которые считаются привилегированными, подчиненный интерпретатор может обращаться с запросами к главному. Здесь просматривается аналогия с разделением адресных пространств операционной системы и пользовательских процессов и использованием последними системных вызовов. Подобная модель уже около 30 лет является стандартной для многопользовательских ОС. Наряду с обеспечением безопасности программной среды важнейшим является вопрос о разграничении доступа к объектам %еЬ- сервиса.
Для решения этого вопроса необходимо уяснить, что является объектом, как идентифицируются субъекты и какая модель управления доступом — принудительная или произвольная— применяется. В %еЬ-серверах объектами доступа выступают универсальные локаторы ресурсов (()К1 — ()и!(огш (1)ппегза!) Кезоигсе Еоса!ог). За этими локаторами могут стоять различные сущности: НТМ1.- файлы, СЙ1-процедуры и т.д. Как правило, субъекты доступа идентифицируются по 1Р-адресам и (или) именам компьютеров и областей управления. Кроме того, может использоваться парольная аутентификация пользователей или более сложные схемы, основанные на криптографических технологиях. В большинстве %еЬ-серверов права разграничиваются с точностью до каталогов (директорий) с применением произвольного управления доступом.
Могут предоставляться права на чтение НТМЕ-файлов, выполнение СС1-процедур и т.д. 323 Для раннего выявления попыток нелегального проникновения в%еЬ-сервер важен регулярный анализ регистрационной информации. За1цита системы, на которой функционирует%еЬ-сервер, должна следовать универсальным рекомендациям, главной из которых является максимальное упрощение. Все ненужные сервисы, файлы, устройства должны быть удалены. Число пользователей, имеющих прямой доступ к серверу, должно быть сведено к минимуму, а их привилегии — упорядочены в соответствии со служебными обязанностями. Еше один общий принцип заключается в том, чтобы минимизировать объем информации о сервере, которую могут получить пользователи.
Многие серверы в случае обращения по имени каталога и отсутствия файла 1пдех.НТМЕ в нем выдают НТМЕ-вариант оглавления каталога. В этом оглавлении могут встретиться имена файлов с исходными текстами СО1-процедур или с иной конфиденциальной информацией. Такого рода дополнительные возможности целесообразно отключать, поскольку лишнее знание (злоумышленника) умножает печали (владельца сервера). Методы, применяемые в открытых сетях для подтверждения и проверки подлинности субъектов, должны быть устойчивы к пассивному и активному прослушиванию сети.
Суть их сводится к следующему: ° субъект демонстрирует знание секретного ключа; при этом ключ либо вообгце не передается по сети, либо передается в зашифрованном виде; ~ субъект демонстрирует обладание программным или аппаратным средством генерации одноразовых паролей или средством, работающим в режиме запрос — ответ. Нетрудно заметить, что перехват и последующее воспроизведение одноразового пароля или ответа на запрос ничего не дает злоумышленнику; ° субъект демонстрирует подлинность своего местоположения, при этом используется система навигационных спутников.
Одной из важнейших задач является завлита потоков корпоративных данных, перелаваемых по открытым сетям. Открытые каналы могут быть надежно защищены лишь одним методом — криптографическим. Так называемые выделенные линии не обладают особыми преимуществами перед линиями общего пользования в плане ИБ. Выделенные линии хотя бы частично будут располагаться в неконтролируемой зоне, где их могут повредить или осуществить к ним несанкционированное подключение. Единственное достоинство — это гарантированная пропускная способность выделенных линий, а вовсе не какая-то повышенная защищенность. Впрочем, современные оптоволоконные каналы способны удовлетворить потребности многих абонентов, поэтому и указанное достоинство не всегда реально.
324 В мирное время 95% трафика Министерства обороны США передается через сети общего пользования (в частности, через Интернет). В военное время эта доля должна составлять лишь 70%. Можно предположить, что Пентагон — не самая бедная организация. Американские военные полагаются на сети общего пользования потому, что развивать собственную инфраструктуру в условиях быстрых технологических изменений — занятие очень дорогое и бесперспективное, оправданное даже для важных национальных организаций только в исключительных случаях. Представляется естественным возложить на межсетевой экран задачу шифрования и дешифрования корпоративного трафика на пути во внешнюю сеть и из нее. Чтобы такое шифрование/дешифрование стало возможным, должно произойти начальное распределение ключей.
Современные криптографические технологии предлагают для этого целый ряд методов. После того как межсетевые экраны осуществили криптографическое закрытие корпоративных потоков данных, территориальная разнесенность сегментов сети проявляется лишь в разной скорости обмена с разными сегментами. В остальном вся сеть выглядит как единое целое, а от абонентов не требуется привлечение каких- тибо дополнительных защитных средств.
Ваю~ейшим аспектом ИБ также является управляемость системы. Управляемость системы — это и поддержание высокой доступности системы за счет раннего выявления и ликвидации проблем, и возможность изменения аппаратной и программной конфигурации в соответствии с изменившимися условиями или потребностями, и оповещение о попытках нарушения информационной безопасности практически в реальном времени, и снижение числа ошибок администрирования, и многое другое. Наиболее остро проблема управляемости встает на клиентских рабочих местах и на стыке клиентской и серверной частей информационной системы.
Причина проста — клиентских мест гораздо больше, чем серверных, они, как правило, разбросаны по значительно большей площади, их используют люди с разной квалификацией и привычками. Обслуживание и администрирование клиентских рабочих мест — занятие чрезвычайно сложное, дорогое и чреватое ошибками. Технология Интранет за счет простоты и однородности архитектуры позволяет сделать стоимость администрирования клиентского рабочего места практически нулевой. Важно и то, что замена и повторный ввод в эксплуатацию клиентского компьютера могут быть осуществлены очень быстро, поскольку это «клиенты без состояния»„у них нет ничего, что требовало бы длительного восстановления или конфигурирования. На стыке клиентской и серверной частей Интранет-системы находится»»еЬ-сервер. Это позволяет иметь единый механизм регистрации пользователей и наделения их правами доступа с по- 325 следующим централизованным администрированием.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
