Безопасность компьютерных сетей

Широкое применение компьютерных сетей во всех областях человеческой деятельности, оказывающее существенное влияние на нашу жизнь, делает весьма актуальной проблему информационной безопасности. Защита информации в компьютерных сетях является одной из наиболее важных задач, которые должны решаться в процессе их разработки и эксплуатации.

Средства защиты информации в компьютерных сетях можно разбить на два класса:

• средства компьютерной безопасности, обеспечивающие защиту информации, находящейся в локальной сети или на отдельном компьютере пользователя;

• средства сетевой безопасности, обеспечивающие защиту информации в процессе её передачи через сеть.

Средства компьютерной безопасности должны обеспечить защиту от несанкционированного доступа всех находящиеся внутри собственной локальной сети ресурсов:

• аппаратных - серверы, дисковые массивы, маршрутизаторы;

• программных - операционные системы, СУБД, почтовые службы и т. п.

Кроме того, необходимо обеспечить защиту данных, хранящихся в файлах и обрабатываемых в компьютерах. Для этого необходимо контролировать трафик, входящий в сеть обычно из Интернета, и стараться перекрыть доступ извне для любой информации, с помощью которой злоумышленник может попытаться использовать внутренние ресурсы сети во вред их владельцу.

Наиболее часто в качестве средства компьютерной безопасности используется брандмауэр, устанавливаемый в местах соединений внутренней локальной сети с Интернетом. Брандмауэр (firewall) представляет собой межсетевой экран, который контролирует трафик между локальной сетью и Интернетом и не пропускает подозрительный трафик в сеть. Кроме того, в качестве средств компьютерной безопасности могут использоваться встроенные средства безопасности операционных систем, баз данных, а также встроенные аппаратные средства компьютера.

Для обеспечения сетевой безопасности необходимо защищать информацию, передаваемую в виде пакетов через сети поставщиков услуг Интернета, чтобы она не была искажена, уничтожена или перехвачена посторонними людьми. Для решения этой задачи сегодня широко используется механизм виртуальных частных сетей (VPN).

Автономно работающий компьютер можно более или менее эффективно защитить от внешних покушений. Гораздо сложнее это сделать, если компьютер работает в сети и общается с другими компьютерами. Обеспечение безопасности в этом случае сводится к тому, чтобы сделать проникновение посторонних к ресурсам компьютера контролируемым. Для этого каждому пользователю сети должны быть четко определены его права на доступ к информации, устройствам и на выполнение системных действий в каждом компьютере сети. Дополнительно необходимо обеспечить защиту от перехвата передаваемых по сети данных и создания «ложного» трафика, на что направлена большая часть средств обеспечения сетевой безопасности.

Вопросы сетевой безопасности приобретают особую значимость в связи с тем, что корпоративные сети всё чаще используют Интернет в качестве транспортного средства.

Безопасная информационная система должна:

• защищать данные от несанкционированного доступа;

• быть всегда готовой предоставить данные своим пользователям;

• надежно хранить информацию и гарантировать неизменность данных.

Для этого система должна обладать следующими свойствами.

• Конфиденциальность (confidentiality) - гарантия того, что секретные данные будут доступны только авторизованным пользователям, которым этот доступ разрешен.

• Доступность (availability) - гарантия того, что авторизованные пользователи всегда получат доступ к данным.

• Целостность (integrity) - гарантия сохранности данных, которая обеспечивается запретом для не авторизованных пользователей каким-либо образом изменять, модифицировать, разрушать или создавать данные.

Требования безопасности могут меняться в зависимости от назначения системы, характера используемых данных и типа возможных угроз.

Если свойства целостности и доступности актуальны для всех систем, то свойство конфиденциальности может быть необязательным, например, если информация предназначена для широкого круга людей. В то же время, для того чтобы злоумышленник не смог изменить эту информацию, необходимо принять меры по обеспечению целостности данных.

Понятия конфиденциальности, доступности и целостности могут быть применены не только по отношению к информации, но и к другим ресурсам вычислительной сети (внешним устройствам, сетевому оборудованию или приложениям). Конфиденциальность, применительно к какому-либо устройству, обеспечивает доступ к нему только авторизованным пользователям, причем они могут выполнять только те операции, которые им разрешены. Свойство доступности устройства состоит в его готовности к использованию в момент возникновения такой необходимости. Благодаря свойству целостности злоумышленник не сможет изменить параметры настройки устройства, что могло бы привести к выходу его из строя.

Для защиты данных используются средства, называемые сервисами сетевой безопасности, которые обеспечивают контроль доступа, включающий процедуры шифрование информации, аутентификации, идентификации и авторизации, аудит, антивирусную защиту, контроль сетевого трафика и т.д. Средства безопасности могут быть либо встроены в программное (операционные системы и приложения) и аппаратное (компьютеры и коммуникационное оборудование) обеспечение сети, либо реализованы в виде отдельных продуктов, созданных специально для решения проблем безопасности.

Рассмотрим основные сервисы сетевой безопасности.

Шифрование - процедура, превращающая информацию из обычного «понятно го» вида в «непонятный» зашифрованный вид. Для расшифровки зашифрованной информации используется процедура дешифрирования. Пара процедур - шифрование и дешифрирование - называется криптосистемоЙ. Шифрование может применяться в системах аутентификации или авторизации пользователей, а также в системах защиты канала связи и хранения данных.

Аутентификация — подтверждение подлинности - предотвращает несанкционированный доступ к сети посторонних лиц и разрешает доступ легальным пользователям.

В качестве объектов, требующих аутентификации, могут выступать не только пользователи, но и различные приложения, устройства, данные.

Примером аутентификации на уровне приложений может служить взаимная аутентификации клиента и сервера, когда клиент, доказавший серверу свою легальность, также должен убедиться, что ведет диалог действительно со своим сервером. При установлении сеанса связи между двумя устройствами также может быть предусмотрена процедура взаимной аутентификации. Аутентификация данных означает доказательство целостности этих данных, а также факт их поступления именно от того человека, который объявил об этом. Для этого используется механизм электронной подписи.

Аутентификацию не следует путать с идентификацией и авторизацией.

Идентификация заключается в сообщении пользователем системе своего идентификатора, в то время как аутентификация - это процедура доказательства пользователем того, что он является тем, за кого себя выдает, в частности доказательство того, что именно ему принадлежит введенный им идентификатор. Идентификаторы пользователей применяются в системе с теми же целями, что и идентификаторы любых других объектов (файлов, процессов, структур данных), и они не всегда связаны непосредственно с обеспечением безопасности.

Авторизация - процедура контроля доступа легальных пользователей к ресурсам системы с предоставлением каждому из них именно тех прав, которые определены ему администратором. Помимо предоставления пользователям прав доступа к каталогам, файлам и принтерам, система авторизации может контролировать возможность выполнения пользователями различных системных функций, таких как локальный доступ к серверу, установка системного времени, создание резервных копий данных, выключение сервера и т. п.

Аудит - фиксация в системном журнале событий, связанных с доступом к защищаемым системным ресурсам. Подсистема аудита современных операционных систем позволяет дифференцированно задавать перечень интересующих администратора событий с помощью удобного графического интерфейса. Средства учета и наблюдения обеспечивают возможность обнаружить и зафиксировать важные события, связанные с безопасностью; любые попытки (в том числе и неудачные) создать, получить доступ или удалить системные ресурсы.

Технология защищенного канала обеспечивает безопасность передачи данных по открытой транспортной сети, например по Интернету, за счет:

• взаимной аутентификации абонентов при установлении соединения;

• защиты передаваемых по каналу сообщений от несанкционированного доступа;

• обеспечения целостности поступающих по каналу сообщений.

Защищенный канал можно построить с помощью протоколов, реализованных на разных уровнях модели OSI (табл.4.6).

Защита данных средствами верхних уровней (прикладного, представления или сеансового ) не зависит от технологий транспортировки данных (IP, Ethernet или АТМ), однако приложения зависят от конкретного протокола защищенного канала, так как в них должны быть встроены явные вызовы функций этого протокола. Протоколы безопасности прикладного уровня защищают только вполне определенную сетевую службу, например протокол S/МIМE защищает сообщения электронной почты. На уровне представления используется протокол SSL (Secure Socket Layer - слой защищенных сокетов) и его открытая реализация TLS (Transport Layer Security - безопасность транспортного уровня).

Средства защищенного канала становятся прозрачными для приложений в тех случаях, когда они защищают кадры протоколов сетевого и канального уровней. Однако при этом сервис защищенного канала становится зависимым от протокола нижнего уровня.

Компромиссным вариантом защищённого канала является работающий на сетевом уровне протокол IPSec. С одной стороны, он прозрачен для приложений, с другой - может работать практически во всех сетях, так как основан на протоколе IP и использует любую технологию канального уровня (РРР, Ethernet, АТМ и т. д.).

IPSec (сокращение от IP Security) - набор протоколов, позволяющих обеспечить защиту данных, передаваемых по межсетевому протоколу IP за счёт подтверждение подлинности и шифрования IР-пакетов. Применение протокола IPSec гарантирует целостность, аутентичность и конфиденциальность данных на протяжении всего пути между двумя узлами сети, который получил название «защищенный канал».

IPSec-протоколы можно разделить на два класса:

• протоколы, отвечающие за защиту потока передаваемых пакетов, к которым относятся два протокола:

- ESP (Encapsulating Security Payload - инкапсуляция зашифрованных данных), обеспечивающий шифрацию, целостность и конфиденциальность передаваемых данных;

- АН (Authentication Header заголовок аутентификации), гарантирующий только целостность и аутентичность дaнных (передаваемые данные не шифруются).

• протокол обмена криптографическими ключами IKE (Internet Кеу Exchange - обмен ключами Интернета), автоматически предоставляя конечным точкам защищенного канала секретные ключи, необходимые для работы протоколов аутентификации и шифрования данных.

Для шифрования данных в протоколе IPSec может быть применен любой симметричньrй алгоритм шифрования. В симметричных схемах шифрования конфиденциальность основана на том, что отправитель и получатель обладают общим, известным только им, параметром функции шифрования. Этот параметр называется секретным ключом. Секретный ключ используется как для шифрования текста, так и для его дешифрирования.

Протоколы АН и ESP могут защищать данные в двух режимах:

• транспортном;

• туннельном.

В транспортном режиме шифруется только содержимое IР-пакета, не затрагивая заголовок, который не изменяется.

В туннельном режиме IР-пакет шифруется целиком, помещается в новый IР-пакет, который передаётся по сети в соответствии с заголовком нового IP -пакета. Таким образом формируется защищённый IР-туннель.

Туннельный режим может использоваться для подключения удалённых компьютеров к виртуальной частной сети или для организации безопасной передачи дaнных через открытые каналы связи (например, Интернет) между шлюзами для объединения разных частей виртуальной частной сети.

Режимы IPSec не являются взаимоисключающими - в одном и том же узле некоторые безопасные соединения могут использовать транспортный режим, а другие - туннельный.

Применение того или иного режима зависит:

• от требований, предъявляемых к защите данных;

• от типа узла, завершающего защищенный канал - хост (конечный узел) или шлюз (промежуточный узел).

Соответственно, имеются три схемы применения протокола IPSec:

• хост-хост;

• шлюз-шлюз;

• хост-шлюз.

В схеме хост-хост, использующей, как правило, транспортный режим защиты, защищенный канал устанавливается между двумя конечными узлами сети, и протокол IPSec, работая на конечных узлах, защищает передаваемые данные.

В схеме шлюз-шлюз, использующей только туннельный режим защиты, защищенный канал устанавливается между двумя промежуточными узлами, называемыми шлюзами безопасности (Security Gateway, SG), на каждом из которых работает протокол IPSec. Защищенный обмен данными может про исходить между любыми двумя конечными узлами, подключенными к сетям, связанным со шлюзами безопасности. Конечные узлы передают трафик в незащищенном виде, направляя его в общедоступную сеть через шлюз безопасности, который и обеспечивает защиту трафика с помощью протокола IPSec.

Схема хост-шлюз применяется при удаленном доступе и позволяет надежно защитить трафик и внутренней сети. Защищенный канал организуется между удаленным хостом, на котором работает протокол IPSec, и шлюзом, защищающим трафик для всех хостов, входящих во внутреннюю сеть.

Протокол АН на приёмной стороне проверяет:

• был ли пакет отправлен тем абонентом, с которым установлено безопасное соединение;

• не искажено ли содержимое пакета;

• не является ли пакет дубликатом уже полученного пакета.

Протокол ESP, кроме перечисленных функций, обеспечивает защиту передаваемых данных от несанкционированного просмотра путем их шифрования.