Зегжда Д
Глава 5. Використання систем Firewall.
(П.Д.Зегжда, А.М. Івашко, А.П. Баранов)5.1. Переваги застосування Firewall. ……………………………. 187
5.2. Недоліки, пов'язані із застосуванням Firewall. …………………………. 188
5.3. Структура та функціонування Firewall. . …………………………. 190
5.3.1. Принципи роботи Firewall. …………………………. 190
5.3.2. Режим доступу до служб. …………………………. 190
5.3.3. Посилена автентифікація. ………………………. 191
5.3.4. Фільтрування пакетів. ……..…………………. 192
5.3.5. Шлюзи прикладного та мережевого рівнів. . …………………………. 196
5.4. Основні схеми захисту з урахуванням Firewall. . .. …………………………………. 198
5.4.1. Firewall - маршрутизатор з фільтрацією пакетів. ……………………………… .198
5.4.2. Firewall на основі шлюзу. . …………………………. 199
5.4.3. Екранований шлюз. …………………………. 201
5.4.4. Firewall — екранована підмережа. …………………………. 203
5.4.5 Об'єднання модемного пулу з Firewall. . …………….…………. 205
5.4.6. Особливості захисту мереж на основі Firewall. …………….…………. 206
5.4.6.1. Етапи розробки політики доступу до служб..………………………. 207
5.4.6.2. Гнучкість політики. …………………………. 208
5.4.6.3. Забезпечення Firewall. ………………………. . 209
5 4.6.4. Адміністрація Firewall. .. . …………………………. 210
5.5. Висновок. . . . …………………………………. 211Глава 6. Основи технології побудови захищених ОС
(Д.П. Зегжда, Д.М. Івашко, А.П. Баранов)6.1. Підходи до забезпечення безпеки ОС. ………………………………. . 211
6.2. Завдання розробки захищених операційних систем. .. . ………………………………………. .. .213
6.3. Методи ліквідації причин існування загроз …………………………………. 214
6.4Проблема впровадження моделі безпеки в ОС .. …………………………………. 215
6.4.1. Критика застосування моделей. . . .. …………………………………………. . 215
6.4.2. Постановка завдання впровадження моделі безпеки в ОС. ……………………. 217
6.5 Вирішення проблеми впровадження моделей безпеки в ОС. . . ……………. . 217
Криза забезпечення безпеки сучасних комп'ютерних систем.
1.1. Основні поняття безпеки комп'ютерних систем.
В даний час благополуччя і навіть життя багатьох людей залежать від забезпечення інформаційної безпеки багатьох комп'ютерних систем обробки інформації, а також контролю та управління різними об'єктами. До таких об'єктів (їх називають критичними) можна віднести системи телекомунікацій, банківські системи, атомні станції, системи управління повітряним та наземним транспортом, а також системи обробки та зберігання секретної та конфіденційної інформації. Для нормального та безпечного функціонування цих систем необхідно підтримувати їхню безпеку та цілісність. Під безпекою інформації розуміється "стан захищеності інформації, оброблюваної засобами обчислювальної техніки чи автоматизованої системи, від внутрішніх чи зовнішніх загроз" [1]. Цілісність розуміється як «здатність засобів обчислювальної техніки або автоматизованої системи забезпечувати незмінність виду та якості інформації в умовах випадкового спотворення чи загрози руйнування». Відповідно до цього ж документа загрози безпеці та цілісності полягають у потенційно можливих впливах на обчислювальну систему (ВС), які прямо чи опосередковано можуть завдати шкоди безпеці та цілісності інформації, що обробляється системою. Збитки цілісності інформації полягає у її зміні, що призводить до порушення її виду абоякості. Збитки безпеки мають на увазі порушення стану захищеності інформації, що міститься в ВС, шляхом здійснення несанкціонованого доступу (НСД) до об'єктів ВС. НСД визначається як "доступ до інформації, що порушує правила розмежування доступу з використанням штатних коштів, що надаються ЗС" [1]. Введемо більш просте визначення НСД, яке не суперечить [1]: НСД полягає в отриманні користувачем або програмою доступу до об'єкта, дозвіл на який відповідно до прийнятої в системі безпеки відсутній. Реалізація загрози називається атакою. Людина, яка прагне реалізувати загрозу, називається порушником або зловмисником.
Існує безліч класифікацій видів загроз за принципами та характером їх впливу на систему, за використовуваними засобами, за метою атаки і т. д. [2]. Розглянемо загальну класифікацію загроз безпеки ЗС із засобів впливу на ЗС. З цієї точки зору всі загрози можуть бути віднесені до одного з таких класів (див. рис. 1.1):
Мал. 1.1 Класифікація загроз безпеки ЗС.
1. Втручання людини у роботу ЗС. До цього класу належать організаційні засоби порушення безпеки ПС (крадіжка носіїв інформації, НСД до пристроїв зберігання та обробки інформації, псування обладнання тощо) та здійснення порушником НСД до програмних компонентів ПС (всі способи несанкціонованого проникнення у ПС, а також способи отримання користувачем-порушником незаконних прав доступу до компонентів ЗС). Заходи, що протистоять таким загрозам, мають організаційний характер (охорона, режим доступу до пристроїв ВС), а також включають вдосконалення систем розмежування доступу та системи виявлення спроб атак (наприклад, спроб підбору паролів).
2. Апаратно-технічневтручання у роботу ЗС.
Мається на увазі порушення безпеки та цілісності інформації у ПС за допомогою технічних засобів, наприклад, отримання інформації з електромагнітного випромінювання пристроїв ПС, електромагнітні впливи на канали передачі інформації та інші методи. Захист від таких загроз, крім організаційних заходів, передбачає відповідні апаратні (екранування випромінювань апаратури, захист каналів передачі інформації від прослуховування) та програмні заходи (шифрація повідомлень у каналах зв'язку).
3. Руйнівний вплив на програмні компоненти ЗС за допомогою програмних засобів. Логічно назвати такі засоби руйнівними програмними засобами (РПС). До них відносяться комп'ютерні віруси, троянські коні (іноді їх називають "закладки"), засоби проникнення у віддалені системи з використанням локальних та глобальних мереж. Засоби боротьби з подібними атаками складаються з програмно та (рідше) апаратно реалізованих систем захисту.
Дана книга присвячена боротьбі з погрозами третього типу, тому що аналізований клас засобів порушення безпеки є найбільш динамічно розвивається, що використовує всі останні
досягнення у галузі інформаційних технологій.