Лекція 20 на тему Окремі питання захисту інформації від НСД з курсу Захист та безпека інформаційних ресурсів, НУДПСУ
« Назад
Лекція №20. ОКРЕМІ ПИТАННЯ ЗАХИСТУ ІНФОРМАЦІЇ ВІД НСД. Особливості ЗІ від НСД в локальних обчислювальних мережах
План
6. ОКРЕМІ ПИТАННЯ ЗАХИСТУ ІНФОРМАЦІЇ ВІД НСДЗІ від НСД має свої особливості в різних середовищах. Нижче розглянуті деякі особливості ЗІ від НСД в таких найбільш розповсюджених і цікавих сферах, як локальні обчислювальні мережі (ЛОМ), бази даних, при захисті програмного забезпечення, а також при організації конфіденційного зв'язку. Під особливостями тут розуміється наявність додаткових для певного середовища специфічних загроз. 6.1. Особливості ЗІ від НСД в локальних обчислювальних мережахІнститут Інженерів Електриків та Електроників (IEEE) визначає ЛОМ як «систему передачі даних, що забезпечує деякому числу незалежних пристроїв можливість прямої взаємодії в обмеженому географічному просторі за допомогою фізичного каналу взаємодії обмеженої продуктивності». Типова ЛОМ належить тільки до однієї організації, що її використовує і керує нею. Звичайна ЛОМ за допомогою мережевої ОС поєднує сервери, робочі станції, принтери і стримери, дозволяючи користувачам спільно використовувати ресурси і функціональні можливості ЛОМ. Типи додатків, забезпечувані ЛОМ, включають розподілене збереження файлів, видалені обчислення й обмін повідомленнями. Не підлягає сумніву, що ці можливості ЛОМ є її перевагою. Однак вони сполучені з додатковим ризиком, що призводить до проблем безпеки ЛОМ. Які проблеми виникають при розподіленому збереженні файлів? Файлові сервери можуть контролювати доступ користувачів до різних частин файлової системи. Це звичайно здійснюється дозволом користувачу приєднати деяку файлову систему (чи каталог) до робочої станції користувача для подальшого використання як локальний диск. Виникають відразу дві потенційні проблеми. По-перше, сервер може забезпечити захист доступу тільки на рівні каталогу, тому якщо користувачу дозволено доступ до каталогу, то він одержує доступ до усіх файлів, що міститься в цьому каталозі. Щоб мінімізувати ризик у цій ситуації, важливо відповідним чином структурувати і керувати файловою системою ЛОМ. Наступна проблема полягає в неадекватних механізмах захисту локальної робочої станції. Наприклад, персональний комп'ютер (ПК) може забезпечувати мінімальний захист чи не забезпечувати ніякого захисту інформації, збереженої на ньому. Копіювання користувачем файлів із сервера на локальний диск ПК призводить до того, що файл перестає бути захищеним тими засобами захисту, що захищали його, коли він зберігався на сервері. Для деяких типів інформації це може бути прийнятно. Однак, інші типи інформації можуть вимагати більш сильного захисту. Ці вимоги фокусуються на необхідності контролю середовища ПК. Видалені обчислення повинні контролюватися таким чином, щоб тільки авторизовані користувачі могли одержувати доступ до видалених компонентів і додатків. Сервери повинні мати здатність автентифікувати видалених користувачів, що запитують послуги чи додатки. Ці запити можуть також видаватися локальними і видаленими серверами для взаємної автентифікації. Неможливість автентифікації може привести до того, що і неавторизовані користувачі будуть мати доступ до видалених серверів і додатків. Повинні існувати деякі гарантії відносно цілісності додатків, використовуваних багатьма користувачами через ЛОМ. Топології і протоколи, використовувані сьогодні, вимагають, щоб повідомлення були доступні великому числу вузлів при передачі до бажаного призначення. Це набагато дешевше і легше, ніж мати прямий фізичний шлях між кожною парою машин. З цього випливають можливі загрози, які включають як активне, так і пасивне перехоплення повідомлень, переданих у лінії. Пасивне перехоплення включає не тільки читання інформації, але й аналіз трафика (використання адрес, інших даних заголовка, довжини повідомлень, і частоту повідомлень). Активне перехоплення включає зміну потоку повідомлень (включаючи модифікацію, затримку, дублювання, видалення чи неправомочне використання реквізитів). Служби обміну повідомленнями збільшують ризик для інформації, збереженої на сервері чи переданої між джерелом і відправником. Неадекватно захищена електронна пошта може бути легко перехоплена, змінена чи повторно передана, що впливає як на конфіденційність, так на цілісність повідомлення. Серед інших проблем безпеки ЛОМ можна відзначити наступні:
Слабка ПБ також збільшує ризик, зв'язаний із ЛОМ. Повинна матися формальна ПБ, яка б визначала би правила використання ЛОМ, для демонстрації позиції керування організацією стосовно важливості захисту наявних у ній цінностей. ПБ є стиснутим формулюванням позиції вищого посібника з питань інформаційних цінностей, відповідальності по їхньому захисті й організаційних зобов'язаннях. Повинна матися сильна ПБ ЛОМ для забезпечення керівництва і підтримки з боку верхньої ланки керування організацією. Політика повинна визначати роль, що має кожен службовець при забезпеченні того, що ЛОМ і передана в ній інформація адекватно захищені. ПБ ЛОМ повинна робити упор на важливості керування ЛОМ і забезпечення його підтримки. Керування ЛОМ повинне мати необхідні фінансові засоби, час і ресурси. Слабке керування мережею може привести до помилок захисту. У результаті цього можуть з'явитися наступні проблеми: ослаблена конфігурація захисту, недбале виконання заходів захисту чи навіть не використання необхідних механізмів захисту. Використання ПК у середовищі ЛОМ також привносить ризик ЛОМ. Загалом, у ПК практично відсутні заходи захисту відносно автентифікації користувачів, керування доступом до файлів, ревізії діяльності користувачів і т.д. У більшості випадків захист інформації, що зберігається й обробляється на сервері ЛОМ, не супроводжує інформацію, коли вона посилається на ПК. Відсутність поінформованості користувачів відносно безпеки ЛОМ також збільшує ризик. Користувачі, не знайомі з механізмами захисту, засобами захисту і т.п. можуть використовувати їх неправильно і, можливо, менш безпечно. Відповідальність за впровадження механізмів і засобів захисту, а також за проходження правилам використання ПК у середовищі ЛОМ звичайно лягає на користувачів ПК. Користувачам повинні бути дані відповідні інструкції і рекомендації, необхідні, щоб підтримувати прийнятний рівень захисту в середовищі ЛОМ. Розглянемо загрози, що пов'язані з особливостями ЛОМ. Загрозою може бути будь-яка особа, об'єкт чи подія, що, у випадку реалізації, може потенційно стати причиною нанесення шкоди ЛОМ. Загрози можуть бути зловмисними, такими, як навмисна модифікація критичної інформації, чи можуть бути випадковими, такими, як помилки в обчисленнях чи випадкове видалення файлу. Загроза може бути також природним явищем, таким, як повінь, ураган, блискавка і т.п. Безпосередня шкода, викликана загрозою, називається впливом загрози. Уразливими місцями є слабкі місця ЛОМ, що можуть використовуватися загрозою для своєї реалізації. Наприклад, неавторизований доступ (загроза) до ЛОМ може бути здійснена сторонньою людиною, що угадала очевидний пароль. При цьому уразливим місцем є поганий вибір пароля, зроблений користувачем. Зменшення чи обмеження уразливих місць ЛОМ може знизити чи взагалі усунути ризик від загроз ЛОМ. Наприклад, засіб, що може допомогти користувачам вибрати надійний пароль, зможе знизити імовірність того, що користувачі будуть використовувати слабкі паролі і цим зменшити загрозу НСД до ЛОМ. Ідентифікація загроз припускає розгляд впливів і наслідків реалізації загроз. Вплив загрози, що звичайно містить у собі проблеми, що виникли безпосередньо після реалізації загрози, приводить до розкриття, модифікації, руйнування чи відмовлення в обслуговуванні. Більш значні довгострокові наслідки реалізації загрози призводять до втрати бізнесу, порушенню таємниці, цивільних прав, втраті адекватності даних, утраті людського життя чи іншим довгостроковим ефектам. Варто розуміти, що реалізація багатьох загроз призводить до більш ніж одного впливу, однак далі кожна загроза буде розглядатися в зв'язку тільки з одним впливом. Розглянемо можливі впливи, що можуть використовуватися для класифікації загроз середовищу ЛОМ:
6.2. ЗІ від НСД в базах данихГоловне джерело загроз, специфічних для систем управління базами даних (СУБД), лежить у самій природі баз даних. Як відомо, СУБД призначені для створення, модифікації, відображення і збереження даних. Ці дані можуть зберігатися і відображатися в такому виді, у якому вони були створені автором чи будуватися (виводитися) за допомогою операцій, підтримуваних системою, на підставі збережених даних. Практично в будь-якому додатку, що забезпечує доступ до БД, передбачається контроль доступом на рівні користувача і бази даних. Тільки авторизований користувач може створювати нові бази даних чи змінювати структуру існуючих. Інші користувачі мають право змінювати і переглядати дані відповідно до своїх прав доступу. Одні з обмежень покликані підтримувати погодженість даних (один з видів цілісності), інші призначені для захисту від НСД. Для того, щоб продемонструвати, що система захищена, необхідно довести, що ці обмеження коректно дотримуються при будь-яких умовах. Оскільки в БД може зберігатися величезна кількість різноманітної інформації, то наявність потужного інструмента для зручного і дуже простого маніпулювання даними (котрий надає кожна СУБД) майже завжди призводить до виникнення наступних проблем ЗІ, характерних для БД. Проблема агрегування полягає в тому, що мітка безпеки даних, отриманих у результаті застосування операцій маніпулювання даними, може виявитися більшою, ніж найбільша мітка усіх використаних даних. Прикладом агрегації менш секретної інформації для одержання більш секретної може служити одержання секретної інформації про загальну чисельність загону солдат в конкретній зоні на підставі несекретних даних про місце розміщення окремих солдатів. Таким чином, агрегована інформація може виявитися більш секретної, чим кожний з компонентів, її що склав. Інший приклад. Розглянемо базу даних, що зберігає параметри всіх комплектуючих, з яких буде збиратися ракета, і інструкцію зі зборки. Дані про кожен вид комплектуючих необхідні постачальникам, інструкція зі зборки – складальному виробництву. Інформація про окремі частини сама по собі не є секретною (який сенс ховати матеріал, розміри, кількість гайок?). У той же час аналіз усієї бази дозволяє довідатися, як зробити ракету, що може уже вважатися державною таємницею. Підвищення рівня таємності даних при агрегуванні цілком природно – це наслідок закону переходу кількості в якість. Боротися з агрегуванням (як і логічним висновком) можна за рахунок ретельного проектування моделі даних і максимального обмеження доступу користувачів до інформації. Проблема логічного виводу полягає в можливості одержати секретну інформацію, що не міститься явно в структурах даних, шляхом об'єднання нової інформації зі знаннями. Нерідко шляхом логічного виводу можна витягти з бази даних інформацію, на одержання якої стандартними засобами в користувача не вистачає привілеїв. Вивід секретних даних за допомогою допустимих запитів і інформації в БД, може бути проілюстрований наступними прикладами. 1. Розглянемо лікарняну базу даних, що складає з двох таблиць. У першій зберігається інформація про пацієнтів (анкетні дані, діагноз, призначення і т.д.), у другий – відомості про лікарів (розклад заходів, перелік пацієнтів і т.д.). Якщо користувач має право доступу тільки до таблиці лікарів, він, проте, може одержати непряму інформацію про діагнози пацієнтів, оскільки, як правило, лікарі спеціалізуються на лікуванні певних хвороб. 2. Загальна кількість одиниць секретна, однак загальна вартість і ціна одиниці – доступні усім. Відповіддю на наступний запит користувача, що не має доступу до секретної інформації – «Одержати всі дані, що стосуються факту транспортування бомб рейсом № 1» може бути повідомлення: «доступ заборонений», оскільки одна чи кілька записів засекречені. Це відразу ж говорить неавторизованому користувачу про те, що рейс №1 дійсно секретно транспортує бомби. Крім того, якщо мітки безпеки в БД прив'язуються до об'єктів (контейнерів), що містять дані, то може виникнуть ситуація, коли модифікація контейнера приведе до збільшення або до зменшення рівня його таємності. Іншими словами, рівень безпеки об'єкта БД може змінюватися з модифікацією інформації. Ще одна загроза для баз даних – це замах на високу готовність або доступність. Якщо користувачу доступні всі можливості СУБД, він може досить легко утруднити роботу інших користувачів (наприклад, ініціювавши тривалу транзакцию, що захоплює велике число таблиць). Жодна з цих проблем не вирішується за допомогою традиційних заходів захисту. Отже, можна зробити висновок, що в більшості випадків необхідно застосовувати таку модель політики безпеки, що обмежувала б привілею користувачів згідно тієї ролі, що він (користувач) виконує в даний момент часу. Відповідно до такої політики, користувачам буде дозволено виконувати визначені ролі в системі при виконанні деяких умов. Так наприклад, у магазині тільки визначеним користувачам буде дозволено виконувати роль касира тільки в заплановані часи їх роботи. Або в страховій компанії – працівники можуть виконувати обов'язки агента тільки в звичайний робочий час. Крім того, обробка даних, яку можуть виконувати користувачі, граючи деяку роль, теж повинна бути обмежена. Приміром, користувач, що виконує роль аналітика, може мати доступ для перегляду лише деяких статистичних даних. Більш того, частоту виконання подібних запитів можна обмежити для зменшення імовірності атаки БД за допомогою логічного виводу. 6.3. ЗІ при організації конфіденційного зв’язкуПід витоком інформації в каналі телефонного зв’язку розуміється навмисне і несанкціоноване її одержання ЗЛ з використанням технічних засобів. Одержання такої інформації можливо трьома шляхами:
Телефонним каналом зв'язку звичайно є або провідна лінія зв’язку, або канал радіообміну. У першому випадку перехоплення конфіденційного зв’язку здійснюється безпосереднім підключенням до телефонної мережі, включаючи зв’язну апаратуру, чи зняттям побічного електромагнітного випромінювання ліній зв'язку. Доступ до каналів зв’язку (вузлам комутації і до кабелів зв’язку) для сторонніх осіб обмежений чи утруднений. Дійсно, вузли комутації звичайно розміщаються в охоронюваних приміщеннях, а кабелі прокладаються в підземних траншеях чи тоннелях метро. Помітно легше перехоплювати інформацію на абонентських лініях у житлових будинках чи в установах і фірмах. Часто ЗЛ, будучи співробітниками організацій, підслухують конфіденційні розмови у виділених приміщеннях. Варто помітити, що при підключенні пристроїв, що підслухують, до телефонного каналу, їх неважко виявляти унаслідок зміни навантаження в каналі. Однак побічні випромінювання можна підсилити і прослухувати за допомогою досить простих приймачів, виявлення яких є дуже складною задачею. В другому випадку (тобто при використанні радіоканалів) доступ до інформації практично необмежений. Звідси випливає, що незахищеність каналів зв’язку вимагає використання засобів шифрування. Існують різні методи і пристрої шифрування від простого кодування до складних алгоритмів перетворень інформації. Пристрою, що реалізують такі перетворення, звичайно називають скремблерами (scrembler) чи маскираторами. Місце включення такого засоба в канал зв’язку може бути різним і залежить від ряду факторів. Якщо необхідно захиститися від витоку по будь-яких шляхах, то його необхідно включати на вході в телефонний апарат. Якщо важливою є задача захиститися від витоку інформації по каналах зв’язку, то достатньо пристрій уключити на виході телефонного апарата. Якщо ж необхідно запобігти витік інформації тільки на окремих ділянках мережі, досить його включити на вході цієї ділянки. При виборі виду шифрування телефонних каналів зв’язку необхідно виходити з наступних міркувань: фінансових, необхідного часу збереження таємниці телефонної розмови, оперативності передачі повідомлень і т.д. 6.4. Захист програмного забезпеченняЗахист ПЗ включає широке коло засобів, що починається законодавчими актами і закінчується конкретними апаратурними розробками. В основному всі засоби захисту ПЗ є аналогічними всім іншим засобам і раніше обговорювалися, тому тут дамо лише швидкий їхній огляд. Виділяються наступні категорії засобів захисту ПЗ: власні, у складі КС, із запитом інформації, активні і пасивні. Засоби власного захисту визначають елементи захисту, що містяться в самому ПЗ чи супроводжують його До таких засобів відносяться: документація, поширення продукції у вигляді виконуваних модулів, супровождення програм розроблювачем, обмеження застосування, проектування за замовленням ідентифікаційні мітки. Документація, розповсюджувана разом з ПЗ, насамперед, є суб'єктом авторського права. Її розмноження коштує досить дорого і, як правило, копія гірше оригіналу. Постачання програм у вигляді завантажувальних модулів утрудняють її аналіз, що забезпечує визначену захищеність. Важливим є фактор супроводу програм розроблювачем, коли легальним користувачам поставляються дороблені версії ПЗ, а також його адаптація до конкретного оточення. Такий засіб захисту як обмеження застосування пов'язане з установленням списку користувачів, при якому можна ефективно здійснювати контроль за використанням ПЗ. Програми, виконані для спеціального застосування, як правило, враховують особливості роботи замовника і їхня крадіжка малоймовірна, оскільки вони широко не застосовуються і можуть бути легко пізнані. Легальними користувачами можуть використовуватися відмітні ідентифікаційні мітки, по яких можна визначити власника ПЗ. До засобів захисту в складі комп'ютерних систем відносяться: захист магнітних дисків, захисні механізми пристроїв КС, замки захисту, зміна функцій у системі. Захист магнітних дисків може виконуватися по різних рівнях складності залежно від кваліфікації неавторизованої сторони, що здійснює доступ. При захисті дисків використовуються спеціальні чи модифіковані ОС, застосовуються нестандартне форматування й інші механізми захисту (уведення додаткових доріжок і секторів, зміна розмірів каталогів, секторів, форматів даних, чергування доріжок, заміна інформаційних заголовків і т.д.). Захисні механізм пристроїв КС ґрунтуються на використанні особливостей апаратури. Великий інтерес у свій час представляла методика створення унікального диска, що ґрунтувалася на механічному ушкодженні магнітної поверхні , а пізніше на ушкодженні за допомогою лазерного пучка. Таким чином, диск як би здобуває «рідні плями». Можливо також використання спеціальних процесорів і мікроконтролерів, що дозволяють захистити оригінали програм і даних від перегляду чи копіювання за допомогою, наприклад, виконання процедур шифрування. Під замком захисту маються на увазі заборони доступу до програми, якщо в результаті її виконання не пізнане оточення. В якості такого оточення може служити час використання програм, серійний номер комп'ютера, деякі властивості динамічної пам'яті, паролі, особливості диска й інші характеристики устаткування і ПЗ. Зміна функцій у системі пов'язані з виконанням певних перепризначень і чергувань. Наприклад, установка періодів дії ключів, перезапис пам'яті, переустановка переривань і перепризначення атрибутів, зміна імен файлів і інші перевизначення, що створюють утруднення випадковим і некваліфікованим користувачам. Програми, що використовують засоби захисту з запитом інформації для подальшого виконання призначених функцій, здійснюють запит на введення додаткової інформації, представленої, наприклад, у виді ключевх слів. У структуру зазначених засобів входять паролі, шифри, сигнатури й апаратура. Доступ до захищеної КС здійснюється за допомогою пароля. Його перевірка проводиться шляхом порівняння прийнятого значення зі значенням образу, що зберігається в системі. Існують різні механізми розподілу і формування паролів. Останні створюються на основі питально-відповідної системи, одноразових блокнотів, сегментів слів чи пропозицій і інших способів. Паролі, що пред’являються користувачем КС, як правило, розкриваються неавторизованою стороною (НАС) і особливо легко в тих випадках, коли будуються за синтаксичними правилами на основі букв і цифр. Шифри утворюються в результаті криптографічних перетворень вихідної інформації. При високій кваліфікації НАС прості шифри, особливо при наявності комп'ютера, можуть бути легко розкриті. Надійність шифру в значній мірі залежить від довжин ключа і вихідного тексту. Захист може стати малоефективної, якщо НАС одержить доступ до зашифрованого тексту й оригіналу. Відомі системи шифрування з загальними і відкритими ключами. У першому випадку для процесів шифрування і дешифрування використовується той самий ключ, часто формований за допомогою генератора псевдослучайнх чисел. В другому випадку зазначені процеси ґрунтуються на різних ключах, связанныых не взаимооднозначными функціями, що значно утрудняє обчислення одного ключа через іншої. Сигнатури формуються на основі унікальних характеристик КС, що ідентифікуються програмами і використовуються для захисту. До таких характеристик можна віднести особливості структур і форматів дисків, зміст постійної пам'яті, характеристики динамічного запам'ятовуючого пристрою, наявність визначених компонентів устаткування, їхньої характеристики й ін. При використанні такого виду захисту від копіювання бажано підбирати найменш змінливі і важковідтворювані в інших системах сигнатури, що не заважають нормальній роботі програм. Апаратура захисту при вмілій організації може стати одним з найбільш ефективних засобів. До них відносяться різні пристрої, що підключаються, як правило, через стандартний інтерфейс чи системну шину. Ця апаратура в основному призначена для захисту програм в оперативній пам'яті і на магнітних дисках. Вона може будуватися як на найпростіших схемах з пам'яттю, так і на всокоінтегрованих мікропроцесорних модулях, що реалізують як найпростіші псевдовипадкові послідовності, так і складні криптографічні алгоритми. Засоби активного захисту поділяються на зовнішні і внутрішні й активізуються при виникненні певних (позаштатних) обставин, що підпадають в область контролю. До них відносяться неправильні введені паролі, що минув час користування, вичерпана кількість запусків, невірна контрольна сума ділянок програм, несанкціоноване копіювання і т.д. Внутрішні засоби активного захисту мало рекламуються для НАС і можуть з появою позаштатної ситуації блокувати виконання програми чи частини її функцій, знищувати її, пошкодити інші доступні програмні засоби КС, поширити вірус чи виконати інші деструктивні впливи. Зовнішні засоби активного захисту виявляються в процесі виконання програми у виді запитів пароля, видачі різних попереджень, авторських етикеток, інформації про власника, розроблювачів, фірму-виготовлювача й ін. Зазначені прояви часто активізуються після реалізації яких-небудь внутрішніх засобів активного захисту. Засоби пасивного захисту включають методи ідентифікації програм, пристрою контролю, водяні знаки і психологічні заходи. За їхньою допомогою здійснюються попередження, контроль, пошук доказів доказу копіювання і т.д. Ідентифікація програми чи окремого модуля в іншій програмі здійснюється з метою доказу авторських прав. Тут важливо знайти корекції в модулі, виконані НАС, які можуть змінити його кількісні характеристики, наприклад, частоти появи операторів чи машинних команд. Визначення подоби двох програм чи їхніх частин часто пов'язано з поняттям «рідних плям», що утворюються в результаті створення програм. Вони пов'язані зі стилем програмування, надмірностями, певними помилками, що не виникають при незалежній роботі авторів. Для визначення вставленого модуля також можна використовувати коряляційні характеристики, що вимагають досить складних розрахунків. Переконливим доказом копіювання служать ідентифікаційні мітки (особливо закодовані), що вводяться з метою визначення авторства і невідомі НАС. Пристрої контролю призначені для реєстрації подій, що включають виконання процедур, установлення неадекватності виконуваних функцій і засобів захисту, доступ до програм, даних і ін. Водяні знаки використовуються для запобігання створення повноцінної копії, що НАС не зможе відрізнити від оригіналу, унаслідок чого буде виявлена підробка. Цей метод заснований, як правило, на ідентифікації середовища носія програмних засобів. Психологічні заходи ґрунтуються на підтримуванні у свідомості НАС комплексу страху, стурбованості, непевності від наслідків, реалізованих усіма способами захисту, що починаються дружніми попередженнями і закінчуються судовими розглядами. Як бачимо, методи захисту ПЗ мають широке коло дії. Таким чином, при виборі механізму захисту варто враховувати його вартість і здатність забезпечити необхідний рівень захисту. Контрольні запитання
З повагою ІЦ “KURSOVIKS”! |