|
|
@@ -0,0 +1,131 @@
|
|
|
+Для защиты компьютерных систем от неправомерного вмешательства в процессы их функционирования и НСД к информации используются следующие основные методы зашиты (защитные механизмы):
|
|
|
+
|
|
|
+-идентификация (именование и опознавание), аутентификация (подтверждение подлинности) пользователей системы;
|
|
|
+-разграничение доступа пользователей к ресурсам системы и авторизация (присвоение полномочий) пользователям;
|
|
|
+-регистрация и оперативное оповещение о событиях, происходящих в системе; (аудит);
|
|
|
+-криптографическое закрытие хранимых и передаваемых по каналам связи данных;
|
|
|
+-контроль целостности и аутентичности (подлинности и авторства) данных;
|
|
|
+-выявление и нейтрализация действий компьютерных вирусов;
|
|
|
+-затирание остаточной информации на носителях;
|
|
|
+-выявление уязвимостей (слабых мест) системы;
|
|
|
+-изоляция (защита периметра) компьютерных сетей (фильтрация трафика, скрытие внутренней структуры и адресации, противодействие атакам на внутренние ресурсы и т.д.);
|
|
|
+-обнаружение атак и оперативное реагирование;
|
|
|
+-Резервное копирование;
|
|
|
+-Маскировка.
|
|
|
+
|
|
|
+Перечисленные механизмы защиты могут применяться в конкретных технических средствах и системах защиты в различных комбинациях и вариациях. Наибольший эффект достигается при их системном использовании в комплексе с другими видами мер защиты.
|
|
|
+
|
|
|
+Идентификация и аутентификация пользователей
|
|
|
+
|
|
|
+В целях обеспечения возможности разграничения доступа к ресурсам АС и возможности регистрации событий такого доступа каждый субъект (сотрудник, пользователь, процесс) и объект (ресурс) защищаемой автоматизированной системы должен быть однозначно идентифицируем. Для этого в системе должны храниться специальные признаки каждого субъекта и объекта, по которым их можно было бы однозначно опознать.
|
|
|
+
|
|
|
+Идентификация - это, с одной стороны, присвоение индивидуальных имен, номеров или специальных устройств (идентификаторов) субъектам и объектам системы, а, с другой стороны, - это их распознавание (опознавание) по присвоенным им уникальным идентификаторам. Наличие идентификатора позволяет упростить процедуру выделения конкретного субъекта (определенный объект) из множества однотипных субъектов (объектов). Чаще всего в качестве идентификаторов применяются номера или условные обозначения в виде набора символов.
|
|
|
+
|
|
|
+Аутентификация - это проверка (подтверждение) подлинности идентификации субъекта или объекта системы. Цель аутентификации субъекта - убедиться в том, что субъект является именно тем, кем представился (идентифицировался). Цель аутентификации объекта - убедиться, что это именно тот объект, который нужен.
|
|
|
+
|
|
|
+Аутентификация пользователей осуществляется обычно:
|
|
|
+
|
|
|
+-путем проверки знания ими паролей (специальных секретных последовательностей символов),
|
|
|
+
|
|
|
+-путем проверки владения ими какими-либо специальными устройствами (карточками, ключевыми вставками и т.п.) с уникальными признаками или
|
|
|
+
|
|
|
+-путем проверки уникальных физических характеристик и параметров (отпечатков пальцев, особенностей радужной оболочки глаз, формы кисти рук и т.п.) самих пользователей при помощи специальных биометрических устройств.
|
|
|
+
|
|
|
+Ввод значений пользователем своего идентификатора и пароля осуществляется чаще всего с клавиатуры. Однако многие современные СЗИ используют и другие типы идентификаторов - магнитные карточки, радиочастотные бесконтактные ( proximity ) карточки, интеллектуальные ( smart ) карточки, электронные таблетки Touch Memory .
|
|
|
+
|
|
|
+Биометрические методы характеризуется, с одной стороны, высоким уровнем достоверности опознавания пользователей, а с другой - возможностью ошибок распознавания первого и второго рода (пропуск или ложная тревога) и более высокой стоимостью реализующих их систем.
|
|
|
+
|
|
|
+Идентификация и аутентификация пользователей должна производиться при каждом их входе в систему и при возобновлении работы после кратковременного перерыва (после периода неактивности без выхода из системы или выключения компьютера).
|
|
|
+
|
|
|
+
|
|
|
+Разграничение доступа зарегистрированных пользователей к ресурсам АС
|
|
|
+
|
|
|
+Разграничение (контроль) доступа к ресурсам АС - это такой порядок использования ресурсов автоматизированной системы, при котором субъекты получают доступ к объектам системы в строгом соответствии с установленными правилами.
|
|
|
+
|
|
|
+Объект - это пассивный компонент системы, единица ресурса автоматизированной системы (устройство, диск, каталог, файл и т.п.), доступ к которому регламентируется правилами разграничения доступа.
|
|
|
+
|
|
|
+Субъект -это активный компонент системы (пользователь, процесс, программа), действия которого регламентируются правилами разграничения доступа.
|
|
|
+
|
|
|
+Доступ к информации - ознакомление с информацией (чтение, копирование), ее модификация (корректировка), уничтожение (удаление) и т.п.
|
|
|
+
|
|
|
+Доступ к ресурсу - получение субъектом возможности манипулировать данным ресурса (использовать, управлять, изменять настройки и т.п.).
|
|
|
+
|
|
|
+Правила разграничения доступа - совокупность правил, регламентирующих права доступа субъектов к объектам в некоторой системе.
|
|
|
+
|
|
|
+Несанкционированный доступ (НСД) - доступ субъекта к объекту в нарушение установленных в системе правил разграничения доступа.
|
|
|
+
|
|
|
+Несанкционированное действие - действие субъекта в нарушение установленных в системе правил обработки информации.
|
|
|
+
|
|
|
+Авторизация - предоставление аутентифицированному субъекту соответствующих (предписанных установленным порядком) прав на доступ к объектам системы: какие данные и как он может использовать (какие операции с ними выполнять), какие программы может выполнять, когда, как долго и с каких терминалов может работать, какие ресурсы системы может использовать и т.п. В большинстве систем защиты авторизация осуществляется многократно при каждой попытке доступа субъекта к конкретному объекту.
|
|
|
+
|
|
|
+Авторизованный субъект доступа - субъект, которому предоставлены соответствующие права доступа к объектам системы (полномочия).
|
|
|
+
|
|
|
+Авторизация пользователей осуществляется с использованием следующих основных механизмов реализации разграничения доступа:
|
|
|
+
|
|
|
+-механизмов избирательного управления доступом, основанных на использовании атрибутных схем, списков разрешений и т.п.;
|
|
|
+
|
|
|
+-механизмов полномочного управления доступом, основанных на использовании меток конфиденциальности ресурсов и уровней допуска пользователей;
|
|
|
+
|
|
|
+-механизмов обеспечения замкнутой среды доверенного программного обеспечения (индивидуальных для каждого пользователя списков разрешенных для использования программ), поддерживаемых механизмами идентификации и аутентификации пользователей при их входе в систему.
|
|
|
+
|
|
|
+Технические средства разграничения доступа к ресурсам АС должны рассматриваться как составная часть единой системы контроля доступа субъектов:
|
|
|
+
|
|
|
+-на контролируемую территорию;
|
|
|
+-в отдельные здания и помещения организации;
|
|
|
+-к элементам АС и элементам системы защиты информации (физический доступ);
|
|
|
+-к информационным и программным ресурсам АС.
|
|
|
+
|
|
|
+Механизмы управления доступом субъектов к объектам доступа выполняют основную роль в обеспечении внутренней безопасности компьютерных систем. Их работа строится на концепции единого диспетчера доступа. Сущность этой концепции состоит в том, что диспетчер доступа (монитор ссылок) - выступает посредником-контролером при всех обращениях субъектов к объектам.
|
|
|
+
|
|
|
+Диспетчер доступа выполняет следующие основные функции:
|
|
|
+
|
|
|
+-проверяет права доступа каждого субъекта к конкретному объекту на основании информации, содержащейся в базе данных системы защиты (правил разграничения доступа);
|
|
|
+-разрешает (производит авторизацию) или запрещает (блокирует) доступ субъекта к объекту;
|
|
|
+-при необходимости регистрирует факт доступа и его параметры в системном журнале (в том числе попытки несанкционированного доступа с превышением полномочий).
|
|
|
+
|
|
|
+Основными требованиями к реализации диспетчера доступа являются:
|
|
|
+
|
|
|
+-полнота контролируемых операций (проверке должны подвергаться все операции всех субъектов над всеми объектами системы, - обход диспетчера предполагается невозможным);
|
|
|
+-изолированность диспетчера, то есть защищенность самого диспетчера от возможных изменений субъектами доступа с целью влияния на процесс его функционирования;
|
|
|
+-возможность формальной проверки правильности функционирования;
|
|
|
+-минимизация используемых диспетчером ресурсов (накладных расходов).
|
|
|
+
|
|
|
+В общем виде работа средств разграничения доступа субъектов к объектам основана на проверке сведений, хранимых в базе данных защиты. Под базой данных защиты ( security database ) понимают базу данных, хранящую информацию о правах доступа субъектов к объектам. Для внесения изменений в базу данных защиты система разграничения доступа должна включать средства для привилегированных пользователей (администраторов безопасности, владельцев объектов и т.п.) по ведению этой базы. Такие средства управления доступом должны обеспечивать возможность выполнения следующих операций:
|
|
|
+-добавления и удаления объектов и субъектов;
|
|
|
+-просмотра и изменения соответствующих прав доступа субъектов к объектам.
|
|
|
+
|
|
|
+
|
|
|
+Форма представления базы данных защита может быть различной.
|
|
|
+
|
|
|
+Основу базы данных средств разграничения доступа в общем случае составляет абстрактная матрица доступа или ее реальные представления. Каждая строка згой матрицы соответствует субъекту, а столбец - объекту АС. Каждый элемент этой матрицы представляет собой кортеж (упорядоченную совокупность значений), определяющий права доступа (для всех возможных видов доступа - чтение, модификация, удаление и т.п.) определенного субъекта к определенному объекту.
|
|
|
+
|
|
|
+Сложность управления доступом (ведения матрицы доступа) в реальных системах связана не только с большой размерностью этой матрицы (большим числом субъектов и объектов) и высоким динамизмом ее корректировки, но и с необходимостью постоянного отслеживания при таких корректировках большого числа зависимостей между значениями определенных кортежей. Наличие таких зависимостей связано с объективно существующими в предметной области ограничениями и правилами наследования полномочий в иерархии объектов и субъектов.
|
|
|
+
|
|
|
+Например, пользователь должен наследовать полномочия групп пользователей, в которые он входит. Права доступа некоторого пользователя к каталогам и файлам не должны превышать соответствующие его права по доступу к диску, на котором они размещены и т.п.).
|
|
|
+
|
|
|
+При полномочном управлении доступом (категорирование объектов и субъектов и введение ограничений по доступу установленных категорий субъектов к объектам различных категорий) на матрицу доступа накладываются дополнительные зависимости между значениями прав доступа субъектов.
|
|
|
+
|
|
|
+Ограничения и зависимости между полномочиями существенно усложняют процедуры ведения матриц доступа. Это привело к возникновению большого числа способов неявного задания матрицы (списки доступа, перечисление полномочий, атрибутные схемы и т.п.).
|
|
|
+
|
|
|
+Основные критерии оценки эффективности различных способов неявного задания матрицы доступа следующие:
|
|
|
+-затраты памяти на хранение образа матрицы доступа;
|
|
|
+-время на выборку (или динамическое вычисление) значений полномочий (элементов кортежей);
|
|
|
+-удобство ведения матрицы при наличии ограничений и зависимостей между значениями ее кортежей (простота и наглядность,количество требуемых операций при добавлении/удалении субъекта или объекта, назначении/модификации полномочий и т.п.).
|
|
|
+
|
|
|
+Списки управления доступом к объекту
|
|
|
+В данной схеме полномочия по доступу к объекту представляются в виде списков (цепочек) кортежей для всех субъектов, имеющих доступ к данному объекту. Это равносильно представлению матрицы по столбцам с исключением кортежей, имеющих все нулевые значения.
|
|
|
+
|
|
|
+Такое представление матрицы доступа получило название "списка управления доступом"' ( access control list - ACL ). Этот вид задания матрицы реализован, к примеру, в ОС Windows NT (в NTFS ).
|
|
|
+
|
|
|
+Достоинства:
|
|
|
+-экономия памяти, так как матрица доступа обычно сильно разрежена;
|
|
|
+-удобство получения сведений о субъектах, имеющих какой либо вид доступа к заданному объекту;
|
|
|
+Недостатки:
|
|
|
+-неудобство отслеживания ограничений и зависимостей по наследованию полномочий субъектов;
|
|
|
+-неудобство получения сведений об объектах, к которым имеет какой-либо вид доступа данный субъект;
|
|
|
+-так как списки управления доступом связаны с объектом, то при удалении субъекта возможно возникновение ситуации, при которой объект может быть доступен несуществующему субъекту.
|
|
|
+
|
|
|
+Источники:
|
|
|
+1.(www.y-center.ru)[https://www.y-center.ru/corporate/zaschita-informatsii/sredstva-zaschity-informatsii/ot-nesanktsionirovannogo-dostupa/]
|
|
|
+2.(asher.ru)[http://asher.ru/security/book/its/07]
|
|
|
+3.(kgnic.ru)[https://kgnic.ru/services/sredstva-zashhity-informatsii/]
|
