Лекция 4. Службы информационной безопасности

Рассмотрены основные службы безопасности, проблемы конфиденциальности информации, ее целостности и доступности в компьютерных системах.

Службы информационной безопасности являются службами базового уровня, которые используются для противостояния атакам, описанным в лекции 2. Каждая из этих служб направлена на борьбу с определенным типом атак (см. табл. 4.1~). Службы, о которых мы расскажем в данной лекции, не следует путать с фактическими механизмами безопасности, реализованными в них.

Особенности использования служб информационной безопасности в рамках отдельной организации зависят от уровня оценки риска в этой организации и планирования системы безопасности (см. лекции 7 и 8). Знание базовых требований к безопасности позволяет грамотно использовать соответствующие службы для противостояния атакам.

Таблица 4.1. Службы информационной безопасности и типы ;

Атаки

Службы безопасности

Конфиденциальность

Целостность

Доступность

Идентис]

Доступа

X

X

Модификации

X

X

Отказ в обслуживании

X

Отказ от обязательств

X

X

Конфиденциальность

Служба конфиденциальности обеспечивает секретность информации. Правильно сконфигурированная, эта служба открывает доступ к информации только аутентифицированным пользователям. Ее надежная работа зависит от службы обеспечения идентификации и однозначного определения подлинности лиц. Выполняя эту функцию, служба конфиденциальности ограждает системы от атак доступа. Служба конфиденциальности должна учитывать различные способы представления информации - в виде распечаток, файлов или пакетов, передающихся по сетям.

Примечание

В процессе обсуждения вы часто будете сталкиваться с рекомендациями по должному определению подлинности лиц. Как ничто другое, это служит иллюстрацией того, что все системы безопасности находятся в тесной взаимосвязи друг с другом. Ни одна из служб не может работать автономно. Поэтому при реализации готовых программных продуктов возможно возникновение сбоев в работе систем информационной безопасности.

Обеспечение конфиденциальности файлов

Существуют различные способы обеспечения секретности документов в зависимости от их вида. Бумажные документы нужно защищать физически, т. е. хранить в отдельном месте, доступ к которому контролируется службой конфиденциальности. Не следует забывать о таких вещах, как запирание картотек и ящиков столов, ограничение доступа в кабинеты внутри офиса или в сам офис.

В работе с электронными документами имеются свои тонкости. Во- первых, файлы могут храниться одновременно в нескольких местах: на внешних запоминающих устройствах большой емкости (жестких дисках или магнитных лентах), на гибких дисках, zip-дисках или компакт- дисках. Во вторых, физический доступ к месту хранения файлов не обязателен. Сохранение конфиденциальности магнитных лент и дисков аналогично защите бумажных документов и связано с ограничением физического доступа. Контроль над файлами в компьютерных системах осуществляют системы управления доступом (это может быть шифрование файла). Работа этих систем зависит от надежной идентификации и аутентификации пользователя и правильной конфигурации, исключающей обход защитных механизмов через уязвимые места системы. В табл. 4.2 показаны механизмы обеспечения конфиденциальности файлов и требования к ним.

Таблица 4.2. Механизмы обеспечения конфиденциальности файлов и

требования к ним

Механизмы обеспечения конфиденциальности

Контроль физической безопасности.

Контроль доступа к файлам на компьютере.

Шифрование файлов.

Требования к

конфиденциальности файлов

Идентификация и аутентификация.

Правильная настройка компьютерной системы.

Правильное управление ключами при использовании шифрования.

Обеспечение конфиденциальности при передаче данных по сети

Недостаточно защитить только ту информацию, которая хранится в виде файлов, ведь злоумышленники могут перехватить ее в процессе передачи по сетевому соединению. Следовательно, требуется обеспечить конфиденциальность информации, передаваемой по каналам связи (см. рис. 4.1~). Это делается с помощью технологий шифрования.

Шифрование обеспечивает защиту информации при передаче по сетям

Рис. 4.1. Шифрование обеспечивает защиту информации при передаче по сетям

Механизмы защиты можно применить как для отдельного сообщения, так и для всего трафика соединения. Шифрование позволит предотвратить атаки подслушивания, но не сможет защитить от перехвата информации. В последнем случае требуется надежная система идентификации и аутентификации для определения подлинности удаленного получателя (см. рис. 4.2).

Шифрование в сочетании с надежной идентификацией позволяет предотвратить перехват трафика

Рис. 4.2. Шифрование в сочетании с надежной идентификацией позволяет предотвратить перехват трафика

Конфиденциальность потока данных

Служба обеспечения конфиденциальности потока данных весьма обеспокоена самим фактом передачи информации между двумя конечными пунктами (см. рис. 4.3Г Конфиденциальность потока данных не касается сохранности передаваемой информации. Наличие потока данных позволяет анализатору трафика выявить организации, между которыми установлена связь. Количество трафика, передающегося от узла к узлу, также представляет собой ценную информацию. Например, многие службы новостей наблюдают за поставками пиццы в Белый дом и Пентагон. Главная идея состоит в том, что увеличение количества пицц указывает на возникновение какой-то неординарной ситуации. Для описания такого типа деятельности существует специальный термин - анализ движения и событий (traffic and pattern analysis).

Конфиденциальность потока данных обеспечивается за счет скрытия информации, передаваемой между двумя конечными пунктами, внутри гораздо большего трафика данных. В Вооруженных Силах используется такой прием: две воинских части сначала устанавливают связь, а затем передают постоянный объем данных, независимо от числа фактически отправляемых сообщений (свободное место заполняется информационным "мусором"). Таким образом, количество трафика остается постоянным, и какие-то изменения в интенсивности передачи сообщений обнаружить нельзя.

Анализ потоков информации позволяет выявить совместно работающие организации

Рис. 4.3. Анализ потоков информации позволяет выявить совместно работающие организации

Примечание

Большинство коммерческих организаций не задумывается о конфиденциальности потока данных. Однако в некоторых случаях сам факт установки соединения является секретной информацией. Предположим, происходит слияние двух компаний. В этом случае возникновение между ними новых информационных потоков является секретной информацией до тех пор, пока не будет объявлено об этом событии.

Предотвращение атак

Служба обеспечения конфиденциальности позволяет предотвратить атаки доступа. Впрочем, сама по себе она полностью не решает эту проблему. Эта служба должна работать совместно со службой идентификации для определения подлинности лиц, предпринимающих попытки доступа к информации. В этом случае значительно уменьшается риск получения злоумышленником несанкционированного доступа.

Вопрос к эксперту

Вопрос. Уточните, как использовать службы безопасности для защиты моей системы?

Ответ. Службы безопасности, которые мы обсудили в этой лекции, представляют собой базовый блок в концепции построения защиты. Фактическая же ее реализация зависит от множества различных механизмов, которые мы рассмотрим далее. Пока удовлетворитесь этим ответом, поскольку понимание того, как эти службы помогают защитить вашу информацию, позволит выбрать нужные средства для использования в вашем окружении.

 
Посмотреть оригинал
< Пред   СОДЕРЖАНИЕ   ОРИГИНАЛ   След >